IMY Schweden: DSGVO-Anonymisierung und der nordische Standard
Schwedens Integritetsskyddsmyndigheten (IMY) setzt DSGVO-Regeln durch. Sie setzt auch technische Standards. Ihr 2023 erschienener Anonymisierungsleitfaden ist das detaillierteste DPA-Dokument zu diesem Thema in der EU. Zwölf andere EU-Datenschutzbehörden zitieren ihn als Referenz. IMY erließ 2024 insgesamt 28 Durchsetzungsentscheidungen mit einem Gesamtvolumen von 8,5 Millionen Euro.
IMYs Anonymisierungsrahmen
IMYs Leitfaden stellt eine Kernregel auf: Anonymisierung ist eine technische Prüfung. Richtlinien und Verträge allein machen Daten nicht anonym. IMY verwendet vier Tests, um zu beurteilen, ob Datensätze wirklich anonym sind.
k-Anonymität: Jede Person muss auf allen Schlüsselfeldern wie mindestens k-1 andere aussehen. IMY empfiehlt k≥5 für Forschungsdaten.
l-Diversität: Innerhalb jeder Gruppe müssen sensible Felder mindestens l verschiedene Werte haben. Das verhindert Inferenzangriffe, selbst wenn k-Anonymität erfüllt ist.
Differenzielle Privatsphäre: Den Abfrageergebnissen wird Rauschen hinzugefügt. Das Vorhandensein oder Fehlen einer einzelnen Person ist aus der Ausgabe nicht erkennbar.
Pseudonymisierung vs. Anonymisierung: Pseudonymisierung ersetzt Identifikatoren durch Codes, behält aber einen Wiederherstellungsschlüssel. Sie bleibt DSGVO-reguliert. Nur Datensätze, die diese vier Tests bestehen, sind wirklich anonym.
Unser DSGVO-konformer ML-Training-Anonymisierungsleitfaden zeigt, wie diese Tests auf KI-Entwicklungsarbeit angewendet werden.
Die schwedische Rechtsausübungsrate
79 % der schwedischen Erwachsenen nutzen ihre DSGVO-Rechte jedes Jahr. Das ist die höchste Rate in der EU. In den meisten EU-Staaten entstehen Rechtsanfragen aus Beschwerden. In Schweden gehören sie zum normalen Alltag.
Firmen mit schwedischen Nutzern müssen viele Zugriffsanfragen bearbeiten. Jede muss innerhalb eines Monats beantwortet werden. Verspätete Antworten führen zu IMY-Nachfragen. Aktuelle personenbezogene Daten in allen Systemen sind dabei Pflicht.
Personnummer: Die schwedische Identifikatorherausforderung
Das schwedische Personnummer findet sich in fast jedem offiziellen schwedischen Dokument. Das Format ist 10 oder 12 Ziffern (JJMMTT-XXXX). IMYs Prüfung ergab, dass 45 % der allgemeinen NLP-Tools Personnummer nicht korrekt erkennen.
Formatvarianten: Die Nummer kann mit oder ohne Bindestrich erscheinen. Sie kann 10 oder 12 Ziffern lang sein. Tools, die nur ein Format kennen, verpassen das andere.
Luhn-Prüfung: Ohne Luhn-Prüfung markieren Tools jede 10-stellige Zeichenfolge als falsch positiv. Sie erkennen auch Nummern in ungewöhnlichen Formaten nicht.
Samordningsnummer: Diese Koordinationsnummer wird für ausländische Einwohner in Schweden verwendet. Sie folgt demselben Muster, addiert aber 60 zu den Geburtstagsziffern (61–91 statt 01–31). Tools, die nur das Standard-Personnummer erkennen, verpassen das Samordningsnummer. Diese Lücke ist für Firmen mit nicht-schwedischen Mitarbeitern oder Kunden relevant.
IMYs Position zum KI-Training
IMY veröffentlichte 2024 Leitlinien zu personenbezogenen Daten im KI-Training. Drei Punkte sind für Firmen mit schwedischen Nutzern wichtig.
Erstens ist „KI-Training" für sich genommen kein gültiger DSGVO-Zweck. Es muss mit einem klaren und spezifischen Endziel verknüpft sein.
Zweitens bleiben pseudonymisierte Daten im KI-Training DSGVO-reguliert. Nur Datensätze, die IMYs Tests bestehen, können ohne Rechtsgrundlage verwendet werden.
Drittens müssen Firmen, die KI-Modelle mit schwedischen Daten feinabstimmen, echte Anonymisierung nachweisen. Oder sie müssen eine klare Rechtsgrundlage dokumentieren.
Unser EU-KI-Gesetz-Anonymisierungsleitfaden zeigt, wie EU-Behörden KI-Training im gesamten Block behandeln.
Was schwedische Compliance kostet
Schwedische Unternehmens-DSGVO-Compliance kostet durchschnittlich 85.000 Euro pro Jahr. Zugriffsrechtsverwaltung und Anonymisierungsprüfungen treiben diese Kosten. Die Automatisierung der PII-Erkennung nach IMY-Standards senkt sie. Manuelle Prüfungen können mit Schwedens Rechtsausübungsrate nicht Schritt halten.
IMYs Rahmen wird EU-weit zitiert. Wer seine Standards erfüllt, ist für eine breitere EU-Prüfung gut aufgestellt.