AEPD Hiszpania: AI, DPIA i Przepisy o Pracownikach
Zaktualizowano dla 2026 r.
AEPD: Unijny Lider w Liczbie Decyzji Egzekucyjnych
AEPD (Agencia Española de Protección de Datos) to hiszpański organ ochrony danych osobowych. W 2023 r. wydał 847 decyzji o nałożeniu kar — żaden inny unijny organ nie zbliżył się do tej liczby. Łączna kwota sankcji w tym roku przekroczyła 12 mln €.
Organ działa inaczej niż większość unijnych odpowiedników. Nie koncentruje się wyłącznie na dużych karach — piętnuje też małe firmy, urzędy gminne i średniej wielkości organizacje. Efektem jest rozłożenie presji regulacyjnej na całą gospodarkę Hiszpanii.
Główne obszary egzekwowania w 2024 r.:
- Kamery i kontrole biometryczne (29% spraw)
- Marketing i niezamówione kontakty (24% spraw)
- Monitorowanie pracowników i akta HR (18% spraw)
- Systemy AI i decyzje automatyczne (15% spraw — tendencja wzrostowa)
- Dane zdrowotne i szczególnych kategorii (14% spraw)
Zasada DPIA dla AI Według AEPD
Przewodnik organu z 2024 r. Guía de adecuación al RGPD de tratamientos con IA ustanawia jedną klarowną zasadę: każde narzędzie AI przetwarzające dane osobowe wymaga DPIA (oceny skutków dla ochrony danych).
Art. 35 RODO wymaga DPIA, gdy przetwarzanie może powodować wysokie ryzyko. To ocena kontekstowa. Organ hiszpański przyjmuje surowsze podejście — jego przewodnik stanowi, że każde narzędzie ML przetwarzające dane osobowe automatycznie uruchamia obowiązek przeprowadzenia DPIA, bez potrzeby uprzedniej oceny ryzyka w konkretnej sprawie.
Hiszpańskie organizacje muszą przeprowadzać i archiwizować DPIA dla:
- Chatbotów obsługi klienta
- Narzędzi do selekcji kandydatów do pracy
- Narzędzi marketingowych
- Modeli przetwarzania tekstu (w tym narzędzi do anonimizacji)
- Każdego narzędzia AI przetwarzającego dane pracowników lub klientów
Każde narzędzie stosowane w Hiszpanii wymaga odrębnego pliku DPIA — nawet jeśli pozornie wiąże się z niskim ryzykiem.
Standardy Anonimizacji Według AEPD
Przewodnik organu po anonimizacji bazuje na pracach CNIL i dodaje zasady specyficzne dla Hiszpanii dotyczące krajowych identyfikatorów:
Hiszpańskie identyfikatory:
- DNI (Documento Nacional de Identidad): 8-cyfrowy numer z literą kontrolną
- NIE (Número de Identificación de Extranjero): litera + 7 cyfr + litera, dla cudzoziemców
- NIF (Número de Identificación Fiscal): format jak DNI, stosowany w kontekście podatkowym
- Número de Seguridad Social: Numer ubezpieczenia społecznego
Organ wskazuje, że modele NER często pomijają numery NIE. Hiszpania ma dużą populację imigrantów — sprawdź, czy Twoje narzędzia wykrywają NIE w dokumentach obcokrajowców.
Wzorce nazw w języku hiszpańskim:
Hiszpańskie nazewnictwo obejmuje dwa nazwiska (apellidos compuestos). Modele NER wytrenowane na zbiorach danych z jednym nazwiskiem mogą zawodzić w tym kontekście. W nazwisku „García López, Juan Carlos” występują dwa człony, a nie jeden. Hiszpańskie modele NER muszą to uwzględniać.
Sprawy o Monitorowanie Pracowników Prowadzone przez AEPD
Osiem procent spraw dotyczy monitorowania pracowników. Hiszpania ogranicza uprawnienia pracodawców na mocy Estatuto de los Trabajadores (Ustawy o pracownikach), a organ egzekwuje te limity równolegle z RODO.
Kluczowe stanowiska organu:
- Keyloggery: Ukryte keyloggery w większości przypadków stanowią naruszenie RODO. Narzędzia do zrzutów ekranu wymagają pisemnego uzasadnienia i testu proporcjonalności.
- Śledzenie GPS: Dozwolone na pojazdach służbowych pod warunkiem powiadomienia pracowników. Niedozwolone na pojazdach prywatnych.
- Kontrola poczty elektronicznej: Dozwolona z wcześniejszym pisemnym powiadomieniem i polityką wewnętrzną. Przeglądanie treści wymaga dodatkowego uzasadnienia.
- Narzędzia AI do monitorowania: Każdy model śledzący zachowania pracowników wymaga DPIA. Zastosowanie mają również wytyczne EROD.
Automatyczne monitorowanie podlega w Hiszpanii najsurowszej kontroli.
Dokumentacja AI Zgodna z Wymogami AEPD
Hiszpańskie organizacje korzystające z narzędzi AI muszą dysponować czterema zestawami dokumentów.
1. Rejestr systemów AI
Wylistuj każde narzędzie przetwarzające hiszpańskie dane osobowe. Dla każdego wskaż: nazwę systemu, dostawcę, cel, rodzaje danych, okres przechowywania i status DPA.
2. DPIA dla każdego systemu
Skorzystaj z opublikowanego przez organ szablonu DPIA. Uwzględnij:
- Cel, podstawę prawną, rodzaje danych i odbiorców
- Test proporcjonalności
- Ocenę ryzyka dla osób, których dane dotyczą
- Środki kontroli ryzyka: techniczne i organizacyjne
- Stanowisko IOD (tam, gdzie jest wymagany)
3. Rejestr środków technicznych
Dla każdego narzędzia wskaż środki blokujące nieuprawniony dostęp:
- Filtrowanie przed przesłaniem (usuwanie danych osobowych przed uruchomieniem modelu)
- Kontrola dostępu do wyników
- Limity retencji i sposób ich egzekwowania
- Procedury wykrywania i reagowania na naruszenia
4. Polityka monitorowania pracowników
Jeśli jakiekolwiek narzędzie monitoruje pracowników — dołącz pisemną politykę. Określ zakres, poinformuj pracowników, wskaż podstawę prawną i przeprowadź test proporcjonalności.
Kontrole AEPD zaczynają się od rejestru i DPIA. Organizacje z gotową dokumentacją kończą audyty znacznie szybciej. Nasz przewodnik po zgodności z RODO opisuje zakres wymaganej dokumentacji. Nasz przegląd zgodności zabezpieczeń wyjaśnia środki techniczne. Informacje o wykrywaniu hiszpańskich danych osobowych znajdziesz w naszym przewodniku po wielojęzycznym wykrywaniu danych osobowych.