← Регуляторы
GDPR EU 2016/679 Испания

Кто такой AEPD: орган Испании по защите данных — самый штрафующий регулятор ЕС

Agencia Española de Protección de Datos — надзорный орган Испании по GDPR и, по числу штрафов, самый плодовитый правоприменитель защиты данных в ЕС. Что делает, почему это не тот же орган, что испанское AI-агентство AESIA, смена руководства 2025 по новой модели отбора и кто им руководит — каждый факт со ссылкой.

Опубликовано 17 мая 2026 г. · 5 мин чтения · 7 источников

Испания выписывает больше GDPR-штрафов, чем любая другая страна ЕС — и орган за этим объёмом это AEPD. Его легко спутать с испанским AI-агентством AESIA; это разные регуляторы с разными задачами, и путаница между ними — частая ошибка. Это профиль того, что такое AEPD, что он делает, как сменил руководство в 2025 и чем отличается от AESIA. Каждый факт со ссылкой.

Если коротко о фактах

  • Полное имя: Agencia Española de Protección de Datos (AEPD) (AEPD)
  • Роль: надзорный орган Испании по GDPR — национальный орган, применяющий право о защите данных в Испании и входящий в EDPB
  • Правовой статус: Autoridad Administrativa Independiente (независимый административный орган) (AEPD, Memoria 2025)
  • Регулирующий закон: Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD — испанский закон о защите данных, дополняющий GDPR) (AEPD, Memoria 2025)
  • Президент: Lorenzo Cotino Hueso — назначен по Статье 48 LOPDGDD, ратифицирован Конгрессом депутатов 19 февраля 2025, вступил в должность 3 марта 2025; срок 5 лет, продлевается один раз (AEPD — назначение; AEPD — toma de posesión)
  • Заместитель (Adjunto a la Presidencia): Francisco Pérez Bes — назначен вместе с президентом; adjuntía — недавно введённая фигура (AEPD, Memoria 2025)
  • Штаб-квартира: C/ Jorge Juan, 6, 28001 Madrid (AEPD)
  • Сайт: aepd.es

Что такое AEPD — и чем он не является

AEPD — орган Испании по защите данных (DPA — независимый национальный регулятор, надзирающий за правом о защите данных и применяющий его) и надзорный орган Испании по GDPR. Это Autoridad Administrativa Independiente (AEPD, Memoria 2025) — структурно независим от правительства — и один из 27 национальных органов EDPB. Применяет GDPR вместе с Ley Orgánica 3/2018 (LOPDGDD), испанским законом, дополняющим Регламент.

Чем он не является: это не орган Испании по AI Act. Это отдельный орган — AESIA — с другим мандатом и другой правовой природой (см. разграничение ниже). Релевантная для ИИ работа AEPD, как у любого DPA, — это правоприменение GDPR, поэтому он на пилларе GDPR.

Что AEPD реально делает

Его задача — стандартный мандат надзорного органа по GDPR: жалобы, расследования, разрешения, корректирующие меры и штрафы. Выделяется объём: по числу GDPR-штрафов Испания стабильно самый плодовитый правоприменитель ЕС (CMS GDPR Enforcement Tracker). Это делает AEPD полезным барометром: тренды часто проявляются сначала в самом числе испанских решений, даже когда отдельные суммы меньше громких ирландских или люксембургских дел.

Он также ведёт активную программу по технологиям и правам — детские данные, биометрия, обработка с ИИ — но всегда через GDPR, не AI Act.

AEPD против AESIA — два регулятора Испании, не путать

Это самая частая ошибка про испанское техрегулирование. В Испании два разных органа:

  • AEPD — защита данных. Независимый административный орган, структурно отделён от правительства, применяет GDPR (с LOPDGDD). Предмет этого профиля.
  • AESIA — искусственный интеллект. Государственное агентство при министерстве (через SEDIA), надзирает за AI Act. Не независимый орган.

Это не один и тот же орган, у них не одинаковый правовой статус и они не применяют один закон. Жалоба о приватности идёт в AEPD; рыночный надзор по AI Act — у AESIA. Когда источник говорит «регулятор Испании оштрафовал AI-компанию», это почти всегда AEPD по GDPR — не AESIA по AI Act.

Руководство

AEPD возглавляют Президент и, с 2025, Заместитель (Adjunto a la Presidencia) — недавно введённая фигура (AEPD, Memoria 2025). Оба отбираются по процедуре Статьи 48 LOPDGDD и Статута AEPD: оценка отборочной комиссией с последующей ратификацией Конгрессом депутатов, срок 5 лет, продлевается один раз (AEPD).

  • Президент: Lorenzo Cotino Hueso. Профессор конституционного права (Университет Валенсии). Ратифицирован Конгрессом депутатов 19 февраля 2025, вступил в должность 3 марта 2025 (AEPD — назначение; AEPD — toma de posesión).
  • Заместитель (Adjunto a la Presidencia): Francisco Pérez Bes. Назначен вместе с президентом по той же процедуре (AEPD, Memoria 2025).

Если у вас в памяти прежний президент AEPD, обновите: текущее руководство — Cotino Hueso (Президент) и Pérez Bes (Заместитель), в должности с 2025 по модели отбора LOPDGDD.

Что это значит для вас

  • Если вы обрабатываете персональные данные и достаёте испанских пользователей: AEPD — ваш надзорный орган. С учётом объёма правоприменения Испании практическая вероятность решения реальна даже для средних дел — не только громких трансграничных.
  • Если ваш вопрос — система ИИ в Испании (соответствие AI Act): это AESIA, не AEPD. Путаница отправит вас не к тому регулятору.
  • Если вы отслеживаете тренды правоприменения ЕС: смотрите на испанское число, не только на евро-суммы — Испания лидер ЕС по числу GDPR-штрафов (CMS Enforcement Tracker).
  • Если вы журналист или исследователь: «приватный регулятор Испании» = Agencia Española de Protección de Datos, Autoridad Administrativa Independiente по Ley Orgánica 3/2018, штаб C/ Jorge Juan 6, Мадрид, с 2025 под руководством президента Lorenzo Cotino Hueso и заместителя Francisco Pérez Bes — отдельно от AESIA, испанского (при министерстве) AI-органа.

Если коротко

AEPD (Agencia Española de Protección de Datos) — надзорный орган Испании по GDPR и, по числу штрафов, самый плодовитый правоприменитель защиты данных в ЕС (CMS Enforcement Tracker). Это Autoridad Administrativa Independiente по Ley Orgánica 3/2018 (LOPDGDD), штаб C/ Jorge Juan 6, Мадрид. Это не орган Испании по AI Act — это отдельное, при министерстве, AESIA. Руководство сменилось в 2025 по модели отбора LOPDGDD: президент Lorenzo Cotino Hueso и заместитель (Adjunto a la Presidencia) Francisco Pérez Bes, ратифицированы Конгрессом депутатов 19 февраля 2025, в должности с 3 марта 2025, срок 5 лет с одним продлением. Его работа по ИИ, как у любого DPA, идёт через GDPR — см. пиллар GDPR.

Источники