Глобальна відповідність PII: три закони, три формати ідентифікаторів
Британський маркетплейс обробляє документи продавців із 80 країн. Одночасно застосовуються три закони: GDPR для продавців із ЄС, LGPD для бразильських продавців і індійський закон DPDP — для продавців з Індії. Кожен закон визначає різні національні ідентифікатори як захищені. Кожен формат має власну логіку перевірки.
Бразильський CPF: формат і статус за LGPD
CPF (Cadastro de Pessoas Físicas) — це бразильський ідентифікаційний номер платника податків. Він має 11 цифр у форматі XXX.XXX.XXX-XX. Останні дві цифри — контрольні. Вони обчислюються за математичним алгоритмом із перших дев'яти цифр.
Бразильський закон LGPD розглядає CPF як захищений персональний ідентифікатор, подібний за рівнем чутливості до американського SSN. Інструмент, який не знає формату CPF, не може його знайти. Той, що пропускає контрольну суму, даватиме хибні збіги.
Індійський Aadhaar: формат і правила за DPDP
Aadhaar — це 12-цифровий номер, що видається UIDAI Індії. Номери призначаються випадковим чином. Остання цифра — контрольна за методом Верхоффа.
Індійський закон DPDP встановлює обов'язки для будь-якої організації, що обробляє дані, пов'язані з Aadhaar. Виявлення потребує двох кроків. По-перше, зіставити 12-цифровий формат і перевірити цифру Верхоффа. По-друге, фільтрувати за контекстом. Не кожний 12-цифровий рядок є Aadhaar.
Американський SSN: відома структура
SSN складається з дев'яти цифр. Перші три — код зони. Наступні два — код групи. Останні чотири — серійний номер. Кожен сегмент має встановлені правила. Перевірка добре задокументована.
Прогалина між інструментами для однієї країни і глобальними правилами
Ці три ідентифікатори не мають спільного формату й спільних правил перевірки. Інструмент, створений для США, розпізнає SSN. CPF і Aadhaar можуть бути повністю пропущені.
Більшість команд виявляють цю прогалину, коли запитує регулятор — а не раніше. Прогалина створює реальний ризик за кожним законом:
- Стаття 28 GDPR вимагає укладання письмової угоди про обробку даних (DPA) з кожним процесором. DPIA, де основним засобом контролю зазначено «виявлення SSN» — коли датасет також містить номери CPF — має задокументовану прогалину. Аудитор може її виявити.
- LGPD передбачає штрафи до 2% бразильського доходу, але не більше R$50M за інцидент. CPF, що залишився непоміченим, — це пряме порушення LGPD.
- DPDP правозастосування ще нове. Команди, які документують своє охоплення зараз, матимуть кращі позиції, коли перші рішення встановлять стандарти.
Три режими штрафів одночасно створюють накладені ризики. Інструменти для однієї країни залишають глобальні команди незахищеними.
Що вимагає повне охоплення
Інструменту потрібні формат кожного ідентифікатора, алгоритм перевірки і правовий контекст. CPF потребує модульної контрольної суми. Aadhaar — перевірки Верхоффа плюс контекстної фільтрації. SSN — правил для зони і групи. Це три окремі задачі. Жоден єдиний шаблон пошуку не охоплює всі три.
Дивіться також: глобальна прогалина ідентифікаторів PII: SSN, CPF, Aadhaar, посібник із правозастосування LGPD від ANPD Бразилії і технічна відповідність індійському закону про конфіденційність DPDPA.