AEPD: EU:n aktiivisin tietosuojaviranomainen lukumäärältään
Espanjan Agencia Española de Protección de Datos (AEPD) on EU:n aktiivisin tietosuojaviranomainen täytäntöönpanotoimien lukumäärän perusteella, antaen 847 seuraamusresoluutiota vuonna 2023 — enemmän kuin kaikki muut EU:n tietosuojaviranomaiset yhteensä lukumäärältään. AEPD:n kokonaissakot vuonna 2023 ylittivät €12 miljoonaa näiden resoluutioiden osalta.
Suuri lukumäärä heijastaa AEPD:n täytäntöönpanolähestymistapaa: toisin kuin tietosuojaviranomaiset, jotka keskittyvät merkkipaalusakkoihin suuryrityksiä vastaan, AEPD antaa huomattavan määrän pienempiä sakkoja pk-yrityksille, kunnallishallinnoille ja yksittäisille organisaatioille luoden laajaa vaatimustenmukaisuuspainetta koko Espanjan taloudessa.
AEPD:n täytäntöönpanon painopistealueet vuonna 2024:
- Videovalvonta ja biometriset tiedot (29 % tapauksista)
- Markkinointi ja ei-toivotut viestit (24 % tapauksista)
- Työntekijöiden valvonta ja HR-tiedot (18 % tapauksista)
- Tekoälyjärjestelmät ja automaattinen päätöksenteko (15 % tapauksista — kasvussa vuosi vuodelta)
- Terveydenhuolto ja erityisten kategorioiden tiedot (14 % tapauksista)
AEPD:n ainutlaatuinen tekoäly-DPIA-vaatimus
AEPD:n vuoden 2024 "Guía de adecuación al RGPD de tratamientos con IA" (Opas tekoälyn käsittelyjen GDPR-vaatimustenmukaisuuteen) ylittää GDPR:n perusvaatimukset yhdessä merkittävässä kohdassa: AEPD edellyttää tietosuojan vaikutustenarvioinnin (DPIA) tekemistä kaikille henkilötietoja käsitteleville tekoälyjärjestelmille.
GDPR:n 35 artiklan nojalla DPIA:t vaaditaan käsittelyltä, joka "todennäköisesti aiheuttaa korkean riskin" rekisteröidyn oikeuksille ja vapauksille — kontekstuaalinen arviointi. AEPD:n ohjeistus ottaa kategorisemman lähestymistavan: mikä tahansa henkilötietoja käsittelevä tekoälyjärjestelmä laukaisee DPIA-vaatimuksen.
Tämä tarkoittaa, että espanjalaisten organisaatioiden on suoritettava ja dokumentoitava DPIA:t seuraavista:
- Asiakaspalvelun chatbotit
- HR-rekrytointivälineet
- Markkinoinnin personointialgoritmit
- Asiakirjojen käsittelytekoäly (mukaan lukien anonymisointi-tekoäly)
- Kaikki tekoälytyökalu, joka käsittelee työntekijä- tai asiakastietoja
Käytännön seuraus: Espanjassa tekoälytyökaluja käyttävillä organisaatioilla on oltava DPIA-dokumentaatio kustakin työkalusta, vaikka työkalu olisi laajalti käytetty ja organisaation mielestä matalan riskin.
AEPD:n tekniset anonymisointistandardit
AEPD:n anonymisointiohjeistus on saanut vaikutteita CNIL:n "Guide pratique de l'anonymisation" -oppaasta, mutta sisältää espanjalaiskohtaisia vaatimuksia:
Espanjalaiset kansalliset tunnisteet:
- DNI (Documento Nacional de Identidad): 8-numeroinen + tarkistusnumerokirjain
- NIE (Número de Identificación de Extranjero): Kirjain + 7 numeroa + kirjain, ulkomaalaisille
- NIF (Número de Identificación Fiscal): Vastaa DNI:tä verotarkoituksiin
- Número de Seguridad Social: Sosiaaliturvatunnuksen muoto
AEPD:n ohjeistuksessa huomautetaan, että espanjalaiset NER-mallit jättävät usein havaitsematta NIE-numerot, jotka ovat yleisiä Espanjan merkittävässä maahanmuuttajaväestössä. Espanjassa ei-espanjalaisten tietoja käsittelevien organisaatioiden on varmistettava NIE-tunnistuskyky.
Espanjalaiskohtainen konteksti: AEPD:n ohjeistuksessa käsitellään espanjalaisten nimien erityistä haastetta — kahden sukunimen (apellidos compuestos) perinne luo nimienhavaitsemishaasteita NER-malleille, joita on koulutettu pääasiassa yhden sukunimen nimeämiskäytännoilla. Espanjankielisen NER:n on kyettävä käsittelemään: "García López, Juan Carlos" — jossa sekä "García" että "López" ovat sukunimiä, ei yhdistelmäsukunimi + etunimi.
AEPD:n työntekijöiden valvonnan täytäntöönpano
AEPD:n 18 % työntekijöiden valvontaan liittyvistä tapauksista heijastaa Espanjan aktiivista työnantajan valvontaoikeuksien rajoitusten täytäntöönpanoa. Espanjan työntekijöiden peruskirja (Estatuto de los Trabajadores) rajoittaa työnantajan valvontaoikeuksia, ja AEPD on ollut aggressiivinen näiden rajoitusten täytäntöönpanossa GDPR:n ohella.
AEPD:n keskeiset ratkaisut työntekijöiden valvonnasta:
- Keyloggerit ja näyttökuvien seuranta: AEPD pitää piilotettua keylogger-asentamista GDPR-rikkomuksena useimmissa yhteyksissä; läpinäkyvä näyttökuvien seuranta vaatii dokumentoidun perustelun ja suhteellisuusarvioinnin
- GPS-seuranta: Sallittua työnantajan ajoneuvoissa läpinäkyvästi ilmoitettuna; kiellettyä henkilökohtaisissa ajoneuvoissa
- Sähköpostin seuranta: Sallittua ennakkoilmoituksella ja dokumentoidulla käytännöllä; sisältöanalyysi edellyttää lisäperustetta
- Tekoälyn suoritusarviointi: Tekoälyjärjestelmät, jotka arvioivat työntekijöiden suoritusta käyttäytymisanalyysin kautta, edellyttävät nimenomaista DPIA:ta ja EDPB:n ohjeistuksen noudattamista
Organisaatiot, jotka ottavat käyttöön tekoälytyökaluja, jotka valvovat tai analysoivat työntekijöiden käyttäytymistä (mukaan lukien tuottavuusanalytiikka, viestintäseuranta ja läsnäolonseuranta), kohtaavat erityistä AEPD:n tarkastelua.
AEPD-yhteensopivan tekoälidokumentaation rakentaminen
Espanjalaisille organisaatioille tekoälytyökalujen käyttöönottoon AEPD-yhteensopiva dokumentaatiopaketti:
1. Tekoälyjärjestelmäinventaario: Dokumentoi kaikki espanjalaisia henkilötietoja käsittelevät tekoälyjärjestelmät: järjestelmän nimi, toimittaja, tarkoitus, käsitellyt datakategoriat, säilytysaika, DPA-status.
2. DPIA jokaiselle tekoälyjärjestelmälle: Noudattaen AEPD:n yksinkertaistettua DPIA-mallia (saatavilla AEPD:n verkkosivustolla):
- Käsittelyn kuvaus: tarkoitus, oikeusperusta, datakategoriat, vastaanottajat
- Välttämättömyys- ja suhteellisuusarviointi
- Riskiarviointi: riskit rekisteröidyille
- Riskien lieventämistoimenpiteet: tekniset ja organisatoriset kontrollit
- Tietosuojavastaavan kuulemistietue (jos tietosuojavastaava vaaditaan)
3. Teknisten kontrollien dokumentointi: Kustakin tekoälyjärjestelmästä dokumentoi tekniset toimenpiteet, jotka estävät luvattoman pääsyn henkilötietoihin:
- Lähetystä edeltävä suodatus (PII-tunnistus + poisto ennen tekoälykäsittelyä)
- Pääsykontrolla käsiteltyyn dataan
- Säilytyksen valvonta
- Tietomurtojen havaitseminen ja reagointi
4. Työntekijöiden valvontakäytäntö: Jos jokin tekoälyjärjestelmä valvoo työntekijöitä: kirjallinen käytäntö, jossa dokumentoidaan valvonnan laajuus, ilmoitus työntekijöille, oikeusperusta ja suhteellisuusarviointi.
AEPD:n tarkastuksissa pyydetään tyypillisesti ensin tekoälyjärjestelmäinventaariota ja DPIA:ta. Valmiilla dokumentaatiolla varustetut organisaatiot ratkaisevat tarkastukset huomattavasti nopeammin kuin ne, jotka tekevät arvioinnit reaktiivisesti.
Lähteet: