AEPD Espainia: AI eta Langile DPA Arauak
AEPD: EUko Betearazle Nagusia Kopuruz
AEPD (Agencia Espanola de Proteccion de Datos) Espainiako pribatutasun-zaindaria da. 847 isun eman zituen 2023an. EUko beste erakunde batek ez zuen hurbiltzerik egin. Urte hartako zigor guztiak €12M gainditu zuen.
Agentzia gehiengo EUko kideetatik desberdina da. Ez du soilik isun handitan jartzen arreta. Enpresa txikiak, udaletxeak eta ertain-mailako taldeak ere jotzen ditu. Honek presioa Espainiako ekonomian zabalago banatzen du.
2024an aplikatutako eremu nagusiak:
- Kamera eta egiaztapen biometrikoak (kasuen %29)
- Marketina eta eskaeratu gabeko kontaktuak (kasuen %24)
- Langileen kontrola eta giza baliabideen artxiboak (kasuen %18)
- AI sistemak eta erabaki automatikoak (kasuen %15 — igotzen)
- Osasun eta kategoría bereziko erregistroak (kasuen %14)
AEPDren AI DPIA Araua
Erregulatzailearen 2024ko Guia de adecuacion al RGPD de tratamientos con IA arau argiago bat ezartzen du. Erregistro pertsonalak kudeatzen dituen edozein AI tresnak DPIA (Datu Inpaktu Ebaluazioa) behar du.
GDPR 35. artikuluak DPIAak eskatzen ditu prozesatzeak arrisku handia daukanean. Hori testuinguru-proba da. Espainiako organoak ikuspegi zorrotzagoa hartzen du. Bere gidak dio erregistro pertsonalak ukitzen dituen ML tresnak DPIAren araua aktibatzen duela. Lehenik ez da kasuz kasu arrisku-azterketa beharrezkoa.
Espainiar taldeek DPIAk exekutatu eta aurkeztu behar dituzte hauetarako:
- Bezeroen zerbitzuko chatbotak
- Kontratazioaren aukeraketako tresnak
- Marketing-tresnak
- Testu-prozesatze ereduak (anonimizazio-tresnak barne)
- Langile edo bezeroen erregistroak kudeatzen dituen edozein AI tresna
Espainiak erabiltzen den tresna bakoitzak bere DPIA artxiboa behar du. Honek arrisku txikikoa diruditen tresnak ere barnebiltzen ditu.
AEPDren Anonimizazio Estandarrak
Agentziak anonimizazio-gidak CNILren lanean oinarritzen dira. Nazio-IDrentzako Espainia-espezifikoak diren arauak gehitzen ditu:
Espainiako ID motak:
- DNI (Documento Nacional de Identidad): 8 digituko zenbakia egiaztatzeko letra batekin
- NIE (Numero de Identificacion de Extranjero): Letra + 7 digitu + letra, atzerriko nazionalentzat
- NIF (Numero de Identificacion Fiscal): DNI formatua bera, zergetarako erabilia
- Gizarte Segurantzaren Zenbakia: Espainiako Gizarte Segurantzaren zenbakia
Organoak ohartarazten du NER ereduek maiz NIE zenbakiak galtzen dituztela. Espainiak biztanleria immigrante handia du. Egiaztatu zure tresnei NIEak aurki ditzaketela espainiar ez diren nazionalen artxiboak prozesatzen dituzunean.
Espainiako izen-ereduak:
Espainiako izendapenean bi abizen erabiltzen dira (apellidos compuestos). Abizen bakarreko multzoetan prestatutako NER ereduek huts egin dezakete hemen. "Garcia Lopez, Juan Carlos" izenak bi abizen ditu, ez bat. Espainiako NER ereduek hau kudeatu behar dute.
AEPDren Langile Kontrol Kasuak
Kasuen %18 langile-kontrola dakar. Espainiak enpresaburuaren kontrola mugatzen du Estatuto de los Trabajadores (Langileen Estatutua) arabera. Erregulatzaileak muga hauek GDPRrekin batera exekutatzen ditu.
Agintaritzaren gako-jarrerak:
- Teklatzen erregistroak: Ezkutuko teklatzen erregistroen erabilera GDPR haustea da kasu gehienetan. Pantaila-tresnek idatzizko frogapena eta erabilera bidezkoa behar dute.
- GPS jarraipena: Lana-ibilgailuetan onartzen da langileei jakinarazpen argiarekin. Ez da onartzen ibilgailu pertsonaletan.
- Posta elektronikoaren egiaztapena: Onartzen da aldez aurretiko idatzizko jakinarazpenarekin eta politikarekin. Edukiaren berrikuspenak froga gehigarria behar du.
- AI jarraipena: Langile-portaera jarraitzen duen edozein modelak DPIA bat behar du. EDPB arauak ere aplikatzen dira.
Kontrol automatizatuak Espainiako DPAren azterketa handiena erakartzen du.
AEPD-Bateragarria AI Dokumentazioa
Lau dokumentu-multzo behar dira AI tresnak erabiltzen dituzten Espainiar taldeentzat.
1. AI sistema-inbentarioa
Espainiako erregistro pertsonalak kudeatzen dituen tresna bakoitza zerrendatu. Oharra: sistema-izena, saltzailea, helburua, erregistro-motak, gordetzeko epea eta DPA egoera.
2. Sistema bakoitzeko DPIA
Erabili agentziaren argitaratutako DPIA txantiloia. Estali:
- Helburua, oinarri juridikoa, erregistro-motak eta hartzaileak
- Erabilera bidezkoa egiaztatzea
- Kaltetutako pertsonen arrisku-berrikuspena
- Arrisku-kontrolak: bai teknikoak eta bai prozesuak
- DPOren oharrak (DPO bat beharrezkoa den lekuan)
3. Kontrol tekniko erregistroa
Tresna bakoitzarentzat, baimendu gabeko sarbidea blokeatzen duten kontrolak oharra:
- Aurrebidalketako iragazketa (modeloa exekutatu aurretik PII kentzen da)
- Irteeren sarbide-kontrolak
- Gordetzeko mugak eta haien betearazpena
- Hausteak detektatzeko eta erantzuteko urratsak
4. Langileen kontrol politika
Edozein tresnak langileak kontrolatzen baditu, idatzizko politika gehitu. Adierazi esparrua, eman jakinarazpena langileei, izendatu oinarri juridikoa eta erakutsi erabilera bidezkoa.
AEPD auditoretzak inbentarioekin eta DPIAekin hasten dira. Artxibo hauek prest dituzten taldeek auditoretzak askoz azkarrago konpontzen dituzte.