Іспанське Агентство із захисту даних (AEPD) прийняло 847 санкційних рішень у 2023 році — найбільшу кількість рішень про виконання норм серед усіх органів захисту даних ЄС. Хоча окремі штрафи часто менші, ніж резонансні справи GDPR від ірландської DPC або нідерландської AP, великий обсяг виконання норм AEPD створює значний ризик відповідності для будь-якої організації з іспанськими операціями.
Фреймворк AEPD із пріоритетом ШІ у правозастосуванні
AEPD опублікував найбільш комплексні специфічні для ШІ рекомендації із захисту даних в ЄС, включаючи:
«Adecuación al RGPD de tratamientos que incorporan IA» (2020, оновлено 2024): Посібник AEPD з питань ШІ вимагає DPIA для будь-якої системи ШІ, що обробляє персональні дані — незалежно від того, чи відповідає обробка ШІ пороговим значенням ризику для обов'язкових DPIA за статтею 35 GDPR. Це одна з найбільш широких вимог щодо DPIA в ЄС.
Реалізація Закону про ШІ в Іспанії: Іспанія є однією з перших держав-членів ЄС із національним реєстром ШІ для систем ШІ з високим ризиком. AEPD координується з іспанським органом нагляду за ШІ для застосування поєднаних вимог Закону про ШІ + GDPR.
Іспанські національні ідентифікатори: прогалина у виявленні
Загальні інструменти NLP виявляють DNI та NIE лише з точністю 34% в іспанських документах (аналіз AEPD 2024 року). Розуміння причин потребує знання структур ідентифікаторів:
DNI (Documento Nacional de Identidad): 8 цифр + 1 контрольна буква. Контрольна буква розраховується як залишок від ділення числа на 23, що відображається у певну послідовність букв (не A-Z — певні букви виключені). Цей алгоритм «буква з числа» є специфічним для Іспанії та не реалізований у загальних інструментах.
Приклад: DNI 12345678Z — буква Z визначається як 12345678 mod 23 = позиція у послідовності букв. Інструменти, що виявляють 8-значні числа без перевірки букви, або що перевіряють лише шаблон без модульного розрахунку, породжують хибні спрацьовування та хибні відсутності.
NIE (Número de Identificación de Extranjeros): Формат X/Y/Z + 7 цифр + контрольна буква. NIE присвоюється іноземним громадянам в Іспанії для податкових та адміністративних цілей. Три формати (префікс X, Y, Z) відповідають різним періодам видачі. Застосовується той самий алгоритм контрольної букви. NIE зустрічається в трудових записах, контрактах та податкових документах для значного іноземного населення Іспанії.
CIF/NIF empresarial: Ідентифікаційний номер компанії для цілей оподаткування, формат 1 буква + 7 цифр + контрольний символ (цифра або буква). Перша буква вказує на тип компанії (A=S.A., B=S.L. тощо), а контрольний символ використовує інший алгоритм, ніж DNI/NIE.
Tarjeta Sanitaria Individual: Іспанська картка національного медичного страхування. Формат варіюється залежно від регіону — іспанські автономні громади (Каталонія, Мадрид, Андалусія тощо) використовують різні формати медичних карток. Ця фрагментованість ускладнює автоматизоване виявлення.
Іспанська мова Латинської Америки: відповідність AEPD у глобальному контексті
Мовний та історичний зв'язок Іспанії з Латинською Америкою створює вимір відповідності, що виходить за межі іспанського кордону. Організаціям із операціями на іспаномовних ринках потрібні інструменти PII, що охоплюють:
Мексика: CURP (Clave Única de Registro de Población) — 18-символьний буквено-цифровий код, що кодує дату народження, стать, штат народження та ініціали імені. RFC (Registro Federal de Contribuyentes) — 13-символьний буквено-цифровий ідентифікаційний номер платника податків для фізичних осіб, 12 — для компаній.
Аргентина: CUIL (Código Único de Identificación Laboral) — 11-значний формат із контрольною цифрою (префікс + CUIT + перевірка). CUIT (Código Único de Identificación Tributaria) — той самий формат, що й CUIL. DNI argentino — 7–8 значний національний ідентифікатор.
Чилі: RUT (Rol Único Tributario) / RUN — 7–9 цифр + тире + контрольна цифра (цифра або K). Контрольна цифра використовує алгоритм modulus-11. Кожна чилійська фізична та юридична особа має RUT.
Колумбія: Cédula de Ciudadanía — 8–10 значний національний ідентифікатор. NIT (Número de Identificación Tributaria) — 9 цифр + контрольна цифра для підприємств.
Для міжнародних організацій, що обслуговують іспаномовні ринки в Іспанії та Латинській Америці, охоплення інструментом PII як іспанських ідентифікаторів ЄС (DNI, NIE, CIF), так і латиноамериканських національних ідентифікаторів (CURP, RUT, CUIL, Cédula) є обов'язковим для відповідності вимогам AEPD та LGPD/місцевих органів захисту даних у кожній країні.
Пріоритети виконання норм AEPD у 2024 році
847 рішень про виконання норм — найбільше в ЄС за кількістю — відображають великий обсяг скарг AEPD та систематичне виконання норм. Ключові сектори:
Телекомунікації та фінансові послуги: 42% рішень AEPD. Несанкціоновані перевірки кредитної історії, надмірне зберігання даних та неналежна згода на маркетинг.
Охорона здоров'я та страхування: 22% рішень. Обмін даними про стан здоров'я без згоди, неналежна деідентифікація для дослідницького використання та біометрична обробка для управління прийомами.
Трудові відносини: 19% рішень. Моніторинг співробітників, перевірка соціальних мереж та відеоспостереження без належного повідомлення.
Системи ШІ: Зростаюча категорія — AEPD встановив, що кілька іспанських компаній впроваджували ШІ без завершених DPIA, порушуючи обов'язкову вимогу DPIA з посібника AEPD щодо ШІ.
Виявлення DNI/NIE з перевіркою контрольної букви, іспанське NER (spaCy es_core_news) та охоплення латиноамериканськими ідентифікаторами для CURP, RUT, CUIL та Cédula є базовими технічними вимогами для комплексної відповідності PII іспанської мови.
Джерела: