La Agencia Española de Protección de Datos (AEPD) ha impuesto a Aena la mayor multa tecnológica en España, por un total de 10 millones de euros. No se trata de un fallo de seguridad ni de una filtración, sino de haber implementado un sistema de reconocimiento facial considerado de "alto riesgo" para los derechos fundamentales, sin haber justificado que fuera realmente necesario.
Además, la AEPD ha ordenado la suspensión inmediata de este sistema de reconocimiento facial en los aeropuertos hasta que se corrijan las deficiencias detectadas.
El motivo principal de la sanción es que Aena no realizó una Evaluación de Impacto válida antes de empezar a procesar datos biométricos de más de 62.000 pasajeros. Esta obligación es fundamental para garantizar la protección de la privacidad y los derechos de los usuarios. La resolución, fechada el 6 de noviembre, señala que Aena continuó con el proyecto a pesar de que la Agencia ya había emitido dos informes negativos durante la consulta previa.
El problema no está en el uso de la biometría en sí, sino en cómo se diseñó el sistema. Aena optó por un modelo de "identificación uno a varios" con almacenamiento centralizado de datos, lo que significa que las caras de los pasajeros no solo se verificaban con sus documentos en el momento del control, sino que se guardaban en una base de datos central durante hasta dos años. La AEPD sostiene que existían alternativas menos invasivas para agilizar el embarque, como la autenticación biométrica local o incluso seguir con el control tradicional visual.
La Agencia también critica la idea de que la mejora en la “experiencia del usuario” justifique cualquier tecnología, calificando la falta de diligencia de Aena como “grave”. La empresa era consciente de que este sistema trataba datos especialmente sensibles y de alto riesgo, pero aún así siguió adelante.
Este sistema funcionaba en ocho aeropuertos: Madrid-Barajas, Barcelona-El Prat, Alicante, Gran Canaria, Tenerife-Norte, Palma de Mallorca, Menorca e Ibiza. El uso del reconocimiento facial era voluntario y coexistía con los controles de documentación tradicionales, que continuarán como hasta ahora.
Por su parte, Aena ha anunciado que recurrirá la sanción en los tribunales, expresando su “respetuosa discrepancia”. Argumentan que los pasajeros dieron su consentimiento voluntariamente y que en ningún momento se comprometió la seguridad de los datos. Insisten en que no ha habido ninguna brecha ni filtración.
Además, consideran que la multa es “desproporcionada” y se basa solo en una supuesta infracción formal. No obstante, en protección de datos, el consentimiento no autoriza un tratamiento que sea innecesario o desproporcionado desde su concepción.
Esta sanción se enmarca en una tendencia de los reguladores europeos por limitar el uso indiscriminado de la biometría en espacios públicos. Hace unos años, Mercadona fue multada con 2,5 millones por un caso similar, y más recientemente, LaLiga también tuvo problemas para implementar tecnología biométrica.
Debido a la gravedad de la infracción y al tamaño de Aena, cuyo volumen de negocio supera los 5.000 millones de euros, la multa se ha ajustado a la magnitud de la empresa y la cantidad de personas afectadas.
Por último, la suspensión del reconocimiento facial no afectará el funcionamiento de los vuelos. Se mantendrá mientras Aena realice una evaluación de riesgos adecuada para proteger los derechos y libertades de los viajeros. La compañía asegura que trabajará para retomar el programa “tan pronto como sea posible”.
