AEPD Spanje: AI En Werknemers-DPA-Regels
Bijgewerkt voor 2026
AEPD: EU's Top Handhaver Op Volume
AEPD (Agencia Española de Protección de Datos) is Spanje's privacywaakhond. Het gaf in 2023 847 boetes uit. Geen enkele andere EU-instantie kwam in de buurt. Totale boetes dat jaar overtroffen €12 miljoen.
De instantie werkt anders dan de meeste EU-collega's. Het richt zich niet alleen op grote boetes. Het richt zich ook op kleine bedrijven, gemeentelijke overheden en middelgrote groepen. Dit spreidt druk over Spanje's economie.
Topgebieden gehandhaafd in 2024:
- Camera- en biometrische controles (29% van de gevallen)
- Marketing en niet-gevraagde contacten (24% van de gevallen)
- Personeelsmonitoring en HR-bestanden (18% van de gevallen)
- AI-systemen en geautomatiseerde beslissingen (15% van de gevallen — stijgend)
- Gezondheids- en bijzondere-categorie-records (14% van de gevallen)
AEPD's AI DPIA-Regel
De Guía de adecuación al RGPD de tratamientos con IA van de toezichthouder van 2024 stelt één duidelijke regel. Elk AI-tool dat persoonsgegevens verwerkt heeft een DPIA (Data Impact Assessment) nodig.
AVG-artikel 35 vraagt om DPIA's wanneer verwerking een hoog risico vormt. Dat is een contexttest. De Spaanse instantie neemt een strengere visie. De gids stelt dat elk ML-tool dat persoonsgegevens aanraakt de DPIA-regel triggert. Geen geval-per-geval risicocontrole is eerst nodig.
Spaanse groepen moeten DPIA's uitvoeren en indienen voor:
- Klantenservice-chatbots
- Wervingsselectietools
- Marketingtools
- Tekstverwerkingsmodellen (inclusief anonimiseringstools)
- Elk AI-tool dat medewerkers- of klantrecords verwerkt
Elk tool gebruikt in Spanje heeft zijn eigen DPIA-dossier nodig. Dit geldt zelfs als de tool laag-risico lijkt.
AEPD Anonimiseringsnormen
De anonimiseringsgids van de instantie bouwt voort op het werk van CNIL. Het voegt Spanje-specifieke regels toe voor nationale ID's:
Spaanse ID-typen:
- DNI (Documento Nacional de Identidad): 8-cijferig nummer plus een controleletter
- NIE (Número de Identificación de Extranjero): Letter + 7 cijfers + letter, voor buitenlandse onderdanen
- NIF (Número de Identificación Fiscal): Zelfde formaat als DNI, gebruikt voor belasting
- Número de Seguridad Social: Spaans Burgerservicenummer
De instantie merkt op dat NER-modellen NIE-nummers vaak missen. Spanje heeft een grote immigrantenpopulatie. Controleer of uw tools NIE's kunnen vinden wanneer u bestanden van niet-Spaanse onderdanen verwerkt.
Spaanse naampatronen:
Spaans naamgebruik heeft twee achternamen (apellidos compuestos). NER-modellen getraind op enkelvoudige-achternaamsets kunnen hier falen. De naam "García López, Juan Carlos" heeft twee achternamen, niet één. Spaanse NER-modellen moeten dit verwerken.
AEPD Werknemersmonitoring-Zaken
Achttien procent van de gevallen betreft personeelsmonitoring. Spanje beperkt werkgeverscontrole onder het Estatuto de los Trabajadores (Arbeidsstatuut). De toezichthouder handhaaft deze limieten naast de AVG.
Belangrijke standpunten van de instantie:
- Keyloggers: Covert keylogger-gebruik is in de meeste gevallen een AVG-inbreuk. Screenshot-tools hebben schriftelijk bewijs en een eerlijk-gebruik-controle nodig.
- GPS-tracking: Toegestaan op werkvoertuigen met duidelijke kennisgeving aan medewerkers. Niet toegestaan op privévoertuigen.
- E-mailcontroles: Toegestaan met voorafgaande schriftelijke kennisgeving en een beleid. Inhoudsreview heeft extra bewijs nodig.
- AI-trackingtools: Elk model dat medewerkergedrag bijhoudt heeft een DPIA nodig. EDPB-regels zijn ook van toepassing.
Geautomatiseerde monitoring trekt de meeste aandacht van Spanje's DPA.
AEPD-Conforme AI-Documentatie
Vier documentensets zijn vereist voor Spaanse groepen die AI-tools gebruiken.
1. AI-systeem inventaris
Maak een lijst van elk tool dat Spaanse persoonsgegevens verwerkt. Noteer: systeemnaam, leverancier, doel, recordtypen, bewaarperiode en DPA-status.
2. DPIA per systeem
Gebruik de gepubliceerde DPIA-sjabloon van de instantie. Dek:
- Doel, rechtsgrond, recordtypen en ontvangers
- Een eerlijk-gebruik-controle
- Een risicobeoordelinge voor getroffen personen
- Risicocontroles: zowel technisch als procesgericht
- DPO-aantekeningen (waar een DPO vereist is)
3. Technische controles-record
Noteer voor elk tool de controles die ongeoorloofde toegang blokkeren:
- Pre-indiening filtering (PII-verwijdering vóór het model draait)
- Toegangscontroles op outputs
- Bewaarlimieten en hun handhaving
- Inbreukdetectie en -responsstappen
4. Personeelsmonitoringbeleid
Als een tool medewerkers monitort, voeg een schriftelijk beleid toe. Geef het bereik aan, verstrek kennisgeving aan medewerkers, noem de rechtsgrond en toon een eerlijk-gebruik-controle.
AEPD-audits beginnen met de inventaris en DPIA's. Groepen met deze bestanden klaar lossen audits veel sneller op. Onze AVG-compliancegids dekt documentatiebereik. Ons beveiligingscomplianceoverzicht legt technische controles uit. Voor Spaanse PII-detectie, zie onze meertalige PII-detectiegids.