AEPD como o Executor Mais Prolífico da UE em Volume
A Agência Espanhola de Proteção de Dados (AEPD) é a DPA mais ativa da UE em número de ações de execução, emitindo 847 resoluções sancionatórias em 2023 — mais do que todas as outras DPAs da UE combinadas em volume. O total de multas da AEPD em 2023 ultrapassou €12M em resoluções.
O alto volume reflete a abordagem de execução da AEPD: ao contrário das DPAs que se concentram em multas históricas contra grandes corporações, a AEPD emite um número significativo de multas menores contra PMEs, governos municipais e organizações individuais, criando uma ampla pressão de conformidade em toda a economia espanhola.
As áreas de foco da AEPD para execução em 2024:
- Vigilância por vídeo e dados biométricos (29% dos casos)
- Marketing e comunicações não solicitadas (24% dos casos)
- Monitoramento de funcionários e dados de RH (18% dos casos)
- Sistemas de IA e tomada de decisão automatizada (15% dos casos — aumentando ano após ano)
- Dados de saúde e dados de categoria especial (14% dos casos)
Requisito Único de DPIA de IA da AEPD
A "Guía de adequación al RGPD de tratamientos con IA" (Guia sobre Conformidade com o GDPR para Tratamentos de IA) da AEPD de 2024 vai além da linha de base do GDPR em um requisito significativo: a AEPD exige uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) para qualquer sistema de IA que processe dados pessoais.
Sob o Artigo 35 do GDPR, as DPIAs são exigidas para o processamento "provavelmente resultará em um alto risco" aos direitos e liberdades dos titulares de dados — uma avaliação contextual. A orientação da AEPD adota uma abordagem mais categórica: qualquer sistema de IA que processe dados pessoais aciona o requisito de DPIA.
Isso significa que as organizações espanholas devem conduzir e documentar DPIAs para:
- Chatbots de atendimento ao cliente
- Ferramentas de triagem de recrutamento de RH
- Algoritmos de personalização de marketing
- IA de processamento de documentos (incluindo IA de anonimização)
- Qualquer ferramenta de IA que processe dados de funcionários ou clientes
A implicação prática: as organizações que usam ferramentas de IA na Espanha devem ter documentação de DPIA para cada ferramenta, mesmo que a ferramenta seja amplamente utilizada e considerada de baixo risco pela organização.
Padrões Técnicos de Anonimização da AEPD
A orientação de anonimização da AEPD é influenciada pelo "Guide pratique de l'anonymisation" da CNIL, mas adiciona requisitos específicos da Espanha:
Identificadores nacionais espanhóis:
- DNI (Documento Nacional de Identidade): número de 8 dígitos + letra de verificação
- NIE (Número de Identificação de Estrangeiro): Letra + 7 dígitos + letra, para estrangeiros
- NIF (Número de Identificação Fiscal): Equivalente ao DNI para fins fiscais
- Número de Segurança Social: formato do número da Segurança Social
A orientação da AEPD observa que os modelos de NER espanhóis frequentemente não detectam números de NIE, que são comuns na significativa população imigrante da Espanha. As organizações que processam dados de não nacionais espanhóis na Espanha devem verificar a capacidade de detecção de NIE.
Contexto específico da Espanha: A orientação da AEPD aborda o desafio específico dos nomes espanhóis — a tradição de nomes compostos (apellidos compuestos) cria desafios de detecção de nomes para modelos de NER treinados principalmente em convenções de nomes de sobrenome único. O NER em espanhol deve lidar com: "García López, Juan Carlos" — onde tanto "García" quanto "López" são sobrenomes, não um sobrenome composto + nome próprio.
Execução do Monitoramento de Funcionários pela AEPD
Os 18% dos casos da AEPD envolvendo monitoramento de funcionários refletem a ativa execução das restrições à vigilância por parte do empregador na Espanha. O Estatuto dos Trabalhadores (Estatuto de los Trabajadores) limita os direitos de monitoramento do empregador, e a AEPD tem sido agressiva na aplicação dessas limitações juntamente com o GDPR.
Principais decisões da AEPD sobre monitoramento de funcionários:
- Keyloggers e monitoramento de capturas de tela: A AEPD considera a instalação clandestina de keyloggers uma violação do GDPR na maioria dos contextos; o monitoramento transparente de capturas de tela requer justificativa documentada e avaliação de proporcionalidade
- Rastreamento por GPS: Permitido para veículos de trabalho com aviso transparente; proibido para veículos pessoais
- Monitoramento de e-mail: Permitido com aviso prévio e política documentada; a análise de conteúdo requer justificativa adicional
- Monitoramento de desempenho de IA: Sistemas de IA que avaliam o desempenho dos funcionários por meio de análise comportamental requerem conformidade com DPIA explícita e orientação do EDPB
As organizações que implementam ferramentas de IA que monitoram ou analisam o comportamento dos funcionários (incluindo análises de produtividade, monitoramento de comunicação e rastreamento de presença) enfrentam um escrutínio específico da AEPD.
Construindo Documentação de IA em Conformidade com a AEPD
Para organizações espanholas que implementam ferramentas de IA, a pilha de documentação em conformidade com a AEPD:
1. Inventário de Sistemas de IA: Documentar todos os sistemas de IA que processam dados pessoais espanhóis: nome do sistema, fornecedor, finalidade, categorias de dados processados, período de retenção, status da DPA.
2. DPIA para cada sistema de IA: Seguindo o modelo simplificado de DPIA da AEPD (disponível no site da AEPD):
- Descrição do processamento: finalidade, base legal, categorias de dados, destinatários
- Avaliação de necessidade e proporcionalidade
- Avaliação de risco: riscos para os titulares de dados
- Medidas de mitigação de risco: controles técnicos e organizacionais
- Registro de consulta ao DPO (se o DPO for necessário)
3. Documentação de controles técnicos: Para cada sistema de IA, documentar as medidas técnicas que previnem o acesso não autorizado a dados pessoais:
- Filtragem pré-envio (detecção de PII + remoção antes do processamento de IA)
- Controles de acesso aos dados processados
- Execução de retenção
- Detecção e resposta a violações
4. Política de monitoramento de funcionários: Se qualquer sistema de IA monitorar funcionários: política escrita documentando o escopo do monitoramento, aviso aos funcionários, base legal e avaliação de proporcionalidade.
As inspeções da AEPD normalmente solicitam primeiro o inventário de sistemas de IA e as DPIAs. Organizações com documentação pré-existente resolvem inspeções significativamente mais rápido do que aquelas que realizam avaliações reativamente.
Fontes: