GDPR, CCPA та PDPA в одному інструменті
Оновлено для 2026 року.
Ваш персонал у ЄС підпадає під GDPR. Ваші співробітники в Каліфорнії обробляють записи відповідно до CCPA. Ваш персонал у Сінгапурі працює згідно з PDPA. Три нормативні рамки. Одна спільна база даних.
Це і є глобальний виклик конфіденційності для дистанційних команд. Записи клієнтів, до яких вони мають доступ, однакові. Правила, що регулюють ці записи, — ні.
Прогалина в багатоюрисдикційному підході
Група підтримки в Німеччині, Каліфорнії та Сінгапурі може відкрити той самий обліковий запис клієнта. Ім'я, електронна адреса та дані облікового запису в цьому записі підпадають під різні правила в кожній країні.
Згідно з GDPR, для кожного використання потрібна правова підстава. Згідно з CCPA, клієнт може вимагати видалення та відмовитися від обробки. Згідно з PDPA, застосовуються правила згоди та передачі даних.
Передача файлу клієнта помічнику на основі ШІ може одночасно активувати обов'язки за всіма трьома законами. Одна дія. Три нормативні рамки.
Регіональне програмне забезпечення не вирішує цю проблему. Воно лише погіршує її.
Чому один інструмент на регіон не працює
Перший інстинкт — підібрати програмне забезпечення відповідно до місцезнаходження. Американські співробітники отримують рішення для США. Європейські — рішення для ЄС. Азіатсько-тихоокеанські — рішення для АТР.
На практиці це не спрацьовує.
Дані не слідують за платформою. Каліфорнійський агент, який обробляє скаргу німецького клієнта, все одно зобов'язаний дотримуватись GDPR. Право клієнта з ЄС на видалення залишається в силі. Американське рішення може не включати формати германських національних посвідчень або номерів IBAN. Це прогалина.
Налаштування розпадається на три системи. Три платформи означають три журнали аудиту. Три набори налаштувань охоплення. Три набори типів сутностей, які можуть не збігатися. Єдиний зведений звіт перетворюється на ручне завдання з об'єднання даних.
Транскордонні передачі залишаються без чіткої відповіді. Американський аналітик може отримати вивантаження з записами клієнтів з ЄС. Відповідно до GDPR, закон слідує за суб'єктом даних, а не за місцезнаходженням аналітика. Рішення лише для США не виправляє цього.
Дивіться посібник з правової відповідності про те, як накладаються обов'язки при транскордонних передачах.
Охоплення сутностей за регіонами
Ідентифікатори ПДн відрізняються залежно від країни. Платформа, створена для одного ринку, пропускатиме ідентифікатори з інших.
Сутності ЄС (GDPR):
- Personalausweis і Steuernummer (Німеччина).
- Numéro de Sécurité Sociale (Франція).
- DNI та NIE (Іспанія).
- IBAN та BIC для банківських операцій у ЄС.
Сутності США (CCPA / HIPAA):
- Номер соціального страхування (SSN) та EIN.
- Формати водійських посвідчень окремих штатів.
- Номери Medicare та Medicaid.
- 18 захищених ідентифікаторів здоров'я за HIPAA.
Сутності АТР (PDPA, PIPL, PDPB):
- Сінгапурські NRIC та FIN.
- Національний ідентифікатор Таїланду (13 цифр).
- Посвідчення особи КНР (18 цифр) та номери мобільних телефонів.
- Індійські Aadhaar та PAN-картка.
Американоцентричне рішення надійно охоплює SSN. Воно пропустить Personalausweis з Німеччини. Європейське рішення охоплює IBAN та національні посвідчення. Воно може не виявити номер Aadhaar.
Повне охоплення означає типи сутностей для кожного відповідного ринку. Не лише домашній регіон програмного забезпечення.
Переглянути повну бібліотеку сутностей можна на сторінці /entities.
Налаштування пресетів за юрисдикцією
Практична відповідь: один рушій виявлення з пресетами для кожного регіону.
Стандартний пресет GDPR (персонал у ЄС): Усі 18 типів персональних даних за GDPR. Формати національних посвідчень країн ЄС. Банківські номери ЄС. Порогові значення встановлені відповідно до широкого охоплення GDPR.
Пресет CCPA / HIPAA (персонал у США): SSN, EIN, номери Medicare та Medicaid. Формати посвідчень особи та водійських прав штатів. Номери фінансових рахунків США. 18 типів захищеної медичної інформації HIPAA для персоналу, що працює з медичними записами.
Пресет конфіденційності АТР (персонал у АТР): Singapore NRIC та FIN. Національний ідентифікатор Таїланду. Посвідчення особи КНР та номери мобільних телефонів. Індійські Aadhaar та PAN. Позначки країн там, де потрібно.
Кожен пресет налаштовується один раз централізовано. Він доступний кожному співробітнику. Застосовуйте його відповідно до регіону співробітника або регіону суб'єкта даних. Використовуйте суворіше з двох правил. Рушій застосовує суворіше правило.
Прочитайте про те, як працюють пресети, у розділі FAQ.
Практичний приклад: SaaS-компанія з 50 співробітниками
Дистанційна SaaS-компанія провела щорічний аудит конфіденційності. Співробітники перебували в Німеччині (18), Каліфорнії (22) та Сінгапурі (10).
До переходу:
Група в Німеччині використовувала платформу маскування для ЄС. Група в Каліфорнії — американське рішення з обмеженим охопленням сутностей ЄС. Група в Сінгапурі не мала програмного забезпечення для маскування. Аудит виявив нерівні стандарти в усіх трьох регіонах. Прогалина в Сінгапурі залишалась відкритою.
Після переходу на єдину платформу:
- Пресет GDPR для Німеччини з типами сутностей ЄС і підтримкою 48 мов.
- Пресет CCPA для Каліфорнії, що охоплює типи сутностей США та CCPA.
- Пресет PDPA для Сінгапуру, що охоплює ідентифікатори АТР.
- Єдиний централізований журнал аудиту для всіх 50 співробітників.
- Зберігання даних у ЄС для всіх записів, що обробляються через сервіс.
Це налаштування відповідає статті 46 GDPR щодо транскордонних передач у межах сервісу.
Результат аудиту 2025 року: Жодних зауважень щодо невідповідностей у маскуванні. Попередня прогалина в Сінгапурі усунена.
Дізнайтеся, як корпоративні групи документують технічні заходи, на сторінці /security-compliance.
Висновок
Глобальна відповідність вимогам конфіденційності — це не три окремі проблеми. Це одна: узгоджені технічні заходи контролю в кожному регіоні.
Один рушій виявлення. Єдиний журнал аудиту. Різні пресети для різних законодавств. Один сервіс охоплює всі три.
Дізнайтеся, як anonym.legal підтримує глобальні команди, на сторінці /pricing.
Джерела
- GDPR, стаття 3: Територіальна сфера дії. gdpr-info.eu/art-3-gdpr/
- California Consumer Privacy Act (CCPA/CPRA). oag.ca.gov/privacy/ccpa
- Thailand Personal Data Protection Act (PDPA). pdpa.go.th
- GDPR, стаття 46: Транскордонні передачі. gdpr-info.eu/art-46-gdpr/