IMY Suécia: Anonimização RGPD e o Padrão Nórdico
A Integritetsskyddsmyndigheten (IMY) da Suécia aplica o RGPD. Também define padrões técnicos. Seu guia de anonimização de 2023 é o documento de autoridade de proteção de dados mais detalhado sobre o tema na UE. Doze outras autoridades da UE o citam como referência. A IMY emitiu 28 decisões de fiscalização em 2024, totalizando 8,5 milhões de euros.
O Quadro de Anonimização da IMY
O guia da IMY estabelece uma regra central: a anonimização é um teste técnico. Políticas e contratos por si sós não tornam os registos anónimos. A IMY usa quatro testes para avaliar se os registos são verdadeiramente anónimos.
k-anonimidade: Cada pessoa deve parecer-se com pelo menos k-1 outras em todos os campos-chave. A IMY recomenda k≥5 para dados de investigação.
l-diversidade: Dentro de cada grupo, os campos sensíveis devem conter pelo menos l valores distintos. Isso bloqueia ataques de inferência mesmo quando a k-anonimidade é cumprida.
Privacidade diferencial: Ruído é adicionado aos resultados das consultas. A presença ou ausência de uma única pessoa não pode ser detetada na saída.
Pseudonimização vs. anonimização: A pseudonimização substitui identificadores por códigos, mas mantém uma chave de recuperação. Permanece regulada pelo RGPD. Apenas os registos que superam estes quatro testes são verdadeiramente anónimos.
Consulte o nosso guia de anonimização para treino ML em conformidade com o RGPD para saber como estes testes se aplicam ao desenvolvimento de IA.
A Taxa de Exercício de Direitos na Suécia
79% dos adultos suecos exercem os seus direitos do RGPD todos os anos. É a taxa mais elevada na UE. Na maioria dos estados-membros, os pedidos de direitos resultam de reclamações. Na Suécia, fazem parte do quotidiano digital normal.
As empresas com utilizadores suecos têm de gerir muitos pedidos de acesso. Cada um deve ser respondido no prazo de um mês. Os atrasos levam a acompanhamento pela IMY. São necessários registos pessoais atualizados em todos os sistemas.
Personnummer: O Desafio do Identificador Sueco
O personnummer sueco aparece em quase todos os documentos oficiais suecos. O formato é de 10 ou 12 dígitos (AAMMDD-XXXX). A revisão da IMY constatou que 45% das ferramentas NLP genéricas falham na deteção correta do personnummer.
Variantes de formato: O número pode aparecer com ou sem hífen. Pode ter 10 ou 12 dígitos. Ferramentas criadas para um formato não detetam o outro.
Verificação de Luhn: Sem uma verificação de Luhn, as ferramentas marcam qualquer sequência de 10 dígitos como falso positivo. Também falham em formatos invulgares.
Samordningsnummer: Este número de coordenação é usado para residentes estrangeiros na Suécia. Segue o mesmo padrão do personnummer mas adiciona 60 aos dígitos do dia de nascimento (61–91 em vez de 01–31). Ferramentas que apenas detetam o personnummer padrão não detetam o samordningsnummer. Isto é uma lacuna importante para empresas com pessoal ou clientes não suecos.
A Posição da IMY sobre o Treino de IA
A IMY publicou em 2024 orientações sobre dados pessoais no treino de IA. Três pontos importam para empresas com utilizadores suecos.
Primeiro, o «treino de IA» não é por si só uma finalidade válida do RGPD. Deve estar associado a um objetivo final claro e específico.
Segundo, os registos pseudonimizados usados para treino de IA permanecem regulados pelo RGPD. Apenas os registos que superam os testes da IMY podem ser usados sem uma base jurídica específica.
Terceiro, as empresas que ajustam modelos de IA com registos suecos devem provar uma anonimização genuína. Ou devem documentar uma base jurídica clara.
Consulte o nosso guia de anonimização para a Lei de IA da UE para ver como os reguladores europeus tratam o treino de IA em todo o bloco.
O Custo da Conformidade Sueca
A conformidade RGPD empresarial na Suécia custa em média 85.000 euros por ano. A gestão de direitos de acesso e as auditorias de anonimização impulsionam este custo. Automatizar a deteção de dados pessoais segundo os padrões da IMY reduz-o. As verificações manuais não conseguem acompanhar a taxa de exercício de direitos na Suécia.
O quadro da IMY é citado em toda a UE. Cumprir os seus padrões coloca as empresas numa posição favorável para uma revisão europeia mais ampla.