AEPD como el Enforcer Más Prolífico de la UE por Volumen
La Agencia Española de Protección de Datos (AEPD) es la DPA más activa de la UE en número de acciones de cumplimiento, emitiendo 847 resoluciones sancionadoras en 2023 — más que todas las demás DPAs de la UE combinadas por volumen. Las multas totales de la AEPD en 2023 superaron los 12 millones de euros en estas resoluciones.
El alto volumen refleja el enfoque de cumplimiento de la AEPD: a diferencia de las DPAs que se centran en multas históricas contra grandes corporaciones, la AEPD emite un número significativo de multas más pequeñas contra pymes, gobiernos municipales y organizaciones individuales, creando una amplia presión de cumplimiento en toda la economía española.
Áreas de enfoque de cumplimiento de la AEPD en 2024:
- Vigilancia por video y datos biométricos (29% de los casos)
- Marketing y comunicaciones no solicitadas (24% de los casos)
- Monitoreo de empleados y datos de recursos humanos (18% de los casos)
- Sistemas de IA y toma de decisiones automatizada (15% de los casos — aumentando año tras año)
- Atención médica y datos de categoría especial (14% de los casos)
Requisito Único de DPIA de IA de la AEPD
La "Guía de adecuación al RGPD de tratamientos con IA" de la AEPD para 2024 va más allá de la línea base del RGPD en un requisito significativo: la AEPD requiere una Evaluación de Impacto en la Protección de Datos (DPIA) para cualquier sistema de IA que procese datos personales.
Bajo el Artículo 35 del RGPD, se requieren DPIAs para el procesamiento "que probablemente resulte en un alto riesgo" para los derechos y libertades de los interesados — una evaluación contextual. La orientación de la AEPD adopta un enfoque más categórico: cualquier sistema de IA que procese datos personales activa el requisito de DPIA.
Esto significa que las organizaciones españolas deben realizar y documentar DPIAs para:
- Chatbots de servicio al cliente
- Herramientas de selección de reclutamiento de recursos humanos
- Algoritmos de personalización de marketing
- IA de procesamiento de documentos (incluida la IA de anonimización)
- Cualquier herramienta de IA que procese datos de empleados o clientes
La implicación práctica: las organizaciones que utilizan herramientas de IA en España deben tener documentación de DPIA para cada herramienta, incluso si la herramienta es de uso generalizado y considerada de bajo riesgo por la organización.
Normas Técnicas de Anonimización de la AEPD
La orientación de anonimización de la AEPD está influenciada por la "Guía práctica de la anonimización" de la CNIL, pero añade requisitos específicos de España:
Identificadores nacionales españoles:
- DNI (Documento Nacional de Identidad): número de 8 dígitos + letra de verificación
- NIE (Número de Identificación de Extranjero): letra + 7 dígitos + letra, para nacionales extranjeros
- NIF (Número de Identificación Fiscal): equivalente al DNI para fines fiscales
- Número de Seguridad Social: formato de número de Seguridad Social
La orientación de la AEPD señala que los modelos NER españoles a menudo no detectan números de NIE, que son comunes en la significativa población inmigrante de España. Las organizaciones que procesan datos de nacionales no españoles en España deben verificar la capacidad de detección de NIE.
Contexto específico de España: La orientación de la AEPD aborda el desafío específico de los nombres españoles — la tradición de los nombres compuestos (apellidos compuestos) crea desafíos de detección de nombres para los modelos NER entrenados principalmente en convenciones de nombres de un solo apellido. El NER en español debe manejar: "García López, Juan Carlos" — donde tanto "García" como "López" son apellidos, no un apellido compuesto + nombre.
Cumplimiento del Monitoreo de Empleados de la AEPD
El 18% de los casos de la AEPD que involucran el monitoreo de empleados refleja la activa aplicación de las restricciones sobre la vigilancia por parte del empleador en España. El Estatuto de los Trabajadores limita los derechos de monitoreo del empleador, y la AEPD ha sido agresiva en hacer cumplir estos límites junto con el RGPD.
Principales fallos de la AEPD sobre el monitoreo de empleados:
- Keyloggers y monitoreo de capturas de pantalla: La AEPD considera que la instalación encubierta de keyloggers es una violación del RGPD en la mayoría de los contextos; el monitoreo transparente de capturas de pantalla requiere justificación documentada y evaluación de proporcionalidad
- Seguimiento por GPS: Permitido para vehículos de trabajo con aviso transparente; prohibido para vehículos personales
- Monitoreo de correos electrónicos: Permitido con aviso previo y política documentada; el análisis de contenido requiere justificación adicional
- Monitoreo del rendimiento de IA: Los sistemas de IA que evalúan el rendimiento de los empleados a través de análisis de comportamiento requieren cumplimiento de DPIA explícita y orientación del EDPB
Las organizaciones que implementan herramientas de IA que monitorean o analizan el comportamiento de los empleados (incluyendo análisis de productividad, monitoreo de comunicación y seguimiento de asistencia) enfrentan un escrutinio específico de la AEPD.
Construyendo Documentación de IA Cumplidora con la AEPD
Para las organizaciones españolas que implementan herramientas de IA, el conjunto de documentación cumplidora con la AEPD:
1. Inventario de Sistemas de IA: Documentar todos los sistemas de IA que procesan datos personales españoles: nombre del sistema, proveedor, propósito, categorías de datos procesados, período de retención, estado de la DPA.
2. DPIA para cada sistema de IA: Siguiendo la plantilla de DPIA simplificada de la AEPD (disponible en el sitio web de la AEPD):
- Descripción del procesamiento: propósito, base legal, categorías de datos, destinatarios
- Evaluación de necesidad y proporcionalidad
- Evaluación de riesgos: riesgos para los interesados
- Medidas de mitigación de riesgos: controles técnicos y organizativos
- Registro de consulta del DPO (si se requiere DPO)
3. Documentación de controles técnicos: Para cada sistema de IA, documentar las medidas técnicas que previenen el acceso no autorizado a datos personales:
- Filtrado previo a la presentación (detección de PII + eliminación antes del procesamiento de IA)
- Controles de acceso sobre los datos procesados
- Ejecución de retención
- Detección y respuesta a violaciones
4. Política de monitoreo de empleados: Si algún sistema de IA monitorea empleados: política escrita documentando el alcance del monitoreo, aviso a los empleados, base legal y evaluación de proporcionalidad.
Las inspecciones de la AEPD generalmente solicitan primero el inventario de sistemas de IA y las DPIAs. Las organizaciones con documentación preexistente resuelven las inspecciones significativamente más rápido que aquellas que realizan evaluaciones de manera reactiva.
Fuentes: