AEPD Spanija: Pravila UI in DPIA za zaposlene
Posodobljeno za leto 2026
AEPD: Najpomembnejsi izvrsni organ EU po obsegu
AEPD (Agencia Espanola de Proteccion de Datos) je spanski nadzorni organ za zasebnost. Leta 2023 je izdala 847 glob. Noben drug organ EU se ji ni niti priblizal. Skupne sankcije tistega leta so presegle 12 milijonov EUR.
Ogan deluje drugace od vecine svojih evropskih kolegov. Ne osredotoca se samo na visoke globe. Cilja tudi na mala podjetja, obcine in srednje velike skupne. S tem sirijo pritisk po vsem spanskem gospodarstvu.
Najpogosteje izvrsvana podrocja leta 2024:
- Kamere in biometricne kontrole (29 % primerov)
- Trženje in nezazeleni stiki (24 % primerov)
- Nadzor zaposlenih in kadrovske evidence (18 % primerov)
- Sistemi UI in samodejne odlocitve (15 % primerov - v porastu)
- Zdravstveni in posebno obcutljivi zapisi (14 % primerov)
Pravilo AEPD o DPIA za UI
Vodnik regulatorja iz leta 2024, Guia de adecuacion al RGPD de tratamientos con IA, postavlja eno jasno pravilo. Vsako orodje UI, ki obdeluje osebne zapise, potrebuje DPIA (oceno ucinkov na varstvo podatkov).
Clen 35 GDPR zahteva DPIA, kadar obdelava predstavlja visoko tveganje. To je kontekstualni preizkus. Spanski organ zavzema strožje stalisče. Njegov vodnik pravi, da vsako orodje strojnega ucenja, ki se dotakne osebnih zapisov, sproži pravilo DPIA. Predhodno preverjanje tveganja od primera do primera ni potrebno.
Spanske organizacije morajo izvesti in vložiti DPIA za:
- Klepetalnice za storitve strank
- Orodja za presejanje pri zaposlovanju
- Orodja za trženje
- Modele za obdelavo besedila (vkljucno z orodji za anonimizacijo)
- Vsako orodje UI, ki obdeluje zapise osebja ali strank
Vsako orodje, ki se uporablja v Spaniji, potrebuje svojo mapo DPIA. To velja, tudi ce se orodje zdi nizko tvegano.
Standardi anonimizacije AEPD
Vodnik anonimizacije agencije temelji na delu CNIL. Dodaja specificna spanska pravila za nacionalne ID:
Vrste spanskega ID:
- DNI (Documento Nacional de Identidad): 8-mestna stevilka plus kontrolna crka
- NIE (Numero de Identificacion de Extranjero): Crka + 7 stevk + crka, za tuje drzavljane
- NIF (Numero de Identificacion Fiscal): Enaka oblika kot DNI, uporablja se za davke
- Numero de Seguridad Social: Spanska stevilka socialne varnosti
Ogan opozarja, da modeli NER pogosto zamudijo stevilke NIE. Spanija ima veliko priseljenskoprebivals. Preverite, ali vasa orodja lahko najdejo NIE pri obdelavi datotek tujih drzavljanov.
Spanski vzorci imen:
Spansko poimenovanje uporablja dve priimki (apellidos compuestos). Modeli NER, usposobljeni na naborih z enim priimkom, tu lahko odpovedo. Ime "Garcia Lopez, Juan Carlos" ima dva priimka, ne enega. Spanski modeli NER morajo to obvladovati.
Primeri nadzora zaposlenih pri AEPD
Osemnajst odstotkov primerov vkljucuje nadzor osebja. Spanija omejuje nadzor delodajalca po Estatuto de los Trabajadores (Zakon o delavcih). Regulator uveljavlja te omejitve skupaj z GDPR.
Kljucna stalisca organa:
- Beležniki pritiskov na tipke: Skrita uporaba beležnikov pritiskov na tipke je v vecini primerov krsitev GDPR. Orodja za zajem zaslona potrebujejo pisni dokaz in preizkus sorazmernosti.
- Sledenje GPS: Dovoljeno na službenih vozilih z jasnim obvestilom osebju. Ni dovoljeno na osebnih vozilih.
- Pregledi e-pošte: Dovoljeni s predhodnim pisnim obvestilom in pravilnikom. Pregled vsebine zahteva dodaten dokaz.
- Orodja za sledenje UI: Vsak model, ki sledi vedenju osebja, potrebuje DPIA. Veljajo tudi pravila EDPB.
Avtomatizirani nadzor priteguje najvec pozornosti spanskega DPA.
Dokumentacija UI, skladna z AEPD
Za spanske organizacije, ki uporabljajo orodja UI, so potrebni stirje sklopi dokumentov.
1. Inventar sistemov UI
Navedite vsako orodje, ki obdeluje spanske osebne zapise. Zabeležite: ime sistema, prodajalca, namen, vrste zapisov, obdobje hranjenja in status DPA.
2. DPIA na sistem
Uporabite objavljeno predlogo DPIA agencije. Pokrijte:
- Namen, pravno podlago, vrste zapisov in prejemnike
- Preizkus sorazmernosti
- Pregled tveganj za prizadete osebe
- Kontrole tveganj: tehniske in procesne
- Opombe DPO (kjer je DPO zahtevan)
3. Zapis tehnicnih kontrol
Za vsako orodje zabeležite kontrole, ki blokirajo nepooblasten dostop:
- Predhodno filtriranje (odstranitev OOP, preden model deluje)
- Kontrole dostopa do izhodnih podatkov
- Omejitve hranjenja in njihovo uveljavljanje
- Koraki zaznave in odziva na krsitve
4. Pravilnik o nadzoru osebja
Ce katero koli orodje nadzira osebje, dodajte pisni pravilnik. Navedite obseg, obvestite osebje, poimenujte pravno podlago in prikazite preizkus sorazmernosti.
Revizije AEPD se zacnejo z inventarjem in DPIA. Organizacije s temi datotekami, pripravljenimi vnaprej, resijo revizije bistveno hitreje. Nas vodnik za skladnost z GDPR pokriva obseg dokumentacije. Nas pregled tehnicne skladnosti pojasnjuje tehnicne kontrole. Za zaznavanje spanskega OOP glejte nas vodnik za vecjezicno zaznavanje OOP.