AEPD Espanya: IA i normes de DPA per a empleats
Actualitzat per al 2026
AEPD: l'executor de la UE en volum
L'AEPD (Agencia Espanola de Proteccion de Datos) es el vigilant de la privacitat d'Espanya. Va emetre 847 multes el 2023. Cap altre organisme de la UE s'hi ha acostat. Les sancions totals aquell any van superar els 12 milions d'euros.
L'agencia treballa de manera diferent a la majoria de companys de la UE. No se centra nomes en les multes grans. Tambe apunta a les petites empreses, els ajuntaments i els grups de mida mitjana. Aixo escampa la pressio per tota l'economia espanyola.
Principals arees aplicades el 2024:
- Comprovacions de cameres i biometriques (29% dels casos)
- Marketing i contactes no sol.licitats (24% dels casos)
- Seguiment del personal i arxius de RRHH (18% dels casos)
- Sistemes d'IA i decisions automatitzades (15% dels casos, en augment)
- Registres sanitaris i de classe especial (14% dels casos)
La norma d'EIPD d'IA de l'AEPD
La "Guia de adecuacion al RGPD de tratamientos con IA" del regulador del 2024 estableix una norma clara. Qualsevol eina d'IA que gestioni registres personals necessita una EIPD (Avaluacio d'impacte sobre la proteccio de dades).
L'article 35 del GDPR demana EIPD quan el tractament presenta un alt risc. Es una prova contextual. L'organisme espanyol adopta una visio mes estricta. La seva guia diu que qualsevol eina d'aprenentatge automatic que toqui registres personals activa la norma d'EIPD. No cal fer primer una comprovacio de risc cas per cas.
Els grups espanyols han de realitzar i presentar EIPD per a:
- Chatbots d'atencio al client
- Eines de seleccio de candidats
- Eines de marketing
- Models de tractament de text (inclos eines d'anonimitzacio)
- Qualsevol eina d'IA que gestioni registres de personal o de clients
Cada eina utilitzada a Espanya necessita el seu propi arxiu d'EIPD. Aixo s'aplica fins i tot si l'eina sembla de baix risc.
Estandards d'anonimitzacio de l'AEPD
La guia d'anonimitzacio de l'agencia s'inspira en el treball de la CNIL. Afegeix normes especifiques d'Espanya per als ID nacionals:
Tipus d'ID espanyols:
- DNI (Documento Nacional de Identidad): numero de 8 digits mes una lletra de verificacio
- NIE (Numero de Identificacion de Extranjero): Lletra + 7 digits + lletra, per als nacionals estrangers
- NIF (Numero de Identificacion Fiscal): Mateix format que el DNI, utilitzat per a impostos
- Numero de Seguridad Social: Numero de la Seguretat Social espanyola
L'organisme assenyala que els models NER sovint no detecten els numeros de NIE. Espanya te una gran poblacio immigrant. Comproveu que les vostres eines puguin trobar NIEs quan processeu arxius de nacionals no espanyols.
Patrons de noms espanyols:
La nomenclatura espanyola utilitza dos cognoms (apellidos compuestos). Els models NER entrenats en conjunts d'un sol cognom poden fallar aqui. El nom "Garcia Lopez, Juan Carlos" te dos cognoms, no un. Els models NER espanyols han de gestionar-ho.
Casos de seguiment de treballadors de l'AEPD
El divuit per cent dels casos impliquen el seguiment del personal. Espanya limita el control de l'empresari sota l'Estatuto de los Trabajadores (Estatut dels Treballadors). El regulador aplica aquests limits juntament amb el GDPR.
Principals posicions de l'autoritat:
- Keyloggers: L'us encobert de keylogger es una violacio del GDPR en la majoria dels casos. Les eines de captura de pantalla necessiten prova escrita i una comprovacio d'us just.
- Seguiment GPS: Permes en vehicles de treball amb aviso clar al personal. No permes en vehicles personals.
- Comprovacions de correu electronic: Permeses amb aviso escrit previ i una politica. La revisio de contingut necessita proves addicionals.
- Eines de seguiment d'IA: Qualsevol model que faci el seguiment del comportament del personal necessita una EIPD. Tambe s'apliquen les normes de l'EDPB.
El seguiment automatitzat es el que rep mes escrutini per part del DPA espanyol.
Documentacio d'IA compatible amb l'AEPD
Es requereixen quatre conjunts de documents per als grups espanyols que utilitzen eines d'IA.
1. Inventari del sistema d'IA
Llisteu cada eina que gestioni registres personals espanyols. Anoteu: nom del sistema, proveïdor, finalitat, tipus de registre, periode de conservacio i estat de l'APD.
2. EIPD per sistema
Utilitzeu la plantilla d'EIPD publicada per l'agencia. Cobriu:
- Finalitat, base juridica, tipus de registre i destinataris
- Una comprovacio d'us just
- Una revisio de risc per a les persones afectades
- Controls de risc: tant tecnics com de proces
- Notes del DPO (quan es requereixi un DPO)
3. Registre de controls tecnics
Per a cada eina, anoteu els controls que bloquegen l'acces no autoritzat:
- Filtratge previ a l'enviament (eliminacio de DCP abans de l'execucio del model)
- Controls d'acces sobre les sortides
- Limits de retencio i la seva aplicacio
- Passos de deteccio i resposta davant violacions
4. Politica de seguiment del personal
Si alguna eina supervisa el personal, afegiu una politica escrita. Indiqueu l'abast, informeu el personal, denomineu la base juridica i mostreu una comprovacio d'us just.
Les auditories de l'AEPD comencen amb l'inventari i les EIPD. Els grups amb aquests arxius preparats resolen les auditories molt mes rapidament. La nostra guia de compliment del GDPR cobreix l'abast del document. El nostre resum de compliment de seguretat explica els controls tecnics. Per a la deteccio de DCP en espanyol, vegeu la nostra guia de deteccio de DCP multilingue.