Tuân Thủ PII Toàn Cầu: Ba Luật, Ba Định Dạng Định Danh
Một thị trường Anh xử lý tài liệu người bán từ 80 quốc gia. Ba luật áp dụng cùng lúc: GDPR cho người bán EU, LGPD cho người bán Brazil và Đạo luật DPDP của Ấn Độ cho người bán Ấn Độ. Mỗi luật đặt tên các định danh quốc gia khác nhau là được bảo vệ. Mỗi định dạng có logic kiểm tra riêng.
CPF Brazil: Định Dạng và Trạng Thái LGPD
CPF (Cadastro de Pessoas Físicas) là số người đóng thuế của Brazil. Nó có 11 chữ số theo định dạng XXX.XXX.XXX-XX. Hai chữ số cuối là chữ số kiểm tra. Một thuật toán toán học trên chín chữ số đầu tạo ra chúng.
LGPD của Brazil coi CPF là định danh cá nhân được bảo vệ, tương tự về độ nhạy cảm như SSN của Mỹ. Công cụ không biết định dạng CPF sẽ không tìm thấy nó. Công cụ bỏ qua checksum sẽ gắn cờ các kết quả dương tính giả.
Aadhaar Ấn Độ: Định Dạng và Quy Tắc DPDP
Aadhaar là số 12 chữ số do UIDAI của Ấn Độ cấp. Các số được gán ngẫu nhiên. Chữ số cuối là chữ số kiểm tra Verhoeff.
Đạo luật DPDP của Ấn Độ tạo ra nghĩa vụ cho bất kỳ nhóm nào xử lý dữ liệu liên kết Aadhaar. Phát hiện cần hai bước. Đầu tiên, khớp định dạng 12 chữ số và kiểm tra chữ số Verhoeff. Thứ hai, lọc theo ngữ cảnh. Không phải mọi chuỗi 12 chữ số đều là Aadhaar.
SSN Mỹ: Một Cấu Trúc Đã Biết
SSN có chín chữ số. Ba chữ số đầu là số vùng. Hai chữ số tiếp theo là số nhóm. Bốn chữ số cuối là số sê-ri. Mỗi phân đoạn có quy tắc riêng. Xác thực được ghi chép rõ ràng.
Khoảng Trống Giữa Công Cụ Một Quốc Gia và Quy Tắc Toàn Cầu
Ba định danh này không có chung định dạng và không có quy tắc kiểm tra chung. Công cụ được xây dựng cho mục đích sử dụng Mỹ sẽ bắt SSN. Nó có thể bỏ sót CPF và Aadhaar hoàn toàn.
Hầu hết các nhóm phát hiện ra khoảng trống này khi cơ quan quản lý hỏi — không phải trước đó. Khoảng trống tạo ra rủi ro thực sự theo từng luật:
- Điều 28 GDPR yêu cầu Thỏa thuận Xử lý Dữ liệu bằng văn bản với mỗi bộ xử lý. DPIA liệt kê "phát hiện SSN" là kiểm soát chính — khi bộ dữ liệu cũng chứa số CPF — có khoảng trống được ghi lại. Kiểm toán viên có thể tìm thấy nó.
- LGPD phạt có thể lên tới 2% doanh thu Brazil, tối đa R$50M mỗi vi phạm. CPF không được phát hiện là vi phạm LGPD trực tiếp.
- DPDP thực thi vẫn còn mới. Các nhóm ghi lại phạm vi phủ sóng của họ bây giờ sẽ ở vị thế tốt hơn khi các phán quyết sớm đặt ra tiêu chuẩn.
Ba chế độ phạt cùng lúc tạo ra rủi ro nhiều lớp. Các công cụ một quốc gia khiến các nhóm toàn cầu bị lộ.
Yêu Cầu Phủ Sóng Đầy Đủ
Một công cụ cần định dạng của mỗi định danh, thuật toán kiểm tra và bối cảnh pháp lý. CPF cần kiểm tra modular. Aadhaar cần kiểm tra Verhoeff cộng với lọc ngữ cảnh. SSN cần quy tắc vùng và nhóm. Đây là ba vấn đề riêng biệt. Không có mẫu tìm kiếm duy nhất nào bao gồm tất cả.
Xem thêm: khoảng trống định danh PII toàn cầu: SSN, CPF, Aadhaar, hướng dẫn thực thi LGPD ANPD Brazil và tuân thủ kỹ thuật luật bảo mật DPDPA Ấn Độ.