AEPD สเปน: กฎ AI และ DPA สำหรับพนักงาน
อัปเดตสำหรับปี 2026
AEPD: ผู้บังคับใช้อันดับหนึ่งของสหภาพยุโรปโดยจำนวน
AEPD (Agencia Española de Protección de Datos) คือหน่วยงานเฝ้าระวังความเป็นส่วนตัวของสเปน ออกโทษปรับ 847 ครั้งในปี 2023 ไม่มีหน่วยงานสหภาพยุโรปอื่นใดที่ใกล้เคียง ยอดโทษรวมในปีนั้นเกิน €12M
หน่วยงานทำงานแตกต่างจากคู่แข่งในสหภาพยุโรปส่วนใหญ่ ไม่ได้มุ่งเน้นเฉพาะการปรับเงินจำนวนมาก แต่ยังกำหนดเป้าหมายบริษัทเล็ก ๆ สภาเมือง และกลุ่มขนาดกลาง ซึ่งกระจายแรงกดดันไปทั่วเศรษฐกิจสเปน
พื้นที่การบังคับใช้สูงสุดในปี 2024:
- กล้องและการตรวจสอบไบโอเมตริก (29% ของกรณี)
- การตลาดและการติดต่อที่ไม่ได้รับการร้องขอ (24% ของกรณี)
- การตรวจสอบพนักงานและไฟล์ HR (18% ของกรณี)
- ระบบ AI และการตัดสินใจอัตโนมัติ (15% ของกรณี — เพิ่มขึ้น)
- บันทึกสุขภาพและชั้นพิเศษ (14% ของกรณี)
กฎ DPIA ด้าน AI ของ AEPD
Guía de adecuación al RGPD de tratamientos con IA ปี 2024 ของหน่วยงานกำหนดกฎที่ชัดเจนหนึ่งข้อ เครื่องมือ AI ใดก็ตามที่จัดการบันทึกส่วนบุคคลต้องการ DPIA (การประเมินผลกระทบด้านข้อมูล)
GDPR มาตรา 35 ขอ DPIA เมื่อการประมวลผลก่อให้เกิดความเสี่ยงสูง นั่นคือการทดสอบบริบท หน่วยงานสเปนมีมุมมองที่เข้มงวดกว่า คู่มือระบุว่าเครื่องมือ ML ใดก็ตามที่สัมผัสกับบันทึกส่วนบุคคลจะกระตุ้นกฎ DPIA ไม่จำเป็นต้องตรวจสอบความเสี่ยงเป็นกรณี ๆ ก่อน
กลุ่มสเปนต้องดำเนินการและยื่น DPIA สำหรับ:
- แชทบอตบริการลูกค้า
- เครื่องมือคัดกรองการจ้างงาน
- เครื่องมือการตลาด
- โมเดลการประมวลผลข้อความ (รวมถึงเครื่องมือทำให้ไม่ระบุตัวตน)
- เครื่องมือ AI ใดก็ตามที่จัดการบันทึกพนักงานหรือลูกค้า
เครื่องมือแต่ละชิ้นที่ใช้ในสเปนต้องการไฟล์ DPIA ของตัวเอง ใช้แม้ว่าเครื่องมือจะดูเสี่ยงต่ำ
มาตรฐานการทำให้ไม่ระบุตัวตนของ AEPD
คู่มือการทำให้ไม่ระบุตัวตนของหน่วยงานสร้างบนงานของ CNIL โดยเพิ่มกฎเฉพาะของสเปนสำหรับ ID ประจำชาติ:
ประเภท ID สเปน:
- DNI (Documento Nacional de Identidad): หมายเลข 8 หลักบวกอักษรตรวจสอบ
- NIE (Número de Identificación de Extranjero): ตัวอักษร + 7 หลัก + ตัวอักษร สำหรับพลเมืองต่างชาติ
- NIF (Número de Identificación Fiscal): รูปแบบเดียวกับ DNI ใช้สำหรับภาษี
- Número de Seguridad Social: หมายเลขประกันสังคมสเปน
หน่วยงานสังเกตว่าโมเดล NER มักพลาดหมายเลข NIE สเปนมีประชากรผู้อพยพจำนวนมาก ตรวจสอบว่าเครื่องมือของคุณสามารถค้นหา NIE ได้เมื่อคุณประมวลผลไฟล์จากพลเมืองที่ไม่ใช่สเปน
รูปแบบชื่อสเปน:
การตั้งชื่อสเปนใช้นามสกุลสอง (apellidos compuestos) โมเดล NER ที่ฝึกบนชุดนามสกุลเดียวอาจล้มเหลวที่นี่ ชื่อ "García López, Juan Carlos" มีสองนามสกุล ไม่ใช่หนึ่ง โมเดล NER ภาษาสเปนต้องจัดการสิ่งนี้
กรณีการตรวจสอบพนักงานของ AEPD
สิบแปดเปอร์เซ็นต์ของกรณีเกี่ยวข้องกับการตรวจสอบพนักงาน สเปนจำกัดการควบคุมนายจ้างภายใต้ Estatuto de los Trabajadores (กฎหมายแรงงาน) หน่วยงานบังคับใช้ขีดจำกัดเหล่านี้พร้อมกับ GDPR
ตำแหน่งสำคัญจากหน่วยงาน:
- Keylogger: การใช้ keylogger แบบลับเป็นการละเมิด GDPR ในกรณีส่วนใหญ่ เครื่องมือสกรีนช็อตต้องการหลักฐานเป็นลายลักษณ์อักษรและการตรวจสอบการใช้งานที่ยุติธรรม
- การติดตาม GPS: อนุญาตในยานพาหนะของบริษัทพร้อมการแจ้งเตือนที่ชัดเจนแก่พนักงาน ไม่อนุญาตในยานพาหนะส่วนตัว
- การตรวจสอบอีเมล: อนุญาตด้วยการแจ้งเตือนล่วงหน้าเป็นลายลักษณ์อักษรและนโยบาย การตรวจสอบเนื้อหาต้องการหลักฐานเพิ่มเติม
- เครื่องมือติดตาม AI: โมเดลใดก็ตามที่ติดตามพฤติกรรมพนักงานต้องการ DPIA กฎ EDPB ก็ใช้เช่นกัน
การตรวจสอบอัตโนมัติได้รับการตรวจสอบมากที่สุดจาก DPA ของสเปน
เอกสาร AI ที่สอดคล้องกับ AEPD
ต้องการชุดเอกสารสี่ชุดสำหรับกลุ่มสเปนที่ใช้เครื่องมือ AI
1. รายการระบบ AI
รายการเครื่องมือแต่ละชิ้นที่จัดการบันทึกส่วนบุคคลของสเปน สังเกต: ชื่อระบบ ผู้จำหน่าย วัตถุประสงค์ ประเภทบันทึก ระยะเวลาการเก็บรักษา และสถานะ DPA
2. DPIA ต่อระบบ
ใช้เทมเพลต DPIA ที่หน่วยงานเผยแพร่ ครอบคลุม:
- วัตถุประสงค์ ฐานทางกฎหมาย ประเภทบันทึก และผู้รับ
- การตรวจสอบการใช้งานที่ยุติธรรม
- การตรวจสอบความเสี่ยงสำหรับบุคคลที่ได้รับผลกระทบ
- การควบคุมความเสี่ยง: ทั้งเทคนิคและกระบวนการ
- หมายเหตุ DPO (ที่ต้องการ DPO)
3. บันทึกการควบคุมทางเทคนิค
สำหรับแต่ละเครื่องมือ สังเกตการควบคุมที่ขัดขวางการเข้าถึงที่ไม่ได้รับอนุญาต:
- การกรองก่อนส่ง (การลบ PII ก่อนที่โมเดลจะทำงาน)
- การควบคุมการเข้าถึงผลลัพธ์
- ขีดจำกัดการเก็บรักษาและการบังคับใช้
- ขั้นตอนการตรวจจับและการตอบสนองต่อการละเมิด
4. นโยบายการตรวจสอบพนักงาน
หากเครื่องมือใดตรวจสอบพนักงาน ให้เพิ่มนโยบายที่เป็นลายลักษณ์อักษร ระบุขอบเขต แจ้งเตือนพนักงาน ตั้งชื่อฐานทางกฎหมาย และแสดงการตรวจสอบการใช้งานที่ยุติธรรม
การตรวจสอบของ AEPD เริ่มต้นด้วยรายการและ DPIA กลุ่มที่มีไฟล์เหล่านี้พร้อมจะแก้ไขการตรวจสอบได้เร็วขึ้นมาก คู่มือการปฏิบัติตาม GDPR ของเราครอบคลุมขอบเขตเอกสาร ภาพรวมการปฏิบัติตามความปลอดภัย ของเราอธิบายการควบคุมทางเทคนิค สำหรับการตรวจจับ PII ภาษาสเปน ดู คู่มือการตรวจจับ PII หลายภาษา ของเรา