AEPD ספרד: DNI, NIE ומזהים לטינו-אמריקאים
רשות הגנת הנתונים הספרדית, AEPD, הוציאה 847 החלטות אכיפה ב-2023. זהו המספר הגבוה ביותר של כל רגולטור באיחוד האירופי. קנסות בודדים לעיתים קרובות קטנים יותר ממקרי DPC האירי או AP ההולנדי. אך הנפח יוצר סיכון אמיתי לכל חברה עם פעילות ספרדית.
מסגרת אכיפת AI של AEPD
הרגולטור הספרדי פרסם את ההנחיות המפורטות ביותר לאיחוד האירופי בנושא AI להגנת נתונים. היא מכסה שני תחומים.
מדריך AI ו-GDPR (2020, עודכן 2024): מדריך זה מחייב DPIA לכל מערכת AI שמעבדת נתונים אישיים. הוא חל גם כאשר ספי סעיף 35 של GDPR לא הושגו. זוהי אחת מכללי DPIA הרחבים ביותר באיחוד האירופי. כל חברה שמפעילה AI על נתונים ספרדיים חייבת לבצע DPIA לפני השקה.
יישום חוק AI הספרדי: ספרד היא מבין המדינות הראשונות באיחוד האירופי עם רישום AI לאומי למערכות בסיכון גבוה. AEPD עובדת עם גוף פיקוח AI הספרדי. יחד הם אוכפים הן את כללי חוק AI והן את כללי GDPR. חברות עומדות בפני סיכון ביקורת משתי הרשויות.
מזהים לאומיים ספרדיים: פער הזיהוי
כלי NLP גנריים מזהים DNI ו-NIE ב-34% דיוק בלבד במסמכים ספרדיים. AEPD דיווחה על כך בדוח 2024 שלה. לכל מזהה יש מבנה המסביר מדוע כלים גנריים נכשלים.
DNI: שמונה ספרות בתוספת אות ביקורת אחת. האות נובעת מהשאר של המספר כשמחולק ב-23. ערך זה ממופה לרצף אותיות קבוע. אותיות מסוימות מוחרגות — זה לא A-Z. האלגוריתם ייעודי לספרד. כלים גנריים מדלגים עליו. כלי הבודק רק את תבנית הספרות, ללא שלב המודולוס, מייצר תוצאות שגויות.
NIE: אות קידומת אחת (X, Y, או Z), שבע ספרות, ואות ביקורת. ה-NIE מיועד לאזרחים זרים בספרד. הוא מכסה שימוש מס ומנהלי. כל קידומת משקפת תקופת הנפקה שונה. אות הביקורת משתמשת באותו אלגוריתם כמו DNI. ה-NIE מופיע בחוזי עבודה, דיווחי מס ורשומות מגורים.
CIF (מזהה מס עסקי): אות אחת ועוד שבע ספרות ועוד תו ביקורת. האות הפותחת מציינת סוג החברה. תו הביקורת משתמש באלגוריתם נפרד מ-DNI ו-NIE.
כרטיס בריאות: פורמט כרטיס הבריאות הספרדי משתנה לפי אזור. כל קהילה אוטונומית משתמשת בפורמט משלה. זה מקשה על זיהוי אוטומטי בהשוואה לסטנדרט לאומי יחיד.
למידע נוסף על פערי מזהים בין מדינות האיחוד האירופי, ראו את מדריך פערי המזהים האירופי שלנו.
מזהים לטינו-אמריקאים: עמידה פני שווקים
קשרי ספרד לאמריקה הלטינית דוחפים את דרישות העמידה מעבר לספרד. כל חברה המשרתת שווקים דוברי ספרדית זקוקה לכיסוי PII רחב יותר.
מקסיקו: ה-CURP הוא קוד אלפאנומרי בן 18 תווים. הוא מקדד תאריך לידה, מין, מדינת לידה ואותיות ראשוניות של שם. ה-RFC הוא מזהה מס בן 13 תווים ליחידים ו-12 תווים לחברות. שניהם מופיעים ברשומות תעסוקה ומס.
ארגנטינה: ה-CUIL הוא מספר בן 11 ספרות עם ספרת ביקורת. ה-CUIT משתמש באותו פורמט. תעודת הזהות הארגנטינאית כוללת 7 עד 8 ספרות. שלושתם מופיעים ברשומות שכר, בנקאות וממשל.
צ'ילה: ה-RUT וה-RUN הם 7 עד 9 ספרות, מקף וספרת ביקורת. הבדיקה משתמשת באלגוריתם מודולוס-11. לכל אדם ועסק בצ'ילה יש אחד. הזיהוי חייב להטמיע את שלב ספרת הביקורת כדי למנוע התאמות שגויות.
קולומביה: תעודת הזהות הלאומית היא 8 עד 10 ספרות. ה-NIT הוא תשע ספרות ועוד ספרת ביקורת וחל על עסקים.
כיסוי מלא לשווקים דוברי ספרדית פירושו הן מזהים ספרדיים של האיחוד האירופי והן מזהים לאומיים לטינו-אמריקאים. מדריך מזהי PII הגלובלי שלנו משווה אותם ל-SSN האמריקאי, Aadhaar ההודי ומזהים לאומיים אחרים.
פירוט אכיפת AEPD ב-2024
847 החלטות אכיפה הוא המספר הגבוה ביותר באיחוד האירופי. הרגולטור הספרדי משיג זאת באמצעות גבוה ניהול תלונות וסיורים אקטיביים בסקטורים. המקרים מתפלגים לפי סקטור:
תקשורת ושירותים פיננסיים: 42% מההחלטות. בעיות עיקריות: בדיקות אשראי ללא אישור, שמירה מופרזת והיעדר הסכמה לשיווק.
בריאות וביטוח: 22% מההחלטות. נתוני בריאות שמשותפים ללא הסכמה, זיהוי-כמעט חלש למחקר ועיבוד ביומטרי למערכות תורים.
תעסוקה: 19% מההחלטות. ניטור עובדים, סינון מדיה חברתית ומצלמות אבטחה ללא הודעה מתאימה.
מערכות AI: קטגוריה הולכת וגדלה. הרשות מצאה מספר חברות ספרדיות שמפעילות AI ללא DPIAs מושלמים. זה מפר את המדריך שלה לAI.
הבסיס הטכני לעמידה ב-PII הספרדי הוא זיהוי DNI ו-NIE עם אימות אות ביקורת. הוסיפו זיהוי ישויות בשמות בספרדית. לאחר מכן הוסיפו כיסוי CURP, RUT, CUIL וכרטיס זהות לאומי לתמיכה לטינו-אמריקאית מלאה.
ראו את מדריך עמידת DPIA ל-AI של AEPD שלנו לתהליך DPIA המלא תחת הכללים הספרדיים.