AEPD en tant que l'agent d'application le plus prolifique de l'UE par volume
L'Agencia Española de Protección de Datos (AEPD) est l'APD la plus active de l'UE en termes d'actions d'application, ayant émis 847 résolutions de sanction en 2023 — plus que toutes les autres APD de l'UE combinées par volume. Les amendes totales de l'AEPD en 2023 ont dépassé 12 millions d'euros à travers ces résolutions.
Le volume élevé reflète l'approche d'application de l'AEPD : contrairement aux APD qui se concentrent sur des amendes emblématiques contre de grandes entreprises, l'AEPD émet un nombre significatif d'amendes plus petites contre des PME, des gouvernements municipaux et des organisations individuelles, créant une large pression de conformité à travers l'économie espagnole.
Les domaines de concentration de l'application de l'AEPD en 2024 :
- Surveillance vidéo et données biométriques (29 % des cas)
- Marketing et communications non sollicitées (24 % des cas)
- Surveillance des employés et données RH (18 % des cas)
- Systèmes d'IA et prise de décision automatisée (15 % des cas — en augmentation d'année en année)
- Soins de santé et données de catégorie spéciale (14 % des cas)
Exigence unique de DPIA pour l'IA de l'AEPD
La "Guía de adecuación al RGPD de tratamientos con IA" (Guide sur la conformité au RGPD pour les traitements d'IA) de l'AEPD pour 2024 va au-delà de la norme de base du RGPD en une exigence significative : l'AEPD exige une Évaluation d'Impact sur la Protection des Données (DPIA) pour tout système d'IA qui traite des données personnelles.
Selon l'article 35 du RGPD, les DPIA sont requises pour le traitement "susceptible d'entraîner un risque élevé" pour les droits et libertés des personnes concernées — une évaluation contextuelle. Les directives de l'AEPD adoptent une approche plus catégorique : tout système d'IA traitant des données personnelles déclenche l'exigence de DPIA.
Cela signifie que les organisations espagnoles doivent réaliser et documenter des DPIA pour :
- Chatbots de service client
- Outils de sélection de recrutement RH
- Algorithmes de personnalisation marketing
- IA de traitement de documents (y compris l'IA d'anonymisation)
- Tout outil d'IA qui traite des données d'employés ou de clients
L'implication pratique : les organisations utilisant des outils d'IA en Espagne doivent avoir une documentation de DPIA pour chaque outil, même si l'outil est largement utilisé et considéré comme à faible risque par l'organisation.
Normes techniques d'anonymisation de l'AEPD
Les directives d'anonymisation de l'AEPD sont influencées par le "Guide pratique de l'anonymisation" de la CNIL mais ajoutent des exigences spécifiques à l'Espagne :
Identifiants nationaux espagnols :
- DNI (Documento Nacional de Identidad) : numéro à 8 chiffres + lettre de contrôle
- NIE (Número de Identificación de Extranjero) : Lettre + 7 chiffres + lettre, pour les ressortissants étrangers
- NIF (Número de Identificación Fiscal) : Équivalent au DNI à des fins fiscales
- Número de Seguridad Social : format de numéro de sécurité sociale
Les directives de l'AEPD notent que les modèles NER espagnols manquent souvent de numéros NIE, qui sont courants dans la population immigrée significative de l'Espagne. Les organisations traitant des données de ressortissants non espagnols en Espagne doivent vérifier la capacité de détection des NIE.
Contexte spécifique à l'Espagne : Les directives de l'AEPD abordent le défi spécifique des noms espagnols — la tradition de nommer avec deux noms de famille (apellidos compuestos) crée des défis de détection de noms pour les modèles NER formés principalement sur des conventions de nommage à un seul nom de famille. Le NER en langue espagnole doit gérer : "García López, Juan Carlos" — où "García" et "López" sont des noms de famille, pas un nom composé + prénom.
Application de la surveillance des employés par l'AEPD
Les 18 % de cas de l'AEPD impliquant la surveillance des employés reflètent l'application active par l'Espagne des restrictions sur la surveillance des employeurs. Le Statut des travailleurs espagnols (Estatuto de los Trabajadores) limite les droits de surveillance des employeurs, et l'AEPD a été agressive dans l'application de ces limites en parallèle avec le RGPD.
Principales décisions de l'AEPD sur la surveillance des employés :
- Keyloggers et surveillance par capture d'écran : L'AEPD considère l'installation discrète de keyloggers comme une violation du RGPD dans la plupart des contextes ; la surveillance transparente par capture d'écran nécessite une justification documentée et une évaluation de proportionnalité
- Suivi GPS : Autorisé pour les véhicules de travail avec avis transparent ; interdit pour les véhicules personnels
- Surveillance des e-mails : Autorisée avec préavis et politique documentée ; l'analyse de contenu nécessite une justification supplémentaire
- Surveillance des performances par IA : Les systèmes d'IA qui évaluent les performances des employés par l'analyse comportementale nécessitent une DPIA explicite et le respect des directives du CEPD
Les organisations déployant des outils d'IA qui surveillent ou analysent le comportement des employés (y compris l'analyse de la productivité, la surveillance des communications et le suivi des présences) font face à un examen spécifique de l'AEPD.
Élaboration de la documentation AI conforme à l'AEPD
Pour les organisations espagnoles mettant en œuvre des outils d'IA, la pile de documentation conforme à l'AEPD :
1. Inventaire des systèmes d'IA : Documenter tous les systèmes d'IA traitant des données personnelles espagnoles : nom du système, fournisseur, objectif, catégories de données traitées, période de conservation, statut de l'APD.
2. DPIA pour chaque système d'IA : Suivant le modèle de DPIA simplifié de l'AEPD (disponible sur le site web de l'AEPD) :
- Description du traitement : objectif, base légale, catégories de données, destinataires
- Évaluation de la nécessité et de la proportionnalité
- Évaluation des risques : risques pour les personnes concernées
- Mesures d'atténuation des risques : contrôles techniques et organisationnels
- Enregistrement de la consultation du DPO (si DPO requis)
3. Documentation des contrôles techniques : Pour chaque système d'IA, documenter les mesures techniques empêchant l'accès non autorisé aux données personnelles :
- Filtrage avant soumission (détection de PII + suppression avant traitement par l'IA)
- Contrôles d'accès sur les données traitées
- Application de la conservation
- Détection et réponse aux violations
4. Politique de surveillance des employés : Si un système d'IA surveille des employés : politique écrite documentant la portée de la surveillance, avis aux employés, base légale et évaluation de proportionnalité.
Les inspections de l'AEPD demandent généralement d'abord l'inventaire des systèmes d'IA et les DPIA. Les organisations ayant une documentation préexistante résolvent les inspections beaucoup plus rapidement que celles qui effectuent des évaluations de manière réactive.
Sources :