AEPD Spānija: AI un darbinieku datu aizsardzības noteikumi
Atjaunināts 2026. gadam
AEPD: ES galvenais izpildītājs pēc apjoma
AEPD (Agencia Espanola de Proteccion de Datos) ir Spānijas privātuma uzraugs. Tā 2023. gadā izdeva 847 sodus. Neviena cita ES iestāde netuvojās šim skaitam. Kopējās sankcijas tajā gadā pārsniedza 12 miljonus eiro.
Aģentūra darbojas atšķirīgi no vairuma ES kolēģu. Tā nekoncentrējas tikai uz lieliem sodiem. Tā arī mērķē uz maziem uzņēmumiem, pašvaldībām un vidēja lieluma organizācijām. Tas izplata spiedienu visā Spānijas ekonomikā.
Galvenās izpildes jomas 2024. gadā:
- Kameras un biometriskās pārbaudes (29% gadījumu)
- Mārketings un nevēlami kontakti (24% gadījumu)
- Darbinieku uzraudzība un HR faili (18% gadījumu)
- AI sistēmas un automatizēti lēmumi (15% gadījumu — pieaug)
- Veselības un īpašo kategoriju dati (14% gadījumu)
AEPD AI DPIA noteikums
Regulatora 2024. gada Guia de adecuacion al RGPD de tratamientos con IA nosaka vienu skaidru noteikumu. Jebkuram AI rīkam, kas apstrādā personas datus, nepieciešama DPIA (datu ietekmes novērtēšana).
GDPR 35. pants prasa DPIA, ja apstrāde rada lielu risku. Tas ir konteksta tests. Spānijas iestāde pieņem stingrāku pieeju. Tās rokasgrāmata nosaka, ka jebkurš ML rīks, kas pieskarās personas datiem, aktivizē DPIA noteikumu. Pirmā gadījuma riska pārbaude nav nepieciešama.
Spānijas organizācijām jāveic un jāiesniedz DPIA par:
- Klientu apkalpošanas tērzēšanas robotiem
- Darbā pieņemšanas skrīninga rīkiem
- Mārketinga rīkiem
- Teksta apstrādes modeļiem (ieskaitot anonimizācijas rīkus)
- Jebkuru AI rīku, kas apstrādā darbinieku vai klientu datus
Katram Spānijā izmantotam rīkam nepieciešams savs DPIA fails. Tas attiecas pat uz šķietami zema riska rīkiem.
AEPD anonimizācijas standarti
Aģentūras anonimizācijas rokasgrāmata balstās uz CNIL darbu. Tā pievieno Spānijas raksturīgus noteikumus nacionālajiem ID:
Spānijas ID veidi:
- DNI (Documento Nacional de Identidad): 8 ciparu numurs ar pārbaudes burtu
- NIE (Numero de Identificacion de Extranjero): Burts + 7 cipari + burts, ārvalstniekiem
- NIF (Numero de Identificacion Fiscal): Tāds pats formāts kā DNI, nodokļu vajadzībām
- Numero de Seguridad Social: Spānijas sociālās apdrošināšanas numurs
Iestāde atzīmē, ka NER modeļi bieži nokavē NIE numurus. Spānijā ir liela imigrantu populācija. Pārbaudiet, vai jūsu rīki var atrast NIE, apstrādājot failus no ne-spāniski runājošiem pilsoņiem.
Spānijas vārdu modeļi:
Spāņu nosaukšanas praksē izmanto divus uzvārdus (apellidos compuestos). NER modeļi, kas apmācīti uz viena uzvārda kopām, šeit var kļūdīties. Vārds "Garcia Lopez, Juan Carlos" ir ar diviem uzvārdiem, nevis vienu. Spāņu NER modeļiem tas jāapstrādā pareizi.
AEPD darbinieku uzraudzības gadījumi
Astoņpadsmit procenti gadījumu ir saistīti ar darbinieku uzraudzību. Spānija ierobežo darba devēju kontroli saskaņā ar Estatuto de los Trabajadores (Darba likums). Regulators īsteno šos ierobežojumus kopā ar GDPR.
Galvenās iestādes pozīcijas:
- Keylogeri: Slēpta keylogeru izmantošana vairumā gadījumu ir GDPR pārkāpums. Ekrānuzņēmumu rīki prasa rakstisku pamatojumu un godīgas izmantošanas pārbaudi.
- GPS izsekošana: Atļauta darba transportlīdzekļos ar skaidru paziņojumu darbiniekiem. Nav atļauta personiskajos transportlīdzekļos.
- E-pasta pārbaudes: Atļautas ar iepriekšēju rakstisku paziņojumu un politiku. Satura pārskatīšanai nepieciešams papildu pamatojums.
- AI izsekošanas rīki: Jebkurš modelis, kas izseko darbinieku uzvedību, prasa DPIA. Piemēro arī EDPB noteikumi.
Automatizēta uzraudzība piesaista visvairāk uzmanības no Spānijas DPA.
AEPD atbilstoša AI dokumentācija
Spānijas organizācijām, kas izmanto AI rīkus, nepieciešami četri dokumentu komplekti.
1. AI sistēmu inventarizācija
Uzskaitiet katru rīku, kas apstrādā Spānijas personas datus. Atzīmējiet: sistēmas nosaukumu, pārdevēju, mērķi, datu veidus, glabāšanas periodu un DPA statusu.
2. DPIA katrai sistēmai
Izmantojiet aģentūras publicēto DPIA veidni. Aptveriet:
- Mērķi, tiesisko pamatu, datu veidus un saņēmējus
- Godīgas izmantošanas pārbaudi
- Riska pārskatu par ietekmētajām personām
- Riska kontroles: gan tehniskās, gan procesu
- DSP piezīmes (kur nepieciešams DSP)
3. Tehnisko kontrolu ieraksts
Katram rīkam atzīmējiet kontroles, kas bloķē nesankcionētu piekļuvi:
- Filtrēšana pirms nosūtīšanas (personas datu noņemšana pirms modeļa darbošanās)
- Piekļuves kontroles uz izvadēm
- Glabāšanas ierobežojumi un to izpilde
- Pārkāpumu atklāšana un reaģēšanas soļi
4. Darbinieku uzraudzības politika
Ja kāds rīks uzrauga darbiniekus, pievienojiet rakstisku politiku. Norādiet darbības jomu, informējiet darbiniekus, nosauciet tiesisko pamatu un parādiet godīgas izmantošanas pārbaudi.
AEPD auditi sākas ar inventarizāciju un DPIA. Organizācijas ar šiem failiem gatavībā daudz ātrāk atrisina auditus. Mūsu GDPR atbilstības rokasgrāmata aptver dokumentu jomu. Mūsu drošības atbilstības pārskats paskaidro tehniskās kontroles. Spānijas personas datu atklāšanai skatiet mūsu daudzvalodu personas datu atklāšanas rokasgrāmatu.