AEPD sebagai Penegak EU Paling Produktif Berdasarkan Volume
Agencia Española de Protección de Datos (AEPD) Spanyol adalah DPA paling aktif di EU berdasarkan jumlah tindakan penegakan, menerbitkan 847 resolusi sanksi pada 2023 — lebih banyak dari semua DPA EU lainnya digabungkan berdasarkan volume. Total denda AEPD pada 2023 melebihi €12 juta dalam resolusi-resolusi ini.
Volume tinggi ini mencerminkan pendekatan penegakan AEPD: tidak seperti DPA yang fokus pada denda besar-besaran terhadap perusahaan besar, AEPD mengeluarkan sejumlah besar denda yang lebih kecil terhadap UKM, pemerintah daerah, dan organisasi individual, menciptakan tekanan kepatuhan yang luas di seluruh perekonomian Spanyol.
Area fokus penegakan AEPD pada 2024:
- Pengawasan video dan data biometrik (29% kasus)
- Pemasaran dan komunikasi yang tidak diminta (24% kasus)
- Pemantauan karyawan dan data SDM (18% kasus)
- Sistem AI dan pengambilan keputusan otomatis (15% kasus — meningkat dari tahun ke tahun)
- Data kesehatan dan kategori khusus (14% kasus)
Persyaratan DPIA AI Unik AEPD
Panduan AEPD 2024 "Guía de adecuación al RGPD de tratamientos con IA" (Panduan Kepatuhan GDPR untuk Pemrosesan AI) melampaui garis dasar GDPR dalam satu persyaratan signifikan: AEPD mensyaratkan Penilaian Dampak Perlindungan Data (DPIA) untuk sistem AI apa pun yang memproses data pribadi.
Berdasarkan Pasal 35 GDPR, DPIA diperlukan untuk pemrosesan yang "kemungkinan besar mengakibatkan risiko tinggi" terhadap hak dan kebebasan subjek data — sebuah penilaian kontekstual. Panduan AEPD mengambil pendekatan yang lebih kategoris: sistem AI apa pun yang memproses data pribadi memicu persyaratan DPIA.
Ini berarti organisasi Spanyol harus melakukan dan mendokumentasikan DPIA untuk:
- Chatbot layanan pelanggan
- Alat penyaringan rekrutmen SDM
- Algoritma personalisasi pemasaran
- AI pemrosesan dokumen (termasuk AI anonimisasi)
- Alat AI apa pun yang memproses data karyawan atau pelanggan
Implikasi praktisnya: organisasi yang menggunakan alat AI di Spanyol harus memiliki dokumentasi DPIA untuk setiap alat, meskipun alat tersebut banyak digunakan dan dianggap berisiko rendah oleh organisasi.
Standar Anonimisasi Teknis AEPD
Panduan anonimisasi AEPD dipengaruhi oleh "Guide pratique de l'anonymisation" CNIL namun menambahkan persyaratan spesifik Spanyol:
Pengidentifikasi nasional Spanyol:
- DNI (Documento Nacional de Identidad): nomor 8 digit + digit cek huruf
- NIE (Número de Identificación de Extranjero): Huruf + 7 digit + huruf, untuk warga negara asing
- NIF (Número de Identificación Fiscal): Setara dengan DNI untuk keperluan pajak
- Número de Seguridad Social: Format nomor Jaminan Sosial
Panduan AEPD mencatat bahwa model NER Spanyol sering melewatkan nomor NIE, yang umum di populasi imigran Spanyol yang signifikan. Organisasi yang memproses data warga negara non-Spanyol di Spanyol harus memverifikasi kemampuan deteksi NIE.
Konteks spesifik Spanyol: Panduan AEPD membahas tantangan spesifik nama Spanyol — tradisi penamaan dua nama belakang (apellidos compuestos) menciptakan tantangan deteksi nama bagi model NER yang dilatih terutama pada konvensi penamaan satu nama belakang. NER berbahasa Spanyol harus menangani: "García López, Juan Carlos" — di mana "García" dan "López" keduanya adalah nama belakang, bukan nama belakang gabungan + nama depan.
Penegakan Pemantauan Karyawan AEPD
18% kasus AEPD yang melibatkan pemantauan karyawan mencerminkan penegakan aktif Spanyol atas pembatasan pengawasan majikan. Statuta Pekerja Spanyol (Estatuto de los Trabajadores) membatasi hak pemantauan majikan, dan AEPD telah agresif dalam menegakkan batasan-batasan ini bersama GDPR.
Putusan utama AEPD tentang pemantauan karyawan:
- Keylogger dan pemantauan tangkapan layar: AEPD menganggap instalasi keylogger tersembunyi sebagai pelanggaran GDPR dalam sebagian besar konteks; pemantauan tangkapan layar yang transparan memerlukan justifikasi yang terdokumentasi dan penilaian proporsionalitas
- Pelacakan GPS: Diizinkan untuk kendaraan kerja dengan pemberitahuan transparan; dilarang untuk kendaraan pribadi
- Pemantauan email: Diizinkan dengan pemberitahuan sebelumnya dan kebijakan yang terdokumentasi; analisis konten memerlukan justifikasi tambahan
- Pemantauan kinerja AI: Sistem AI yang menilai kinerja karyawan melalui analisis perilaku memerlukan DPIA eksplisit dan kepatuhan panduan EDPB
Organisasi yang menerapkan alat AI yang memantau atau menganalisis perilaku karyawan (termasuk analitik produktivitas, pemantauan komunikasi, dan pelacakan kehadiran) menghadapi pengawasan AEPD yang spesifik.
Membangun Dokumentasi AI yang Patuh AEPD
Untuk organisasi Spanyol yang mengimplementasikan alat AI, tumpukan dokumentasi yang patuh AEPD:
1. Inventaris Sistem AI: Dokumentasikan semua sistem AI yang memproses data pribadi Spanyol: nama sistem, vendor, tujuan, kategori data yang diproses, periode retensi, status DPA.
2. DPIA untuk setiap sistem AI: Mengikuti templat DPIA sederhana AEPD (tersedia di situs web AEPD):
- Deskripsi pemrosesan: tujuan, dasar hukum, kategori data, penerima
- Penilaian kebutuhan dan proporsionalitas
- Penilaian risiko: risiko bagi subjek data
- Tindakan mitigasi risiko: kontrol teknis dan organisasi
- Catatan konsultasi DPO (jika DPO diperlukan)
3. Dokumentasi kontrol teknis: Untuk setiap sistem AI, dokumentasikan tindakan teknis yang mencegah akses data pribadi yang tidak sah:
- Filter sebelum pengiriman (deteksi + penghapusan PII sebelum pemrosesan AI)
- Kontrol akses pada data yang diproses
- Penegakan retensi
- Deteksi dan respons pelanggaran
4. Kebijakan pemantauan karyawan: Jika ada sistem AI yang memantau karyawan: kebijakan tertulis yang mendokumentasikan cakupan pemantauan, pemberitahuan kepada karyawan, dasar hukum, dan penilaian proporsionalitas.
Inspeksi AEPD biasanya pertama-tama meminta inventaris sistem AI dan DPIA. Organisasi dengan dokumentasi yang sudah ada sebelumnya menyelesaikan inspeksi jauh lebih cepat daripada mereka yang melakukan penilaian secara reaktif.
Sumber: