AEPD Ispanija: DI ir darbuotojų duomenų apsaugos taisyklės
Atnaujinta 2026 m.
AEPD: ES pirmavimas pagal apimtį
AEPD (Agencia Espanola de Proteccion de Datos) yra Ispanijos privatumo priežiūros institucija. Ji 2023 m. išdavė 847 baudas. Jokia kita ES institucija nepriartėjo. Bendros baudos tais metais viršijo 12 mln. eurų.
Institucija veikia kitaip nei dauguma ES kolegų. Ji nesutelkia dėmesio tik į dideles baudas. Ji taip pat taikosi į mažas firmas, savivaldybes ir vidutinio dydžio grupes. Tai skleidžia spaudimą visoje Ispanijos ekonomikoje.
Pagrindinės vykdymo sritys 2024 m.:
- Kameros ir biometrinės patikros (29% atvejų)
- Rinkodara ir nepageidaujami kontaktai (24% atvejų)
- Darbuotojų stebėsena ir personalo bylos (18% atvejų)
- DI sistemos ir automatiniai sprendimai (15% atvejų – augantis)
- Sveikatos ir specialios kategorijos duomenys (14% atvejų)
AEPD DI PŠV taisyklė
Reguliatoriaus 2024 m. "Guia de adecuacion al RGPD de tratamientos con IA" nustato vieną aiškią taisyklę. Bet kokia DI priemonė, tvarkanti asmens duomenis, reikalauja PŠV (Duomenų apsaugos poveikio vertinimo).
BDAR 35 straipsnis reikalauja PŠV, kai tvarkymas kelia didelę riziką. Tai yra kontekstinė patikra. Ispanijos institucija laikosi griežtesnio požiūrio. Jos gairės teigia, kad bet kuri mašininio mokymosi priemonė, liečianti asmens duomenis, suaktyvina PŠV taisyklę. Pirmiausia nereikia atlikti jokio atvejo pagrindu veikiančio rizikos patikrinimo.
Ispanijos organizacijos turi vykdyti ir registruoti PŠV šiems atvejams:
- Klientų aptarnavimo pokalbių robotai
- Samdymo atrankos priemonės
- Rinkodaros priemonės
- Teksto apdorojimo modeliai (įskaitant anoniminimo priemones)
- Bet kokia DI priemonė, tvarkanti darbuotojų ar klientų duomenis
Kiekvienai Ispanijoje naudojamai priemonei reikalingas atskiras PŠV failas. Tai taikoma net jei priemonė atrodo mažos rizikos.
AEPD anoniminimo standartai
Institucijos anoniminimo gairės remiasi CNIL darbu. Jos prideda Ispanijai būdingas taisykles dėl nacionalinių ID:
Ispanijos ID tipai:
- DNI (Documento Nacional de Identidad): 8 skaitmenų numeris ir patikros raidė
- NIE (Numero de Identificacion de Extranjero): Raidė + 7 skaitmenys + raidė, užsieniečiams
- NIF (Numero de Identificacion Fiscal): Tas pats formatas kaip DNI, naudojamas mokesčiams
- Numero de Seguridad Social: Ispanijos socialinio draudimo numeris
Institucija pažymi, kad NER modeliai dažnai praleiskia NIE numerius. Ispanijoje gyvena daug imigrantų. Patikrinkite, ar jūsų priemonės gali rasti NIE apdorojant failų iš neispanų.
Ispanijos vardų modeliai:
Ispaniškuose varduose naudojamos dvi pavardės (apellidos compuestos). NER modeliai, apmokyti vienos pavardės rinkiniuose, čia gali klysti. Vardas "Garcia Lopez, Juan Carlos" turi dvi pavardes, o ne vieną. Ispanų NER modeliai turi tai spręsti.
AEPD darbuotojų stebėsenos atvejai
Aštuoniolika procentų atvejų susijusi su darbuotojų stebėsena. Ispanija riboja darbdavio kontrolę pagal "Estatuto de los Trabajadores" (Darbuotojų statutą). Reguliuotojas vykdo šiuos apribojimus kartu su BDAR.
Pagrindinės institucijos pozicijos:
- Klavišų registratoriai: Slaptų klavišų registratorių naudojimas daugeliu atvejų yra BDAR pažeidimas. Ekrano fiksavimo priemonės reikalauja rašytinio įrodymo ir sąžiningumo patikrinimo.
- GPS sekimas: Leidžiama darbo transporto priemonėse su aiškiu pranešimu darbuotojams. Neleidžiama asmeninėse transporto priemonėse.
- El. pašto tikrinimas: Leidžiama su išankstiniu rašytiniu pranešimu ir politika. Turinio peržiūra reikalauja papildomų įrodymų.
- DI sekimo priemonės: Bet koks modelis, sekantis darbuotojų elgesį, reikalauja PŠV. Taip pat taikomos EDPB taisyklės.
Automatizuota stebėsena sulaukia daugiausia dėmesio iš Ispanijos DPA.
AEPD atitinkanti DI dokumentacija
Ispanijos organizacijoms, naudojančioms DI priemones, reikalingi keturi dokumentų rinkiniai.
1. DI sistemų inventorius
Surašykite kiekvieną priemonę, tvarkančią Ispanijos asmens duomenis. Nurodykite: sistemos pavadinimą, tiekėją, tikslą, duomenų tipus, saugojimo laikotarpį ir DTS statusą.
2. PŠV kiekvienai sistemai
Naudokite institucijos paskelbtą PŠV šabloną. Apimkite:
- Tikslą, teisinį pagrindą, duomenų tipus ir gavėjus
- Sąžiningumo patikrinimą
- Rizikos vertinimą paveiktiems asmenims
- Rizikos kontrolę: tiek technines, tiek procedūrines
- DAP pastabas (kur reikalingas DAP)
3. Techninių kontrolės priemonių įrašas
Kiekvienai priemonei nurodykite kontrolės priemones, blokuojančias neteisėtą prieigą:
- Filtravimas prieš siuntimą (asmens duomenų pašalinimas prieš modelio veikimą)
- Prieigos kontrolė rezultatams
- Saugojimo apribojimai ir jų vykdymas
- Pažeidimų aptikimas ir reagavimo veiksmai
4. Darbuotojų stebėsenos politika
Jei bet kokia priemonė stebi darbuotojus, pridėkite rašytinę politiką. Nustatykite apimtį, informuokite darbuotojus, nurodykite teisinį pagrindą ir atlikite sąžiningumo patikrinimą.
AEPD auditai pradedami nuo inventoriaus ir PŠV. Organizacijos, turėdamos šiuos failus paruoštus, auditų klausimus sprendžia daug greičiau. Mūsų BDAR atitikties vadovas apima dokumentų apimtį. Mūsų saugumo atitikties apžvalga paaiškina technines kontrolės priemones. Ispanijos asmens duomenų aptikimui žr. mūsų daugiakalbio asmens duomenų aptikimo vadovą.