执行现实
欧洲数据保护委员会和国家监管机构根据结果而非努力评估GDPR合规性。一个善意使用PII检测工具的组织，如果其工具系统性地错过了法语、德语和波兰国家标识符，仍然未能根据GDPR第32条实施“适当的技术措施”。
“我们使用了一个工具”的辩护在工具显然无法检测到组织数据中存在的个人数据类型时，并不能满足标准。
这不是一个假设风险。监管机构在调查数据泄露和数据主体访问请求失败时，通常会检查用于数据匿名化的技术措施。当检查发现一个工具以英语为中心并处理多语言数据时，“适当措施”的要求便成为中心执行问题。
监管机构发现了什么
2024年的GDPR执行数据表明，第32条（技术和组织措施）违规是罚款最常见的理由之一。组织在其技术措施文档中引用自动化匿名化工具——而监管机构则检查这些工具是否真正适用于所处理的数据类型。
对于在欧盟成员国之间处理员工记录的跨国雇主来说，风险是系统性的。一个在分析处理之前对员工数据进行匿名化的HR软件平台可能会正确移除英语PII，同时保留法语社会保障号码（NIR）、德语税务标识符（Steuer-ID）、瑞典个人号码和波兰PESEL号码。
该组织认为它已经实施了技术措施。监管机构发现，在“匿名化”数据集中，40%的个人数据仍然可以通过工具的识别器未覆盖的国家标识符识别。
英语工具错过的特定标识符格式
欧盟国家标识符与美国/通用格式之间的结构差异意味着以英语为中心的工具无法可靠地检测它们：
德国税务识别号码（Steuer-Identifikationsnummer）： 11位格式，带有校验和算法。未被仅识别美国社会安全号码（9位）格式的工具检测到。
法语NIR（社会保障号码）： 15位格式编码性别、出生年份、部门和控制键。未被通用电话号码或身份证号码模式检测到。
瑞典个人号码（Personnummer）： 10或12位格式，带有Luhn校验位。对于1990年之前出生的个人，格式有所变化，需要通用模式所没有的格式意识。
波兰PESEL： 11位格式编码出生日期和性别。没有校验和验证，PESEL检测的假阳性率过高。
处理这些数据的组织并不罕见：任何处理来自德国、法国、瑞典或波兰个人数据的欧盟雇主、金融服务公司、医疗服务提供者或政府机构都会经常遇到这些标识符。
合规标准是基于结果的
GDPR对“适当的技术和组织措施”（第32条）的要求是基于结果的，而非努力的。标准不是“组织使用了一个PII检测工具。”标准是“所使用的工具为处理的个人数据提供了适当的保护。”
对于处理多语言欧盟数据的组织，“适当”意味着德国客户的税务ID在移除英语电子邮件地址和美国电话号码的同一操作中被检测和移除。一个在英语数据中实现95% PII移除，而在德国语国家标识符中实现0% PII移除的组织，并未为其德国语数据实施适当的技术措施。
对于有欧盟多语言数据风险的组织来说，投资多语言能力并非可选。这是GDPR要求的技术措施的组成部分。
对于评估其当前工具是否符合标准的跨国组织：测试不是“工具能否检测任何语言的电子邮件地址？”而是“工具能否检测我们实际数据中存在的国家标识符格式？”对于有来自德国、法国、波兰、瑞典或任何其他欧盟成员国的员工、客户或患者的欧盟业务，该测试需要特定于司法管辖区的识别器覆盖。
来源：