IMY Suècia: Autoritat de protecció de dades
IMY (Integritetombudsmannen — Ombudsman de Privacitat Sueca) és l'autoritat de protecció de dades seca, responsable d'aplicar GDPR a Suècia.
Poblament de Suècia: 10.5 milions Exemples de sancions IMY: 4-5 per any, multes típiques de €100.000-500.000 Focals recents: Anonimització, transferencies internacionals de dades, consentiment per a publicitat dirigida
Personnummer sueca: Estructura
Personnummer (número de persona sueca) és un número de 12 dígits que identifica cada resident sueca.
Format: YYMMDDNNNNC
- YYMMDD: Data de naixement
- NNNN: Número de seqüència
- C: Dígit de verificació
Validació: La suma de verificació de Luhn és la utilitzada (similar a números de targeta de crèdit)
Interpretació de IMY sobre anonimització
IMY ha emès directrius (2023-2024) sobre anonimització sota GDPR Recital 26:
Anonimització verdadera (irreversible):
- Eliminar personnummer original
- Reemplaçar amb hash SHA-256 irreversible (sense sal, sense clau)
- Verificar post-anonimització que cap hash coincideixi amb database de personnummer vàlids
- Una vegada anonimitzat, les dades no són més GDPR-cobertes
Pseudonimització (reversible):
- Reemplaçar personnummer amb hash o codi
- Guardar taula de mapping criptografiat
- Les dades roma GDPR-cobertes
Errors comuns que IMY ha sancionat:
- Hash amb sal predictible
- Hash amb salts emmagatzemats en les mateixes dades
- Reemplaçament amb números aleatories que casualmente coincideixen amb números vàlids
Guia d'anonimització nòrdica
Pas 1: Inventari de PII
- Identificar totes les ubicacions on s'emmagatzema personnummer
- Identificar totes les ubicacions on s'emmagatzema altres PII
Pas 2: Classificar sensibilitat
- PII de alt risc → Anonimització irreversible o Pseudonimització
- PII de risc mig → Pseudonimització
- PII de baix risc → Cap anonimització necessària
Pas 3: Implementar anonimització
- Per a PII de alt risc: Hash SHA-256 sense sal
- Per a PII de risc mig: Xifrat AES-256
Pas 4: Validar anonimització
- Importar data hash de database de 250.000 personnummers vàlids
- Cercar qualsevol coincidència
- S'espera 0 coincidències
Pas 5: Documentar procediment
- Mantenir registre de: quins PII voren anonimitzats, quan, quin algoritme, resultats, qui realitzà
Fonts: