Aena recurrirá la multa de 10 millones impuesta por la AEPD por sus sistemas de reconocimiento facial

La asociación argumenta que el gestor aeroportuario español ha desplegado sistemas de reconocimiento facial --un tratamiento de alto riesgo de datos de categoría especial-- sin contar con una Evaluación de Impacto de Protección de Datos (EIPD) que cumpliera con los requisitos de necesidad, idoneidad y proporcionalidad exigidos

En un comunicado emitido este martes, Aena insiste que no ha habido ninguna filtración de datos de los usuarios de los distintos programas de biometría para embarque desplegados en los aeropuertos de la red en España, cuya custodia, afirma, «no ha estado en riesgo en ningún momento».

La multa de la AEPD se basa en el supuesto incumplimiento de requisitos formales en la Evaluación de Impacto de Protección de Datos (EIPD), si bien Aena discrepa de esta consideración y defiende que los usuarios prestaron su consentimiento informado.

La sanción impuesta a Aena se fundamenta, según la empresa, en la supuesta infracción de una obligación formal: la de no haber cumplido debidamente con la elaboración de una Evaluación de Impacto de Protección de Datos (EIPD) que cumpliera con todos los requerimientos normativos.

Aena, sin embargo, sostiene que las Evaluaciones de Impacto sí fueron realizadas antes del inicio de los programas de acceso biométrico, por lo que «discrepa respetuosamente» de la consideración de la AEPD de que no cumplían adecuadamente los requisitos.

Por este motivo, y por entender que la decisión no es acorde con el principio de proporcionalidad, la empresa aeroportuaria ha confirmado que recurrirá la resolución ante los tribunales.

En su comunicado, Aena ha insistido en que su programa biométrico ha garantizado la privacidad y seguridad de los usuarios en todo momento. La compañía ha subrayado que no ha habido ninguna filtración de datos de los usuarios de los distintos programas de biometría desplegados en la red de aeropuertos en España ni de ningún tercero.

«La custodia de estos datos no ha estado en riesgo en ningún momento», asegura el gestor aeroportuario.

Además, Aena recuerda que el tratamiento de los datos biométricos se realizó tras obtener el consentimiento informado y voluntario de los pasajeros, y que a dichos datos se les ha dado el tratamiento de conservación, bloqueo y supresión recogido en la normativa vigente.

El gestor aeroportuario concluye que seguirá trabajando en la línea de agilizar los procesos de documentación de los pasajeros para reiniciar el programa de embarque biométrico «tan pronto como sea posible».

La Agencia Española de Protección de Datos (AEPD) ha sancionado a Aena con una multa de 10.043.002 euros por considerar que ha incumplido el artículo 35 del Reglamento General de Protección de Datos (RGPD) en la implementación de su sistema de reconocimiento facial en aeropuertos.

La resolución de procedimiento sancionador señala que Aena no realizó una Evaluación de Impacto en Protección de Datos (EIPD) válida y previa al tratamiento, ni justificó la necesidad y proporcionalidad del uso de datos biométricos para la identificación de pasajeros.

El sistema, diseñado para agilizar el tránsito de pasajeros y mejorar la seguridad, trataba datos biométricos de categoría especial, como patrones faciales, junto con otros datos personales.

La AEPD determinó que el tratamiento no cumplía con los principios de necesidad y proporcionalidad, ya que existían alternativas menos intrusivas para lograr los mismos objetivos. Además, se identificaron deficiencias en la gestión de riesgos y en las medidas de seguridad adoptadas.

La sanción incluye la suspensión temporal del tratamiento de datos biométricos hasta que Aena realice una evaluación de impacto adecuada. La resolución también será publicada en el Boletín Oficial del Estado (BOE), dado que la multa supera el millón de euros.