AEPD Španělsko: Pravidla AI a ochrany dat pro zaměstnance
Aktualizováno pro rok 2026
AEPD: Přední vymahač EU dle objemu
AEPD (Agencia Española de Protección de Datos) je španělský dozorový orgán pro ochranu soukromí. V roce 2023 vydal 847 pokut. Žádný jiný orgán EU se mu nepřiblížil. Celkové sankce v tomto roce přesáhly €12 milionů.
Agentura funguje odlišně od většiny unijních protějšků. Nezaměřuje se pouze na velké pokuty. Cílí také na malé firmy, radnice a středně velké skupiny. To rozloží tlak po celém španělském hospodářství.
Nejčastěji vymáhané oblasti v roce 2024:
- Kamerové a biometrické kontroly (29 % případů)
- Marketing a nevyžádané kontakty (24 % případů)
- Monitorování zaměstnanců a personální záznamy (18 % případů)
- Systémy AI a automatizovaná rozhodování (15 % případů — stoupá)
- Zdravotní a speciálně chráněné záznamy (14 % případů)
Pravidlo AEPD pro DPIA v oblasti AI
Regulátorův průvodce z roku 2024 Guía de adecuación al RGPD de tratamientos con IA stanoví jedno jasné pravidlo. Jakýkoli nástroj AI nakládající s osobními záznamy vyžaduje DPIA (posouzení vlivu na ochranu dat).
Článek 35 GDPR požaduje DPIA, pokud zpracování představuje vysoké riziko. Jde o kontextový test. Španělský orgán zaujímá přísnější stanovisko. Jeho průvodce uvádí, že jakýkoli nástroj strojového učení dotýkající se osobních záznamů spouští povinnost DPIA. Žádné předchozí hodnocení rizik případ od případu není potřeba.
Španělské organizace musí provádět a archivovat DPIA pro:
- Chatboty zákaznického servisu
- Nástroje pro předvýběr při náboru
- Marketingové nástroje
- Modely pro zpracování textu (včetně nástrojů pro anonymizaci)
- Jakýkoli nástroj AI zpracovávající záznamy zaměstnanců nebo zákazníků
Každý nástroj používaný ve Španělsku potřebuje vlastní dokumentaci DPIA. To platí i v případě, že se nástroj jeví jako nízce rizikový.
Standardy anonymizace AEPD
Průvodce anonymizací agentury navazuje na práci CNIL. Přidává španělská specifika pro národní identifikátory:
Španělské typy ID:
- DNI (Documento Nacional de Identidad): 8místné číslo plus kontrolní písmeno
- NIE (Número de Identificación de Extranjero): písmeno + 7 číslic + písmeno, pro cizí státní příslušníky
- NIF (Número de Identificación Fiscal): stejný formát jako DNI, používaný pro daňové účely
- Número de Seguridad Social: španělské číslo sociálního zabezpečení
Orgán upozorňuje, že modely NER často přehlíží čísla NIE. Španělsko má velkou imigrantskou populaci. Ověřte, že vaše nástroje dokáží NIE najít při zpracování souborů od nešpanělských státních příslušníků.
Španělské vzory jmen:
Španělská pojmenování používají dvě příjmení (apellidos compuestos). Modely NER trénované na sadách s jedním příjmením zde mohou selhat. Jméno „García López, Juan Carlos“ má dvě příjmení, nikoli jedno. Španělské modely NER musí tuto situaci zvládat.
Případy AEPD v oblasti monitorování zaměstnanců
Osmnáct procent případů se týká monitorování zaměstnanců. Španělsko omezuje kontrolu zaměstnavatelů dle Estatuto de los Trabajadores (zákoník práce). Regulátor tato omezení vymáhá souběžně s GDPR.
Klíčové pozice orgánu:
- Keyloggery: Skryté použití keyloggerů je ve většině případů porušením GDPR. Nástroje pro pořizování snímků obrazovky vyžadují písemný doklad a test přiměřenosti.
- GPS sledování: Povoleno na pracovních vozidlech při jasném upozornění zaměstnanců. Na osobních vozidlech není povoleno.
- Kontrola e-mailů: Povolena s předchozím písemným upozorněním a politikou. Kontrola obsahu vyžaduje dodatečné zdůvodnění.
- Nástroje AI pro sledování: Jakýkoli model sledující chování zaměstnanců vyžaduje DPIA. Platí také pravidla EDPB.
Automatizované monitorování přitahuje největší pozornost španělského dozorového orgánu.
Dokumentace AI v souladu s AEPD
Pro španělské organizace používající nástroje AI jsou vyžadovány čtyři sady dokumentů.
1. Inventář systémů AI
Sepište každý nástroj nakládající se španělskými osobními záznamy. Uveďte: název systému, dodavatele, účel, typy záznamů, dobu uchovávání a stav DPA.
2. DPIA pro každý systém
Použijte zveřejněnou šablonu DPIA agentury. Zahrňte:
- Účel, právní základ, typy záznamů a příjemce
- Test přiměřenosti
- Přezkum rizik pro dotčené osoby
- Kontrolní opatření: technická i procesní
- Poznámky DPO (kde je DPO vyžadován)
3. Záznam technických kontrol
Pro každý nástroj uveďte kontroly blokující neoprávněný přístup:
- Filtrování před odesláním (odstranění PII před spuštěním modelu)
- Kontroly přístupu k výstupům
- Limity uchovávání a jejich vymáhání
- Kroky pro detekci narušení a reakci na něj
4. Politika monitorování zaměstnanců
Pokud jakýkoli nástroj monitoruje zaměstnance, doplňte písemnou politiku. Uveďte rozsah, upozorněte zaměstnance, pojmenujte právní základ a proveďte test přiměřenosti.
Audity AEPD začínají inventářem a DPIA. Organizace s připravenými těmito dokumenty audity vyřizují výrazně rychleji. Naše průvodce souladu s GDPR pokrývá rozsah dokumentace. Náš přehled bezpečnostního souladu vysvětluje technické kontroly. Pro detekci španělských PII viz náš průvodce vícejazyčnou detekcí PII.