AEPD als EU's aktivster Vollstrecker nach Anzahl
Die spanische Agencia Española de Protección de Datos (AEPD) ist die aktivste DPA der EU nach Anzahl der Vollstreckungsmaßnahmen und gab 2023 847 Sanktionen bekannt — mehr als alle anderen EU-DPAs zusammen. Die gesamten AEPD-Strafen im Jahr 2023 überstiegen 12 Millionen Euro.
Das hohe Volumen spiegelt den Vollstreckungsansatz der AEPD wider: Im Gegensatz zu DPAs, die sich auf wegweisende Strafen gegen große Unternehmen konzentrieren, verhängt die AEPD eine erhebliche Anzahl kleinerer Strafen gegen KMUs, kommunale Regierungen und einzelne Organisationen, was einen breiten Compliance-Druck auf die spanische Wirtschaft erzeugt.
Die Schwerpunktbereiche der AEPD für die Durchsetzung im Jahr 2024:
- Videoüberwachung und biometrische Daten (29% der Fälle)
- Marketing und unaufgeforderte Kommunikation (24% der Fälle)
- Mitarbeiterüberwachung und HR-Daten (18% der Fälle)
- KI-Systeme und automatisierte Entscheidungsfindung (15% der Fälle — steigend von Jahr zu Jahr)
- Gesundheitswesen und Daten besonderer Kategorien (14% der Fälle)
Einzigartiges KI-DPIA-Anforderungsprofil der AEPD
Die "Guía de adecuación al RGPD de tratamientos con IA" (Leitfaden zur GDPR-Konformität für KI-Behandlungen) der AEPD von 2024 geht über die GDPR-Baseline hinaus in einer wesentlichen Anforderung: Die AEPD verlangt eine Datenschutz-Folgenabschätzung (DPIA) für jedes KI-System, das personenbezogene Daten verarbeitet.
Nach Artikel 35 der GDPR sind DPIAs erforderlich für die Verarbeitung, die "wahrscheinlich ein hohes Risiko" für die Rechte und Freiheiten der betroffenen Personen zur Folge hat — eine kontextuelle Bewertung. Die Anleitung der AEPD verfolgt einen kategorischeren Ansatz: Jedes KI-System, das personenbezogene Daten verarbeitet, löst die DPIA-Anforderung aus.
Das bedeutet, dass spanische Organisationen DPIAs durchführen und dokumentieren müssen für:
- Kundenservice-Chatbots
- HR-Rekrutierungstools
- Marketing-Personalisierungsalgorithmen
- Dokumentenverarbeitungs-KI (einschließlich Anonymisierungs-KI)
- Jedes KI-Tool, das Mitarbeiter- oder Kundendaten verarbeitet
Die praktische Implikation: Organisationen, die KI-Tools in Spanien verwenden, müssen für jedes Tool eine DPIA-Dokumentation haben, selbst wenn das Tool weit verbreitet und von der Organisation als geringes Risiko betrachtet wird.
Technische Anonymisierungsstandards der AEPD
Die Anonymisierungsrichtlinien der AEPD sind von CNILs "Guide pratique de l'anonymisation" beeinflusst, fügen jedoch spezifische Anforderungen für Spanien hinzu:
Spanische nationale Identifikatoren:
- DNI (Documento Nacional de Identidad): 8-stellige Zahl + Buchstaben-Prüfziffer
- NIE (Número de Identificación de Extranjero): Buchstabe + 7 Ziffern + Buchstabe, für ausländische Staatsangehörige
- NIF (Número de Identificación Fiscal): Entspricht DNI für steuerliche Zwecke
- Número de Seguridad Social: Sozialversicherungsnummer-Format
Die Richtlinien der AEPD weisen darauf hin, dass spanische NER-Modelle häufig NIE-Nummern übersehen, die in Spaniens bedeutender Einwandererbevölkerung verbreitet sind. Organisationen, die Daten von nicht-spanischen Staatsangehörigen in Spanien verarbeiten, müssen die Fähigkeit zur Erkennung von NIE überprüfen.
Spanien-spezifischer Kontext: Die Richtlinien der AEPD behandeln die spezifische Herausforderung spanischer Namen — die Tradition der Zweifach-Namensgebung (apellidos compuestos) schafft Herausforderungen bei der Namensdetektion für NER-Modelle, die hauptsächlich auf Einzel-Namenskonventionen trainiert sind. Spanischsprachige NER muss mit: "García López, Juan Carlos" umgehen — wobei sowohl "García" als auch "López" Nachnamen sind, nicht ein zusammengesetzter Nachname + Vorname.
Durchsetzung der Mitarbeiterüberwachung durch die AEPD
Die 18% der Fälle der AEPD, die Mitarbeiterüberwachung betreffen, spiegeln die aktive Durchsetzung Spaniens von Beschränkungen der Überwachungsrechte des Arbeitgebers wider. Das spanische Arbeiterstatut (Estatuto de los Trabajadores) beschränkt die Überwachungsrechte des Arbeitgebers, und die AEPD war aggressiv bei der Durchsetzung dieser Grenzen neben der GDPR.
Wichtige Entscheidungen der AEPD zur Mitarbeiterüberwachung:
- Keylogger und Screenshot-Überwachung: Die AEPD betrachtet die heimliche Installation von Keyloggern in den meisten Kontexten als GDPR-Verstoß; transparente Screenshot-Überwachung erfordert dokumentierte Rechtfertigung und Verhältnismäßigkeitsbewertung.
- GPS-Tracking: Erlaubt für Arbeitsfahrzeuge mit transparenter Benachrichtigung; verboten für persönliche Fahrzeuge.
- E-Mail-Überwachung: Erlaubt mit vorheriger Benachrichtigung und dokumentierter Richtlinie; Inhaltsanalysen erfordern zusätzliche Rechtfertigung.
- KI-Leistungsüberwachung: KI-Systeme, die die Leistung von Mitarbeitern durch Verhaltensanalysen bewerten, erfordern die Einhaltung einer expliziten DPIA und der EDPB-Richtlinien.
Organisationen, die KI-Tools einsetzen, die das Verhalten oder die Analyse von Mitarbeitern überwachen (einschließlich Produktivitätsanalysen, Kommunikationsüberwachung und Anwesenheitsverfolgung), stehen spezifischer AEPD-Prüfung gegenüber.
Erstellung von AEPD-konformen KI-Dokumentationen
Für spanische Organisationen, die KI-Tools implementieren, umfasst der AEPD-konforme Dokumentationsstapel:
1. KI-Systeminventar: Dokumentieren Sie alle KI-Systeme, die spanische personenbezogene Daten verarbeiten: Systemname, Anbieter, Zweck, verarbeitete Datenkategorien, Aufbewahrungsfrist, DPA-Status.
2. DPIA für jedes KI-System: Folgen Sie der vereinfachten DPIA-Vorlage der AEPD (verfügbar auf der Website der AEPD):
- Beschreibung der Verarbeitung: Zweck, rechtliche Grundlage, Datenkategorien, Empfänger
- Notwendigkeits- und Verhältnismäßigkeitsbewertung
- Risikobewertung: Risiken für die betroffenen Personen
- Risikominderungsmaßnahmen: technische und organisatorische Kontrollen
- Protokoll der DSB-Konsultation (wenn DSB erforderlich)
3. Dokumentation technischer Kontrollen: Für jedes KI-System dokumentieren Sie die technischen Maßnahmen, die unbefugten Zugriff auf personenbezogene Daten verhindern:
- Vorabfilterung (PII-Erkennung + Entfernung vor der KI-Verarbeitung)
- Zugangskontrollen auf verarbeiteten Daten
- Durchsetzung der Aufbewahrung
- Erkennung und Reaktion auf Verstöße
4. Richtlinie zur Mitarbeiterüberwachung: Wenn ein KI-System Mitarbeiter überwacht: schriftliche Richtlinie, die den Überwachungsumfang, die Benachrichtigung der Mitarbeiter, die rechtliche Grundlage und die Verhältnismäßigkeitsbewertung dokumentiert.
AEPD-Inspektionen fordern typischerweise zuerst das KI-Systeminventar und die DPIAs an. Organisationen mit bereits vorhandener Dokumentation lösen Inspektionen deutlich schneller als solche, die Bewertungen reaktiv durchführen.
Quellen: