Техническая оценка развёрнутых инструментов PII Шведским агентством по надзору в сфере конфиденциальности (Integritetsskyddsmyndigheten, IMY) выявила 45%-й уровень сбоев при обнаружении personnummer — основного национального идентификатора Швеции. Учитывая, что 79% шведских субъектов данных ежегодно реализуют права по GDPR (наивысший показатель в ЕС), точность автоматизированного обнаружения персональных данных напрямую влияет на операционную способность соответствия.
Personnummer: валидация по Луну и пробел samordningsnummer
Формат шведского personnummer (персонального идентификационного номера): YYMMDD-XXXX (10 знаков) или YYYYMMDD-XXXX (12 знаков). Последняя цифра проверяется с помощью алгоритма Луна.
Алгоритм Луна: Удвоить каждую вторую цифру справа налево. Если удвоение даёт двузначное число, суммировать цифры. Суммировать все цифры. Результат должен делиться на 10.
Алгоритм Луна используется также для номеров кредитных карт и SIN (канадского номера социального страхования). Однако компонент даты personnummer (YYMMDD) создаёт специфические ограничения валидации, отличающиеся от проверки по Луну для финансовых счетов.
Проблема samordningsnummer: Шведский координационный номер для иностранных резидентов, которым нужна идентификация до получения personnummer, использует тот же формат — но добавляет 60 к цифрам дня рождения:
- Personnummer, рождённый 15 января: YYMMDD = YY0115
- Samordningsnummer для той же даты рождения: YYMMDD = YY0175 (15 + 60 = 75)
Это означает, что samordningsnummer использует значения дня рождения 61–91 (вместо 01–31 для personnummer). Реализации, проверяющие personnummer путём сравнения дня рождения с диапазоном 01–31, отклоняют действительные samordningsnummer — и не распознают координационные номера иностранных резидентов в шведских трудовых документах.
Иностранное население Швеции составляет около 20% от общего. Для работодателей, медицинских организаций и финансовых учреждений, обрабатывающих данные иностранных резидентов, пробел в samordningsnummer означает, что значительная часть основных идентификаторов их населения остаётся необнаруженной.
Практические требования IMY к анонимизации
Руководство IMY по анонимизации (2023) — наиболее детальное техническое руководство по анонимизации среди органов по защите данных ЕС, на которое ссылаются 12 других органов, — устанавливает следующие требования для организаций, обрабатывающих шведские персональные данные:
k-анонимность ≥ 5: Наборы данных, выпускаемые для исследований, аналитики или вторичного использования, должны достигать не менее k=5 (каждый человек неотличим от 4 других по всем квазиидентифицирующим атрибутам). Квазиидентификаторы в шведских наборах данных обычно включают возраст, пол, муниципалитет и профессию — комбинации этих атрибутов быстро сужаются до малых групп с учётом относительно небольшого населения Швеции.
l-разнообразие для медицинских данных: Для наборов данных, содержащих медицинскую или финансовую информацию, помимо k-анонимности должно быть продемонстрировано l-разнообразие — для предотвращения атак вывода, которые k-анонимность сама по себе не блокирует.
Формальная верификация: В отличие от многих руководств органов по защите данных ЕС, IMY прямо указывает, что заявления об анонимизации должны быть верифицируемы — организация должна быть в состоянии продемонстрировать с помощью технической документации, что пороговые значения k-анонимности и l-разнообразия соблюдены, а не просто декларировать соответствие.
79%-й показатель реализации прав: операционные последствия
Чрезвычайно высокий показатель реализации прав по GDPR в Швеции (79% ежегодно — опрос IMY 2024) создаёт операционные требования, которые организации, обрабатывающие шведские персональные данные, должны предвидеть:
Право доступа: Шведские субъекты данных регулярно запрашивают полные копии всех персональных данных, хранящихся о них. Для компании с 50 000 шведских клиентов это означает примерно 39 500 запросов на доступ в год — каждый требует ответа в течение 30 дней.
Право на удаление: Шведские субъекты данных часто реализуют право на удаление после закрытия аккаунта или прекращения сервиса. Организации должны быть способны выполнять полное удаление во всех системах — не только в основной базе данных, но и в резервных копиях, аналитических платформах и наборах данных для обучения ИИ.
Автоматизированная инфраструктура обработки запросов: При 79%-м уровне реализации прав ручная обработка запросов операционно неосуществима. Организациям с шведской пользовательской базой нужны автоматизированные системы инвентаризации и извлечения персональных данных, способные отвечать на запросы о правах в масштабе.
Обнаружение персональных данных, корректно распознающее personnummer (с валидацией по Луну), samordningsnummer (с учётом смещения на 60 дней) и шведский NER, обеспечивает автоматизированную инвентаризацию персональных данных, которой операционно требует культура реализации прав в Швеции.
Источники: