AEPD Spanyolország: DNI, NIE és latin-amerikai azonosítók
Spanyolország adatvédelmi hatósága, az AEPD 2023-ban 847 végrehajtási határozatot hozott — ez a legmagasabb szám bármely EU-s hatóság körében. Az egyes bírságok összege ugyan gyakran elmarad az ír DPC vagy a holland AP ügyeitől, de a mennyiség komoly kockázatot jelent minden spanyolországi tevékenységet folytató vállalkozás számára.
Az AEPD AI-végrehajtási kerete
Spanyolország adatvédelmi hatósága az EU legrészletesebb AI-iránymutatását tette közzé az adatvédelem területén. Ez két területet fed le.
AI és GDPR útmutató (2020, frissítve 2024-ben): Az útmutató DPIA-t (adatvédelmi hatásvizsgálatot) ír elő minden személyes adatokat feldolgozó AI-rendszerhez, akkor is, ha a GDPR 35. cikkének küszöbei nem érik el. Ez az EU egyik legtágabb DPIA-szabálya. Minden spanyol adatokon AI-t futtató vállalkozásnak indítás előtt el kell végeznie a DPIA-t.
A spanyol AI-törvény végrehajtása: Spanyolország az első EU-tagállamok egyike, amelynek nemzeti AI-nyilvántartása van a magas kockázatú rendszerekre vonatkozóan. Az AEPD az ország AI-felügyeleti szervével együttműködve érvényesíti az AI-törvény és a GDPR szabályait egyaránt. A vállalkozások mindkét hatóság részéről auditkockázattal szembesülnek.
Spanyol nemzeti azonosítók: A felismerési hiány
A generikus NLP-eszközök csupán 34%-os pontossággal ismerik fel a DNI és NIE azonosítókat spanyol dokumentumokban — derül ki az AEPD 2024-es jelentéséből. Minden azonosítónak van olyan szerkezete, amely megmagyarázza, miért csődölnek meg a generikus eszközök.
DNI: Nyolc számjegy és egy ellenőrző betű. A betű a szám 23-as osztási maradékából adódik, amelyet egy rögzített betűszekvenciára vetítenek le. Bizonyos betűk ki vannak zárva — a sorrend nem az A-tól Z-ig tart. Ez az algoritmus Spanyolország-specifikus; a generikus eszközök kihagyják. Egy csak a számjegymintát ellenőrző, modulus-lépés nélküli eszköz helytelen eredményt ad.
NIE: Egy előtag betű (X, Y vagy Z), hét számjegy, majd egy ellenőrző betű. A NIE Spanyolországban tartózkodó külföldi állampolgárok számára szól; adózási és közigazgatási célokat fed le. Az előtag különböző kibocsátási időszakokat jelöl. Az ellenőrző betű ugyanolyan algoritmussal számítandó, mint a DNI esetén. A NIE megjelenik munkaszerződésekben, adóbevallásokban és tartózkodási okmányokban.
CIF üzleti adóazonosító: Egy betű, hét számjegy és egy ellenőrző karakter. Az első betű a társaság típusát jelöli. Az ellenőrző karakter a DNI és a NIE eseténél eltérő algoritmust használ.
Egészségbiztosítási kártya: A spanyol egészségbiztosítási kártya formátuma régiónként eltér. Minden autonóm közösség saját formátumot alkalmaz, ami az automatizált felismerést nehezebbé teszi, mint egyetlen országos szabvány esetén.
Az EU-s országok azonosítóhiányairól bővebben az EU azonosítóhiány útmutatóban olvashat.
Latin-amerikai azonosítók: Megfelelőség több piacon
Spanyolország latin-amerikai kapcsolatai a megfelelőségi elvárásokat Spanyolország határain túl is kiterjesztik. Minden hispanofonikus piacokat kiszolgáló vállalkozásnak szélesebb körű PII-lefedettségre van szüksége.
Mexikó: A CURP egy 18 karakteres alfanumerikus kód, amely kódolja a születési dátumot, nemet, születési államot és névkezdeteket. Az RFC magánszemélyek esetén 13, vállalkozások esetén 12 karakteres adóazonosító. Mindkettő megjelenik foglalkoztatási és adódokumentumokban.
Argentína: A CUIL egy ellenőrző számjeggyel ellátott 11 jegyű szám. A CUIT azonos formátumú. Az argentin személyi igazolvány 7–8 jegyből áll. Mindhárom megjelenik bérszámfejtési, banki és kormányzati nyilvántartásokban.
Chile: A RUT és a RUN 7–9 számjegyből, egy kötőjelből és egy ellenőrző számjegyből áll. Az ellenőrző szám modulus-11 algoritmust alkalmaz. Minden chilei személy és vállalkozás rendelkezik ilyennel. A felismerésnek az ellenőrző számjegy lépését is implementálnia kell, hogy elkerülje a téves egyezéseket.
Kolumbia: A nemzeti személyi igazolvány 8–10 számjegyű. A NIT kilenc számjegyű ellenőrző számjeggyel, és vállalkozásokra vonatkozik.
A spanyol piacok teljes lefedettsége mind a spanyol EU-azonosítókat, mind a latin-amerikai nemzeti azonosítókat magában foglalja. A globális PII-azonosító útmutatónkban ezeket az USA SSN-jével, az indiai Aadhaar-ral és más nemzeti azonosítókkal hasonlítjuk össze.
Az AEPD 2024-es végrehajtási megoszlása
A 847 végrehajtási határozat az EU-ban a legmagasabb szám. A spanyol hatóság ezt a panaszok nagy számával és aktív ágazati vizsgálatokkal éri el. Az ügyek ágazatonként oszlanak meg:
Telekommunikáció és pénzügyi szolgáltatások: A határozatok 42%-a. Főbb problémák: jogosulatlan hitelellenőrzések, túlzott adatmegőrzés és hiányzó hozzájárulás a marketinghez.
Egészségügy és biztosítás: A határozatok 22%-a. Hozzájárulás nélkül megosztott egészségügyi adatok, gyenge de-azonosítás a kutatáshoz és biometrikus adatkezelés időpontfoglaló rendszerekben.
Foglalkoztatás: A határozatok 19%-a. Alkalmazotti megfigyelés, közösségimédia-szűrés és videomegfigyelés megfelelő tájékoztatás nélkül.
AI-rendszerek: Növekvő kategória. A hatóság több spanyol vállalkozásnál is megállapította, hogy befejezett DPIA nélkül futtatnak AI-rendszereket — ez megsérti az AEPD saját AI-útmutatóját.
A spanyol PII-megfelelőség technikai alapvonala a DNI és NIE felismerés ellenőrző betű validálásával. Ehhez hozzáadandó a spanyolnyelvű névfelismerés (NER), majd a teljes latin-amerikai lefedettséghez a CURP, RUT, CUIL és nemzeti személyigazolvány-szám felismerése.
A spanyol szabályok szerinti teljes DPIA-folyamatról az AEPD AI DPIA megfelelőségi útmutatóban olvashat.