AEPD som EU:s mest produktiva verkställare efter volym
Spaniens Agencia Española de Protección de Datos (AEPD) är EU:s mest aktiva dataskyddsmyndighet sett till antalet verkställande åtgärder, med 847 sanktionsbeslut utfärdade 2023 — fler än alla andra EU-dataskyddsmyndigheter tillsammans sett till volym. Totala AEPD-böter 2023 översteg 12 miljoner euro över dessa beslut.
Den höga volymen speglar AEPD:s verkställande strategi: till skillnad från dataskyddsmyndigheter som fokuserar på stora böter mot stora företag, utfärdar AEPD betydande antal mindre böter mot små och medelstora företag, kommunala myndigheter och enskilda organisationer, vilket skapar ett brett efterlevnadstryck över den spanska ekonomin.
AEPD:s fokusområden för verkställning 2024:
- Videövervakning och biometriska data (29 % av fallen)
- Marknadsföring och oönskad kommunikation (24 % av fallen)
- Övervakning av anställda och HR-data (18 % av fallen)
- AI-system och automatiserat beslutsfattande (15 % av fallen — ökande år för år)
- Hälsovård och data av särskild kategori (14 % av fallen)
AEPD:s unika AI DPIA-krav
AEPD:s 2024 "Guía de adecuación al RGPD de tratamientos con IA" (Guide on GDPR Compliance for AI Treatments) går längre än GDPR:s grundkrav i ett betydande avseende: AEPD kräver en Data Protection Impact Assessment (DPIA) för alla AI-system som behandlar personuppgifter.
Enligt GDPR Artikel 35 krävs DPIA för behandling som "kan medföra en hög risk" för registrerades rättigheter och friheter — en kontextuell bedömning. AEPD:s vägledning tar en mer kategorisk ansats: varje AI-system som behandlar personuppgifter utlöser DPIA-kravet.
Detta innebär att spanska organisationer måste genomföra och dokumentera DPIA för:
- Kundtjänstchatbotar
- HR-rekryteringsverktyg
- Marknadsföringspersonaliseringsalgoritmer
- Dokumentbehandlings-AI (inklusive anonymisering-AI)
- Alla AI-verktyg som behandlar anställdas eller kunders data
Den praktiska konsekvensen: organisationer som använder AI-verktyg i Spanien måste ha DPIA-dokumentation för varje verktyg, även om verktyget är allmänt använt och anses vara lågrisk av organisationen.
AEPD:s tekniska anonymiseringsstandarder
AEPD:s anonymiseringsvägledning påverkas av CNIL:s "Guide pratique de l'anonymisation" men lägger till spanska specifika krav:
Spanska nationella identifierare:
- DNI (Documento Nacional de Identidad): 8-siffrig nummer + bokstavskontrollsiffra
- NIE (Número de Identificación de Extranjero): Bokstav + 7 siffror + bokstav, för utländska medborgare
- NIF (Número de Identificación Fiscal): Motsvarande DNI för skatteändamål
- Número de Seguridad Social: Format för socialförsäkringsnummer
AEPD:s vägledning noterar att spanska NER-modeller ofta missar NIE-nummer, som är vanliga i Spaniens stora invandrarbefolkning. Organisationer som behandlar data om icke-spanska medborgare i Spanien måste verifiera NIE-detekteringskapacitet.
Spanska specifika kontext: AEPD:s vägledning adresserar den specifika utmaningen med spanska namn — traditionen med två efternamn (apellidos compuestos) skapar namnidentifieringsutmaningar för NER-modeller som främst är tränade på namngivningskonventioner med ett efternamn. Spanskspråkig NER måste hantera: "García López, Juan Carlos" — där både "García" och "López" är efternamn, inte ett sammansatt efternamn + förnamn.
AEPD:s verkställighet av övervakning av anställda
AEPD:s 18 % av fallen som involverar övervakning av anställda speglar Spaniens aktiva verkställighet av begränsningar på arbetsgivarövervakning. Den spanska arbetstagarlagen (Estatuto de los Trabajadores) begränsar arbetsgivares övervakningsrättigheter, och AEPD har varit aggressiv i att verkställa dessa begränsningar tillsammans med GDPR.
Nyckelbeslut från AEPD om övervakning av anställda:
- Tangentbordsspioner och skärmdumpsövervakning: AEPD anser att hemlig installation av tangentbordsspioner är ett GDPR-brott i de flesta sammanhang; transparent skärmdumpsövervakning kräver dokumenterad motivering och proportionalitetsbedömning
- GPS-spårning: Tillåten för arbetsfordon med transparent meddelande; förbjuden för personliga fordon
- E-postövervakning: Tillåten med föregående meddelande och dokumenterad policy; innehållsanalys kräver ytterligare motivering
- AI-prestandaövervakning: AI-system som bedömer anställdas prestationer genom beteendeanalys kräver explicit DPIA och efterlevnad av EDPB-vägledning
Organisationer som använder AI-verktyg som övervakar eller analyserar anställdas beteende (inklusive produktivitetsanalys, kommunikationsövervakning och närvarokontroll) står inför specifik AEPD-granskning.
Bygga AEPD-kompatibel AI-dokumentation
För spanska organisationer som implementerar AI-verktyg, AEPD-kompatibel dokumentationsstack:
1. AI-systeminventering: Dokumentera alla AI-system som behandlar spanska personuppgifter: systemnamn, leverantör, syfte, kategorier av behandlade data, lagringsperiod, DPA-status.
2. DPIA för varje AI-system: Följ AEPD:s förenklade DPIA-mall (tillgänglig på AEPD:s webbplats):
- Beskrivning av behandlingen: syfte, rättslig grund, datakategorier, mottagare
- Nödvändighets- och proportionalitetsbedömning
- Riskbedömning: risker för registrerade
- Riskminskningsåtgärder: tekniska och organisatoriska kontroller
- DPO-konsultationsregister (om DPO krävs)
3. Dokumentation av tekniska kontroller: För varje AI-system, dokumentera de tekniska åtgärder som förhindrar obehörig åtkomst till personuppgifter:
- Förhandsgranskning av filtrering (PII-detektering + borttagning före AI-behandling)
- Åtkomstkontroller på behandlade data
- Lagringsverkställighet
- Övervakning och svar på dataintrång
4. Policy för övervakning av anställda: Om något AI-system övervakar anställda: skriftlig policy som dokumenterar övervakningens omfattning, meddelande till anställda, rättslig grund och proportionalitetsbedömning.
AEPD-inspektioner begär vanligtvis AI-systeminventeringen och DPIA:er först. Organisationer med befintlig dokumentation löser inspektioner betydligt snabbare än de som genomför bedömningar reaktivt.
Källor: