AEPD Spania: Reguli IA și protecția datelor angajaților
Actualizat pentru 2026
AEPD: Cel mai activ organism de aplicare din UE după volum
AEPD (Agencia Española de Protección de Datos) este autoritatea spaniolă de supraveghere a confidențialității. A emis 847 de amenzi în 2023. Niciun alt organism din UE nu s-a apropiat de această cifră. Penalitățile totale în acel an au depășit €12M.
Agenția funcționează diferit față de majoritatea omologilor din UE. Nu se concentrează doar pe amenzi mari. Vizează și firmele mici, primăriile și grupurile de dimensiuni medii. Aceasta răspândește presiunea în întreaga economie spaniolă.
Principalele domenii aplicate în 2024:
- Verificări prin camere și biometrice (29% din cazuri)
- Marketing și contacte nesolicitate (24% din cazuri)
- Monitorizarea personalului și dosare HR (18% din cazuri)
- Sisteme IA și decizii automate (15% din cazuri — în creștere)
- Înregistrări de sănătate și date din categorii speciale (14% din cazuri)
Regula DPIA a AEPD privind IA
Ghidul Guía de adecuación al RGPD de tratamientos con IA al autorității de reglementare din 2024 stabilește o regulă clară. Orice instrument IA care gestionează înregistrări personale necesită un DPIA (Evaluare a impactului privind protecția datelor).
Articolul 35 GDPR solicită DPIA când prelucrarea prezintă un risc ridicat. Acesta este un test contextual. Organismul spaniol adoptă o viziune mai strictă. Ghidul său afirmă că orice instrument ML care atinge înregistrările personale declanșează regula DPIA. Nu este necesară mai întâi o verificare a riscului de la caz la caz.
Organizațiile spaniole trebuie să ruleze și să depună DPIA pentru:
- Chatboți de servicii pentru clienți
- Instrumente de screening pentru angajare
- Instrumente de marketing
- Modele de procesare a textului (inclusiv instrumente de anonimizare)
- Orice instrument IA care gestionează înregistrările personalului sau clienților
Fiecare instrument utilizat în Spania necesită propriul dosar DPIA. Aceasta se aplică chiar dacă instrumentul pare să prezinte un risc scăzut.
Standardele de anonimizare ale AEPD
Ghidul de anonimizare al agenției se bazează pe lucrările CNIL. Adaugă reguli specifice Spaniei pentru ID-urile naționale:
Tipuri de ID spaniole:
- DNI (Documento Nacional de Identidad): număr din 8 cifre plus o literă de verificare
- NIE (Número de Identificación de Extranjero): Literă + 7 cifre + literă, pentru cetățenii străini
- NIF (Número de Identificación Fiscal): Același format ca DNI, utilizat pentru impozite
- Número de Seguridad Social: Numărul spaniol de securitate socială
Organismul notează că modelele NER ratează adesea numerele NIE. Spania are o populație de imigranți numeroasă. Verificați că instrumentele dumneavoastră pot găsi NIE-uri când procesați dosare de la cetățeni non-spanioli.
Tipare de nume spaniole:
Nomenclatura spaniolă folosește două prenume (apellidos compuestos). Modelele NER antrenate pe seturi cu un singur prenume pot eșua în acest caz. Numele „García López, Juan Carlos” are două prenume, nu unul. Modelele NER spaniole trebuie să gestioneze aceasta.
Cazuri de monitorizare a angajaților AEPD
Optsprezece la sută din cazuri implică monitorizarea personalului. Spania limitează controlul angajatorului conform Estatuto de los Trabajadores (Statutul lucrătorilor). Autoritatea de reglementare aplică aceste limite alături de GDPR.
Pozițiile cheie ale autorității:
- Keyloggere: Utilizarea unui keylogger ascuns este o breșă GDPR în majoritatea cazurilor. Instrumentele de captură de ecran necesită dovezi scrise și o verificare a utilizării proporționale.
- Urmărire GPS: Permisă pe vehiculele de serviciu cu notificare clară a personalului. Nu este permisă pe vehiculele personale.
- Verificări e-mail: Permise cu notificare prealabilă în scris și o politică. Revizuirea conținutului necesită dovezi suplimentare.
- Instrumente de urmărire IA: Orice model care urmărește comportamentul personalului necesită un DPIA. Se aplică și regulile EDPB.
Monitorizarea automatizată atrage cel mai mare control din partea DPA-ului Spaniei.
Documentația IA conformă cu AEPD
Patru seturi de documente sunt necesare pentru organizațiile spaniole care utilizează instrumente IA.
1. Inventarul sistemelor IA
Listați fiecare instrument care gestionează înregistrările personale spaniole. Notați: denumirea sistemului, furnizorul, scopul, tipurile de înregistrări, perioada de păstrare și statusul DPA.
2. DPIA per sistem
Utilizați șablonul DPIA publicat de agenție. Acoperiți:
- Scopul, temeiul juridic, tipurile de înregistrări și destinatarii
- O verificare a proporționalității
- O revizuire a riscurilor pentru persoanele afectate
- Controale ale riscurilor: atât tehnice, cât și procedurale
- Avizul DPO (acolo unde este necesar un DPO)
3. Registrul controalelor tehnice
Pentru fiecare instrument, notați controalele care blochează accesul neautorizat:
- Filtrare înainte de trimitere (eliminarea PII înainte ca modelul să ruleze)
- Controale de acces la ieșiri
- Limite de retenție și aplicarea acestora
- Pași de detectare și răspuns la breșe
4. Politica de monitorizare a personalului
Dacă vreun instrument monitorizează personalul, adăugați o politică scrisă. Specificați domeniul de aplicare, notificați personalul, denumiți temeiul juridic și prezentați o verificare a proporționalității.
Auditurile AEPD încep cu inventarul și DPIA-urile. Organizațiile care au aceste dosare pregătite rezolvă auditurile mult mai rapid. Ghidul nostru de conformitate GDPR acoperă domeniul documentației. Prezentarea noastră de securitate explică controalele tehnice. Pentru detectarea PII în spaniolă, consultați ghidul nostru de detectare multilingvă a PII.