AEPD Spanjolska: Pravila za AI i DPIA zaposlenika
Azurirano za 2026.
AEPD: Vodeji EU nositelj provedbe po volumenu
AEPD (Agencia Espanola de Proteccion de Datos) je spanjolski regulatorni organ za privatnost. Izdala je 847 kazni u 2023. Niti jedno drugo EU tijelo nije se niti priblizilo tom broju. Ukupne kazne te godine premasile su 12 milijuna eura.
Agencija radi drugacije od vecine EU kolega. Ne fokusira se samo na visoke kazne. Cilja i mala poduzeca, gradska vijeca i srednje organizacije. Time siri pritisak po cijelom spanjolskom gospodarstvu.
Najvise provodjeni podrucja u 2024.:
- Provjere kamera i biometrije (29% slucajeva)
- Marketing i nezatrazeni kontakti (24% slucajeva)
- Pracenje osoblja i HR datoteke (18% slucajeva)
- AI sustavi i automatizovane odluke (15% slucajeva -- u porastu)
- Zdravstveni i posebno kategorijalni zapisi (14% slucajeva)
AEPD-ovo DPIA pravilo za AI
Smjernica regulatora iz 2024. Guia de adecuacion al RGPD de tratamientos con IA postavlja jedno jasno pravilo. Svaki AI alat koji rukuje osobnim zapisima zahtijeva DPIA (Procjenu utjecaja na podatke).
Clanak 35. GDPR-a trazi DPIA-ove kada obrada predstavlja visoki rizik. To je kontekstualni test. Spanijolsko tijelo ima stroze stajaliste. Njegov vodic kaze da svaki ML alat koji dodiruje osobne zapise aktivira pravilo DPIA-a. Nije potrebna prethodna provjera rizika od slucaja do slucaja.
Spanjolske organizacije moraju pokrenuti i podnijeti DPIA-ove za:
- Chatbotove za korisnicki servis
- Alate za odabir zaposlenika
- Marketinske alate
- Modele za obradu teksta (ukljucujuci alate za anonimizaciju)
- Svaki AI alat koji rukuje zapisima osoblja ili kupaca
Svaki alat koji se koristi u Spanjolskoj zahtijeva vlastitu DPIA datoteku. Ovo se primjenjuje cak i ako alat izgleda niskorizicno.
Standardi anonimizacije AEPD-a
Smjernica o anonimizaciji agencije nadovezuje se na rad CNIL-a. Dodaje spanjolska specificna pravila za nacionalne ID-ove:
Spanjolski tipovi ID-a:
- DNI (Documento Nacional de Identidad): 8-znamenkasti broj plus kontrolno slovo
- NIE (Numero de Identificacion de Extranjero): Slovo + 7 znamenki + slovo, za strane drzavljane
- NIF (Numero de Identificacion Fiscal): Isti format kao DNI, koristi se za porez
- Numero de Seguridad Social: Spanjolski broj socijalnog osiguranja
Tijelo napominje da NER modeli cesto propustaju NIE brojeve. Spanjolska ima veliku imigrantsku populaciju. Provjerite mogu li vasi alati pronaci NIE-ove kada obradjujete datoteke od ne-spanjolskih drzavljana.
Spanjolski obrasci imena:
Spanjolsko imenovanje koristi dva prezimena (apellidos compuestos). NER modeli trenirani na skupovima s jednim prezimenom mogu zakazati ovdje. Ime "Garcia Lopez, Juan Carlos" ima dva prezimena, ne jedno. Spanjolski NER modeli moraju ovo rukovati.
Slucajevi pracenja zaposlenika AEPD-a
Osamnaest posto slucajeva ukljucuje pracenje osoblja. Spanjolska ogranicava kontrolu poslodavca prema Estatuto de los Trabajadores (Statutu radnika). Regulator provodi ta ogranicenja zajedno s GDPR-om.
Kljucna stajalistaa tijela:
- Keyloggeri: Tajno koristenje keyloggera je povreda GDPR-a u vecini slucajeva. Alati za snimanje zaslona zahtijevaju pisani dokaz i provjeru pravicne upotrebe.
- GPS pracenje: Dozvoljeno na sluzbenim vozilima uz jasnu obavijest zaposlenicima. Nije dopusteno na osobnim vozilima.
- Provjere e-poste: Dozvoljeno uz prethodnu pisanu obavijest i politiku. Pregled sadrzaja zahtijeva dodatni dokaz.
- AI alati za pracenje: Svaki model koji prati ponasanje osoblja zahtijeva DPIA. Primjenjuju se i EDPB pravila.
Automatizirani nadzor privlaci najveci nadzor spanjolskog DPA-a.
AEPD sukladna AI dokumentacija
Cetiri skupa dokumenata potrebna su za spanjolske organizacije koje koriste AI alate.
1. Popis AI sustava
Navedite svaki alat koji rukuje spanjolskim osobnim zapisima. Navedite: naziv sustava, dobavljaca, svrhu, vrste zapisa, period cuvanja i status DPA-a.
2. DPIA po sustavu
Koristite objavljeni DPIA predlozak agencije. Pokrijte:
- Svrhu, pravnu osnovu, vrste zapisa i primatelje
- Provjeru pravicne upotrebe
- Pregled rizika za pogodjene osobe
- Kontrole rizika: i tehnicke i procesne
- Biljeke DPO-a (gdje se DPO zahtijeva)
3. Zapis o tehnickim kontrolama
Za svaki alat navedite kontrole koje blokiraju neovlasteni pristup:
- Filtriranje prije slanja (uklanjanje PII-a prije pokretanja modela)
- Kontrole pristupa izlazima
- Ogranicenja zadrzavanja i njihova provedba
- Koraci za otkrivanje i odgovor na povrede
4. Politika pracenja osoblja
Ako neki alat prati osoblje, dodajte pisanu politiku. Navedite opseg, dajte obavijest zaposlenicima, imenujte pravnu osnovu i pokazite provjeru pravicne upotrebe.
AEPD revizije pocinju s popisom i DPIA-ovima. Organizacije s tim datotekama u pripremi rjesavaju revizije mnogo brze. Nas vodic za GDPR sukladnost pokriva opseg dokumenata. Nas pregled sigurnosne sukladnosti objasnjava tehnicke kontrole. Za spanjolsku PII detekciju pogledajte nas visejezicni vodic za PII detekciju.