La Agencia Española de Protección de Datos (AEPD) ha impuesto a Aena una sanción histórica de 10 millones de euros por desplegar sistemas de reconocimiento facial en ocho aeropuertos sin contar con una Evaluación de Impacto en Protección de Datos (EIPD) adecuada, tal y como exige el Reglamento General de Protección de Datos (RGPD). La multa iguala la más elevada dictada hasta la fecha por la institución, la que se impuso a Google en 2022.
El expediente, de más de 90 páginas, concluye que el gestor aeroportuario llevó a cabo un tratamiento de datos biométricos de alto riesgo sin justificarlo correctamente y sin cumplir con las obligaciones previas de evaluación. El sistema permitía a los pasajeros acceder a filtros de seguridad, puertas de embarque y puntos de self bag drop mediante identificación facial, como alternativa al método tradicional.
La AEPD recuerda que Aena ya reconoció en una carta de enero de 2020 que los proyectos de biometría implicaban un tratamiento de alto riesgo, lo que hacía obligatoria una EIPD previa. Además, la compañía consultó en dos ocasiones a la Agencia durante los pilotos, pero no corrigió los incumplimientos detectados.
Tras conocerse la sanción, Aena ha anunciado que recurrirá la decisión ante los tribunales. En un comunicado, la empresa asegura que “discrepa respetuosamente de la sanción impuesta”, defiende que ha cumplido con los requerimientos normativos aplicables y subraya que no se ha producido ninguna brecha de seguridad en sus sistemas.
La sanción supone un hito en la aplicación del RGPD en España y pone de relieve la especial sensibilidad de los datos biométricos, considerados de categoría especial por la normativa europea. La AEPD insiste en que cualquier proyecto que implique reconocimiento facial requiere una evaluación exhaustiva de riesgos antes de su puesta en marcha.