IMY Suecia: Anonimitzacio del GDPR i l'estandard nordic
L'Integritетsskyddsmyndigheten (IMY) de Suecia aplica el GDPR. Tambe estableix estandards tecnics. La seva guia d'anonimitzacio del 2023 es el document d'una APD mes detallat sobre el tema a la UE. Dotze altres APD de la UE la citen com a referencia clau. L'IMY va emetre 28 decisions d'aplicacio el 2024, per un total de 8,5 milions d'euros.
El marc d'anonimitzacio de l'IMY
La guia de l'IMY estableix una norma central: l'anonimitzacio es una prova tecnica. La politica i els contractes sols no fan que els registres siguin anonims. L'IMY utilitza quatre proves per jutjar si els registres son veritablement anonims.
k-anonimitat: Cada persona ha de semblar igual que almenys k-1 altres en tots els camps clau. L'IMY estableix k>=5 per als registres de recerca.
l-diversitat: Dins de cada grup, els camps sensibles han de tenir almenys l valors distincts. Aixo bloqueja els atacs d'inferencia fins i tot quan es manté la k-anonimitat.
Privacitat diferencial: S'afegeix soroll als resultats de les consultes. La presencia de cap persona individual no pot detectar-se a partir de la sortida.
Pseudonimitzacio vs. anonimitzacio: La pseudonimitzacio intercanvia els identificadors per codis pero manté una clau de recuperacio. Segueix regulada pel GDPR. Nomes els registres que superin aquestes quatre proves son veritablement anonims.
Vegeu la nostra guia d'anonimitzacio de dades d'entrenament d'aprenentatge automatic compatible amb el GDPR per veure com s'apliquen aquestes proves al treball d'IA.
La taxa d'exercici de drets sueca
El 79% dels adults suecs utilitzen els seus drets del GDPR cada any. Aquesta es la taxa mes alta de la UE. A la majoria dels estats de la UE, les sol.licituds de drets provenen de queixes. A Suecia, son una part normal de la vida quotidiana.
Les empreses amb usuaris suecs han de gestionar moltes sol.licituds d'acces. Cadascuna ha de ser contestada en un mes. Les respostes tardanes comporten seguiment per part de l'IMY. Es necessiten registres personals actuals a tots els sistemes.
El personnummer: el repte de l'identificador suec
El personnummer suec apareix en gairebe tots els documents oficials suecs. El format es de 10 o 12 digits (AAMMDD-XXXX). La revisio de l'IMY va trobar que el 45% de les eines NLP generiques no detecten el personnummer.
Variacio de format: El numero pot apareixer amb o sense guio. Pot tenir 10 o 12 digits. Les eines construides per a un format no detecten l'altre.
Comprovacio Luhn: Sense una comprovacio Luhn, les eines marquen qualsevol cadena de 10 digits com a fals positiu. Tambe passen per alt els numeros en formats estranys.
Samordningsnummer: Aquest numero s'utilitza per als residents estrangers a Suecia. Segueix el mateix patro pero afegeix 60 als digits del dia de naixement (del 61 al 91 en lloc del 01 al 31). Les eines que nomes detecten el personnummer estandard no detecten el samordningsnummer. Aquesta llacuna importa per a les empreses amb personal o clients no suecs.
La posicio de l'IMY sobre l'entrenament d'IA
L'IMY va publicar orientacions sobre els registres personals a l'entrenament d'IA el 2024. Tres punts son importants per a les empreses amb usuaris suecs.
Primera, l'"entrenament d'IA" no es una finalitat valida del GDPR per si sola. Ha de vincular-se a un objectiu final clar i especific.
Segona, els registres pseudonimitzats utilitzats per a l'entrenament d'IA segueixen regulats pel GDPR. Nomes els registres que superin les proves de l'IMY poden utilitzar-se sense una base juridica.
Tercera, les empreses que fan fine-tuning de models d'IA sobre registres suecs han de demostrar una anonimitzacio real. O han de documentar una base juridica clara.
Vegeu la nostra guia d'anonimitzacio de dades d'entrenament de la Llei d'IA de la UE per veure com els organismes de la UE tracten l'entrenament d'IA a tot el bloc.
Que costa el compliment suec
El compliment del GDPR per a les empreses suedes promedia 85.000 euros l'any. El treball de drets d'acces i les auditories d'anonimitzacio impulsen aquest cost. Automatitzar la deteccio de DCP als estandards de l'IMY el redueix. Les verificacions manuals no poden seguir el ritme de la taxa d'exercici de drets de Suecia.
El marc de l'IMY es citat a tota la UE. Complir els seus estandards situa les empreses en una posicio solida per a una revisio mes amplia de la UE.