L’Agència Espanyola de Protecció de Dades ha imposat a AENA la multa més elevada de la seva història: 10.043.002 € per la utilització de sistemes de reconeixement facial en diversos aeroports sense haver dut a terme una Avaluació d’Impacte en Protecció de Dades (EIPD) completa i vàlida, conforme a l’exigit per l’article 35 del RGPD. La resolució, extensa i detallada, ofereix una anàlisi exhaustiva de les deficiències detectades en el disseny i la documentació del tractament de dades biomètriques per part de l’entitat.
L’expedient deixa clar que el problema no va ser l’adopció de tecnologia biomètrica com a concepte, sinó com es va dissenyar i es va justificar la seva implantació. L’Agència conclou que AENA no va acreditar adequadament la necessitat, proporcionalitat ni els riscos del sistema, aspectes que constitueixen el nucli d’una EIPD robusta i prèvia.
Un tractament d’alt risc sense una EIPD adequada
Al llarg de la resolució, l’AEPD identifica diverses mancances estructurals en l’avaluació presentada per AENA:
- Insuficiència en l’anàlisi de necessitat i proporcionalitat. Les EIPD no demostraven per què era imprescindible recórrer a un sistema d’identificació 1:N, basat en comparació contra bases de dades centralitzades, quan existien mètodes menys invasius que podien complir la mateixa finalitat operativa.
- Anàlisi de riscos incomplet i desalineat amb el projecte inicial. La documentació aportada no incloïa l’anàlisi de riscos original de 2021; en el seu lloc, es va presentar un elaborat en 2023, desconnectat del disseny previ i, per tant, incapaç de justificar el tractament des de la seva concepció.
- Metodologia inadequada per a un projecte d’alta complexitat. L’Agència subratlla que es van utilitzar eines orientades a organitzacions més petites, no adequades per a un sistema implantat en diversos aeroports i que tractava dades de categoria especial.
- Falta de coherència entre els advertiments rebuts i la continuïtat del projecte. AENA havia plantejat consultes prèvies en les quals reconeixia dificultats per a reduir el risc a nivells acceptables, però, tot i així, va avançar cap a fases pilot i operatives sense disposar d’una EIPD completa.
Un matís important: l’AEPD no rebutja la biometria en aeroports
Encara que la sanció sigui contundent, l’Agència no qüestiona que la biometria pugui utilitzar-se legítimament en aeroports. De fet, la pròpia resolució al·ludeix al Dictamen 11/2024 del Comitè Europeu de Protecció de Dades, que descriu models d’ús compatibles amb el RGPD.
La clau està en el disseny. Existeixen escenaris en els quals la tecnologia biomètrica es basa en:
- Plantilles emmagatzemades únicament en el dispositiu del passatger.
- Comparacions 1:1 locals i efímeres.
- Absència d’emmagatzematge centralitzat per part de l’operador.
Aquest tipus de solucions, menys intrusives i més contingudes, podrien superar el judici de necessitat i proporcionalitat que exigeix el RGPD i que l’AEPD ha trobat a faltar en el cas d’AENA.
Conclusió: un avís i un full de ruta
La sanció no tanca la porta a la biometria, però sí que marca un estàndard clar: qualsevol tractament d’aquest tipus exigeix justificació sòlida, metodologia adequada i una EIPD exhaustiva, prèvia i ben fonamentada. La innovació i l’eficiència operativa són compatibles amb la protecció de dades, sempre que s’integrin des del disseny les garanties necessàries.
Com sempre, cuideu les dades i cuideu-vos!
Per consultar la resolució, feu clic aquí.
