AEPD ספרד: כללי AI ו-DPIA לעובדים
עודכן לשנת 2026
AEPD: הרגולטור המוביל ב-EU לפי נפח
AEPD (Agencia Española de Protección de Datos) הוא גוף הפרטיות של ספרד. הוא הוציא 847 קנסות ב-2023. אף גוף EU אחר לא התקרב. סה"כ עונשים אותה שנה עלו על €12M.
הסוכנות פועלת בצורה שונה מרוב עמיתיה ב-EU. היא אינה מתמקדת רק בקנסות גדולים. היא גם מכוונת לחברות קטנות, עיריות וקבוצות בינוניות. זה מפיץ לחץ בכלכלה הספרדית.
תחומים מובילים שנאכפו ב-2024:
- בדיקות מצלמות וביומטריות (29% מהמקרים)
- שיווק ופניות לא רצויות (24% מהמקרים)
- מעקב עובדים ותיקי משאבי אנוש (18% מהמקרים)
- מערכות AI והחלטות אוטומטיות (15% מהמקרים — עולה)
- רשומות בריאות ומעמד מיוחד (14% מהמקרים)
כלל DPIA של ה-AI של AEPD
Guía de adecuación al RGPD de tratamientos con IA של הרגולטור לשנת 2024 קובע כלל אחד ברור. כל כלי AI המטפל ברשומות אישיות מחייב DPIA (הערכת השפעת הגנת נתונים).
סעיף 35 של GDPR מבקש DPIAs כאשר העיבוד מהווה סיכון גבוה. זהו מבחן הקשר. הרשות הספרדית נוקטת עמדה מחמירה יותר. המדריך שלה אומר שכל כלי ML שנוגע ברשומות אישיות מפעיל את כלל ה-DPIA. לא נדרשת בדיקת סיכון מקרה לפי מקרה מראש.
קבוצות ספרדיות חייבות להפעיל ולהגיש DPIAs עבור:
- צ'אטבוטים לשירות לקוחות
- כלי סינון גיוס
- כלי שיווק
- מודלים לעיבוד טקסט (כולל כלי אנונימיזציה)
- כל כלי AI המטפל ברשומות עובדים או לקוחות
כל כלי המשמש בספרד זקוק לקובץ DPIA משלו. זה חל גם אם הכלי נראה בסיכון נמוך.
תקני אנונימיזציה של AEPD
מדריך האנונימיזציה של הסוכנות בונה על עבודת ה-CNIL. הוא מוסיף כללים ספציפיים לספרד למזהים לאומיים:
סוגי זיהוי ספרדיים:
- DNI (Documento Nacional de Identidad): מספר בן 8 ספרות ואות בדיקה
- NIE (Número de Identificación de Extranjero): אות + 7 ספרות + אות, עבור אזרחים זרים
- NIF (Número de Identificación Fiscal): אותו פורמט כמו DNI, לשימוש מס
- Número de Seguridad Social: מספר ביטוח לאומי ספרדי
הרשות מציינת שמודלי NER לעתים קרובות מחמיצים מספרי NIE. לספרד יש אוכלוסיית מהגרים גדולה. בדקו שהכלים שלכם יכולים למצוא NIEs כשאתם מעבדים קבצים ממהגרים שאינם ספרדים.
תבניות שמות ספרדיים:
מינוח ספרדי משתמש בשני שמות משפחה (apellidos compuestos). מודלי NER שאומנו על ערכות שם-משפחה בודד עלולים להיכשל כאן. השם "García López, Juan Carlos" כולל שני שמות משפחה, לא אחד. מודלי NER ספרדיים חייבים לטפל בכך.
מקרי מעקב עובדים של AEPD
שמונה עשר אחוז מהמקרים כוללים מעקב עובדים. ספרד מגבילה שליטת מעסיקים תחת ה-Estatuto de los Trabajadores (חוק העובדים). הרגולטור אוכף מגבלות אלה לצד GDPR.
עמדות מרכזיות של הרשות:
- קיילוגרים: שימוש סמוי בקיילוגר הוא הפרת GDPR ברוב המקרים. כלי צילום מסך מחייבים הוכחה כתובה ובדיקת שימוש הוגן.
- מעקב GPS: מותר ברכבי עבודה עם הודעה ברורה לעובדים. לא מותר ברכבים פרטיים.
- בדיקת אימייל: מותרת עם הודעה כתובה מראש ומדיניות. בדיקת תוכן מצריכה הוכחה נוספת.
- כלי מעקב AI: כל מודל המשגיח על התנהגות עובדים מחייב DPIA. גם כללי EDPB חלים.
מעקב אוטומטי מושך את הבדיקה הרבה ביותר מ-DPA של ספרד.
תיעוד AI תואם AEPD
ארבע קבוצות מסמכים נדרשות לקבוצות ספרדיות המשתמשות בכלי AI.
1. מלאי מערכות AI
רשמו כל כלי המטפל ברשומות אישיות ספרדיות. ציינו: שם מערכת, ספק, מטרה, סוגי רשומות, תקופת שמירה וסטטוס DPA.
2. DPIA לכל מערכת
השתמשו בתבנית DPIA שפורסמה על ידי הסוכנות. כסו:
- מטרה, בסיס משפטי, סוגי רשומות ונמענים
- בדיקת שימוש הוגן
- סקירת סיכונים לאנשים המושפעים
- בקרות סיכון: גם טכניות וגם תהליכיות
- הערות DPO (כאשר DPO נדרש)
3. רשומת בקרות טכניות
לכל כלי, ציינו את הבקרות החוסמות גישה לא מורשית:
- סינון לפני שליחה (הסרת PII לפני שהמודל רץ)
- בקרות גישה על פלטים
- מגבלות שמירה ואכיפתן
- שלבי זיהוי ותגובה לפרצות
4. מדיניות מעקב עובדים
אם כלי כלשהו מעקב אחר עובדים, הוסיפו מדיניות כתובה. ציינו את ההיקף, הודיעו לעובדים, ציינו את הבסיס המשפטי והציגו בדיקת שימוש הוגן.
ביקורות AEPD מתחילות עם המלאי וה-DPIAs. קבוצות עם קבצים אלה מוכנים פותרות ביקורות הרבה יותר מהר. מדריך תאימות GDPR שלנו מכסה היקף מסמכים. סקירת תאימות האבטחה שלנו מסבירה בקרות טכניות. לזיהוי PII ספרדי, ראו את מדריך זיהוי PII רב-לשוני שלנו.