อัปเดตสำหรับปี 2026
ความเป็นจริงของการบังคับใช้
GDPR ว่าด้วยผลลัพธ์ ไม่ใช่ความพยายาม บริษัทสามารถใช้เครื่องมือตรวจจับ PII ด้วยความสุจริตใจ แต่ถ้าเครื่องมือนั้นพลาด ID ฝรั่งเศส เยอรมัน หรือโปแลนด์ บริษัทก็ยังคงล้มเหลวตาม Article 32 กฎต้องการ "มาตรการทางเทคนิคที่เหมาะสม" เครื่องมือที่ไม่สามารถหา ID ในบันทึกของคุณล้มเหลว ความตั้งใจดีไม่เปลี่ยนแปลงสิ่งนั้น
การแก้ตัวว่า "เราใช้เครื่องมือแล้ว" ไม่เป็นผล หน่วยงานกำกับดูแลดูเครื่องมือเฉพาะที่ใช้ เมื่อเครื่องมือภาษาอังกฤษอย่างเดียวประมวลผลบันทึกหลายภาษา Article 32 กลายเป็นคำถามสำคัญ
นี่คือรูปแบบการบังคับใช้จริง มันถูกเห็นในคดี GDPR ทั่วสหภาพยุโรป
สิ่งที่หน่วยงานกำกับดูแลค้นพบ
ข้อมูล GDPR ปี 2024 แสดงให้เห็นว่าการละเมิด Article 32 อยู่ในเหตุผลหลักของการปรับ บริษัทอ้างเครื่องมือ anonymization อัตโนมัติเป็นหลักฐานมาตรการทางเทคนิค หน่วยงานกำกับดูแลจึงตรวจสอบว่าเครื่องมือเหล่านั้นทำงานหรือไม่
สำหรับนายจ้างทั่วโลก ความเสี่ยงเป็นระบบ ลองดูแพลตฟอร์ม HR มันลบข้อมูลส่วนบุคคลก่อนการวิเคราะห์ อาจลบที่อยู่อีเมลและหมายเลขโทรศัพท์ภาษาอังกฤษ แต่ปล่อยให้ตัวเลข NIR ของฝรั่งเศส Steuer-ID ของเยอรมัน และตัวเลข PESEL ของโปแลนด์ยังอยู่ Personnummer ของสวีเดนก็อยู่ด้วย
บริษัทคิดว่าบันทึกสะอาด หน่วยงานกำกับดูแลพบว่า 40% ของ ID ในชุดข้อมูลที่ "ทำ anonymization" ยังคงอยู่ที่นั่น พวกมันคือ ID ประจำชาติที่เครื่องมือไม่เคยครอบคลุม
รูปแบบตัวระบุที่เครื่องมือภาษาอังกฤษอย่างเดียวพลาด
ID ประจำชาติของสหภาพยุโรปแตกต่างจากรูปแบบอเมริกาและทั่วไป เครื่องมือภาษาอังกฤษอย่างเดียวตรวจจับมันไม่ได้:
German Steuer-Identifikationsnummer: รูปแบบ 11 หลักพร้อม checksum เครื่องมือที่สร้างสำหรับรูปแบบ SSN ของอเมริกา (9 หลัก) ไม่จับได้
French NIR (numéro de sécurité sociale): รูปแบบ 15 หลัก เข้ารหัสเพศ ปีเกิด และจังหวัด รูปแบบ ID ทั่วไปไม่จับคู่
Swedish Personnummer: 10 หรือ 12 หลักพร้อม Luhn check digit รูปแบบเปลี่ยนสำหรับผู้ที่เกิดก่อนปี 1990 รูปแบบทั่วไปขาดสิ่งนี้
Polish PESEL: 11 หลักพร้อมวันเกิดและเพศที่เข้ารหัส หากไม่มีการตรวจสอบ checksum อัตรา false positive สูงเกินไป
เหล่านี้คือตัวระบุทั่วไป นายจ้าง ผู้ให้บริการด้านสุขภาพ หรือบริษัทการเงินของสหภาพยุโรปที่จัดการบันทึกภาษาเยอรมัน ฝรั่งเศส สวีเดน หรือโปแลนด์จะเห็นมัน มันไม่ใช่เรื่องหายาก ดู การอ้างอิงเอนทิตี ของเราสำหรับรายการประเภท ID ที่รองรับทั้งหมด
GDPR อิงจากผลลัพธ์
GDPR Article 32 เรียกร้อง "มาตรการทางเทคนิคและองค์กรที่เหมาะสม" มาตรฐานอยู่ที่ผลลัพธ์ องค์กรใช้เครื่องมือหรือไม่? นั่นไม่ใช่คำถามที่ถูกต้อง เครื่องมือปกป้องบันทึกส่วนบุคคลที่ประมวลผลหรือไม่? นั่นคือคำถามที่ถูกต้อง
สำหรับองค์กรที่มีบันทึกสหภาพยุโรปหลายภาษา "เหมาะสม" หมายถึงการตรวจจับ Steuer-ID ของเยอรมันในรันเดียวกับที่อยู่อีเมลภาษาอังกฤษ องค์กรที่จับ 95% ของเนื้อหาภาษาอังกฤษแต่ 0% ของ ID ประจำชาติเยอรมันยังไม่บรรลุมาตรฐาน ช่องว่างนี้ล้มเหลวในบันทึกภาษาเยอรมัน
ความครอบคลุมหลายภาษาไม่ใช่ทางเลือก มันเป็นส่วนหนึ่งของสิ่งที่ Article 32 กำหนด หยุด คู่มือการปฏิบัติตาม GDPR ของเราครอบคลุมกรอบสมบูรณ์
วิธีประเมินเครื่องมือของคุณ
คำถามที่ถูกต้องสำหรับเครื่องมือของคุณนั้นง่าย มันสามารถหาที่อยู่อีเมลในทุกภาษาได้หรือไม่? นั่นสำคัญน้อยกว่า มันสามารถหารูปแบบ ID ประจำชาติในบันทึกจริงของคุณได้หรือไม่? นั่นคือการทดสอบที่แท้จริง
สำหรับการดำเนินงานในสหภาพยุโรปที่ให้บริการเยอรมนี ฝรั่งเศส โปแลนด์ หรือสวีเดน นี่หมายถึงความครอบคลุมตัวจดจำเฉพาะ locale ถ้าเครื่องมือของคุณไม่สามารถแสดงอัตราการตรวจจับที่แข็งแกร่งสำหรับรูปแบบเหล่านั้น ให้ถือว่าช่องว่างนั้นเป็นความเสี่ยงด้านการปฏิบัติตามที่มีอยู่จริง หน้าความปลอดภัยและการปฏิบัติตาม ของเราอธิบายวิธีที่เราจัดการความครอบคลุมหลายภาษา
anonym.legal ตรวจจับ Steuer-ID ของเยอรมัน, NIR ของฝรั่งเศส, Personnummer ของสวีเดน, PESEL ของโปแลนด์ และ ID ประจำชาติสำหรับรัฐสมาชิกสหภาพยุโรปทั้งหมด ตัวจดจำแต่ละตัวใช้การตรวจสอบที่รู้จัก checksum เพื่อผลลัพธ์ที่แม่นยำ