El 28 de noviembre de 2025, la Agencia Española de Protección de Datos (AEPD) resolvió el expediente EXP202304532 contra Aena, imponiéndole una multa de 10.043.002 euros. Esta sanción representa la mayor impuesta en España por el tratamiento indebido de datos biométricos, destacando la gravedad de las infracciones cometidas en el ámbito de la protección de datos personales.
El sistema de reconocimiento facial de Aena operaba en ocho aeropuertos principales: Madrid-Barajas, Barcelona-El Prat, Alicante, Gran Canaria, Tenerife Norte, Palma, Menorca e Ibiza. El proceso era simple: el pasajero se colocaba frente a una cámara que lo identificaba y permitía el acceso. Sin embargo, aunque el sistema era rápido y eficiente, fue declarado ilegal por no cumplir con las normativas vigentes.
La raíz del problema radica en el incumplimiento del artículo 35 del Reglamento General de Protección de Datos (RGPD), que exige una Evaluación de Impacto en Protección de Datos (EIPD) completa y documentada antes de implementar sistemas de tratamiento de datos biométricos a gran escala. Aena realizó esta evaluación, pero de manera incorrecta. Las finalidades del tratamiento eran demasiado genéricas y no se describían las operaciones concretas, además de no considerar alternativas menos invasivas.
La AEPD había advertido a Aena en dos ocasiones con informes desfavorables durante la fase de consulta, pero la empresa continuó con la implementación del sistema. Como consecuencia legal, además de la multa, se ordenó la suspensión inmediata del sistema en los ocho aeropuertos afectados. Esta suspensión se mantendrá hasta que Aena presente una EIPD ajustada a la normativa vigente.
La responsabilidad recae directamente sobre el Delegado de Protección de Datos (DPO) de Aena, quien tenía la obligación de garantizar que la EIPD cumpliera con el artículo 35.7 del RGPD antes del despliegue del sistema. La falta de atención a las advertencias del regulador y la persistencia en el error hacen que la responsabilidad del DPO y de la dirección jurídica de la empresa sea directa e incontestable.
Aena ha anunciado que recurrirá la resolución ante los tribunales, buscando una revisión de la sanción impuesta. Este caso subraya la importancia de cumplir estrictamente con las regulaciones de protección de datos, especialmente en un contexto donde el reconocimiento facial y otras tecnologías biométricas están en auge. La sanción impuesta a Aena sirve como un recordatorio de que, en España, la implementación de estas tecnologías sin una EIPD válida puede resultar en severas consecuencias legales y financieras.
Transparencia: Elaborado con asistencia de inteligencia artificial y revisado editorialmente por la redacción. Imagen generada o manipulada con IA.