IMY Suécia: Personnummer e Verificações Luhn
Atualizado para 2026
A autoridade sueca de proteção de dados é a IMY — Integritetsskyddsmyndigheten. Ela testou ferramentas de deteção de DCP em uso real. O resultado: 45 % falharam na deteção do personnummer. Esse é o principal identificador nacional da Suécia. Além disso, 79 % dos adultos suecos exercem os seus direitos RGPD todos os anos. É a taxa mais alta da UE. Uma deteção fraca cria uma lacuna de conformidade direta.
Formato do Personnummer e Verificação Luhn
O personnummer tem duas formas. Forma curta: AAMMDD-XXXX (10 dígitos). Forma longa: AAAAMMDD-XXXX (12 dígitos). O último dígito é um dígito de verificação Luhn.
A verificação Luhn: Tome os dígitos da direita para a esquerda. Duplique um em cada dois. Se o dobro tiver dois dígitos, some-os. Some todos os valores. O resultado deve ser divisível por 10.
O algoritmo Luhn também é usado em cartões de crédito e no SIN canadiano. Mas o personnummer contém uma data nos primeiros seis dígitos. Isso cria restrições diferentes das verificações Luhn financeiras. Ferramentas que ignoram a lógica de data geram falsos positivos.
A Lacuna do Samordningsnummer
A Suécia emite um número de coordenação — samordningsnummer — a residentes estrangeiros antes de lhes ser atribuído um personnummer completo. O formato é o mesmo. A diferença: é adicionado 60 aos dígitos do dia de nascimento.
- Personnummer, nascido a 15 de janeiro: dígitos do dia = 15.
- Samordningsnummer, mesma data: dígitos do dia = 75 (15 + 60).
Os valores válidos do dia para um samordningsnummer vão de 61 a 91. Ferramentas que apenas aceitam 01 a 31 vão falhar em todos eles.
Os residentes nascidos no estrangeiro representam cerca de 20 % da população sueca. Para empresas com pessoal ou clientes não suecos, esta lacuna significa que uma grande parte dos registos fica por detetar.
Os Requisitos de Anonimização da IMY
O guia de anonimização de 2023 da IMY é o mais detalhado de qualquer autoridade de proteção de dados da UE. Outras doze APD citam-no como referência.
Três regras aplicam-se a conjuntos de dados suecos:
- k-anonimato ≥ 5. Cada registo deve ser indistinguível de pelo menos outros quatro em todos os campos-chave. Idade, sexo, município e profissão são quase-identificadores típicos. A pequena população da Suécia facilita o isolamento de grupos pequenos.
- l-diversidade para dados de saúde e financeiros. O k-anonimato sozinho não bloqueia ataques de inferência. A l-diversidade exige que cada grupo tenha pelo menos l valores sensíveis distintos.
- Prova formal obrigatória. A IMY não aceita conformidade declarada. A documentação técnica deve demonstrar que os limiares são cumpridos.
A Taxa de 79 %: Impacto Prático
Para uma organização com 50 000 utilizadores suecos, 79 % representa cerca de 39 500 pedidos de direitos por ano. Cada um deve ser respondido em 30 dias.
O processamento manual não consegue escalar para esse volume. As empresas precisam de pesquisa automatizada de DCP em todos os armazenamentos: bases de dados principais, cópias de segurança, plataformas de análise e conjuntos de treino de IA. Os sistemas devem encontrar o personnummer e o samordningsnummer. Ambos requerem verificações Luhn e a regra de deslocamento de 60 dias.
Essa precisão técnica é o requisito base para responder a pedidos suecos em escala. Sem ela, os sistemas automatizados falharão em encontrar uma parte significativa dos registos que devem localizar e devolver.
Consulte o nosso guia de anonimização RGPD da IMY e dos países nórdicos para o enquadramento completo e o historial de aplicação 2024 da IMY.
Para comparação com outros estados-membros da UE, veja o nosso guia técnico RGPD do BFDI Alemanha.