AEPD Hispaania: AI ja tootajate andmekaitse reeglid
Uuendatud 2026. aastaks
AEPD: ELi suurim taitja mahu poolest
AEPD (Agencia Espanola de Proteccion de Datos) on Hispaania privaatsusvalvur. See andis 2023. aastal valja 847 trahvi. Ukski teine ELi asutus ei tulnud lahedale. Selle aasta kogu karistused uletasid 12 miljonit eurot.
Agentuur tootab erinevalt enamikust ELi kolleegidest. See ei keskendu ainult suurtele trahvidele. See sihib ka vaikes ettevotteid, vallahalle ja keskmise suurusega ruhmi. See jaotab surve ule kogu Hispaania majanduse.
Top taitimisalad 2024. aastal:
- Kaamera ja biomeetrilised kontrollid (29% juhtumitest)
- Turundus ja soovimatute kontaktide votmine (24% juhtumitest)
- Tootajate jalgimine ja personalitoimikud (18% juhtumitest)
- AI susteemid ja automaatsed otsused (15% juhtumitest -- kasvav)
- Tervis ja eriliste kategooriate andmed (14% juhtumitest)
AEPD AI andmekaitsealase moiju hindamise reegel
Regulaatori 2024. aasta Guia de adecuacion al RGPD de tratamientos con IA saatestab uhe selge reegli. Iga AI toriist, mis kasitleb isikuandmeid, vajab andmekaitsealast moiju hindamist (DPIA).
GDPR artikkel 35 nouab DPIAd, kui tootlemine kujutab endast suurt riski. See on kontekstikatse. Hispaania asutus votab rangemalt. Selle juhend utleb, et iga isikuandmeid puutav masinopppe toriist kaivitab DPIAd nouaava reegli. Eelnevat juhtumipohist riskikontrolli ei nouta.
Hispaania organisatsioonid peavad labi viima ja esitama DPIA jargmiste asjade jaoks:
- Klienditeeninduse vestlusrobotid
- Palkamise soelumise toriistad
- Turunduse toriistad
- Tekstitootluse mudelid (sealhulgas anonuumiseerimise toriistad)
- Iga AI toriist, mis kasitleb tootajate voi klientide andmeid
Igal Hispaanias kasutatav toriistal peab olema oma DPIA toimik. See kehtib isegi siis, kui toriist tundub madala riskiga.
AEPD anonuumiseerimise standardid
Agentuuri anonuumiseerimise juhend tugineb CNILi tooele. See lisab Hispaania-spetsiifilised reeglid riiklike ID-de jaoks:
Hispaania ID-tuubid:
- DNI (Documento Nacional de Identidad): 8-kohaline number pluss kontrollkiri
- NIE (Numero de Identificacion de Extranjero): Kiri + 7 numbrit + kiri, valisriigi kodanikele
- NIF (Numero de Identificacion Fiscal): Sama formaat kui DNI, kasutatakse maksudele
- Numero de Seguridad Social: Hispaania sotsiaalkindlustuse number
Asutus markib, et NER-mudelid jatavad sageli NIE-numbrid markamata. Hispaanias on suur sisserandajate kogukond. Kontrollige, et teie toriistad leiavad NIEsid, kui tootlete mitte-hispaanlaste toimikuid.
Hispaania nimimustrid:
Hispaania nimeandmisel kasutatakse kahte perekonnanime (apellidos compuestos). Uhe perekonnanimega komplektidel treenitud NER-mudelid voivad siin ebaonnestuda. Nimi Garcia Lopez, Juan Carlos sisaldab kahte perekonnanime, mitte uhte. Hispaania NER-mudelid peavad sellega arvestama.
AEPD tootajate jalgimise juhtumid
Kaheksateist protsenti juhtumitest puudutab tootajate jalgimist. Hispaania piirab tooandja kontrolli Estatuto de los Trabajadores (Tootajate pohikiri) alusel. Regulaator joustab neid piiranguid koos GDPRiga.
Asutuse pohiseisukohad:
- Klahvivajutuste logijad: Varjatud klahvivajutuste logimine on enamasti GDPR rikkumine. Ekraanipiltide toriistad vajavad kirjalikku toidendit ja oigluse kontrolli.
- GPS-jalgimine: Lubatud toosoidukitel selge tootajatele suunatud teavitusega. Isiklikel soidukitel mitte lubatud.
- E-posti kontrollid: Lubatud eelneva kirjaliku teavituse ja poliitikaga. Sisukontroll vajab lisatoidendit.
- AI jalgimise toriistad: Iga mudel, mis jalgib tootajate kaaitumist, vajab DPIAd. Kehtivad ka EDPB reeglid.
Automaatne jalgimine meelitab Hispaania DPA poolt enim kontrolli.
AEPD-uhilduv AI dokumentatsioon
Hispaania organisatsioonidele, kes kasutavad AI toriistu, on vajalikud neli dokumendikogumit.
1. AI susteemide inventar
Loetlege iga toriist, mis kasitleb Hispaania isikuandmeid. Markige: susteemi nimi, tarnija, eesmark, kirjete tuubid, sailitamisperiood ja tootlemislepingu staatus.
2. DPIA susteemi kohta
Kasutage agentuuri avaldatud DPIA malli. Kasitlege:
- Eesmark, seaduslik alus, kirjete tuubid ja adressaadid
- Oigluse kontroll
- Mojutatud inimeste riskianaluus
- Riskikontrollid: nii tehnilised kui ka protsessipohised
- Andmekaitseametniku markused (kus andmekaitseametnik on noutav)
3. Tehniliste kontrollide arvestus
Iga toriista kohta markige kontrolle, mis blokeerivad volitamata juurdepaasumine:
- Eelsaatmise filtreerimine (isikuandmete eemaldamine enne mudeli kaivitamist)
- Valjundite juurdepaasumine-kontrollid
- Sailitusmispiirangud ja nende joustamine
- Rikkumise tuvastamine ja reageerimise sammud
4. Tootajate jalgimise poliitika
Kui moni toriist jalgib tootajaid, lisage kirjalik poliitika. Markige ulatus, teavitage tootajaid, nimetage seaduslik alus ja naitake oigluse kontrolli.
AEPD auditid algavad inventari ja DPIAdega. Nende toimikutega ruhmasid lahendavad auditeid palju kiiremini. Meie GDPR vastavusjuhend katab dokumentide ulatuse. Meie turvalisuse vastavuse ulevaade selgitab tehnilisi kontrolle. Hispaania isikuandmete tuvastamiseks vaadake meie mitmekeelset isikuandmete tuvastamise juhendit.