AEPD España: IA y normas de protección de datos laborales
Actualizado para 2026
AEPD: la autoridad de control más activa de la UE
La AEPD (Agencia Española de Protección de Datos) es el organismo de vigilancia de privacidad de España. Emitió 847 resoluciones sancionadoras en 2023. Ninguna otra autoridad de la UE se acercó a esa cifra. El total de sanciones ese año superó los 12 millones de euros.
El enfoque de la agencia difiere del de la mayoría de sus homólogas europeas. No se centra únicamente en grandes multas a grandes empresas. También actúa contra pymes, ayuntamientos y organizaciones medianas. Esto genera una presión amplia en toda la economía española.
Áreas de actuación prioritaria en 2024:
- Cámaras y controles biométricos (29 % de los casos)
- Marketing y comunicaciones no solicitadas (24 % de los casos)
- Vigilancia de empleados y expedientes de RRHH (18 % de los casos)
- Sistemas de IA y decisiones automatizadas (15 % de los casos — en aumento)
- Datos de salud y categorías especiales (14 % de los casos)
La obligación de EIPD para sistemas de IA según la AEPD
La Guía de adecuación al RGPD de tratamientos con IA del regulador (2024) establece una regla clara. Toda herramienta de IA que gestione expedientes personales requiere una Evaluación de Impacto en la Protección de Datos (EIPD).
El artículo 35 del RGPD exige EIPDs cuando el tratamiento sea «susceptible de generar un riesgo elevado». Es un test contextual. La autoridad española adopta una posición más estricta. Su guía establece que cualquier herramienta ML que toque expedientes personales activa la obligación de EIPD. No se requiere un análisis previo caso por caso.
Las organizaciones españolas deben realizar y documentar EIPDs para:
- Chatbots de atención al cliente
- Herramientas de cribado de candidatos
- Herramientas de marketing
- Modelos de procesamiento de texto (incluidas las herramientas de anonimización)
- Cualquier herramienta de IA que gestione expedientes de empleados o clientes
Cada herramienta utilizada en España necesita su propio expediente de EIPD. Esto aplica incluso si la herramienta parece de bajo riesgo.
Estándares de anonimización de la AEPD
La guía de anonimización de la agencia se basa en el trabajo de la CNIL. Añade requisitos específicos para España en cuanto a identificadores nacionales:
Tipos de documentos de identidad españoles:
- DNI (Documento Nacional de Identidad): número de 8 dígitos más letra de control
- NIE (Número de Identificación de Extranjero): letra + 7 dígitos + letra, para extranjeros
- NIF (Número de Identificación Fiscal): mismo formato que el DNI, usado a efectos fiscales
- Número de Seguridad Social: número de la Seguridad Social española
La autoridad señala que los modelos NER a menudo no detectan los números NIE. España cuenta con una importante población inmigrante. Compruebe que sus herramientas detectan los NIE cuando trate expedientes de personas no españolas.
Patrones de nombres españoles:
La tradición española usa dos apellidos (apellidos compuestos). Los modelos NER entrenados con datos de apellido único pueden fallar aquí. El nombre «García López, Juan Carlos» tiene dos apellidos, no uno solo. Los modelos NER en español deben gestionar esta estructura.
Casos de vigilancia de empleados resueltos por la AEPD
El 18 % de los casos afectan a la vigilancia de empleados. España limita el control del empleador mediante el Estatuto de los Trabajadores. El regulador aplica estos límites junto con el RGPD.
Posiciones clave de la autoridad:
- Keyloggers: La instalación encubierta de keyloggers supone una infracción del RGPD en la mayoría de los casos. Las herramientas de captura de pantalla requieren una justificación escrita y una prueba de proporcionalidad.
- Seguimiento GPS: Permitido en vehículos de empresa con comunicación previa a los empleados. Prohibido en vehículos particulares.
- Control del correo electrónico: Permitido con aviso previo escrito y política documentada. El análisis del contenido requiere justificación adicional.
- Herramientas de seguimiento por IA: Todo modelo que analice el comportamiento de los empleados requiere EIPD. Las reglas del EDPB también se aplican.
La vigilancia automatizada recibe el mayor escrutinio por parte de la DPA española.
Documentación conforme a la AEPD para sistemas de IA
Para las organizaciones españolas que usan herramientas de IA, son necesarios cuatro conjuntos de documentos.
1. Inventario de sistemas de IA
Liste cada herramienta que gestione expedientes personales españoles. Indique: nombre del sistema, proveedor, finalidad, tipos de expediente, plazo de conservación y estado del DPA.
2. EIPD por sistema
Use la plantilla de EIPD publicada por el regulador. Incluya:
- Finalidad, base jurídica, tipos de expediente y destinatarios
- Verificación de proporcionalidad
- Evaluación de riesgos para los interesados
- Medidas de control: técnicas y de proceso
- Registro de consulta al DPO (si se requiere DPO)
3. Registro de medidas técnicas
Para cada herramienta, documente los controles que impiden el acceso no autorizado:
- Filtrado previo (eliminación de datos personales antes de que el modelo procese)
- Controles de acceso a los resultados procesados
- Cumplimiento de los plazos de conservación
- Procedimientos de detección y respuesta a incidentes
4. Política de vigilancia de empleados
Si alguna herramienta monitoriza a empleados, añada una política escrita. Debe especificar el alcance, informar a los trabajadores, nombrar la base jurídica y demostrar la proporcionalidad.
Las auditorías de la AEPD comienzan con el inventario y las EIPDs. Las organizaciones con estos documentos preparados resuelven las inspecciones mucho más rápido. Nuestra guía de cumplimiento del RGPD cubre el alcance documental. Nuestra guía de cumplimiento de seguridad explica los controles técnicos. Para la detección de datos personales en español, consulte nuestra guía de detección multilingüe de DCP.