AEPD EU:n aktiivisimpana valvojana määrällisesti
Espanjan Agencia Española de Protección de Datos (AEPD) on EU:n aktiivisin tietosuojaviranomainen valvontatoimien lukumäärällä mitattuna, antaen 847 seuraamusratkaisua vuonna 2023 — enemmän kuin kaikki muut EU:n tietosuojaviranomaiset yhteensä. AEPD:n määräämät sakot vuonna 2023 ylittivät 12 miljoonaa euroa näiden ratkaisujen osalta.
Korkea määrä heijastaa AEPD:n valvontastrategiaa: toisin kuin tietosuojaviranomaiset, jotka keskittyvät merkittäviin sakkoihin suuryrityksiä vastaan, AEPD määrää merkittäviä määriä pienempiä sakkoja pk-yrityksille, kunnallisille hallituksille ja yksittäisille organisaatioille, luoden laajaa vaatimustenmukaisuuspainetta Espanjan taloudessa.
AEPD:n valvontakohteet vuonna 2024:
- Videovalvonta ja biometriset tiedot (29% tapauksista)
- Markkinointi ja ei-toivotut viestit (24% tapauksista)
- Työntekijöiden valvonta ja HR-tiedot (18% tapauksista)
- AI-järjestelmät ja automatisoitu päätöksenteko (15% tapauksista — kasvava vuosi vuodelta)
- Terveydenhuolto ja erityiset tietoryhmät (14% tapauksista)
AEPD:n ainutlaatuinen AI DPIA -vaatimus
AEPD:n vuoden 2024 "Guía de adecuación al RGPD de tratamientos con IA" (Opas GDPR-vaatimustenmukaisuudesta AI-käsittelyille) menee GDPR:n perusvaatimusten ohi yhdessä merkittävässä vaatimuksessa: AEPD vaatii tietosuojavaikutusten arviointia (DPIA) kaikilta AI-järjestelmiltä, jotka käsittelevät henkilötietoja.
GDPR:n artiklan 35 mukaan DPIA:ita vaaditaan käsittelyyn, joka "todennäköisesti aiheuttaa korkean riskin" rekisteröityjen oikeuksille ja vapauksille — kontekstuaalinen arviointi. AEPD:n ohjeistus ottaa kategorisemman lähestymistavan: mikä tahansa AI-järjestelmä, joka käsittelee henkilötietoja, laukaisee DPIA-vaatimuksen.
Tämä tarkoittaa, että espanjalaisten organisaatioiden on suoritettava ja dokumentoitava DPIA:t seuraaville:
- Asiakaspalveluchatbotit
- HR-rekrytointityökalut
- Markkinoinnin personointialgoritmit
- Asiakirjakäsittely AI (mukaan lukien anonymisointia AI)
- Mikä tahansa AI-työkalu, joka käsittelee työntekijöiden tai asiakkaiden tietoja
Käytännön seuraus: Espanjassa AI-työkaluja käyttävien organisaatioiden on oltava DPIA-dokumentaatio jokaiselle työkalulle, vaikka työkalu olisi laajalti käytössä ja organisaation mukaan matalariskinen.
AEPD:n tekniset anonymisointistandardit
AEPD:n anonymisointiohjeistus on saanut vaikutteita CNIL:n "Guide pratique de l'anonymisation" -oppaasta, mutta lisää espanjalaisia erityisvaatimuksia:
Espanjalaiset kansalliset tunnisteet:
- DNI (Documento Nacional de Identidad): 8-numeroinen numero + kirjain tarkistusnumero
- NIE (Número de Identificación de Extranjero): Kirjain + 7 numeroa + kirjain, ulkomaalaisille
- NIF (Número de Identificación Fiscal): Vastaava kuin DNI verotustarkoituksiin
- Número de Seguridad Social: Sosiaaliturvatunnuksen muoto
AEPD:n ohjeistus huomauttaa, että espanjalaiset NER-mallit usein jättävät huomiotta NIE-numerot, jotka ovat yleisiä Espanjan merkittävässä maahanmuuttajaväestössä. Organisaatioiden, jotka käsittelevät ei-espanjalaisten tietoja Espanjassa, on varmistettava NIE-tunnistuksen kyky.
Espanjalaiskohtainen konteksti: AEPD:n ohjeistus käsittelee espanjalaisten nimien erityishaastetta — kahden sukunimen perinteinen nimeämistapa (apellidos compuestos) luo nimeämishaasteita NER-malleille, jotka on koulutettu pääasiassa yhden sukunimen nimeämiskäytännöillä. Espanjan kielen NER:n on käsiteltävä: "García López, Juan Carlos" — missä sekä "García" että "López" ovat sukunimiä, eivät yhdistetty sukunimi + etunimi.
AEPD:n työntekijöiden valvontavalvonta
AEPD:n 18% tapauksista, jotka liittyvät työntekijöiden valvontaan, heijastaa Espanjan aktiivista valvontaa työnantajien valvontarajoitusten suhteen. Espanjan työntekijästatutti (Estatuto de los Trabajadores) rajoittaa työnantajien valvontaoikeuksia, ja AEPD on ollut aggressiivinen näiden rajoitusten valvonnassa yhdessä GDPR:n kanssa.
Keskeiset AEPD:n päätökset työntekijöiden valvonnasta:
- Näppäilytallentimet ja kuvakaappausten valvonta: AEPD pitää salaisia näppäilytallentimien asentamista GDPR:n rikkomisena useimmissa konteksteissa; läpinäkyvä kuvakaappausten valvonta vaatii dokumentoitua perustelua ja suhteellisuusarviointia
- GPS-seuranta: Sallittu työsuhteessa oleville ajoneuvoille läpinäkyvällä ilmoituksella; kielletty henkilökohtaisille ajoneuvoille
- Sähköpostivalvonta: Sallittu ennakkoilmoituksella ja dokumentoidulla politiikalla; sisällön analyysi vaatii lisäperustelun
- AI-suorituskyvyn valvonta: AI-järjestelmät, jotka arvioivat työntekijöiden suorituskykyä käyttäytymisanalyysin avulla, vaativat nimenomaista DPIA:ta ja EDPB:n ohjeiden noudattamista
Organisaatiot, jotka käyttävät AI-työkaluja, jotka valvovat tai analysoivat työntekijöiden käyttäytymistä (mukaan lukien tuottavuusanalytiikka, viestintävalvonta ja läsnäolon seuranta), kohtaavat erityistä AEPD:n tarkastelua.
AEPD-yhteensopivan AI-dokumentaation rakentaminen
Espanjalaisille organisaatioille, jotka toteuttavat AI-työkaluja, AEPD-yhteensopivan dokumentaation koko:
1. AI-järjestelmien inventaario: Dokumentoi kaikki AI-järjestelmät, jotka käsittelevät espanjalaisia henkilötietoja: järjestelmän nimi, toimittaja, tarkoitus, käsitellyt tietoryhmät, säilytysaika, DPA-tila.
2. DPIA jokaiselle AI-järjestelmälle: Seuraamalla AEPD:n yksinkertaistettua DPIA-mallia (saatavilla AEPD:n verkkosivustolla):
- Käsittelyn kuvaus: tarkoitus, oikeudellinen peruste, tietoryhmät, vastaanottajat
- Tarpeellisuus- ja suhteellisuusarviointi
- Riskinarviointi: riskit rekisteröidyille
- Riskin lieventämistoimenpiteet: tekniset ja organisatoriset kontrollit
- DPO:n konsultointikirjaus (jos DPO vaaditaan)
3. Teknisten kontrollien dokumentaatio: Jokaiselle AI-järjestelmälle dokumentoi tekniset toimenpiteet, jotka estävät luvattoman pääsyn henkilötietoihin:
- Esikäsittelysuodatus (PII-tunnistus + poistaminen ennen AI-käsittelyä)
- Pääsykontrollit käsitellyille tiedoille
- Säilytyksen valvonta
- Rikkomusten havaitseminen ja reagointi
4. Työntekijöiden valvontapolitiikka: Jos jokin AI-järjestelmä valvoo työntekijöitä: kirjallinen politiikka, joka dokumentoi valvonnan laajuuden, ilmoituksen työntekijöille, oikeudellisen perusteen ja suhteellisuusarvioinnin.
AEPD:n tarkastukset pyytävät yleensä ensin AI-järjestelmien inventaariota ja DPIA:ita. Organisaatiot, joilla on ennakkoon olemassa olevaa dokumentaatiota, ratkaisevat tarkastukset merkittävästi nopeammin kuin ne, jotka tekevät arviointeja reaktiivisesti.
Lähteet: