هيئة IMY السويدية: الرقم الشخصي واختبار Luhn
محدَّث لعام 2026
هيئة حماية البيانات في السويد هي IMY — Integritetsskyddsmyndigheten. اختبرت أدوات حماية البيانات الشخصية المستخدمة فعلياً، وكانت النتيجة: 45% فشلت في الكشف عن الرقم الشخصي (personnummer)، وهو معرّف وطني رئيسي في السويد. علاوة على ذلك، يمارس 79% من البالغين السويديين حقوقهم بموجب اللائحة العامة لحماية البيانات سنوياً، وهو أعلى معدل في الاتحاد الأوروبي. يُنشئ ضعف الاكتشاف ثغرة امتثال مباشرة.
صيغة الرقم الشخصي واختبار Luhn
يأتي الرقم الشخصي في صيغتين: مختصرة YYMMDD-XXXX (10 أرقام)، وكاملة YYYYMMDD-XXXX (12 رقماً). الرقم الأخير هو رقم تحقق Luhn.
اختبار Luhn: تُؤخذ الأرقام من اليمين إلى اليسار، ويتضاعف كل رقم في المكان الثاني. إذا أنتج التضاعف رقمين جُمعا معاً. تُجمع جميع القيم، ويجب أن يقبل الناتج القسمة على 10.
يظهر اختبار Luhn أيضاً في بطاقات الائتمان والرقم التعريفي الكندي (SIN). غير أن الرقم الشخصي يحمل تاريخاً في الأرقام الستة الأولى، مما يُنشئ قيوداً تختلف عن اختبارات Luhn المالية. الأدوات التي تتجاهل منطق التاريخ تُنتج إيجابيات كاذبة.
ثغرة رقم التنسيق
تمنح السويد المقيمين الأجانب رقم تنسيق يُسمى samordningsnummer قبل إصدار رقم شخصي كامل. الصيغة ذاتها، والفارق الوحيد: يُضاف 60 إلى أرقام يوم الميلاد.
- رقم شخصي لمولود في 15 يناير: أرقام اليوم = 15.
- رقم تنسيق لنفس التاريخ: أرقام اليوم = 75 (15 + 60).
تتراوح قيم اليوم الصالحة لرقم التنسيق بين 61 و91. الأدوات التي تقبل فقط 01 إلى 31 ستُفوّت كل واحد منها.
يُشكّل المولودون خارج السويد نحو 20% من إجمالي السكان. بالنسبة للشركات التي تضم موظفين أو عملاء غير سويديين، تعني هذه الثغرة أن نسبة كبيرة من السجلات لن تُكتشف.
قواعد إخفاء الهوية الصادرة عن IMY
يُعدّ دليل إخفاء الهوية الصادر عن IMY لعام 2023 الأكثر تفصيلاً من بين جميع هيئات حماية البيانات الأوروبية، وقد استشهد به 12 هيئة أخرى.
تنطبق ثلاث قواعد على مجموعات البيانات السويدية:
- k-anonymity ≥ 5. يجب أن يكون كل سجل غير قابل للتمييز عن أربعة سجلات أخرى على الأقل في جميع الحقول الرئيسية. العمر والجنس والبلدية والمهنة هي معرّفات شبه رئيسية نموذجية. يُسهّل صغر حجم سكان السويد عزل المجموعات الصغيرة.
- l-diversity لبيانات الصحة والمالية. لا يكفي k-anonymity وحده لوقف هجمات الاستدلال. يشترط l-diversity أن تحمل كل مجموعة l قيماً حساسة مميزة على الأقل.
- مطلوب إثبات رسمي. لا تقبل IMY ادعاءات الامتثال. يجب أن تُثبت الوثائق التقنية استيفاء العتبات.
معنى معدل 79% على أرض الواقع
بالنسبة لشركة تضم 50,000 مستخدم سويدي، يعني 79% نحو 39,500 طلب لممارسة الحقوق سنوياً، ويجب الرد على كل منها في غضون 30 يوماً.
لا يمكن للمعالجة اليدوية أن تُواكب هذا الحجم. تحتاج الشركات إلى بحث آلي عن البيانات الشخصية عبر جميع وسائط التخزين: قواعد البيانات الرئيسية والنسخ الاحتياطية والتحليلات ومجموعات تدريب الذكاء الاصطناعي. يجب أن تعثر الأنظمة على الأرقام الشخصية وأرقام التنسيق على حد سواء مع تطبيق اختبارات Luhn وقاعدة الإزاحة بـ60 يوماً.
تُعدّ هذه الدقة التقنية المتطلب الأساسي للرد على طلبات الحقوق السويدية على نطاق واسع. فبدونها، ستُفوّت أنظمة الجرد الآلية نسبة معتبرة من السجلات المطلوب إيجادها وإرجاعها.
راجع دليل IMY لإخفاء الهوية وفق اللائحة والدليل الشمالي للاطلاع على إطار إخفاء الهوية الكامل وسجل تطبيق IMY لعام 2024.
للمقارنة مع الدول الأوروبية الأخرى، راجع الدليل التقني الألماني لـBFDI وفق اللائحة العامة لحماية البيانات.