AEPD Spania: AI og regler for ansattes DPA
Oppdatert for 2026
AEPD: EUs topp-haandhever etter volum
AEPD (Agencia Espanola de Proteccion de Datos) er Spanias personvernovervaker. Den utstedte 847 boter i 2023. Ingen annen EU-institusjon kom naer. Totale sanksjoner det aret oversteg 12 millioner euro.
Myndigheten fungerer annerledes enn de fleste europeiske tilsvarende. Den fokuserer ikke bare pa store boter. Den retter seg ogsaa mot smaa virksomheter, kommuner og mellomstore grupper. Dette sprer presset utover den spanske okonomi.
Topp-haandhevede omrader i 2024:
- Kamera- og biometriske kontroller (29 prosent av sakene)
- Markedsforing og uoppfordrede henvendelser (24 prosent av sakene)
- Personalovervaaking og HR-filer (18 prosent av sakene)
- AI-systemer og automatiske avgjorelser (15 prosent av sakene - stigende)
- Helse- og saerklasseregistre (14 prosent av sakene)
AEPDs AI DPIA-regel
Mydighetens 2024-veiledning Guia de adecuacion al RGPD de tratamientos con IA setter en klar regel. Ethvert AI-verktoy som haandterer personopplysninger, krever en DPIA (Konsekvensvurdering for personvern).
GDPR artikkel 35 krever DPIA-er nar behandling medforer hoy risiko. Det er en kontekstest. Den spanske myndigheten inntar et strengere syn. Dens veiledning sier at ethvert ML-verktoy som beroerer personopplysninger, utloser DPIA-regelen. Ingen saksbasert risikosjekk er nodvendig foer.
Spanske organisasjoner maa kjore og arkivere DPIA-er for:
- Kundeservice-chatboter
- Screeningverktoy for ansettelse
- Markedsforingsverktoy
- Tekstbehandlingsmodeller (inkludert anonymiseringsverktoy)
- Ethvert AI-verktoy som haandterer ansatt- eller kundeopplysninger
Hvert verktoy brukt i Spania trenger sin egen DPIA-fil. Dette gjelder selv om verktoyaet virker lavrisiko.
AEPDs anonymiseringsstandarder
Mydighetens anonymiseringsveiledning bygger pa CNILs arbeid. Den legger til spansk-spesifikke regler for nasjonale ID-er:
Spanske ID-typer:
- DNI (Documento Nacional de Identidad): 8-sifret tall pluss en kontrollbokstav
- NIE (Numero de Identificacion de Extranjero): Bokstav + 7 siffer + bokstav, for utenlandske statsborgere
- NIF (Numero de Identificacion Fiscal): Samme format som DNI, brukt for skatt
- Numero de Seguridad Social: Spansk trygdenummer
Myndigheten bemerker at NER-modeller ofte overser NIE-numre. Spania har en stor innvandrerbefolkning. Kontroller at verktoyene dine kan finne NIE-er nar du behandler filer fra ikke-spanske borgere.
Spanske namnemonstre:
Spansk navngivning bruker to etternavn (apellidos compuestos). NER-modeller trent pa enkelt-etternavn-sett kan svikte her. Navnet "Garcia Lopez, Juan Carlos" har to etternavn, ikke ett. Spanske NER-modeller maa haandtere dette.
AEPDs saker om personalovervaaking
Atten prosent av sakene omhandler personalovervaaking. Spania begrenser arbeidsgiverkontroll etter Estatuto de los Trabajadores (arbeidstakerstatuttet). Tilsynsmyndigheten haandhever disse grensene parallelt med GDPR.
Viktige posisjoner fra myndigheten:
- Tasteloggere: Skjult tastaturlogging er i de fleste tilfeller et GDPR-brudd. Skjermbildeverktoy krever skriftlig bevis og en forholdsmessighetssjekk.
- GPS-sporing: Tillatt pa firmakjoretoyer med tydelig varsel til ansatte. Ikke tillatt pa privatbiler.
- E-postkontroll: Tillatt med skriftlig forhandsvarsel og en policy. Innholdsgjennomgang krever ytterligere bevis.
- AI-sporingsverktoy: Enhver modell som sporer ansattes atferd, krever en DPIA. EDPB-regler gjelder ogsaa.
Automatisert overvaaking tiltrekker seg mest oppmerksomhet fra Spanias DPA.
AEPD-kompatibel AI-dokumentasjon
Fire dokumentsett kreves for spanske organisasjoner som bruker AI-verktoy.
1. AI-systeminventar
List opp hvert verktoy som haandterer spanske personopplysninger. Merk: systemnavn, leverandor, formal, opplysningstyper, oppbevaringsperiode og DPA-status.
2. DPIA per system
Bruk myndighetens publiserte DPIA-mal. Dekk:
- Formal, rettslig grunnlag, opplysningstyper og mottakere
- En forholdsmessighetssjekk
- En risikovurdering for berorte personer
- Risikokontroller: baade tekniske og prosessmessige
- DPO-merknader (der DPO er paalagt)
3. Tekniske kontroller-register
For hvert verktoy, noter kontrollene som blokkerer uautorisert tilgang:
- Foer-sending-filtrering (PII-fjerning foer modellen kjorer)
- Tilgangskontroller pa utdata
- Oppbevaringsbegrensninger og haaandheving av disse
- Oppdagelse av og respons pa brudd
4. Policy for personalovervaaking
Dersom et verktoy overvaaker ansatte, legg til en skriftlig policy. Angi omfanget, gi varsel til ansatte, navngi det rettslige grunnlaget, og vis en forholdsmessighetssjekk.
AEPD-revisjoner starter med inventaret og DPIA-ene. Organisasjoner med disse filene klare, avslutter revisjoner mye raskere. Vaar GDPR-samsvarveiledning dekker dokumentomfanget. Vaar oversikt over sikkerhetssamsvar forklarer tekniske kontroller. For spansk PII-deteksjon, se vaar flerspraklige PII-deteksjonsveiledning.