ÚOOÚ та GDPR у чеській промисловості
Úřad pro ochranu osobních údajů (ÚOOÚ) ухвалив 58 рішень про правозастосування у 2024 році. Виробничі та автомобільні компанії склали 34% від їхньої кількості. Це найвищий показник серед усіх галузей.
Škoda Auto, Toyota, Foxconn та численні постачальники комплектуючих — усі вони працюють у Чехії. Дотримання вимог GDPR там потребує інструментів, що обробляють локальні дані. Більшість використовуваних інструментів із цим не справляється.
Проблема інструментів материнської компанії
Дані ÚOOÚ демонструють чітку схему збоїв. Зарубіжні материнські компанії нав'язують своїм локальним підрозділам інструменти для роботи з персональними даними, налаштовані під іноземні стандарти.
Коли велика група розгортає свій стандартний інструмент у празькому офісі, відбувається таке:
- Інструмент налаштований для іноземних ідентифікаторів. Він не охоплює місцеві.
- Трудові договори та кадрові файли написані чеською мовою. Інструмент не навчений на чеських текстах.
- Точність NER для чеської мови на 23% нижча, ніж для еквівалентних текстів іншими мовами. (Технічні настанови ÚOOÚ, 2024)
- Rodné číslo пропускається у файлах, не позначених як чеські.
- Дані про здоров'я та кадрові дані співробітників передаються без захисту, якого вимагають регулятори.
67% місцевих компаній покладаються на інструменти, що пропускають специфічні для країни ідентифікатори. ÚOOÚ покладає відповідальність на місцевого контролера, а не на материнського постачальника.
Rodné číslo: дані особливої категорії
Rodné číslo — це номер народження. Його формат: РРММДД/ХXXX.
- Цифри 3–4 кодують місяць народження. Для жінок додається 50. Жінка, народжена у січні, матиме значення 51, а не 01.
- Косою рискою дата відокремлюється від суфікса.
- Суфікс складається з 3–4 цифр із контрольною цифрою за модулем 11.
Кодування статі робить цей номер даними особливої категорії відповідно до статті 9 GDPR. Він розкриває стать за своєю конструкцією. Застосовується підвищений рівень захисту.
Необхідно охоплювати три аспекти. По-перше, зміщення місяця для жінок — правило додавання 50. По-друге, перевірку контрольної цифри за модулем 11. По-третє, обидва формати: 9-значний (до 1954 року) та 10-значний.
Виключно пошук за шаблоном не відповідає стандартам ÚOOÚ.
Інші ключові ідентифікатори
Číslo občanského průkazu (OP): національне посвідчення особи. Дев'ять буквено-цифрових символів. Зустрічається в договорах, журналах відвідувачів та медичних записах.
IČO: восьмизначний номер компанії. Фігурує в договорах із постачальниками поруч із персональними даними законних представників.
DIČ: формат CZ + номер народження (для фізичних осіб) або CZ + IČO (для компаній). Особистий DIČ зустрічається у договорах із фрілансерами.
IBAN: формат CZ + 22 цифри. Поширений у платіжних відомостях та звітах про витрати.
Де виробництво наражається на ризик
Кадрові записи: зарплатні відомості для місцевих співробітників містять номери народження, національні посвідчення особи та банківські реквізити. Транскордонні кадрові передачі потребують Оцінок впливу на передачу.
Відстеження якості: автовиробничі системи часто пов'язують записи про дефекти з конкретними працівниками. Це є персональними даними всередині операційних технологій. На них поширюється GDPR навіть поза межами кадрових систем.
Дані дилерств: великі виробничі мережі обробляють записи про тест-драйви, форми фінансування та сервісну історію. Багато з них містять номери народження.
Дивіться наш посібник із відповідності GDPR та огляд багатомовного виявлення персональних даних, щоб дізнатися, як прогалини в ідентифікаторах проявляються в різних юрисдикціях ЄС. Для повного покриття сутностей дивіться довідник сутностей.
Основна потреба проста. Виявлення номерів народження повинно включати обробку гендерного зміщення та перевірку контрольної суми. Також необхідна підтримка NER для рідної мови при обробці тексту. Необхідно підтримувати змішані мовні конвеєри.