三个法规问题
一家位于英国的全球市场正在处理来自80个国家的卖家验证文件，面临着三个同时的监管框架：针对欧盟卖家的GDPR，针对巴西卖家的LGPD（巴西一般数据保护法），以及针对印度卖家的数字个人数据保护法（DPDP）。每个框架将不同的国家标识符指定为需要特定处理的受保护个人数据。
巴西CPF（Cadastro de Pessoas Fisicas）： 11位的个人纳税人识别号码，格式为XXX.XXX.XXX-XX。最后两位是根据特定的模运算算法得出的校验位。巴西LGPD将CPF视为自然人的唯一标识符——在敏感性上相当于SSN。一个不知道CPF格式和校验算法的工具无法检测到它。
印度Aadhaar： 由印度唯一身份识别局发放的12位生物识别身份号码。与CPF和SSN不同，Aadhaar号码是随机分配的，带有Verhoeff算法校验位。印度的DPDP法案对处理与Aadhaar相关的数据的组织施加了义务。检测需要格式识别（12个连续数字带Verhoeff校验）和上下文感知抑制（并非每个12位数字都是Aadhaar）。
美国SSN： 9位社会安全号码，具有文档化的区域号码限制（前3位）、组号码结构（中间2位）和序列号范围（最后4位）。验证算法已建立并有良好的文档记录。
这三种标识符具有不同的格式、不同的验证算法和不同的监管背景。一个同时处理来自巴西、印度和美国的文件的合规系统不能依赖于任何为一个国家格式构建的单一工具。
实践中的多监管差距
SSN检测与全球覆盖之间的差距比大多数合规团队意识到的要大。那些通过对美国数据进行测试来验证“我们的PII工具在工作”的组织，直到监管事件暴露出失败，才发现它在非美国格式上失败。
GDPR第28条要求与每个数据处理者签署书面数据处理协议。匿名化工具的DPIA必须解决该工具是否覆盖正在处理的数据中存在的所有标识符格式。一个将“SSN检测”列为包含巴西卖家及其CPF号码的数据集的主要PII控制的DPIA，包含一个文档化的合规差距——这一点可以在监管审计中识别出来。
GDPR的4%全球年收入最高罚款、LGPD的等效条款以及DPDP的新兴执行，给依赖单一国家PII检测工具的全球组织带来了复合的监管风险。
来源：