1/84
Expediente N.º: EXP202304532
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
ÍNDICE
ANTECEDENTES.......................................................................................................... 3
PRIMERO:................................................................................................................. 3
SEGUNDO:................................................................................................................ 4
TERCERO:................................................................................................................. 7
CUARTO:................................................................................................................... 7
QUINTO:.................................................................................................................. 14
SEXTO:.................................................................................................................... 15
SÉPTIMO:................................................................................................................ 15
OCTAVO:.................................................................................................................. 15
NOVENO:................................................................................................................. 16
DÉCIMO:.................................................................................................................. 16
UNDÉCIMO:............................................................................................................. 18
DUODÉCIMO:.......................................................................................................... 19
DÉCIMO TERCERO:................................................................................................ 20
DECIMO CUARTO:.................................................................................................. 20
DÉCIMO QUINTO:................................................................................................... 20
DÉCIMO SEXTO:..................................................................................................... 20
HECHOS PROBADOS................................................................................................ 27
PRIMERO: Sobre el diseño y documentación del tratamiento realizado por AENA:
consulta previa planteada, y evaluaciones de impacto realizadas............................ 27
SEGUNDO: Datos personales objeto de tratamiento............................................... 30
TERCERO: Finalidad del tratamiento....................................................................... 30
CUARTO: Descripción del tratamiento..................................................................... 32
QUINTO. Funcionamiento del sistema biométrico empleado y características.........33
SEXTO: Sobre la arquitectura del sistema y almacenamiento de los datos.............35
SÉPTIMO: Medidas de seguridad aplicadas a cada elemento del sistema en que se
traten datos de carácter personal............................................................................. 38
OCTAVO: Respecto al Análisis de Riesgos del tratamiento realizado...................... 39
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/84
NOVENO: Alcance y duración del tratamiento de datos biométricos realizado por
AENA....................................................................................................................... 40
DÉCIMO: Suspensión del tratamiento y bloqueo/supresión de datos personales... .41
UNDÉCIMO. Base de licitud y excepción del consentimiento habilitante para tratar
datos biométricos de los pasajeros.......................................................................... 41
DUODÉCIMO: Respecto a los procedimientos seguidos para cumplir el deber de
información y acreditar el consentimiento................................................................. 43
DÉCIMO TERCERO: Respecto al análisis de idoneidad, necesidad y
proporcionalidad incluido en la EIPD del tratamiento............................................... 44
DÉCIMO CUARTO:.................................................................................................. 44
FUNDAMENTOS DE DERECHO................................................................................. 45
I. Competencia......................................................................................................... 45
II. Cuestiones previas sobre el tratamiento de datos biométricos............................. 45
2.1. Definición y características de los datos biométricos..................................... 45
2.2. Las plantillas biométricas como datos personales de categoría especial y alto
riesgo.................................................................................................................... 48
2.3. Sistema biométrico implantado por AENA...................................................... 48
2.4. Operaciones de tratamiento de datos biométricos realizadas por AENA.......49
2.5. AENA como responsable del tratamiento de datos........................................ 51
III Contestación a las alegaciones a la propuesta de resolución.............................. 52
IV. Sobre la obligación incumplida artículo 35 del RGPD......................................... 62
1.- Incumplimiento de las obligaciones contenidas en el art. 35.7 del RGPD........64
2 sobre el análisis de idoneidad, necesidad y proporcionalidad............................ 69
V. Tipificación y calificación de la infracción del artículo 35 del RGPD..................... 82
. VI Graduación de la sanción por la infracción del artículo 35 del RGPD..............82
VII Confirmación de las medidas.............................................................................. 86
RESUELVE:................................................................................................................. 88
PRIMERO:............................................................................................................... 88
SEGUNDO:.............................................................................................................. 88
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/84
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO:
Con fecha 22 de marzo de 2023 A.A.A. interpuso reclamación en nombre propio y
denuncia en nombre y representación de la Fundación Éticas Data Society (en
adelante, FUNDACIÓN), ante la Agencia Española de Protección de Datos por una
posible infracción imputable a AENA, S.M.E., S.A. con NIF A86212420 (en adelante,
AENA).
En relación con el sistema de reconocimiento facial implantado por AENA en el
denominado “proyecto piloto” del Aeropuerto del Prat de Barcelona, la reclamación
manifiesta lo siguiente:
- Con fecha 6 de junio de 2022 manifiesta que formuló en nombre propio el derecho
de acceso ante el delegado de protección de datos de AENA ([email protected]), y
que el mismo le contestó el 29 de junio de 2022, dándole la información que se
contiene en el que se adjunta como Documento Nº 5, en el que se informaba de un
total de 4 tratamientos realizados por AENA de los datos personales de la
solicitante, entre los que se encontraba el denominado “BIOMETRICOS DE
AEROPUERTOS – PILOTO PROYECTO BCN”
En especial, se señala por A.A.A. que en relación al tratamiento de sus datos
biométricos en aeropuertos realizado dentro del “Proyecto piloto Barcelona”, cuya
finalidad es la “Seguridad en los procesos de paso por filtros de seguridad,
proceso de embarque de los pasajeros y SelfBag Drop: gestión del acceso a la
zona de embarque de los aeropuertos y el proceso de embarque de pasajeros
con unos mayores niveles de seguridad, eficiencia y eficacia que los que se
lograrían con los métodos de verificación de identidad empleados en la
actualidad”, AENA le informó del proceso automatizado de toma de decisiones
mediante la tecnología de reconocimiento facial que se realizaba.
- Por otra parte, con fecha 23 de junio de 2022, la misma persona presentó solicitud
de información pública a través del Portal de la Transparencia en nombre y
representación de la Fundación Éticas Data Society. Solicitud que fue contestada
por AENA mediante un correo electrónico de 21 de julio de 2022 (de
“[email protected]” dirigido a ***EMAIL.1) que se adjunta como
Documento 3, donde AENA accede a remitir copia del “Registro de actividades del
tratamiento” del “proyecto biométrico de Aena, S.M.E., S.A”, que se adjunta al
presente escrito como Documento Nº 4, pero deniega la petición de proporcionar
una copia de la evaluación de impacto del referido proyecto piloto de biométricos, y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/84
de cualquier consulta realizada a la Agencia Española de Protección de Datos
relacionada con el sistema biométrico, en base a lo dispuesto en el artículo 14.1.
h) y j) de la Ley 19/2013 de Transparencia, “por suponer un perjuicio para los
intereses económicos y comerciales y el secreto profesional y la propiedad
intelectual e industrial(…)”.
- Considera que aunque medie el consentimiento expreso para el tratamiento de
datos objeto de su reclamación, el tratamiento de sus datos biométricos por parte
de la entidad reclamada incumple con la normativa de protección de datos.
Junto con su escrito, se aporta la siguiente documentación:
- Documento Nº 1: Acta de constitución de la fundación: FUNDACIÓN ETICAS DATA
SOCIETY (en adelante, la Fundación).
- Documento Nº 2: Autorización de la parte reclamante para que FUNDACIÓN
ETICAS DATA SOCIETY actúe en su nombre ante la Agencia Española de
Protección de Datos.
- Documento Nº 3: Correo electrónico de 21 de julio de 2022 en el que se remite
respuesta de AENA a la solicitud de información pública formulada por la
FUNDACIÓN ÉTICAS DATA SOCIETY con fecha 23 de junio de 2022.
- Documento Nº 4: “Registro de actividades del tratamiento” del “proyecto biométrico
de Aena.
- Documento Nº 5: Respuesta de la Unidad Central de Protección de Datos de AENA
a la solicitud de acceso formulada por A.A.A. con fecha 6 de junio de 2022.
SEGUNDO:
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), con fecha de 12 de abril de 2023 se dio traslado de dicha reclamación a
AENA, para que procediese a analizar e informase a esta Agencia en el plazo de un
mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos en relación con el proyecto piloto de reconocimiento
facial para la identificación que estaba llevando a cabo en aeropuertos.
Con fecha 12 de mayo de 2023, se presenta escrito de contestación al traslado por el
DPD de AENA haciendo constar, principalmente, lo siguiente:
- Explicación del tratamiento biométrico sobre el proyecto piloto del Aeropuerto de
Barcelona al que se refiere la reclamación.
“El sistema biométrico utilizado como proyecto piloto en el aeropuerto es un
proceso mediante el cual, se valida la identidad mediante la comparación de la
imagen del pasajero, tomada por él mismo en el momento del registro, con sus
documentos identificativos (DNI/NIE/Pasaporte) y su tarjeta de embarque.
(…)”.
- Las finalidades del tratamiento son dos: prestar un servicio de mejora de la
experiencia del pasajero en el tránsito por el aeropuerto, y mejorar la seguridad en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/84
los filtros de seguridad y embarque. Ambas son absolutamente imposibles de
lograr sin la aplicación de un sistema biométrico como el realizado en el proyecto
piloto de Aena.
- Se considera que no se trata de una medida restrictiva de derechos
fundamentales, sino una forma de acceso al embarque que libremente pueden
elegir o no los pasajeros, al inscribirse voluntariamente en el sistema arbitrado al
efecto en la APP de Aena o en los quioscos del aeropuerto.
- Que se ha realizado una EIPD previa al tratamiento, cuya versión le fue remitida a
la reclamante con fecha 26 de abril de 2023, con motivo de su petición a través del
portal de transparencia. Se adjunta esta comunicación, incluyendo dicha
Evaluación, como Documento Nº. 1.
- AENA mantiene que tampoco considera que la Resolución E/05454/2021 de la
AEPD que se menciona en la reclamación como aplicable a este asunto, no se
pueda extrapolar al presente caso, dado que, en el supuesto que motivó la
mencionada Resolución, se trataba la implantación de un sistema para monitorizar
de forma remota, mediante un sistema de control biométrico, la realización de
exámenes por parte de alumnos de una Universidad. Sin embargo, el sistema
biométrico de Aena es completamente voluntario y no conlleva menoscabo alguno
al pasajero que no consientan dado que siempre podrá realizar su embarque a
través de los medios tradicionales. Alegan ampararse en la excepción del artículo
9.2.a) del RGPD y que están habilitados para tratar datos biométricos de los
pasajeros que suscriben el consentimiento.
- AENA dice que: “es necesario indicar que los proyectos piloto biométricos que se
implantaron en determinados aeropuertos de la red de Aena durante los años 2019
a 2022, están todos finalizados a fecha junio de 2022 y todos los datos personales
recabados en los mismos han sido suprimidos, por lo que actualmente no existe
ningún sistema biométrico orientado a pasajeros en los aeropuertos de Aena. La
interesada, ejercitó su derecho de acceso, así como consulta al amparo de la Ley
de Información Pública y buen Gobierno, respecto al último de los proyectos piloto
que en ese momento estaba activo, el Proyecto Piloto Biométrico del Aeropuerto
Josep Tarradellas – El Prat de Barcelona”.
- Que las finalidades del tratamiento de datos biométricos de dicho proyecto piloto
por parte de Aena se recogen en el Registro de Actividades de Tratamiento, tal y
como hace referencia la reclamante.
- En lo que se refiere a la Evaluación de la Proporcionalidad y sus tres vertientes,
contenidas en la EIPD, se realiza un “resumen” de porqué se consideró en su EIPD
que el tratamiento era idóneo, necesario y proporcional.
- Que además de existir métodos alternativos para la identificación, se ha previsto
que nunca se deniegue el embarque por negarse el pasajero a utilizar el sistema
de reconocimiento facial del proyecto piloto o porque no funcione el sistema de
reconocimiento facial: “(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/84
- Mantienen que Aena no ha procedido ni va a proceder en ningún caso a extrapolar
los datos biométricos para obtener información relativa a la raza, la religión o las
creencias, en cuanto que, de acuerdo con el art. 9.1 de la Ley Orgánica 3/2018 de
protección de datos y garantías de derechos digitales, para realizar este tipo de
tratamientos de datos no basta el solo consentimiento del afectado.
- Respecto a las medidas de seguridad, señalar que el sistema de biometría ha
pasado los controles de seguridad de Aena, a través del cumplimiento de nuestra
normativa de desarrollo seguro, basada en la norma ***NORMA.1, y que detallan
el nivel de cumplimiento en base a la categorización de los datos tratados. Entre
las medidas aplicadas, se encuentra el encriptado de los datos de categoría
especial (datos biométricos) mediante un cifrado simétrico basado en AES256.
- Por último, en cuanto a las medidas adoptadas para evitar nuevas incidencias,
señalan que. “El proyecto piloto biométrico del aeropuerto de Barcelona está ya
finalizado y, por tanto, no procede ya realizar actuaciones sobre el mismo. A raíz
de la presente reclamación y de cara a la futura implantación del proyecto
definitivo en todos los aeropuertos de la red de Aena, se está procediendo a
revisar la Evaluación de Impacto en la privacidad que se está elaborando para este
tratamiento. Así mismo, se detallará algo más la información respecto a decisiones
automatizadas a facilitar a los interesados.”
A dicho escrito de contestación al traslado se acompañan los siguientes documentos:
- Documento Nº 1: Correo de AENA a ***EMAIL.1 con fecha 26 de abril de 2023 por
la que se da cumplimiento a la Resolución del Consejo de Transparencia y Buen
Gobierno por la que se estima la reclamación R-0749-2022 / 100-007267.
- Documento Nº 2: Evaluación de impacto del Tratamiento de la Actividad de
Biométricos Josep Tarradellas Barcelona – El Prat, fechada el 23 de junio de 2021.
Pág.58-71.
- Documento Nº 3: ANEXO III de la EIPD. Trazabilidad de los fines del tratamiento.
Pág. 72-73
- Documento Nº 4: ANEXO IV de la EIPD. Legitimación uso de datos biométricos por
reconocimiento facial en los procesos aeroportuarios. Pág. 74-90
- Documento Nº 5: ANEXO VII de la EIPD. Checklist cumplimiento normativo AEPD.
Pág. 91-105
TERCERO:
Con fecha 30 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se
admitió a trámite la reclamación.
CUARTO:
Por otra parte, para esclarecer los hechos objeto de reclamación y denuncia, la
Subdirección General de Inspección de Datos procedió a iniciar la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión con fecha de 10 de mayo de 2023, en virtud de las funciones asignadas a las
autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo
58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/84
adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la
LOPDGDD.
Como consecuencia de las actuaciones realizadas, con fecha de 9 de julio de 2024 se
emitió Informe de actuaciones previas por la inspectora actuante, en el que se pone de
manifiesto la realización de las siguientes diligencias que constan unidas al
expediente, con el contenido que consta detallado en el acuerdo de inicio, y se resume
a continuación, a efectos de evitar reiteraciones innecesarias en los hechos probados
de esta Propuesta:
1. Primer requerimiento de información de 4 de septiembre de 2023 a AENA:
Se le requieren, entre otros puntos, la copia del RAT, del Análisis de Riesgos y de la
Evaluación del Impacto (en adelante, EIPD) relativos a las actividades que involucran
el tratamiento de datos biométricos; información detallada sobre el Programa
Estratégico de Identidad Digital de AENA en relación con la implementación de la
biometría en los aeropuertos, los proyectos pilotos que se han llevado a cabo y
previsión del despliegue del servicio biométrico a gran escala e información sobre el
estado del proceso de adecuación de AENA al Esquema Nacional de Seguridad (en
adelante, ENS).
2. Respuesta de AENA de 6 de octubre de 2023 al primer requerimiento de
información (Resp#1).
Tras solicitar ampliación de plazo y copia del expediente, cuya concesión se notifica a
la entidad reclamada con fecha de 18 de septiembre de 2023, se presenta escrito de
respuesta por el DPD de AENA con fecha de 6 de octubre de 2023, que se compone
de un total de 12 entradas de registro, en los que se adjuntan los siguientes Anexos:
.- Anexo nº 0: Declaración formal emitida por la Agencia Estatal de Seguridad
Aérea (AESA) manifestando el apoyo a la implementación de los sistemas
biométricos.
.- Anexo nº 1: copia del contenido incluido en el Registro de Actividades de
Tratamiento respecto del tratamiento de datos biométricos
.- Anexo nº 2: copia del Análisis de Riesgos y determinación de los controles
transversales y específicos meritados de 29 de septiembre de 2023. Firmado
por el propio DPD.
.- Anexo nº 3: copia de la Evaluación de Impacto en Protección de Datos
(compuesta por el documento y 13 de los 14 anexos que conforman la misma.
.- Anexo nº 4: copia del contenido de la primera y segunda capa para obtener
consentimiento informado y proporcionar la política de privacidad.
.- Anexo nº 5: relación de pantallas visionadas por los pasajeros en el momento
del registro en el sistema a través de los quioscos de enrolamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/84
.- Anexo nº 6: relación de pantallas visionadas por los pasajeros en el momento
del registro en el sistema a través de la APP.
.- Anexo nº 7: copia del contenido de la cláusula informativa que las aerolíneas
participantes en el proyecto pusieron a disposición de los pasajeros para
recabar su consentimiento en el momento de adquisición del billete.
.- Anexo nº 8: imágenes captadas en las puertas de acceso a los filtros de
seguridad, zona de embarque y mostradores de facturación
.- Anexo nº 9: evidencia de que los datos personales han sido destruidos de
forma definitiva una vez finalizado el Piloto.
.- Anexo nº 10: Acuerdo de colaboración entre las
empresas***EMPRESA.1,***EMPRESA.2,***EMPRESA.3 y AENA, S.M.E.,
S.A, para la realización de un piloto de embarque por biometría en el
aeropuerto Josep Tarradellas Barcelona – el Prat.
.- Anexo nº 11: Acuerdo de colaboración entre las empresas***EMPRESA.3 y
AENA, S.M.E., S.A. para la realización de un piloto de embarque por biometría
en el aeropuerto Josep Tarradellas Barcelona – El Prat.
.- Anexo nº 12: Acuerdo de colaboración entre las empresas ***EMPRESA.4 y
AENA, S.M.E., S.A. para realizar una prueba piloto de embarque biométrico en
el aeropuerto Josep Tarradellas Barcelona-El Prat.
.- Anexo nº 13: Acuerdo de colaboración entre las empresas ***EMPRESA.5 y
AENA S.M.E., S.A. para la realización de un piloto de embarque por biometría
en el aeropuerto Josep Tarradellas Barcelona – El Prat.
.- Anexo nº 14: documento descriptivo de la arquitectura física del Sistema.
.- Anexo nº 15: flujo de procesos del sistema biométrico.
.- Anexo nº 16: información relativa al proceso de comparación de los datos.
.- Anexo nº 17 y 18: planos del aeropuerto con la señalización de los equipos
alojados en la Terminal 1 del aeropuerto Josep Tarradellas Barcelona-El Prat.
.- Anexo nº 19: documento elaborado por la Dirección de Tecnologías de la
Información y Comunicaciones de AENA que describe el sistema de seguridad
empleado a nivel de comunicaciones, y el almacenamiento de la información
personal.
.- Anexo nº 20: intercambio de comunicaciones entre la reclamante y AENA en
el seno del ejercicio del derecho de acceso.
.- Anexo nº 21: Intercambio de las comunicaciones entre la reclamante y AENA
en el seno de la solicitud de información pública.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/84
De los 21 Anexos aportados y la respuesta de AENA de 6 de octubre de 2023 el
informe de actuaciones previas de investigación analiza y extrae los aspectos
principales que fueron detallados en el acuerdo de inicio, y se reflejan en los hechos
probados del procedimiento, sobre los siguientes aspectos:
(i) Respecto al contexto y la implantación de los sistemas biométricos en los
aeropuertos españoles donde se ha desarrollado el piloto de biometría.
Respecto a la implantación del programa de biometría, se indica, entre otras
cuestiones que: “AENA decidió lanzar el programa de biometría de una forma muy
controlada, llevando a cabo para ello una serie de pilotos incrementales desarrollados
durante los años 2019 a 2022 en los aeropuertos de Menorca, Adolfo Suárez Madrid-
Barajas y Josep Tarradellas Barcelona-El Prat. […] El Piloto fue reconocido como la
"mejor innovación en procesos relacionados para los pasajeros" por el Consejo
Internacional de Aeropuertos (ACI), englobado todo ello en el impulso por parte de la
Comisión Europea de que los aeropuertos del espacio Schengen dispongan de
sistemas de identificación por sistemas biométrícos (sic) antes de que acabe
2023.”(…) Como consecuencia los buenos resultados obtenidos en el lanzamiento de
los proyectos piloto y en el marco del Plan Estratégico de AENA alineado con las
directrices comunitarias y de las autoridades aeroportuarias, el pasado 4 de octubre
procedió a poner en marcha de una forma gradual una primera fase del sistema de
reconocimiento biométrico en los aeropuertos de Adolfo Suárez Madrid-Barajas, Josep
Tarradellas Barcelona-El Prat, Menorca, Palma de Mallorca, Ibiza, Tenerife Norte y
Gran Canaria, con una alcance limitado”
Al respecto de esta cuestión, con fecha de 23 de agosto de 2023 se expide Diligencia
por la inspectora para incorporar al procedimiento la nota de prensa obtenida como
resultado de la consulta realizada en la página web https://www.aena.es/es/prensa/el-
proyecto-de-biometria-del-aeropuertojosep-tarradellas-barcelona-el---prat-premiado-
por-el-consejo-internacional-deaeropuertos.html. Así mismo, se incorpora el enlace a
dos vídeos relacionados con el proyecto piloto: - https://www.youtube.com/watch?
v=A1CfmnaqiaQ.-https://cdn.jwplayer.com/previews/y3zhE3ob”.
(ii) Respecto al Registro de Actividades de Tratamiento (RAT).
Solicitada la copia del contenido incluido en el RAT (artículo 30 del RGPD) relativo a
las actividades que involucran el tratamiento de datos biométricos, AENA proporciona
información respecto de la actividad “BIOMETRICOS AEROPUERTOS PILOTO BCN”,
que incluye como categoría de datos identificativos, entre otros: imagen selfie e
imagen almacenada en chip NFC; y como datos especialmente protegidos: datos
biométricos con fines de identificación. Y se hace referencia a la base de licitud y
excepción habilitadora del consentimiento.
(iii) Respecto a la Evaluación de Impacto y Análisis de los riesgos asociados al
tratamiento.
AENA facilita una EIPD fechada el 23 de junio de 2021 como Anexo 3
(Resp#1_Anexo_3), realizada para el proyecto piloto de Barcelona.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/84
La EIPD aparece sin firma de conformidad, haciéndose constar que ha sido elaborada
por la Unidad Central de Protección de Datos de AENA, y visada por el DPD de AENA.
La EIPD consta de 72 páginas organizadas en 13 apartados, siendo el último de ellos
el relativo a los anexos.
1. Resumen ejecutivo.
2. Contexto del tratamiento.
3. Descripción del tratamiento
4 Licitud del tratamiento y cumplimiento normativo
5.Metodología de la EIPD
6. Análisis del tratamiento (ciclo vida de los datos).
7. Análisis de la obligación de realizar una EIPD ( Evaluación del riesgo).
8. Análisis de la necesidad del tratamiento
9. Medidas para la reducción del riesgo
10. Análisis del balance entre riesgo-beneficio
11. Plan de Acción
12. Conclusiones y recomendaciones del Delegado de Protección de Datos
13. Anexos. En concreto, se acompañan los siguientes:
Pese a que en el índice de la EIPD constan un total de 14 Anexos, AENA señala que
se adjuntan 13 de los 14 anexos que se mencionan en la misma. En concreto, no se
aporta el documento 3.8 que contenía el análisis de riesgos realizado previamente a
esta EIPD de 2021, aportando el Anexo II sobre Análisis de Riesgos en su sustitución,
que está fechado el 29 de septiembre de 2023, que es el que se valora en el informe
de inspección.
Por tanto, se acompañan los siguientes anexos a la EIPD (todos a excepción del 3.8
correspondiente al análisis de riesgos que fundamentó la EIPD de 2021):
3.1. Comunicación Vº Bº AESA
3.2. Flujo de procesos del sistema biométrico
3.3. Trazabilidad de los fines del tratamiento
3.4. Informe análisis de legitimación
3.5. Análisis sobre plazos de conservación
3.6. Ciclo de vida
3.7. Checklist cumplimiento normativo AEPD
3.9. Video captado por los dispositivos
3.10. Carteles informativos
3.11. Privacidad desde el diseño y por defecto
3.12. Seguridad***EMPRESA.6
3.13. Plan Viabilidad ***PLAN.1
3.14. Acuerdos y Responsabilidades”.
(iv) Descripción del tratamiento
La parte reclamada realiza una descripción del tratamiento en el apartado 3 de su
EIPD (Resp#1_Anexo_3), en el que se identifica como responsable del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/84
AENA explica en su respuesta al requerimiento que anteriormente a la implantación
del proyecto piloto referido al aeropuerto del Prat, se han ejecutado con éxito entre los
años 2020-2021 dos proyectos piloto en los aeropuertos de Menorca y Madrid-Barajas,
que han concluido actualmente.
En esta línea, la EIPD indica que el del aeropuerto del Prat será el tercer proyecto
piloto puesto en marcha por AENA que utilizará reconocimiento facial para identificar a
los pasajeros, el cual se basará en los anteriores añadiendo algunos aspectos incluirá
adicionalmente el uso de la biometría en el self bag drop (servicio de auto entrega de
equipaje), y la posibilidad de enrolamiento a través de APP de la aerolínea.
La EIPD facilita un “resumen del funcionamiento del sistema biométrico” señalando
que: “De forma básica, el proceso de tratamiento de datos personales en el proyecto
biométrico consta de cuatro pasos” que se detallan en el Hecho Probado Quinto de
esta Propuesta:
• (…).
Aunque la EIPD (Resp#1_Anexo_3) recoge el posible uso de la APP de la aerolínea, la
parte reclamada aclara en el apartado 3 de dicho documento que no se va a poner en
producción inicialmente.: "En una primera Fase, ***EMPRESA.7 no desea utilizar el
SDK en su APP, (…)."
Se aporta también un documento sobre el ciclo de vida de los datos
(Resp#1_Anexo_3.2 y (Resp#1_Anexo_15).
(v) Licitud del tratamiento del artículo 6.1. del RGPD y concurrencia de excepción del
artículo 9.2. del RGPD que habilite a tratar datos biométricos.
AENA indica en su EIPD (Resp#1_Anexo_3), que la base jurídica para el tratamiento
de los datos de los interesados es el Consentimiento (Art. 6.1.a) y, adicionalmente,
para levantar la prohibición del tratamiento de datos de categoría especial, se recurre
a la excepción del 9.2.a) RGPD (consentimiento), ya que el tratamiento requiere el uso
de datos biométricos para el reconocimiento facial de los interesados. Aporta como
documento (Resp#1_Anexo_3.4), el informe sobre el análisis de legitimación realizado
para determinar esta base jurídica de tratamiento, al que se hará referencia en el
Hecho Probado Undécimo.
Además, en este apartado incluye un análisis del cumplimiento del resto de principios
relativos a la protección de datos.
AENA facilita el documento denominado Checklist cumplimiento normativo AEPD
como (Resp#1_Anexo_3.7).
(i) Respecto a los procedimientos seguidos para cumplir el deber de información y
acreditar el consentimiento.
La inspección considera en su informe que AENA proporciona evidencias del
procedimiento que se ha seguido para cumplir el deber de información a los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/84
interesados y obtener el consentimiento de los mismos. Y lo desarrolla en el apartado
3.5 de su informe, al que se hará referencia en el Hecho Probado Décimo Segundo.
(ii) Respecto al juicio de proporcionalidad y al análisis de la necesidad del
tratamiento
La EIPD aportada correspondiente al proyecto piloto implantado en Barcelona, modelo
de los posteriormente implantados, contiene un detalle al respecto de estas cuestiones
por las que considera que el tratamiento realizado supera el triple juicio de idoneidad,
necesidad y proporcionalidad exigido por el RGPD, que es ampliado en la respuesta al
requerimiento por AENA de 6 de octubre de 2023. Se hará referencia al mismo en el
Hecho Probado Décimo Tercero.
Por una parte, este juicio de proporcionalidad y análisis de necesidad se contiene en
diferentes partes de la EIPD de junio de 2021.
(iii) Respecto a la arquitectura del sistema, con indicación de los lugares en los que
se ubica y ejecuta cada elemento.
AENA suministra el documento descriptivo de la arquitectura física del Sistema
(Resp#1_Anexo_3.14) y expone que: “La arquitectura del sistema de reconocimiento
facial estaba compuesta por tres elementos principales” a los que se hará referencia
con detalle en el Hecho Probado Sexto:
(…).
(iv) Respecto a las entidades intervinientes (encargados de tratamiento)
La parte reclamada proporciona en su escrito de respuesta (Resp#1) un listado de
los encargados de tratamiento realizado para el proyecto piloto de Barcelona, y
aporta los acuerdos de colaboración entre las distintas empresas que están fechados
de 2 de junio de 2021: (Resp#1_Anexo_10), (Resp#1_Anexo_11),
(Resp#1_Anexo_12) y (Resp#1_Anexo_13).
(v) Plazos de conservación y almacenamiento de los datos personales
Respecto al almacenamiento de los datos biométricos, la EIPD contiene en su
apartado 8 una referencia a la “Necesidad de tener almacenada la información
biométrica en los servidores” y distingue entre el almacenamiento de la imagen de los
pasajeros y el almacenamiento del token biométrico obtenido, en los términos que se
señalan en el Hecho Probado Sexto.
Respecto a los plazos de conservación.
La parte reclamada añade en su escrito de respuesta (Resp#1) que: “(…)”
Proporciona los plazos de conservación que constan en el Anexo 5 de la EIPD, a los
que se hará referencia en el Hecho Probado Sexto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/84
En otro orden de cosas, se informa a esta Agencia que se previó un plazo de bloqueo
de los datos personales referidos de 3 años posteriores a la finalización del plazo
activo, en atención al plazo de prescripción de las infracciones recogidas en la
LOPDGDD así como la Ley 21/2003, de 7 de julio, de Seguridad Aérea.”
No obstante, señalan que han procedido a la destrucción definitiva de los datos
personales, y acompañan un Anexo 9 que es de 2 de junio de 2022, como justificación
de la desinstalación del sistema y destrucción de los datos. (Resp#1_Anexo_9).
(vi) Medidas de seguridad aplicadas a cada elemento del sistema en que se traten
datos de carácter personal.
En el Hecho Probado Séptimo se hará referencia a las medidas del sistema de
seguridad implementadas según AENA que constan reflejadas en el informe de
actuaciones previas, de acuerdo con el Anexo 19 de la EIPD. Además, en su escrito
de respuesta AENA ofrece un resumen de las medidas de seguridad de la información
implementadas en el sistema.
3. Escrito ampliando la respuesta al requerimiento presentada por AENA con fecha 14
de junio de 2024 (Resp#2).
Con fecha de 14 de junio de 2024 el DPD de AENA presenta nuevo escrito para
ampliar la información aportada en su escrito de 6 de octubre de 2023, con respecto al
requerimiento realizado por esta Agencia relativo a la “información detallada sobre el
Programa Estratégico de Identidad Digital de AENA en relación con la implementación
de la biometría en los aeropuertos. Proyectos piloto que se han llevado a cabo y
previsión del despliegue del servicio biométrico a gran escala. Detalle de los procesos
aeroportuarios realizados con esta tecnología”.
A estos efectos, informa a esta Agencia de que ha paralizado los próximos proyectos
piloto pendientes de implantación gradual y el tratamiento de datos biométricos que
implica el mismo, por hallarse en proceso de análisis y adaptación de su sistema al
objeto de cumplir con lo dispuesto en el nuevo Dictamen 11/2024 de 23 de mayo del
Comité Europeo de Protección de Datos (en adelante Dictamen 11/24 del CEPD o
EPDB). sobre el uso de tecnologías de reconocimiento facial para racionalizar el flujo
de pasajeros en los aeropuertos.
QUINTO:
Con fecha de 8 de noviembre de 2024 se expide Diligencia para hacer consta que de
acuerdo con el informe recogido de la herramienta AXESOR, la entidad AENA S.M.E.
SA es una gran empresa constituida en el año 2011, con 8.301 empleados, y con un
volumen de negocios de 4.386.767.000 euros en el año 2023.
SEXTO:
Con fecha de 8 de noviembre de 2024 se expide Diligencia para hacer constar la
publicación de las siguientes noticias en prensa que se recogen en los Anexos I a III
en relación con la implantación del sistema de reconocimiento facial como sistema de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/84
acceso en el Aeropuertos del Prat de Barcelona, y otros aeropuertos de AENA a partir
de 2023:
- ANEXO I. Artículo publicado con fecha de 19 de enero de 2024 por el Diario “On
economía”, con la url siguiente: ***EMPRESA.7 implanta el reconocimiento facial
en el aeropuerto de Barcelona.
- ANEXO II. Artículo publicado el 19 de enero de 2024 por el Diario “El Periódico”
con la url siguiente: Adiós a la tarjeta de embarque: Así funciona el reconocimiento
facial en el aeropuerto del Prat de Barcelona.
- ANEXO III. Noticia 22 de enero de 2024 Diario 20 minutos publicada en la
siguiente url: Sin DNI, ni pasaporte o tarjeta de embarque: la primera aerolínea en
España 'sin papeles'.
SÉPTIMO:
En fecha de 8 de noviembre de 2024 se incorpora al expediente también Diligencia
para hacer constar la publicación de las diversas noticias en prensa en relación con el
volumen potencial de pasajeros de la Compañía ***EMPRESA.7 en el Aeropuerto del
Prat de Barcelona, que constan en los Anexos I y II de esta diligencia.
OCTAVO:
Con fecha 8 de noviembre de 2024, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 5.1.c) del RGPD, tipificada en el
Artículo 83.5.a) del RGPD, por concurrir evidencias de que podría haber realizado un
tratamiento de datos personales de los pasajeros inscritos en este sistema que podría
ser no necesario ni proporcional.
El mencionado acuerdo contiene las siguientes conclusiones:
“En conclusión, de lo expuesto se deduce que AENA reconoce que puso en
marcha un sistema de reconocimiento facial como nuevo método de control de
acceso de los pasajeros que se inscribieran voluntariamente en este sistema
para los vuelos de la Compañía ***EMPRESA.7. En concreto:
- AENA reconoce y aporta evidencias de que, efectivamente, el tratamiento
citado se desarrolló (con base en la citada EIPD de 23 de junio de 2021) con
ocasión de la ejecución del proyecto piloto del Aeropuerto de El Prat de
Barcelona., que fue ejecutado, al menos entre diciembre de 2021 y junio de
2022. Y existen claros indicios de que, previamente a este proyecto piloto, se
ejecutaron otros dos proyectos piloto en los aeropuertos de Madrid-Barajas y
Menorca, dado que así se hace constar en el resumen ejecutivo de la EIPD
mencionada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/84
- AENA reconoce también, tras finalizar el proyecto piloto de Barcelona, y “a la
vista de su éxito”, comenzó la primera fase de implantación definitiva de este
mismo tratamiento en éste mismo aeropuerto de Barcelona y otros 6
aeropuertos a partir de octubre de 2023 y la paralizó en mayo de 2024 tras la
emisión del Dictamen 11-24 del CEPD. Constan indicios fundados de que este
sistema de reconocimiento facial contratado con ***EMPRESA.7 continuó en el
Aeropuerto de Barcelona formando parte de esta primera fase gradual de
implantación, al menos, desde enero de 2024, según las 3 noticias que constan
diligenciadas con fecha de 6 de noviembre. Pero no se han aportado
evidencias de que los nuevos proyectos iniciados se hayan paralizado, más
allá de las afirmaciones de AENA.
De las evidencias constatadas se desprende que AENA ha realizado
operaciones de tratamiento de datos personales biométricos (reconocimiento
facial) con la finalidad de identificar unívocamente a los pasajeros al objeto de
permitir su acceso a determinadas zonas de este y otros aeropuertos (filtros de
seguridad, puertas de embarque, y facturación self-bag drop), sin haber
justificado previamente que dicho tratamiento fuera necesario ni proporcional,
al existir medios alternativos previos menos intrusivos capaces de cumplir la
misma finalidad con eficacia y seguridad.
Por los motivos que se han expuesto en el apartado anterior, se entiende que
el tratamiento podría cumplir con el requisito de ser idóneo para verificar la
identidad de los pasajeros y permitir su acceso a las zonas aeroportuarias,
pero ni el análisis previo al tratamiento (contenido en la EIPD de 23 de junio de
2021) ni el posterior realizado en el escrito de AENA de 6 de octubre de 2023
justifican que el tratamiento realizado fuera necesario ni proporcional, lo que es
requisito necesario y esencial de todo tratamiento de datos personales, y punto
de partida antes de desarrollar ninguna otra fase del tratamiento. (…) .”
NOVENO:
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicita copia
del expediente y ampliación de plazo de alegaciones con fechas de 21 y 26 de
noviembre de 2024, acordándose la ampliación y entrega de copia mediante acuerdo
de 26 de noviembre de 2024, que fue notificado por vía electrónica junto con las claves
necesarias para abrir el fichero que se remitió por mensajero el 26 de noviembre de
2024, entregándose finalmente dicho fichero con la copia del expediente por
mensajero el 28 de noviembre de 2024.
DÉCIMO:
Con fecha de 12 de diciembre de 2024, el DPD de AENA presentó escrito de
alegaciones al acuerdo de inicio, en el que se aportan 21 anexos, y se formulan un
total de 9 alegaciones (7 alegaciones, precedidas de unas alegaciones sobre los
hechos y unas alegaciones previas) I:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/84
- Alegaciones sobre los hechos: referidas principalmente al expediente de consulta
previa.
- Alegaciones previas: AENA muestra su disconformidad sobre la posición -que
según AENA mantiene la Agencia en este procedimiento y en la Guía de
biométricos publicada en noviembre de 2023-, señalando que la prohibición
general que -a su juicio se realiza- de tratar datos biométricos como método de
control de acceso en aeropuertos supone una interpretación demasiado restrictiva
del artículo 5.1.c) del RGPD, vulnera el Principio de Consentimiento informado, y
es contraria a la posición del CEPD en su Dictamen 11/2024. Y por otra parte, se
alega que se ha actuado conforme al Principio de Confianza legítima a la vista de
la posición europea en la materia.
- Alegación primera, sobre la finalidad del tratamiento. Donde AENA discrepa de la
definición de finalidad real del tratamiento que se realiza en el acuerdo de inicio,
señalando que la Agencia confunde la actividad de tratamiento (el “qué”) con la
finalidad que persigue (“para qué”), apelando a las definiciones contenidas en las
Directrices 07/2020 del CEPD. Y niegan que las finalidades que fueron descritas
en la EIPD estuvieran enfocadas a justificar los objetivos estratégicos de la
organización, alineados con los principales aeropuertos europeos e
internacionales”, como señala el F.D cuarto.
- Alegación segunda.- Donde se realizan manifestaciones generales sobre la
disconformidad de la interpretación realizada en el acuerdo de inicio sobre el juicio
de proporcionalidad, negando que se haya elaborado por AENA más de un juicio
de proporcionalidad (el contenido en la EIPD y el realizado en los escritos
presentados a lo largo del procedimiento) sino una actualización o mejora del
anterior, lo que no puede reprocharse. Y señalan que lo que se debe tener en
cuenta es la realidad fáctica del tratamiento efectivamente realizado.
- Alegación tercera: denominada sobre “la necesidad y proporcionalidad del
tratamiento de datos biométricos”, en la que también se incluyen argumentos
referidos a la idoneidad del tratamiento. Según AENA, los argumentos que
sostiene la AEPD para considerar que el tratamiento de datos biométricos llevado
a cabo por parte de AENA no superan el juicio de proporcionalidad no se
comparten, en la medida en que la finalidad del tratamiento que analiza en el
acuerdo de inicio se centra en la identificación unívoca de los pasajeros. Según la
que AENA entiende que es la verdadera finalidad del tratamiento (aumentar la
comodidad y agilidad) insiste en que deben distinguirse los dos procesos
aeroportuarios (filtro de seguridad y puertas de embarque) señalan porqué se
supera el juicio de idoneidad, necesidad y proporcionalidad en cada uno.
- Alegación cuarta sobre la antijuridicidad de la conducta. Donde AENA alega la
vulneración del Principio de seguridad jurídica, y el Principio de Previsibilidad de la
actuación administrativa, toda vez que se han cambiado los criterios aplicables en
la materia por la Agencia sobre el tratamiento de datos biométricos de categoría
especial al aprobarse la nueva Guía de biométricos de noviembre de 2023, sin
adecuada motivación, por lo que también se alega vulneración de este deber de
motivación de separarse de actuaciones precedentes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/84
- Alegación quinta sobre la falta de intencionalidad o negligencia. Niegan la
concurrencia de negligencia porque -a diferencia de lo señalado en el acuerdo de
inicio-entienden que si han previsto el impacto de todos los riesgos concurrentes
en su EIPD de 2021, como reconoce el informe de inspección, y que si han
realizado un análisis de necesidad y proporcionalidad. Y por otra parte, señalan
que la Agencia realiza una aplicación desproporcionada del Principio de
Responsabilidad Proactiva en la que no se valora que se realizó una consulta
previa, se implementaron las mejoras y se actuó conforme a la confianza de que se
estaba siguiendo el criterio de esta autoridad, habiendo tenido que hacer
modificaciones o actualizaciones porque la propia Agencia estaba cambiando de
criterio.
- Alegación sexta sobre la falta de proporcionalidad de la sanción propuesta. Solicita
subsidiariamente reducir la sanción de 17 millones de euros negando que
concurran las agravantes señaladas en el acuerdo de inicio (número de personas
afectadas son mucho menores, y la duración del tratamiento se ha precisado); y
solicitando que se consideren las atenuantes concurrentes (ausencia de beneficios
y falta de perjuicios causados).
- Alegación séptima sobre la acreditación de la adopción de la medida provisional.
Mantienen que está suspendido el tratamiento, y borrados todos los datos. Lo
acreditan mediante certificados con las fechas finalizó cada periodo, así como las
fotografías donde se muestran los elementos y links deshabilitados en sus Anexos
17 a 21.
UNDÉCIMO:
Con fecha de 10 de febrero de 2025, se dictó acuerdo de práctica de prueba,
notificado a AENA con fecha de 17 de febrero de 2025, en el que acordó practicar las
siguientes pruebas:
- Dar por reproducidos a efectos probatorios todas las actuaciones, alegaciones,
y la documentación incorporada al procedimiento hasta el momento.
- Atendiendo la petición de AENA, se acuerda requerir expediente de la consulta
previa que fue planteada por la misma en torno a la implantación del sistema
de reconocimiento facial en aeropuertos españoles para su incorporación al
presente expediente, mediante Nota Interior dirigida a ***PUESTO.1 de esta
Agencia, como órgano encargado de su tramitación (en adelante,
***PUESTO.1).
- Requerir a AENA para que aporte en el plazo de 15 días hábiles la siguiente
documentación, a los efectos de acreditar las manifestaciones realizadas en su
defensa en su escrito de alegaciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/84
1. Habiéndose aportado como Anexo 9 únicamente el Informe final de
resultados del proyecto piloto de Barcelona, se requiere se aporten los
informes finales de resultados realizados por AENA respecto al resto de
proyectos pilotos que fueron implantados en los aeropuertos de Menorca y
de Adolfo Suarez- Barajas de acuerdo con lo que se hace constar en el
certificado aportado como Anexos 17 de su escrito de alegaciones.
2. Así mismo, constando en el certificado aportado como Anexo 18: “Que el
Programa de Reconocimiento Facial de Aena estuvo operativo para los
pasajeros desde octubre de 2023 hasta junio de 2024”, sin más
especificaciones ni prueba justificativa de ello, se requiere lo siguiente;
2.1. Aporte nuevo certificado que señale expresamente en qué
aeropuertos y durante qué fechas ha estado operativo el citado
programa, y a qué número de pasajeros ha afectado.
2.2. Aporte informe de resultados del periodo durante el cual ha
estado operativo dicho programa en los aeropuertos españoles
entre octubre de 2023 y junio de 2024,. Si no existe un informe
final se requiere aporte informe de resultados mensuales, o
trimestrales de los que disponga referido a este periodo.
3. Al objeto de acreditar lo que se certifica como Anexo 19 respecto al bloqueo
de los datos personales de los pasajeros inscritos en la base de datos de
***PLAN.1, se requiere justifique documentalmente dicho bloqueo,
aportando la/s captura/s de pantalla del programa informático donde
consten la mismas.
4. Así mismo, habiendo manifestado en sus alegaciones que procedió a
suprimir los datos personales de los pasajeros inscritos en los proyectos
piloto de Menorca, Barajas y Barcelona, se ruega justifique e informe de los
motivos por los que ha procedido a la supresión y no al bloqueo de dichos
datos, dada la existencia de los plazos de conservación que se hacen
constar en la Evaluación de Impacto presentada en este procedimiento.
5. Dado que como Anexo 10 solo aporta el Manual de atención de incidencias
del “proyecto biometría de Barcelona” (versión 7/7/21), se requiere que
aporte el Manual de atención de incidencias del resto de proyectos de
biometría que se hayan realizado, tanto en fase piloto como operativa.
6. Se requiere aporte las siguientes capturas de pantalla de la base de datos
de ***PLAN.1 empleada por AENA que contengan el listado de todos los
pasajeros que constan “biometrizados” en el sistema ***PLAN.1 de AENA
desde el inicio del primer proyecto piloto hasta la presunta paralización de
su fase operativa en junio de 2024. Se señaló en el acuerdo qué
indicadores deberían constar en equiparación a los que aparecían en el
Anexo 9 aportado por AENA respecto al proyecto piloto de BCN.
DUODÉCIMO:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/84
Con fecha de 10 de enero de 2025, se remite nota interior a ***PUESTO.1 de esta
Agencia al objeto de solicitar el expediente de consulta previa tramitado por AENA en
cumplimiento de lo previsto en el Acuerdo de Prueba.
Con fecha de 12 de enero de 2025 se recibe nota interior de ***PUESTO.1 en la que
se señala que se remitirá el expediente de consulta previa con número de referencia
***REFERENCIA.1, y con fecha de 17 de junio de 2025 se recibe dicho expediente
acompañado de una nota interior e informe de ***PUESTO.1 en la que se contiene un
índice completo de la documentación aportada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/84
DÉCIMO TERCERO:
Tras solicitarse por AENA ampliación del plazo para aportar la prueba requerida, y
acordarse tal ampliación del plazo, el 17 de marzo de 2025 AENA presenta escrito de
respuesta al acuerdo de prueba realizado, en el que aporta un total de 15 Anexos, y se
realizan alegaciones en relación con los siguientes extremos:
o PRIMERA. ACLARACIONES RELATIVAS AL FUNCIONAMIENTO DEL
PROGRAMA DE RECONOCIMIENTO FACIAL.
o SEGUNDA. – SOBRE EL NÚMERO DE USUARIOS AFECTADOS POR EL
PILOTO DESARROLLADO EN EL AEROPUERTO DE JOSEP TARRADELLAS
BARCELONA – EL PRAT.
o TERCERA. – INFORMACIÓN Y DOCUMENTACIÓN SOLICITADA EN EL
REQUERIMIENTO.
o CUARTA. – SOBRE LA ACREDITACIÓN DEL NÚMERO DE USUARIOS
AFECTADOS.
DECIMO CUARTO:
Con fecha de 2 de julio de 2025 se solicita por la representante de AENA la
centralización de todas las notificaciones en la dirección del DPD y remitir a dos
diferentes direcciones electrónicas (de AENA y el DPD) los avisos de puesta a
disposición del expediente, y con fecha de 4 de julio de 2025 se le contesta que no es
posible notificar en la dirección electrónica única del DPD por concurrir conflicto de
intereses, y que solo es posible designar una dirección de correo electrónico de aviso
de puesta a disposición.
DÉCIMO QUINTO:
Con fecha 03/09/2025 se formuló propuesta de resolución, proponiendo que por la
Presidencia de la Agencia Española de Protección de Datos se sancione a AENA,
S.M.E., S.A., con NIF A86212420, por una infracción del Artículo 35 del RGPD,
tipificada en el Artículo 83.4.a) del RGPD, con una multa de 10.043.002 €.
DÉCIMO SEXTO:
Con fecha de 3 de septiembre de 2025 se expidió Diligencia al objeto de unir al
procedimiento el Informe de Axesor de 21 de agosto de 2025, en el que se hace
constar que el volumen de negocios de AENA para el ejercicio 2024 es de y con fecha
de 5.021.501.000 € en el año 2024.
DÉCIMO SÉPTIMO
Tras la ampliación del plazo solicitada, con fechas 26 y 29 de septiembre de 2025
AENA presentó escrito de alegaciones, en el que en síntesis manifiesta lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/84
PRIMERA. – CONSECUENCIAS DE LA MODIFICACIÓN SUSTANCIAL DE LOS
ELEMENTOS CONSTITUTIVOS DE LA INFRACCIÓN. ARCHIVO DE LAS
PRESENTES ACTUACIONES
AENA considera que la propuesta de resolución vulnera los artículos 68 de la
LOPDGDD y 64 y 89 de la LPAC, por cuanto el procedimiento sancionador se inició
por incumplimiento del del artículo 5.1c) RGPD y los hechos que ahora se imputan son
diferentes de los que se imputaron en el acuerdo de inicio, y son estos últimos hechos
los que se han enjuiciado, no siendo admisible su modificación una vez iniciada el
procedimiento.
SEGUNDA. - VULNERACIÓN DEL PRINCIPIO ACUSATORIO: INDEBIDA
MODIFICACIÓN DE LA ACUSACIÓN EN LA ÚLTIMA FASE DEL PROCEDIMIENTO
SANCIONADOR. VULNERACIÓN DEL DERECHO DE DEFENSA.
La AEPD acordó iniciar el presente procedimiento por infracción del art. 5.1.c) RGPD
con la documentación e información aportada hasta entonces por AENA. A pesar de
ello en la fase final del procedimiento, a través de la Propuesta de Resolución la AEPD
viene a modificar de manera sobrevenida los elementos esenciales que se definieron
en el Acuerdo de inicio y que son los que han orientado las argumentaciones y la
documentación aportada por esta parte para su defensa, incluyendo los concretos
hechos que se consideran constitutivos de infracción, el periodo en el que se
cometieron (incluyendo ahora los palitos de Menorca y Madrid) y la tipificación de la
infracción imputada, lo que incumple a su juicio el principio acusatorio derivado del art.
24 de la Constitución española, ocasionándola indefensión al no haber sido informada
desde el inicio de la imputación y no haber podido alegar.
Antes de la apertura del acuerdo de inicio, AENA facilitó a la Agencia información
suficiente y detallada sobre el alcance del tratamiento, indicando expresamente qué
aeropuertos estarían afectados, cuáles eran los proyectos piloto en ejecución y cuáles
ya habían finalizado. Aunque la AEPD no conocía el volumen exacto de personas
potencialmente afectadas puesto que no fue requerido, ello no puede ahora
interpretarse como un desconocimiento imprescindible para realizar la calificación.
El hecho de que en la Propuesta de Resolución se otorguen diez (10) días a AENA
para alegar cuanto considere en su defensa y presentar los documentos e información
que considere pertinentes, no es suficiente para reparar la vulneración de derechos y
garantías padecida, pues (i) Se ha omitido el trámite de audiencia con la consiguiente
vulneración del artículo 82 de la LPAC (ii) AENA no ha contado con el tiempo suficiente
para poder preparar los elementos probatorios (iii) Las alegaciones de AENA sólo
pueden ya encontrar respuesta en la resolución final.
Solicita que se declare la nulidad de las actuaciones practicadas y se acuerde la
retroacción del procedimiento sancionador a su inicio.
TERCERA. - NECESIDAD DE INCOPORAR HECHOS Y DOCUMENTACIÓN
ADICIONAL ESPECIALMENTE RELEVANTES COMO CONSECUENCIA DEL
CAMBIO SOBREVENIDO DE CALIFICACIÓN JURIDICA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/84
En esta alegación AENA expone, en resumen, lo siguiente:
Respecto a las Evaluaciones de Impacto y análisis de riesgos realizados:
Metodología de Análisis de Riesgos
En el año 2018, en el marco del proyecto de adecuación al nuevo Reglamento
Europeo de Protección de Datos, AENA elaboró dos documentos clave en relación con
el análisis de riesgos en materia de protección de datos:
-La “Metodología de Análisis de Riesgos” preparada por la consultora
***CONSULTORA.1, como propuesta externa. Este texto definía cómo identificar y
evaluar riesgos sobre datos personales, con ejemplos prácticos, y proponía medidas
organizativas, legales y técnicas (...).
-La “Metodología AENA de análisis de riesgos RGPD”, primera guía de gestión de
riesgos adoptada internamente por AENA. Esta metodología establecía un esquema
de evaluación con base en la probabilidad e impacto, introducía los conceptos de
riesgo real y residual, e incluía un catálogo de riesgos asociados a incumplimientos del
RGPD (…).
Estas dos metodologías coexistieron durante un tiempo, si bien la metodología interna
de AENA acabó consolidándose como referencia para la empresa, una vez
incorporados los principales aspectos de la otra.
Proyecto piloto de Menorca (Abril 2019 – Septiembre 2020)
De manera previa a la puesta en marcha del proyecto piloto de Menorca, AENA trabajó
durante meses en la elaboración de una EIPD que finalmente fue aprobada en fecha
15 de marzo de 2019 (se adjunta EIPD como documento anexo 5).
Este documento fue objeto de revisiones, actualizaciones y mejoras en fecha 4 de
marzo de 2020 y 30 de julio del mismo año (se adjuntan dichas actualizaciones como
documento anexo 6 y documento anexo 7)
Proyecto piloto de Madrid (Noviembre 2019 – Diciembre 2021)
Entre septiembre y octubre del año 2019, con anterioridad al lanzamiento del proyecto
piloto de Madrid, AENA elabora sucesivas versiones de la Evaluación de Impacto. La
versión final del EIPD relativa al proyecto piloto de Madrid fue aprobada el 15 de
noviembre de 2019 (se adjunta EIPD como documento anexo 8). Este documento fue
objeto de revisiones, actualizaciones y mejoras.
Proyecto piloto de Barcelona (Diciembre 2021 – Junio 2022)
Durante finales del año 2021 y comienzos del 2022, con anterioridad a la puesta en
marcha del proyecto piloto de Barcelona, AENA trabajó en versiones sucesivas de
borradores de EIDP hasta su aprobación definitiva el 23 de junio de 2021 (se adjunta
como documento anexo 9)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/84
Aclara que el documento aportado en el escrito de alegaciones al inicio del
procedimiento sancionador como Anexo 14 se refería únicamente al análisis de
riesgos per se que viene recogido en el Anexo 8 de la EIPD de junio del 2021, en el
entendimiento que ese documento era el que mejor reflejaba la diligencia de AENA a
ese respecto. Ahora bien, la EIPD respecto al proyecto piloto de Barcelona realizada
en junio de 2021 constaba de un alcance y una profundidad mayor
Respecto al proyecto piloto de Barcelona existen dos EIPD: la primera de fecha 23 de
junio de 2021 realizada con anterioridad a la puesta en marcha del mismo; y la
segunda realizada el 6 de octubre de 2022 a través de la herramienta ePrivacy en la
que se adaptó el análisis de riesgo presente en la EIPD del proyecto piloto de
Barcelona a la metodología de la AEPD, que fue la que se aportó al requerimiento de
información de esta Agencia, como Anexo II en el escrito de 6 de octubre 2023 (pese a
que en el documento figure el 29 de septiembre de 2023, esa fecha corresponde con
el día en que se descargó la EIPD de la herramienta para incorporarlo al escrito de
contestación de 6 de octubre 2023.
Fase operativa (Octubre 2023 – Junio 2024)
AENA sostiene que el inicio de la fase operativa fue el 4 de octubre de 2023 y no el 17
de julio de 2023 como consta en la propuesta de resolución.
El 3 de octubre de 2023 se aprueba la EDIP definitiva de la fase operativa, el cual se
complementaba con la siguiente documentación (se adjunta como documento anexo
10)
Respecto a las comunicaciones entre AENA y la AEPD
En la Propuesta de Resolución se afirma, como hechos probados, que tuvieron
comienzo el 23 de enero de 2020 con una carta de AENA y una posterior de 3 de
noviembre de 2020, pero omite diversas comunicaciones e intercambios de
documentación entre las partes, que tuvieron lugar entre noviembre de 2019 y la carta
del 3 de noviembre de 2020.
Rebate que la nueva versión de EIPD de 23 de junio de 2021 no se sometiera a
consulta previa, pues el 3 de junio de 2021 (se adjunta como documento número 16),
la AEPD expresamente manifiesta que el “asesoramiento ya ha sido proporcionado al
responsable y no procede dar continuidad al mismo”, desestimando incluso la solicitud
de AENA de atender en reunión presencial o telemática las posibles conclusiones del
proyecto.
Considera que los hechos y documento adicionales aportados en este escrito deben
de ser incorporados a los hechos probados y valorados jurídicamente por esta
Agencia.
CUARTA. – INEXISTENCIA DE UNA CONDUCTA DE AENA SUBSUMIBLE EN EL
TIPO INFRACTOR IMPUTADO
AENA en ningún caso ha contravenido el artículo 35 RGPD pues realizó, antes del
tratamiento de cada uno de los proyectos piloto y antes del inicio de la fase operativa,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/84
las respectivas evaluaciones de impacto de protección de datos (EIPD), incluida la de
la fase operativa con fecha 3 de octubre de 2023 (documento anexo 10), que no ha
sido valorada por la AEPD porque no es hasta la propuesta de resolución cuando se
cuestiona su existencia.
Además, aun cuando, en contra de los expuesto, se entendiera que los proyectos
piloto y la fase operativa no contaron con la elaboración previa de las correspondientes
EIPD, las eventuales infracciones que pudieran apreciarse en cada uno de los
tratamientos de los proyectos piloto estarían prescritas, al no existir un tratamiento
continuado de datos. Los documentos 5, 6, 7, 8, 9 y 10 acreditan la elaboración de una
EIPD antes de cada uno de los proyectos piloto y antes también del inicio de la fase
operativa.
AENA reconoce que en las capturas de pantalla presentes en el Anexo 7 del escrito de
alegaciones se puede apreciar la presencia de usuarios enrolados desde el 17 de julio
de 2023, pero se trataba de enrolamientos ficticios en fase de prueba, siendo la fecha
de producción real donde cualquier pasajero ya tenía la oportunidad de enrolarse el 4
de octubre de 2023.
Por tanto, considera que ha cumplido con los requisitos del tipo:
(i) Art. 35.1 del RGPD: Contaba con una EIPD previa
(ii) Art. 35.2 del RGPD: Contaba con el asesoramiento de su Delegado de
Protección de Datos
(iii) Art. 35.7 a): la EIPD de fecha 3 de octubre de 2023 cuenta con tres anexos
clave que definen y abordan claramente cada una de las operaciones del
tratamiento, así como los fines específicos.
La Agencia, en la instrucción del expediente, ha diferenciado entre el
“propósito último” del tratamiento y la “finalidad real” de las operaciones de
tratamiento, manifestado que la finalidad real es la identificación unívoca de
pasajeros, y no los dos fines identificados por AENA, que son,
principalmente agilizar el flujo de pasajeros y mejorar la seguridad aérea
para evitar suplantaciones de identidad a través de métodos biométricos.
Sin embargo, la distinción que realiza la AEPD, lejos de ser clara, resulta
artificiosa y difícil de aplicar en la práctica, pues todo tratamiento de datos
personales responde necesariamente a una pluralidad de objetivos, tanto
operativos como estratégicos, que se encuentran interrelacionados.
AENA realizó una descripción de todas las operaciones de tratamientos
previstas y de los fines del mismo, incluyendo el proceso de identificación
de los interesados.
35.7 b): Respecto a la evaluación de la necesidad y la proporcionalidad de
las operaciones del tratamiento con respecto a su finalidad, la obligación
contenida en el artículo en el apartado b) debe ser interpretada a la luz de
la consolidada jurisprudencia del Tribunal Constitucional, que exige la
aplicación del denominado “triple juicio de proporcionalidad”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/84
La Agencia sostiene que la única finalidad relevante es la identificación
unívoca de los pasajeros mediante sistemas biométricos, obviando las
finalidades reales que justifican el tratamiento, como la agilización del
tránsito aeroportuario y la mejora de la seguridad. Indica que si se acepta la
tesis de la Agencia, cualquier tratamiento que implique identificación
biométrica sería considerado innecesario frente a la alternativa de
verificación humana y que este criterio restrictivo de la Agencia contradice
las posiciones adoptadas por otras autoridades de control y por el propio
Comité Europeo de Protección de Datos (EDPB) en cuyo Dictamen 11/2024
del EDPB, relativo al uso del reconocimiento facial para agilizar el flujo de
pasajeros en aeropuertos, analiza expresamente la compatibilidad de estos
sistemas con el principio de minimización de datos del artículo 5.1 c) del
RGPD.
35.7 c): Respecto a la evaluación de los riesgos, el Anexo 8 de la EIPD
prueba que AENA analizó los riesgos derivados del tratamiento.
Adicionalmente, el Anexo XIII de la EIPD recoge un documento en el que se
lleva a cabo un análisis específico de la base de datos de ***PLAN.1 en el
que se almacenaban los datos de los usuarios del sistema.
35.7 d): Respecto a la adopción de medidas para afrontar dichos riesgos, el
Anexo 8 relaciona una serie de medidas para todos los riesgos identificados
(iv) 35.11 del RGPD: AENA cuenta con una metodología de análisis de riesgos
que prevé la actualización y revisión constante de los mismos en cuanto se
produce un cambio significativo en el riesgo de las operaciones de
tratamiento
QUINTA. – INEXISTENCIA DE UN TRATAMIENTO CONTINUADO DE DATOS
Los proyectos piloto y la fase operativa implementados en los distintos aeropuertos
eran independientes y presentaban características diferenciadoras de carácter
temporal, de gestión de los datos, organizativo, técnico, operativo y de cumplimiento
regulatorio que impiden su consideración como un tratamiento único.
Afirma que nos encontramos ante tratamientos separados e independientes, por lo que
considera imprescindible que el debate jurídico se circunscriba exclusivamente al
tratamiento realizado en el marco del proyecto piloto del Aeropuerto de Barcelona-El
Prat y, a la fase operativa, que son los únicos tratamientos que han sido objeto de
imputación concreta en el acuerdo de inicio y que se aprecie la prescripción de
cualquier eventual infracción cometida en el marco del proyecto piloto de Barcelona
SEXTA. – INFRACCIÓN DEL PRINCIPIO DE RESPONSABILIDAD
Alega la falta de elementos subjetivos de culpabilidad.
La entrada en vigor del RGPD era próxima temporalmente al inicio del primer piloto
(2019). Este contexto de transición normativa y de adaptación progresiva debe ser
valorado a la hora de analizar la diligencia de AENA y la eventual existencia de
responsabilidad, pues explica que las actuaciones realizadas respondieron a los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/84
estándares y conocimientos disponibles en cada momento, y no a criterios que solo se
han consolidado con posterioridad. En suma, considera que AENA en ningún momento
ha actuado con dolo o culpa.
En relación con la necesidad y proporcionalidad del tratamiento
La Agencia sugirió la utilización del DNI con sistemas sin-contacto. AENA sí
tuvo en cuenta esta alternativa, pero se descartó porque, si bien era igualmente
un sistema válido para llevar a cabo la identificación de los pasajeros, no
lograba alcanzar la finalidad de agilizar el tránsito por el aeropuerto, reduciendo
así aglomeraciones, y tiempos de espera, lo que redundaba en mayor
comodidad para los pasajeros
En relación con la elaboración de la EIPD del tratamiento
AENA ha empleado un tiempo y unos recursos muy significativos en la
elaboración de una metodología de análisis de riesgos, en la aplicación de la
misma a cada piloto y fase operativa, y en llevar a cabo una evolución
constante de toda su documentación en cumplimiento del principio de
responsabilidad proactiva. Si bien es cierto que ha utilizado recursos de la
Agencia, pues así lo recomendó la misma, la metodología de análisis de
riesgos y las diferentes evaluaciones no estaba exclusivamente limitadas al uso
de la herramienta “GESTIONA”
AENA se centra en la fase operativa pues considera que es la única conducta
supuestamente reprochable que no se encuentra prescrita en la actualidad.
Afirma que no existió comportamiento negligente de AENA y que llevó a cabo
una EIPD en septiembre de 2023 sobre la base de la cual se implementó el
tratamiento los 8 aeropuertos españoles de la fase operativa. Por tanto, no es
verdad que la fase operativa se realizara sobre la EIPD de junio de 2021.
SEXTA [sic, se refiere a la séptima]. – DE LA FALTA DE PROPORCIONALIDAD DE LA
SANCIÓN PROPUESTA.
Refiere que la Agencia no ha ponderado y motivado adecuadamente las circunstancias
concurrentes en el caso de AENA, ni ha valorado en su justa medida las condiciones
descritas en el artículo 83.2 del RGPD.
(i) (artículo 83.2 a):
• En cuanto a la naturaleza, la AEPD no ha valorado a la hora de imponer la sanción
que el tratamiento de datos biométricos realizado por AENA fue siempre de carácter
voluntario para los pasajeros, coexistiendo en todo momento con métodos
tradicionales de acceso.
• En cuanto al alcance y propósito del tratamiento, debe subrayarse que no ha existido
en ningún momento un ánimo de lucro ilícito ni la obtención de beneficios económicos
derivados de la infracción. Además, el sistema fue implementado de forma progresiva,
lo que acota significativamente el impacto potencial de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/84
• Respecto al número de interesados afectados, la propia Agencia reconoce que el
número real de personas inscritas en el programa de reconocimiento facial ascendió a
62.054 usuarios. No obstante, estando ahora el debate jurídico únicamente
circunscrito a la fase operativa, el número real de personas inscritas a esta fase final
es de 38.104
• En cuanto a la duración de la infracción, el procedimiento debe versar únicamente
sobre la fase operativa, que estuvo en funcionamiento desde octubre de 2023 a junio
de 2024.
(ii) (artículo 83.2 b):
• En relación con la intencionalidad o negligencia en la infracción, destaca que la
actuación de AENA carece de cualquier elemento subjetivo de culpabilidad. AENA
implementó una metodología específica de análisis de riesgos en materia de
protección de datos, elaborando y actualizando de forma constante las EIPD y el
análisis de riesgos para cada uno de los proyectos piloto y para la fase operativa,
siempre con carácter previo al inicio de los tratamientos correspondientes.
• AENA ha demostrado una actitud proactiva y transparente, manteniendo una
cooperación plena y continua con la Agencia
• La EIPD y el análisis de riesgos realizados para la fase operativa, en particular, son
documentos robustos y detallados que incorporan una gestión completa del riesgo, tal
y como ha sido reconocido incluso por la instructora del procedimiento.
(iii) (artículo 83.2 k):
• No ha quedado acreditado la obtención de ventajas competitivas, comerciales o
financieras derivadas del tratamiento de datos objeto de reproche.
• Tampoco puede afirmarse que AENA haya evitado pérdidas económicas a raíz de la
conducta sancionada.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: Sobre el diseño y documentación del tratamiento realizado por AENA:
consulta previa planteada, y evaluaciones de impacto realizadas.
De acuerdo con lo manifestado por AENA en su escrito de 6 de octubre de 2023,
AENA aprobó un Plan Estratégico para los años 2022-2026, que tiene como eje
vertebrador la innovación basada en la tecnología y la digitalización para reforzar la
competitividad y garantizar un crecimiento sostenible, a favor del interés general que
tienen los servicios de gestión aeroportuaria encomendados por el estado español. En
el marco de este Plan, AENA desarrolló un programa estratégico de identidad digital en
relación con la implementación en los aeropuertos españoles de sistemas basados en
biometría (Programa de Reconocimiento Facial o PRF), con el objetivo de alcanzar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/84
una mejora en los servicios aeroportuarios que recaen en la calidad y agilidad del
tránsito del pasajero por el aeropuerto.
AENA señala en su escrito de 12 de mayo de 2023, que AENA “decidió lanzar el
programa de biometría de una forma muy controlada, llevando a cabo para ello una
serie de pilotos incrementales desarrollados durante los años 2019 a 2022 en los
aeropuertos de Menorca, Adolfo Suárez Madrid-Barajas y Josep Tarradellas
Barcelona-El Prat”, seguidos de la fase operativa del programa en 2023, en la que se
implementaría este sistema de forma definitiva pero gradual en diferentes aeropuertos
hasta su paralización en junio de 2024. En su escrito de contestación al acuerdo de
prueba de 17 de marzo de 2025, AENA certifica que llegó a implantar el modelo del
proyecto piloto de Barcelona en un total de 8 aeropuertos españoles, con la duración y
alcance que se fija en el Hecho probado noveno.
Consta que AENA presentó ante esta Agencia dos solicitudes de consulta previa sobre
las EIPD que fueron elaboradas en relación con el tratamiento de datos diseñado para
implantar este programa de reconocimiento facial en los años 2020 y 2021, cuyo
expediente fue tramitado por la División de Innovación Tecnológica de esta Agencia
(DIT) y ha sido incorporado al presente procedimiento con fecha de 19 de junio de
2025, a petición de AENA. En este expediente de consulta previa consta lo siguiente:
- El 23-01-20 se registra la entrada de una carta de AENA en la que se remite la
documentación relacionada con la iniciación de las pruebas del nuevo sistema
de reconocimiento facial planteado en una fase piloto en los aeropuertos de
Menorca y Madrid, y se incluye una primera versión de EIPD elaborada
conjuntamente para ambos proyectos piloto de 15/03/2019.
- AENA planteó una primera solicitud de consulta previa de 3 de noviembre de
2020 en la que se ampliaba la documentación y adjuntaba una EIPD
independiente para cada proyecto piloto de Menorca y Madrid de 30/07/2020,
solicitando asesoramiento.
A dicha primera consulta previa se responde mediante Informe de
***PUESTO.1 de 8 de febrero de 2021 que, tras señalar todos los requisitos
que se consideran incumplidos, concluye que “con relación a la evaluación de
impacto y consulta previa, esta no cumple con los requisitos que requiere la
norma (señalados en el informe) y que requiere de un análisis más completo
para que el tratamiento se pueda implementar”.
El informe señaló, entre otras cosas, que en la documentación aportada junto
con la EIPD no se había incluido una evaluación de riesgos ni análisis de
medidas de seguridad adecuado al RGPD, y también que “no se había incluido
un análisis sistemático de la necesidad y proporcionalidad de las operaciones
de tratamiento con respecto a su finalidad, incluyendo igualmente una
descripción detalla de la finalidad y finalidades con la suficiente claridad y
especificidad”, y a modo de ejemplo, señalaba varios aspectos del tratamiento
diseñado por AENA que planteaban dudas sobre la necesidad del tratamiento”.
Entre dichas dudas: “No justifica la necesidad de tener almacenada la
información biométrica en servidores, ni se evalúan opciones alternativas,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/84
como que para realizar el reconocimiento facial se podría contrastar con la
información facial almacenada en el DNI con sistema sin-contacto”.
- Con fecha de 12-04-21 AENA presenta una segunda solicitud de consulta
previa, en la que se responde al Informe anterior aportando 5 Anexos, y se
acompaña para su valoración una nueva EIPD del tratamiento compuesta de 2
Anexos (sin fecha ni firma ni texto principal) en la que según AENA se analiza
“el funcionamiento biométrico del sistema en su fase de producción u
operativa”, sin ceñirse a los proyectos piloto previstos.
A dicha consulta previa se responde mediante informe de 3 de junio de 2021 de
***PUESTO.1 en la que se indica que no consta que el Anexo 5 identifique y
evalúe riesgos del tratamiento, y por tanto, que tampoco se han previsto las
medidas de seguridad adecuadas a la finalidad real del tratamiento, que no se
corresponde con las definidas en la EIPD sino con “la identificación biométrica
de los pasajeros”.
En consecuencia, se insta al responsable para “a dar cumplimiento a lo
previsto en el artículo 24 del RGPD para llevar a cabo cuantos procesos fueran
necesarios para la identificación y gestión de los riesgos para los derechos y
libertades de las personas físicas cuyos datos personales sean susceptibles de
ser tratados en el tratamiento propuesto”.
Posteriormente, consta que AENA elaboró una nueva versión de EIPD de 23 de junio
de 2021 previamente a continuar el tratamiento con la ejecución del proyecto piloto de
Barcelona, a la que se adjuntaba el análisis de riesgos al que se refiere el hecho
probado octavo, así como un análisis de necesidad, idoneidad y proporcionalidad al
que se refiere el Hecho Probado Décimo Tercero..
El RAT y la EIPD del “Tratamiento de la Actividad de Biométricos Josep Tarradellas
Barcelona-El Prat” de 23 de junio de 2021, se aporta por AENA al procedimiento como
Anexos 1 y 3 de su escrito de 6 de octubre de 2023, iniciado a raíz de una reclamación
presentada ante esta Agencia el 22-3-23 en relación con el mismo.
- La referida EIPD consta de 72 páginas organizadas en 13 apartados, y 14
Anexos, siendo el Anexo 8 el Análisis de Riesgos, que fue aportado por AENA
en su escrito de alegaciones al acuerdo de inicio, fechado de 29 de octubre de
2022, al que se refiere el Hecho Probado Octavo.
- La descripción del tratamiento contenido en la EIPD menciona que se han
desarrollado y finalizado los proyectos piloto en los aeropuertos de Menorca y
Madrid, siendo el de Barcelona el tercer piloto “incremental” basado en éstos, y
el modelo definitivo que se iba a aplicar en el resto de aeropuertos (pág 17):
“Los tres proyectos se han realizado implantando funcionalidades
secuenciales, de forma que cada nuevo proyecto incorpore una nueva
funcionalidad respecto al anterior, de forma que el último proyecto piloto (el de
Aeropuerto de Josep Tarradellas Barcelona-El Prat) recoge la situación final
que se desea implantar en todos los aeropuertos de la red de Aena”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/84
Posteriormente, consta que AENA elaboró un nuevo Análisis de Riesgos del
tratamiento fechado el 29 de septiembre de 2023, al que se refiere el Hecho Probado
Octavo.
Por último, en el escrito de 17 de marzo de 2025, al contestar a la prueba, AENA
manifiesta que la base de datos ***PLAN.1, (…), fue objeto de varias actualizaciones,
y que: “Cada piloto y la fase operativa del Programa contaron, pues, con versiones
distintas de la base de datos, adaptadas a las necesidades y avances tecnológicos de
cada etapa.” No se aporta documentación acreditativa respecto del contenido de
dichas actualizaciones de la base de datos ni consta que se haya actualizado la EIPD
de 23 de junio de 2021 previamente a implantar el tratamiento en cada uno de los 8
aeropuertos en los que fue implementado de forma definitiva el modelo de tratamiento
diseñado en la EIPD del proyecto piloto de Barcelona.
SEGUNDO: Datos personales objeto de tratamiento.
Consta en el RAT aportado sobre la “Actividad: BIOMETRICOS AEROPUERTOS
PILOTO BCN”, que el método de acceso mediante RF trata las siguientes “categorías
de datos personales”, entre las que se incluyen los datos biométricos como
“especialmente protegidos” “con fines de identificación (token biométrico)”
·Identificativos/contacto
DNI / NIF
FECHA DE CADUCIDAD Y PAIS DE EXPEDICIÓN DEL DNI/NIF/PASAPORTE
NOMBRE Y APELLIDOS
IMAGEN SELFIE
IMAGEN ALMACENADA EN CHIP NFC (Solo utilizada en el momento del registro,
no se almacena en el sistema)
Datos especialmente Protegidos
DATOS BIOMETRICOS CON FINES IDENTIFICACION (Token Biometrico)
Transacciones:
DATOS DE LA TARJETA DE EMBARQUE
Lo que se confirma en el apartado 3 de la EIPD del tratamiento ejecutado por AENA,
señalando como “Categoría de datos tratados”, los siguientes: Datos identificativos,
datos de contacto, Datos de tarjeta de embarque y datos biométricos
TERCERO: Finalidad del tratamiento.
Queda acreditado que AENA implantó en diversos aeropuertos españoles -concretados
en el Hecho Probado Noveno- un nuevo método de acceso, tránsito y embarque
voluntario de los pasajeros a determinadas zonas del aeropuerto mediante un sistema
biométrico de reconocimiento facial que implicaba realizar diversas operaciones de
tratamiento cuya finalidad era la identificación unívoca de pasajeros que tenían derecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/84
de acceso, tránsito y embarque, con el propósito o finalidad última de mejorar el tránsito
de pasajeros por el aeropuerto, logrando mayores niveles de calidad, agilidad y
eficiencia que el método tradicional de acceso de pasajeros mediante la exhibición de
documentos al personal del aeropuerto. Ello se desprende del análisis de las
finalidades reales de las operaciones de tratamiento que se hacen constar en los
siguientes fragmentos de la EIPD definitiva de junio de 2021:
o En el apartado 7 al responder a la pregunta de por qué el tratamiento es de
alto riesgo, se reconoce que la finalidad real del tratamiento de los datos
biométricos es la identificación de los pasajeros.
o En el apartado 6 de la misma EIPD al indicar que “la identificación, por lo
tanto, el tratamiento de la imagen tiene por finalidad extraer un patrón
biométrico que permita identificar de manera única a los pasajeros”.
o Pág 32. “La finalidad indicada se limitará únicamente a permitir el acceso,
tránsito y embarque mediante un sistema de tratamiento de datos
biométricos que agilice dicho tránsito”.
o Pág. 25. “Se trata, en definitiva, de facilitar los accesos para cada viajero,
de forma voluntaria y con alternativas idénticas para la misma finalidad (el
acceso) pero que, además, suponen una mejora colectiva en la gestión de
pasajeros en los aeropuertos. Y, todo ello, dotando al sistema de una mayor
seguridad y fiabilidad en la identificación”
AENA señala en sus alegaciones al acuerdo de inicio y escritos presentados a lo largo
del procedimiento que las dos finalidades a las que orientó la evaluación de impacto
del tratamiento fueron las siguientes:
Seguridad en los procesos de paso por filtros de seguridad, proceso de
embarque de los pasajeros y SelfBag Drop:
Gestión del acceso a la zona de embarque de los aeropuertos y el
proceso de embarque de pasajeros con unos mayores niveles de seguridad,
eficiencia y eficacia que los que se lograrían con los métodos de verificación de
identidad empleados en la actualidad.
Consta que todas las versiones de la EIPD elaboradas por AENA orientaron la
evaluación de impacto al cumplimiento del que se fijó como propósito último del
tratamiento en la EIPD definitiva de junio de 2021, que era el cumplimiento de dos
finalidades que constaban en el Análisis de Viabilidad del Proyecto y Plan estratégico
de la organización.
- En el apartado 3, señala como “Propósito del tratamiento”: “Gestión del acceso
a la zona de embarque de los aeropuertos y el proceso de embarque de
pasajeros con unos mayores niveles de seguridad, eficacia y eficacia que los
que se lograrían con los métodos de verificación de identidad empleados en la
actualidad”.
- En el Análisis de Viabilidad del Proyecto aportado como Anexo 13 de la EIPD,
se señala que: “El proyecto surge con idea de desarrollar un sistema de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/84
autoboarding que reduzca los tiempos empleados por un pasajero de un vuelo
de salida a lo largo de su tránsito por el aeropuerto y las diferentes etapas que
necesita superar hasta llegar al embarque; de igual manera, se espera mejorar
la comodidad y la seguridad a lo largo de todo ese proceso. Adicionalmente se
busca evaluar la mejora de tiempos (y, por tanto, la mejora de la calidad de
proceso) y su percepción por parte de los pasajeros (mejora en calidad
percibida).
- La EIPD fija como finalidades del tratamiento las que coinciden con los
propósitos fijados en el análisis de viabilidad del proyecto, en su apartado 4.2
(Pág.30) que: “El tratamiento tiene dos finalidades: - Gestión del acceso a la
zona de embarque de los aeropuertos y el proceso de embarque de pasajeros
con unos mayores niveles de seguridad y eficacia que los que se lograrían con
los métodos de verificación de identidad empleados en la actualidad. -
Seguimiento y análisis de viabilidad del proyecto”.
- En el apartado 8 de la EIPD, al realizar el “análisis de necesidad, idoneidad y
proporcionalidad del tratamiento, describe como finalidad perseguida la
señalada en el RAT, indicando que: “En este punto cabe destacar que la
finalidad perseguida es mejorar la seguridad y fiabilidad en la identificación de
los pasajeros que acceden al aeropuerto y al embarque, y adicionalmente, se
facilita el movimiento por los diferentes filtros del aeropuerto, evitando que el
pasajero tenga que mostrar la documentación identificativa en los diferentes
filtros del aeropuerto (seguridad y embarque).”
CUARTO: Descripción del tratamiento.
La EIPD presentada incluye la siguiente descripción del tratamiento en su apartado 3,
que coincide con la señalada por AENA en su primer escrito de respuesta al traslado
de 12 de mayo de 2024:
“Este proyecto tiene por objeto la realización de una prueba piloto en el
Aeropuerto de Josep Tarradellas Barcelona – El Prat para la integración de un
sistema biométrico facial para los procesos de facturación, self bag drop, control
de seguridad y embarque de los pasajeros de la compañía ***EMPRESA.7(en
adelante, ***EMPRESA.7). Los equipos de sistemas biométricos se ubicarán en:
- (…)
Por otra parte, en el Anexo 2 a la EIPD se acompaña una presentación sobre el flujo
de los diferentes datos personales, en el que se hace referencia a cómo se realiza el
proceso de “Verificación biométrica de identidad en Self Bag Drop por reconocimiento
facial”, que se diseñó para su implantación a partir del proyecto piloto de Barcelona,
cuyo ciclo de vida de los datos se detalla en el Anexo 6.
QUINTO. Funcionamiento del sistema biométrico empleado y características.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/84
El resumen del funcionamiento del sistema biométrico diseñado por AENA para
realizar dicho proceso de identificación mediante reconocimiento facial en los filtros de
seguridad y puertas de embarque, según la EIPD, consta de cuatro pasos:
“De forma básica, el proceso de tratamiento de datos personales en el proyecto
biométrico consta de cuatro pasos
• (…)
Se acompaña, como Anexo 2 a este documento, una presentación sobre el
flujo de los diferentes datos personales en cada uno de los pasos anteriores.
[AENA aporta el mismo documento en (Resp#1_Anexo_3.2) y
(Resp#1_Anexo_15)]
• Adicionalmente, el proyecto del Aeropuerto de Barcelona incluirá un proceso
(opcional) consistente Verificación biométrica de identidad en Self Bag Drop
(reconocimiento facial) (Paso 2.b. El pasajero podrá utilizar el servicio de Self
Bag Drop sin mostrar documentación física, simplemente formalizando su
registro en el sistema biométrico de Aena).
Por la naturaleza dinámica del proyecto, que irá evolucionando en función de
los avances de la tecnología y de las necesidades de AENA, se ha elaborado
un documento para mantener la trazabilidad de las finalidades del tratamiento,
que se adjunta como Anexo 3.” (Resp#1_Anexo_3.3)
Aunque la EIPD (Resp#1_Anexo_3) recoge el posible uso de la APP de la aerolínea, la
parte reclamada aclara en el apartado 3 de dicho documento que no se va a poner en
producción inicialmente.: "En una primera Fase, ***EMPRESA.7 (…)."
Y con respecto a la nueva funcionalidad relativa al self bag drop, que puede realizarse
también por reconocimiento facial una vez se ha asociado la tarjeta de embarque por
el pasajero, siguiendo los pasos que se hacen constar en el Anexo 6 de la EIPD sobre
ciclo de vida de datos de la verificación biométrica del self bag drop:
1) (…)
SEXTO: Sobre la arquitectura del sistema y almacenamiento de los datos.
AENA suministra el documento descriptivo de la arquitectura física del Sistema
(Resp#1_Anexo_3.14) y expone que: “La arquitectura del sistema de reconocimiento
facial estaba compuesta por tres elementos principales:
i. (…)
De acuerdo con el Anexo 3.13 de la EIPD referido al Plan de Viabilidad. Anexo 16
sobre “proceso de comparación y garantías”, y el apartado 8 de la EIPD sobre
“Necesidad de tener almacenada la información biométrica en los servidores” queda
acreditado que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/84
(…)
En línea con lo anterior, queda acreditado que de acuerdo con la EIPD (Pág.16) “la
Base de datos biométricos de pasajeros que se genere como consecuencia de las
actuaciones expuestas (***PLAN.1), será única y responsabilidad de Aena, sin que
tenga lugar cesión alguna de estos datos biométricos a las compañías aéreas”.
Respecto a los plazos de conservación de los datos personales:
- AENA manifiesta en su escrito que “AENA señala también que se previó un
plazo de bloqueo de los datos personales referidos de 2 años posteriores a la
finalización del plazo activo: “en atención al plazo de prescripción de las
infracciones recogidas en la LOPDGDD así como la Ley 21/2003, de 7 de julio,
de Seguridad Aérea.”
- Los plazos de conservación a los que se refiere el apartado 4.2 de la EIPD son
los siguientes: “Los datos identificativos se conservarán hasta que revoque el
consentimiento o solicite baja, así como un máximo de 2 años sin utilizar el
sistema. Los datos biométricos se generan el día del vuelo y se conservan un
máximo de 24 horas. Los datos de la tarjeta de embarque se conservan hasta
24 horas después del cierre del vuelo”. Y el Anexo 5 de la EIPD sobre Análisis
sobre los plazos de conservación de los datos personales, señala que:
“1.- Datos identificativos (incluyendo imagen obtenida del CHIP NFC e
imágenes obtenidas de las cámaras biométricas instaladas en los distintos
puntos del aeropuerto): mientras el sistema esté disponible y como máximo 2
años.
2.- Datos biométricos obtenidos a partir de las distintas imágenes a lo largo del
ciclo de vida (proceso de enrolamiento, y paso por las puertas biométricas):
Estos datos se generaban a partir de las fotografías obtenidas, solamente:
(…)
SÉPTIMO: Medidas de seguridad aplicadas a cada elemento del sistema en que se
traten datos de carácter personal.
De acuerdo con el informe de actuaciones previas, AENA describe el sistema de
seguridad empleado a nivel de comunicaciones y el almacenamiento de la información
personal en el documento (Resp#1_Anexo_3.19). Además, en su escrito de respuesta
(Resp#1) ofrece un resumen de las medidas de seguridad de la información
implementadas en el sistema:
“● (…)”
Queda acreditado que se incluyó en la EIPD de 23 de junio de 2021 el documento
denominado Checklist cumplimiento normativo AEPD como (Resp#1_Anexo_3.7), y un
análisis del cumplimiento del resto de principios relativos a la protección de datos
mediante la adopción de medidas de seguridad: Limitación de la finalidad,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/84
Minimización de datos, Exactitud: Limitación del plazo de conservación, e Integridad y
confidencialidad.
Adicionalmente, AENA ha acreditado durante el procedimiento:
- En su escrito de alegaciones al acuerdo de inicio acompaña como documento
anexo nº 11 impresión de pantalla que contiene la instrucción sobre la
necesidad de implementar para la base de datos central el protocolo de
seguridad HTTPS. Igualmente, se adjunta como documento anexo nº 12 el
documento que contiene los requisitos de seguridad TIC que se trasladaron a
las empresas participantes en el piloto de Barcelona.
- En su escrito de contestación al acuerdo de prueba aporta los manuales de
atención de incidencias correspondientes a los proyectos piloto de los
aeropuertos de Menorca, Adolfo Suárez Madrid-Barajas, así como el manual
correspondiente a la fase operativa del Programa previendo así una medida
para mitigar el riesgo de que no funcionase el sistema de reconocimiento facial
en alguno de los puntos de acceso, permitiendo que la identificación se
realizase por los medios tradicionales en cualquier fase del proceso (anexos nº
10, documento anexo nº 11 y documento anexo nº 12)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/84
OCTAVO: Respecto al Análisis de Riesgos del tratamiento realizado.
Consta que AENA ha aportado dos documentos de análisis de riesgos realizados con
posterioridad al segundo informe de respuesta a la consulta previa de 3 de junio de
2021:
- El Análisis de Riesgos aportado como Anexo 14 del escrito de alegaciones al
acuerdo de inicio, que según AENA se corresponde con el Anexo 8 que fue
incluido en la EIPD de 2021. Es un documento de Excel en el que no consta
firma ni registro, si bien en el apartado de datos básicos aparece el 18/6/21
como fecha de realización, señalando AENA que no dispone de una copia
firmada y registrada del mismo, puesto que hubo un cambio de software
empleado en octubre de 2022, y aportan contrato licencia y captura de pantalla
de haber procedido a incluir en el mismo este documento. Este Análisis de
Riesgos se compone de 5 apartados (datos, tabla AR, sanciones, análisis de
riesgos, y mapa de calor), contiene un total de 69 riesgos, incluyendo el nivel
de “riesgo residual” de cada uno de dichos riesgos, sin hacer referencia a un
nivel de “riesgo inherente” de cada uno de estos ni a un nivel de riesgo residual
global del tratamiento.
- El Análisis de Riesgos aportado durante la fase de actuaciones previas de
investigación (como Anexo II del escrito de 6 de octubre de 2023) se
corresponde con un Análisis de Riesgos firmado por el DPD y fechado el 29 de
septiembre de 2023, que se realizó posteriormente a la EIPD de junio de 2021,
y no se corresponde con el que consta unido como Anexo 8 de la EIPD. De
acuerdo con el informe API, la inspección manifiesta que: “Una vez analizado el
documento de análisis de riesgos de 29 de septiembre de 2023, de 816
páginas, la inspectora señala que: “los factores de riesgo se encuentran
agrupados por categorías y para cada uno de ellos se ha especificado su nivel
de riesgo, el riesgo inherente y el riesgo residual, así como los supuestos de
hecho o casos concretos en los que se puede incurrir en este riesgo en la
entidad y las justificaciones de aplicabilidad del mismo. También se detallan las
medidas que la parte reclamada define que se deben adoptar por la
Organización con la finalidad de gestionar los riesgos identificados, todo ello
con la finalidad de alcanzar los objetivos establecidos en la teoría general de
análisis de riesgos, dependiendo del impacto que su materialización tendría
para la Organización: evitarlo o eliminarlo, mitigarlo, transferirlo o aceptarlo”
NOVENO: Alcance y duración del tratamiento de datos biométricos realizado por
AENA.
Según consta en los certificados de AENA, dicho programa se implantó de forma
gradual, poniendo en marcha el mismo en dos fases (proyectos piloto y fase de
implantación definitiva gradual en cada aeropuerto). En concreto, se realizaron 3
proyectos piloto y, posteriormente a ello, AENA decidió iniciar la implantación definitiva
en otros 8 aeropuertos españoles.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/84
a) Fase proyectos piloto incrementales: De acuerdo con el Certificado aportado como
Anexo 17 del escrito de alegaciones al acuerdo de inicio, se implantaron y
desarrollaron los siguientes proyectos de reconocimiento facial:
• El piloto de biometría realizado en el Aeropuerto de Menorca, en
colaboración con las empresas ***EMPRESA.8, ***EMPRESA.9 Y
***EMPRESA.10, se desarrolló entre los años 2019 y 2021. Tal y como se
refleja en el informe de resultados aportado como documento anexo nº 1
del escrito de 17 de marzo de 2025 aportando prueba, el tratamiento
comienza con el acuerdo de colaboración firmado el 28-3-19, y el número
de usuarios enrolados en el mismo fue de 13.341. Habiendo elaborado una
previa EIPD de 15-3-2019, que no se sometió a consulta previa formal, y
otra posterior de fecha 30-7-2020 que sí se sometió a consulta previa y fue
informada desfavorablemente por esta Agencia mediante informe de 8 de
febrero de 2021. De acuerdo con el informe, consta que dichos acuerdos de
colaboración se ampliaron por un año con ***EMPRESA.8y año y medio
con las restantes.
• El piloto de biometría realizado en el Aeropuerto Adolfo Suarez
Madrid - Barajas, en colaboración con las empresas ***EMPRESA.11,
***EMPRESA.12, ***EMPRESA.13, ***EMPRESA.14 y ***EMPRESA.15.
Tal y como se refleja en el informe de resultados y medición del CDTI
aportado como documento anexo nº 2 del escrito de 17 de marzo de 2025
parte del desarrollo financiado en una convocatoria del CDTI, se desarrolló
entre el 15-9-20 (desde que comenzaron las pruebas con los pasajeros
reales) y finalizó el 10-12-2021.. y el número de usuarios enrolados fue de
9.029. Siendo la EIPD elaborada de fecha 30-7-2020 e informada
desfavorablemente por esta Agencia, de acuerdo con lo que consta en el
expediente de consulta previa al que hace referencia el Hecho Probado
Primero.
• El piloto de biometría realizado en el Aeropuerto Josep Tarradellas
Barcelona – El Prat, en colaboración con las empresas ***EMPRESA.7,
***EMPRESA.2,***EMPRESA.3, ***EMPRESA.16, ***EMPRESA.17 Y
***EMPRESA.18, se desarrolló cuando comenzó a ejecutarse. Según el
calendario de implantación que consta en el Anexo 9 (informe final de
proyecto), y en el Certificado del Anexo 17, se considera que el tratamiento
comenzó el 2-6-21 cuando se realizaron los acuerdos con las compañías,
iniciándose las primeras operaciones materiales de tratamiento con las
primeras pruebas de pasajeros reales el 05/10/2021, y finalizó el 1-6-22.
Consta acreditado que si bien el número total de enrolamientos en el piloto de
BCN fue de 2.434 como señaló AENA en su escrito de alegaciones al acuerdo
de inicio, el número total de personas enroladas ascendió a 1.788 personas, de
acuerdo con el Anexo 15 aportado en el escrito de 17 de marzo de 2025, por
ser posible que una sola persona se enrolase más de una vez.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/84
b) Fase de implantación definitiva, también denominada por AENA como final u
operativa:
De acuerdo con el anexo nº 3 adjunto al escrito de 17 de marzo de 2025 de AENA, se
emite un Certificado de la misma (complementado con los Anexos 4 y 5 que acreditan
que los datos indicados coinciden con la base de datos de ***PLAN.1), en el que se
detallan los aeropuertos involucrados en el Programa en su fase operativa, fueron los
siguientes (8): 1. Adolfo Suárez Madrid-Barajas (MAD) 2. Alicante-Elche Miguel
Hernández (ALC) 3. Gran Canaria (LPA) 4. Ibiza (IBZ) 5. Josep Tarradellas Barcelona-
El Prat (BCN) 6. Menorca (MAH),7. Palma de Mallorca (PMI) 8. Tenerife Norte-Ciudad
de La Laguna (TFN).
Por último, de acuerdo con el mismo Anexo 3 y con el listado de registros de usuarios
registrados en el sistema en total durante el Programa de Reconocimiento Facial fue
de ***CANTIDAD.1 en el programa, con independencia de que posteriormente
realizasen el acceso biométrico, de acuerdo con el punto 2.2 del escrito de 17 de
marzo de 2025 de AENA. De acuerdo con el listado de usuarios registrados obtenido
de ***PLAN.1, aportados como Anexo 7 y 8 con dicho escrito, consta reflejado que los
enrolamientos se registraron hasta el 07/06/2024.
DÉCIMO: suspensión del tratamiento y bloqueo/supresión de datos personales.
Con fecha de 14 de junio de 2024, AENA presenta escrito en el que informa que ha
decidido paralizar el proyecto, suspendiendo de este modo toda actividad de
tratamiento de datos personales, y por ende, el tratamiento de datos biométricos de
los pasajeros, por hallarse en fase de análisis profundo de su sistema y medidas de
seguridad para adaptarlo a las previsiones del Dictamen 11/2024 de 24 de mayo
emitido por el CEPD sobre “el uso de tecnologías de reconocimiento facial por parte
de operadores aeroportuarios con la finalidad de racionalizar el flujo de pasajeros en
los aeropuertos.”
Respecto al bloqueo y supresión de datos, AENA, en su escrito de 17 de marzo de
2025, señala que “al finalizar cada uno de los proyectos piloto, la base de datos era
eliminada y se instalaba una versión actualizada, que servía como base de datos
nueva para almacenar los datos personales de los usuarios que se enrolaran en dicho
piloto.” Y acredita que procedió al bloqueo de los datos personales durante el plazo de
conservación previsto de 2 años, suprimiendo los datos de los proyectos piloto de
Menorca y Barajas por haber transcurrido dichos plazos sobre los que no puede
aportar acreditación por hallarse eliminado, aportando el acta de desinstalación del
sistema y destrucción de los datos de 2 de junio de 2022 como Anexo 9
(Resp#1_Anexo_9).; y bloqueando y conservando en la actualidad de forma
encriptada los correspondientes al proyecto piloto de BCN, y el proyecto final
realizado durante la fase operativa, sobre los que aporta acreditación de copia de
seguridad encriptada mediante los anexos 6 a 8.
UNDÉCIMO. Base de licitud y excepción del consentimiento habilitante para tratar
datos biométricos de los pasajeros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/84
Consta que en el RAT y la EIPD elaboradas para la “Actividad: BIOMETRICOS
AEROPUERTOS PILOTO BCN”, se hicieron constar las siguientes bases de licitud y
excepción que levantaba la prohibición del tratamiento de categorías especiales:
“Base legitimadora:
·Consentimiento del titular de los datos
·Satisfacción de intereses legítimos perseguidos por el responsable del
tratamiento o por un tercero (análisis y mejora del servicio. Datos agregados)
·Levantamiento prohibición tratamiento categorías especiales: Art. 9.2.a)
Consentimiento expreso (datos biométricos)
Ley de la base legitimadora:
Art. 6.1.a) consentimiento
Art. 9.2.a) Consentimiento expreso (datos biométricos) (sic)
Art. 6.1.f) RGPD: Interés legítimo de Aena (análisis y mejora del servicio. Datos
agregados)”
AENA indica en su EIPD (Resp#1_Anexo_3), que la base jurídica para el tratamiento
de los datos de los interesados es el Consentimiento (Art. 6.1.a) y, adicionalmente,
para levantar la prohibición del tratamiento de datos de categoría especial, se recurre
a la excepción del 9.2.a) RGPD (consentimiento), ya que el tratamiento requiere el uso
de datos biométricos para el reconocimiento facial de los interesados. Aporta como
documento (Resp#1_Anexo_3.4), el informe sobre el análisis de legitimación realizado
para determinar esta base jurídica de tratamiento.
Consta acreditado, que, al menos, desde la implantación del proyecto de biometría en
el piloto de Barcelona que fue diseñado en la EIPD de junio de 2021, AENA había
arbitrado un sistema de consentimiento libre, especifico, inequívoco e informado para
el tratamiento de datos biométricos considerados categorías especiales de datos,
manteniendo la posibilidad de acudir al método tradicional en cualquier fase del
proceso, tal y como se acredita mediante las siguientes evidencias:
- Consentimiento libre: La EIPD señala (Pág.24 y ss) que el consentimiento de los
pasajeros se presta libremente, ya que:
“(i) No se presta en el marco de un desequilibrio de poder, o dependencia
jerárquica, como el que puede existir entre empleadores y empleados en el marco
de las relaciones laborales. Por el contrario, se presta el consentimiento en el
marco contractual entre AENA y los interesados, de la misma manera que se
recaban consentimientos en el común desarrollo de las actividades comerciales por
parte de las entidades mercantiles.
(ii) No se incurre en la condicionalidad del cumplimiento de contratos o
prestaciones de servicios al consentimiento del tratamiento. Se permite a todo
pasajero, que así lo prefiera, utilizar los mecanismos tradicionales de identificación
personal en el aeropuerto, sin suponer esto un perjuicio gravoso para aquellos que
así lo decidan.”
También refiere a lo largo de su escrito de respuesta al requerimiento (Resp#1) que
“el sistema biométrico convivió en todo momento con los sistemas tradicionales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/84
habituales de (i) facturación, (ii) control de filtros de seguridad y (iii) puertas de
embarque.
Los pasajeros disponían de voluntariedad plena para el sometimiento al sistema de
reconocimiento facial. Del mismo modo, aquellos pasajeros que voluntariamente
aceptaron utilizar el sistema pudieron en todo momento, de forma ágil y sencilla
retirar el mismo para pasar a utilizar los sistemas tradicionales.”
Aporta los planos del aeropuerto con la señalización de los equipos alojados en la
Terminal 1 del aeropuerto Josep Tarradellas Barcelona-El Prat
(Resp#1_Anexo_3.17) y (Resp#1_Anexo_3.18) como evidencias de la coexistencia
de los métodos tradicionales con los sistemas biométricos.
.- Consentimiento específico: “En el caso de AENA, se solicitará el consentimiento
para el tratamiento de los datos biométricos de forma separada de cualquier otro
consentimiento que, en su caso se pueda requerir por AENA a los pasajeros”.
.-Consentimiento informado: “En todo caso AENA facilita la información pertinente a
los interesados antes del tratamiento de sus datos. Así pues, en la política de
privacidad que se facilitará a los interesados antes de que presten su consentimiento
se informará de todos los puntos recogidos en las Directrices del CEPD”
.- Consentimiento inequívoco: “el consentimiento se recabará mediante la marcación
por el pasajero de una casilla en la que única y exclusivamente se solicita el
consentimiento para el tratamiento de los datos biométricos.”
DUODÉCIMO: Respecto a los procedimientos seguidos para cumplir el deber de
información y acreditar el consentimiento.
De acuerdo con el informe de actuaciones previas de inspección de 9 de julio de 2024,
consta acreditado que: “AENA mantiene proporciona evidencias del procedimiento
para facilitar la información a los interesados en cada una de las fases del sistema.
Además de la Política de Privacidad con la información completa sobre el tratamiento
de los datos biométricos disponible en la página web de AENA, la parte reclamada
refiere que:
1.- (…)”.
DÉCIMO TERCERO: Respecto al análisis de idoneidad, necesidad y proporcionalidad
incluido en la EIPD del tratamiento.
En relación con este triple análisis, consta acreditado lo siguiente:
- La EIPD previa al inicio del tratamiento en Menorca de 15-3-19 no contenía un
análisis de riesgos ni un análisis de necesidad, idoneidad y proporcionalidad
- En la EIPD realizada el 30-7-20 para Madrid y Menorca que se sometió a la
primera consulta previa, según el primer informe de esta AEPD, de 8 de febrero de
2021, en cuya documentación adjunta indica que “no se había incluido un análisis
sistemático de la necesidad y proporcionalidad de las operaciones de tratamiento
con respecto a su finalidad, incluyendo igualmente una descripción detalla de la
finalidad y finalidades con la suficiente claridad y especificidad”, y a modo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/84
ejemplo, señalaba varios aspectos del tratamiento diseñado por AENA que
planteaban dudas sobre la necesidad del tratamiento.
- La última versión presentada a consulta previa el 12-4-21, AENA aportaba como
Anexo 2 un análisis sobre el juicio de necesidad, idoneidad y proporcionalidad de
2 páginas.
- En la EIPD elaborada el 23 de junio de 2021 que se aplicó a partir del proyecto
piloto de Barcelona y durante la fase operativa hasta junio de 2024 contiene un
análisis del triple juicio de proporcionalidad que no distinguía entre el
cumplimiento de estos requisitos en relación con los filtros de seguridad y puertas
de embarque, en diferentes apartados de la misma:
o En su resumen ejecutivo (página 2) se comparan y ponen de relieve los
inconvenientes que según AENA tiene el método tradicional para superar el
filtro de seguridad y la puerta de embarque desde el punto de vista de
seguridad.
o En el apartado 8 del cuerpo de la EIPD, se contiene un “Análisis de la
necesidad del tratamiento” (págs. 52 y ss)., distinguido en 4 apartados: (i)
análisis del juicio de proporcionalidad propiamente dicho, que indica por
qué entiende que el sistema biométrico utilizado supera el juicio de
idoneidad, necesidad y proporcionalidad, y se añade un análisis de lo
sucedido en el covid19, y (ii) beneficios para los interesados; (iii) beneficios
para la entidad, y (iv) alternativas al tratamiento y porque no se han
elegido.
El Anexo 10 de la EIPD contiene un análisis riesgo beneficio que podría ser
complementario del juicio de proporcionalidad realizado.
DÉCIMO CUARTO:
Que el volumen de negocios de AENA para el ejercicio 2024 ascendió a un total de
5.021.501.000 € de acuerdo con lo que consta registrado en el Informe de Axesor de
21 de agosto de 2025, según consta en Diligencia de 3 de septiembre de 2025.
FUNDAMENTOS DE DERECHO
I. Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/84
II. Cuestiones previas sobre el tratamiento de datos biométricos
2.1. Definición y características de los datos biométricos.
El RGPD define en el art. 4.14 datos biométricos como “datos personales obtenidos a
partir de un tratamiento técnico específico, relativos a las características físicas,
fisiológicas o conductuales de una persona física que permitan o confirmen la
identificación única de dicha persona, como imágenes faciales o datos
dactiloscópicos”.
Los datos biométricos pueden utilizarse para múltiples objetivos, entre ellos el control
de acceso físico, pudiendo emplearse para ello distintos tipos de técnicas biométricas,
como el reconocimiento facial.
Los sistemas de procesamiento de datos biométricos se basan en recoger y procesar
datos personales relativos a las características físicas, fisiológicas o conductuales de
las personas físicas, creando plantillas biométricas que posibilitan reconocer
automáticamente a las personas físicas para autenticarlas o identificarlas.
Como explican las Directrices 5/2022 del CEPD sobre el uso de la tecnología de
reconocimiento facial (en lo sucesivo TRF) en el ámbito de la aplicación de la ley.
Versión 2.0. Adoptada el 26 de abril de 2023, que, aunque emitidas en relación con la
Directiva 2016/680, sus consideraciones sobre las plantillas biométricas resultan
aplicables a este caso: “una plantilla biométrica es una representación digital de las
características únicas que se han extraído de una muestra biométrica y pueden
almacenarse en una base de datos biométrica. Se supone que esta plantilla es única y
específica para cada persona y, en principio, es permanente a lo largo del tiempo. En
la fase de reconocimiento, el dispositivo compara esta plantilla con otras plantillas
previamente producidas o calculadas directamente a partir de muestras biométricas,
como los rostros encontrados en una imagen, foto o vídeo…” (párrafo 9).
Respecto del reconocimiento facial, las citadas Directrices indican que “El
«reconocimiento facial» es, por tanto, un proceso de dos pasos: primero, la recogida
de la imagen facial y su transformación en una plantilla; después, el reconocimiento de
esta cara mediante la comparación de la plantilla correspondiente con una o más
plantillas”.
Así pues, el Programa de Reconocimiento Facial-PRF) que AENA ha desarrollado en
el marco de Plan Estratégico para los años 2022-2026, como método de control de
acceso de pasajeros en diversos aeropuertos españoles, supone el tratamiento de
datos biométricos de los viajeros, en el sentido del art. 4.14 del RGPD.
AENA precisa de un “token biométrico” (patrón facial de los pasajeros que se inscriben
voluntariamente en el sistema), que obtiene de la imagen del rostro de la persona
física; cuya finalidad es la de permitir o confirmar la identificación única de una
persona física, como señala la EIPD, según el Hecho Probado Tercero (mediante un
sistema de identificación de uno a varios 1:N).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
43/84
De acuerdo con el Principio de protección de datos desde el diseño y por defecto, así
como el Principio de Responsabilidad Proactiva, inspiradores del actual RGPD, se
hace hincapié en que el responsable debe evaluar seriamente los riesgos del
tratamiento que quiera establecer en los derechos y libertades de los interesados
(siempre previamente a iniciar cualquier tratamiento, y de forma continua si decide
hacerlo), optando por un enfoque de análisis de riesgos desde el diseño y por defecto,
para poder identificarlos, determinar la probabilidad de materialización y su impacto y
prever medidas y garantías que eliminen o, cuando menos, mitiguen los riesgos
detectados, evitando su materialización. Análisis que el responsable debe documentar,
y realizar previamente a la propia Evaluación de Impacto sobre la Protección de Datos
(en adelante, EIPD), que deberá realizar de forma preceptiva en el caso de que sea
probable que el tratamiento entrañe un “alto riesgo” de acuerdo con lo previsto en el
artículo 35 del RGPD. Lo que siempre concurre cuando estamos en presencia de
tratamiento de datos biométricos.
La decisión de optar por un tratamiento basado en métodos biométricos como la huella
dactilar o el reconocimiento facial de las personas físicas no es baladí. Este
tratamiento puede ser realmente intrusivo y requiere de un debate ético y jurídico
sosegado antes de decidir su implantación, toda vez que obtener los datos biométricos
de la huella dactilar, de la imagen facial u otros datos biométricos como la imagen del
iris, etc. puede tener efectos muy adversos en los derechos fundamentales y en la
libertad e integridad humana. Y estos efectos adversos pueden ser más elevados
cuando, como en el caso que nos ocupa, el control biométrico se realiza empleando un
sistema de identificación que implica una operación uno-a-varios (1:N); que desde el
punto de vista de protección de datos implica una búsqueda activa dentro de un
conjunto de identidades preexistentes, lo cual puede comportar mayores riesgos para
los derechos fundamentales de las personas físicas.
Nótese que no todos los tratamientos de categorías especiales de datos comportan el
mismo nivel de riesgo ni exigen el mismo grado de salvaguardas. Desde una
perspectiva de la legalidad y, especialmente de la proporcionalidad y evaluación de
riesgos, la identificación (1:N) suele presentar mayores riesgos para los derechos y
libertades fundamentales, en especial por su carácter invasivo.
Cabe destacar, además, que dentro de los métodos que utilizan datos biométricos, los
basados en reconocimiento facial (implantado en el supuesto presente) pueden ser
incluso más intrusivos que otros, como los de detección de huella dactilar.
Así se pone de manifiesto en las citadas Directrices 05/2022 del CEPD:
Gran parte del creciente interés por la TRF se basa en su eficiencia y adaptabilidad.
Pero también entraña los inconvenientes propios de la tecnología y de su aplicación,
especialmente a gran escala. Al ser posible analizar miles de conjuntos de datos
personales con solo pulsar un botón, los más leves efectos de discriminación
algorítmica o de identificación errónea pueden afectar gravemente a un elevado
número de personas en su conducta y en su vida cotidiana. La propia magnitud del
tratamiento de los datos personales, y en particular los datos biométricos, es otro
elemento clave de la TRF, ya que el tratamiento de datos personales constituye una
injerencia en el derecho fundamental a la protección de los datos personales de
conformidad con el artículo 8 de la Carta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
44/84
La aplicación de la TRF por las FCS tendrá (y en cierta medida ya tiene) efectos
significativos en las personas individuales y en los grupos, incluidas las minorías, así
como implicaciones considerables en nuestra convivencia y en nuestra estabilidad
política social y democrática, que concede gran importancia al pluralismo y la
discrepancia política. El derecho a la protección de los datos personales suele ser
una condición previa esencial para garantizar otros derechos fundamentales. La
aplicación de la TRF es muy propensa a interferir en los derechos fundamentales,
aparte del derecho a la protección de los datos personales. (…)
En este contexto, el CEPD considera importante recordar que la TRF, tanto si se
utiliza con fines de autenticación como de identificación, no proporciona un
resultado definitivo, sino que se basa en probabilidades de que dos rostros, o
imágenes de rostros, correspondan a la misma persona. Este resultado se devalúa
aún más cuando la calidad de la muestra biométrica utilizada en el reconocimiento
facial es baja. La borrosidad de las imágenes, la baja resolución de la cámara, el
movimiento y la poca luz pueden ser factores de baja calidad. Otros aspectos con
un impacto significativo en los resultados son la prevalencia y la suplantación de
identidad, por ejemplo, cuando los delincuentes intentan evitar pasar por delante de
las cámaras o engañar a la TRF. Numerosos estudios también han puesto de
relieve que estos resultados estadísticos del tratamiento algorítmico también
pueden estar sujetos a sesgos, en particular derivados de la calidad de los datos de
origen, así como de las bases de datos de entrenamiento, o de otros factores,
como la elección de la ubicación. Además, también hay que destacar el impacto de
la tecnología de reconocimiento facial en otros derechos fundamentales, como el
respeto a la vida privada y familiar, la libertad de expresión e información, la libertad
de reunión y asociación, etc.”
Asimismo, se mencionan estos mayores riesgos en el Dictamen 11/2024 de 23 de mayo
de 2024 del CEPD sobre el uso del reconocimiento facial para racionalizar el flujo de
pasajeros del aeropuerto al que hace mención AENA en sus escritos al recoger lo
siguiente:
“Como observación preliminar, el Comité recuerda que el uso de datos biométricos y,
en particular, de tecnología de reconocimiento facial conlleva mayores riesgos para
los derechos y libertades de los interesados. Se refiere al tratamiento de datos
biométricos a los que se concede una protección especial en virtud del artículo 9 del
RGPD. Antes de utilizar dichas tecnologías, incluso si se consideraran especialmente
eficaces, los responsables del tratamiento deben evaluar el impacto en los derechos
y libertades fundamentales de los interesados y considerar si medios menos
intrusivos pueden alcanzar su finalidad legítima del tratamiento”.
2.2. Las plantillas biométricas como datos personales de categoría especial y alto
riesgo.
La aprobación del RGPD ha supuesto un cambio de paradigma en materia de
protección de datos personales que pretende garantizar aún más a los ciudadanos el
control de sus datos personales, estableciendo unos estándares de protección
elevados y adaptados al entorno digital en que vivimos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
45/84
Siempre que se traten datos de carácter personal, de cualquier tipo que sean, el
responsable deberá cumplir con los principios y obligaciones previstos en la normativa
de protección de datos para todo tipo de datos personales. Entre otros múltiples
requisitos y principios está el analizar los riesgos concurrentes y asegurarse, primero
que nada, de que el nuevo tratamiento de datos personales que se pretende implantar
sea idóneo, necesario y proporcional para cumplir con la finalidad del tratamiento, de
acuerdo con el artículo 5.1.c) del RGPD.
A diferencia de lo que sucedía bajo el régimen anterior al RGPD, en la actualidad, los
datos personales que queden comprendidos en la definición de datos biométricos, del
art. 4.14 del RGPD, están considerados como datos personales de categoría especial,
cuyo tratamiento prohíbe el artículo 9.1 del RGPD, salvo que concurra alguna de las
excepciones previstas en el artículo 9.2 del RGPD. Lo que no exime del cumplimiento
de los principios recogidos en el artículo 5 del RGPD y de que deba existir además
una base de licitud de las previstas en el artículo 6 del RGPD
En este sentido, hay que resaltar que la calificación como datos de categoría especial
implica, necesariamente, la observancia de una especial cautela a la hora de
determinar si es posible llevar a cabo un tratamiento de datos de esta naturaleza. Y
examinar, si se dispone de una base de licitud, y una excepción del artículo 9.2 del
RGPD, que permita al responsable del tratamiento salvar la prohibición del artículo 9.1
del RGPD.
En relación con el tratamiento de datos biométricos, hay que tener en cuenta lo
dispuesto en el artículo 35 RGPD en relación con la necesidad de elaborar una EIPD
Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas
tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para
los derechos y libertades de las personas físicas. En este sentido, y de acuerdo con lo
previsto en el apartado 4 del artículo 35: “La autoridad de control establecerá y
publicará una lista de los tipos de operaciones de tratamiento que requieran una
evaluación de impacto relativa a la protección de datos de conformidad con el
apartado 1”, la AEPD publicó una lista orientativa de tratamientos que requieren EIPD
entre los que se incluyen los tratamientos que impliquen el uso de datos biométricos
con el propósito de identificar de manera única a una persona física.
La EIPD debe ser previa al inicio del tratamiento y no bastará con realizarla, sino que
la misma deberá superarse y actualizarse durante el ciclo de vida de los datos.
2.3. Sistema biométrico implantado por AENA.
En el presente supuesto, se ha confirmado durante la instrucción practicada que AENA
diseñó y desarrolló en varias fases un sistema biométrico de identificación unívoca de
los pasajeros basado en un Programa de Reconocimiento Facial incluido dentro del
Plan estratégico 2022-2026 de AENA, con la intención de implantarlo de forma gradual
e incremental en los aeropuertos españoles como nuevo método de control de acceso
de los pasajeros a determinadas zonas del aeropuerto (los filtros de seguridad, puertas
de embarque y, adicionalmente, “self bag drop”). Método de acceso que era voluntario
y alternativo al método tradicional de acceso mediante exhibición de documentación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
46/84
que siguió siempre en pleno funcionamiento para poder ser empleado por el pasajero
en cualquier fase del proceso, según AENA.
Se debe aclarar que AENA ya en su carta de 23 de enero de 2020, en relación con las
pruebas en los aeropuertos de Menorca y Madrid, reconocía que los proyectos de
biometría que estaba desarrollando en ejecución de su Programa estratégico de
reconocimiento facial implicaban un tratamiento de alto riesgo de datos biométricos de
categoría especial. Y que igualmente considera que estos tratamientos de alto riesgo
requieren de una EIPD previa, como se desprende del hecho de que AENA solicitó
asesoramiento a esta Agencia tras no lograr reducir el nivel de riesgo en la EIPD
llevada a cabo, en cumplimiento de lo dispuesto en el art. 36 del RGPD, llegándose a
plantear formalmente hasta dos consultas previas ante esta Agencia durante la
ejecución de los proyectos piloto de Menorca y Madrid.
Así pues, es un hecho reconocido por AENA que el programa de reconocimiento facial
implantado para el control de acceso/tránsito de pasajeros a determinadas zonas de
determinados aeropuertos implicaba el tratamiento de datos biométricos de categoría
especial y podía considerarse como un tratamiento de alto riesgo.
Hay que decir que AENA dispone de la excepción del artículo 9.2.a) del RGPD, tal y
como se ha hecho constar en el documento de EIPD presentado y en el RAT.
Así pues, no es una cuestión controvertida que el tratamiento realizado por AENA ha
estado amparado por la excepción del artículo 9.2.a) del RGPD
2.4. Operaciones de tratamiento de datos biométricos realizadas por AENA
El artículo 4.2 del RGPD define el “tratamiento de datos personales” como:
“cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjunto de datos personales ya sea por procedimientos automatizados o no, como
la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión
o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación,
supresión o destrucción;”
El CEPD en sus Directrices 7/2020 sobre el responsable y encargado del tratamiento,
de 7 de julio de 2021, y el Tribunal de Justicia de la Unión Europea (en sentencias
como la de 5 oct. 2023, C-659/2022), consideran que el artículo 4.2 del RGPD recoge
un concepto amplio de tratamiento de datos personales.
En el presente supuesto AENA describe las fases del proceso del tratamiento de
datos, señalando que: “De forma básica, el proceso de tratamiento de datos
personales en el proyecto biométrico consta de cuatro pasos:
• (…).
Por otra parte, AENA suministra el documento descriptivo de la arquitectura física del
Sistema (descrito con detalle en el Hecho Probado Sexto, que estaba compuesto por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
47/84
tres elementos principales, destinados a recoger o extraer datos, utilizarlos para la
identificación y almacenarlos:
i. (…):
De todo lo expuesto se desprende que AENA ha estado realizando diversas
operaciones de tratamiento de datos personales en el sentido previsto en el artículo
4.2 del RGPD:
o De diseño operativo del tratamiento: donde se configuran los fines y medios a
implantar para que el reconocimiento facial se pueda hacer efectivo en los
aeropuertos españoles donde fue implantado.
o Operaciones materiales de ejecución del tratamiento: el sistema implantado
realiza varias operaciones de tratamiento de datos dirigidas a identificar de
forma unívoca a los pasajeros enrolados voluntariamente en el programa de
reconocimiento facial, que acceden a los filtros de seguridad, puertas de
embarque, y self bag drop en su caso:
(…)
2.5. AENA como responsable del tratamiento de datos.
Consta que AENA ha celebrado acuerdos de colaboración con varias compañías
aéreas encargadas de ejecutar las diferentes operaciones de tratamiento diseñadas
por AENA en cada uno de los aeropuertos donde ha implantado el SRF, que podrían
considerarse encargadas del tratamiento de las operaciones que realizan por cuenta
de AENA.
AENA ha aportado en su escrito de respuesta de 6 de octubre de 2023 un listado de
los diferentes contratos de encargo suscritos para desarrollar el sistema biométrico
con la finalidad de “integrar un sistema biométrico facial para los procesos de
enrolamiento digital móvil, acceso al control de seguridad y embarque, con
identificación de la identidad desde el móvil y desde el aeropuerto”.
Y durante la fase de prueba, AENA ha aportado también un certificado donde constan
las compañías con las que suscribió contratos de encargo (acuerdos de colaboración)
Hecho Probado Noveno.
En todos estos documentos, así como en la documentación de la EIPD consta que es
AENA la responsable del tratamiento a tenor del artículo 4.7 del RGPD, que define al
responsable del tratamiento como:
“(…) La persona física o jurídica, autoridad pública, servicio u otro organismo
que, solo o junto con otros, determine los fines y medios del tratamiento; si el
Derecho de la Unión o de los Estados miembros determina los fines y medios
del tratamiento, el responsable del tratamiento o los criterios específicos para
su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados
miembros”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
48/84
Ello confirma que AENA es la responsable del tratamiento y de los hechos imputados
en el presente procedimiento, de acuerdo con lo previsto en el artículo 70. 1 a) de la
Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía
de derechos digitales (en adelante, LOPPDD):
“Artículo 70. Sujetos responsables.
Están sujetos al régimen sancionador establecido en el Reglamento (UE)
2016/679 y en la presente ley orgánica: a) Los responsables de los tratamientos.
b) Los encargados de los tratamientos. c) Los representantes de los responsables
o encargados de los tratamientos no establecidos en el territorio de la Unión
Europea. d) Las entidades de certificación. e) Las entidades acreditadas de
supervisión de los códigos de conducta. (…)”.
III Contestación a las alegaciones a la propuesta de resolución
En este fundamento de derecho se da respuesta a las alegaciones de AENA a la
propuesta de resolución:
PRIMERA. – CONSECUENCIAS DE LA MODIFICACIÓN SUSTANCIAL DE LOS
ELEMENTOS CONSTITUTIVOS DE LA INFRACCIÓN. ARCHIVO DE LAS PRESEN-
TES ACTUACIONES
AENA considera que los hechos que ahora se imputan son diferentes de los que se
imputaron en el acuerdo de inicio del procedimiento sancionador. Sin embargo, esta
alegación debe ser rechazada.
No es cierto que se imputen hechos nuevos no contemplados en el acuerdo de inicio
del procedimiento sancionador, por cuanto desde el inicio del procedimiento se ha
tenido en cuenta el tratamiento de datos biométricos realizado por AENA en desarrollo
de su Plan estratégico, que se llevó a cabo en diversas fases (piloto y operativa) y en
diferentes aeropuertos. En el propio Acuerdo de inicio se recoge a modo de conclusión
lo siguiente:
“En conclusión, de lo expuesto se deduce que AENA reconoce que puso en
marcha un sistema de reconocimiento facial como nuevo método de control de
acceso de los pasajeros que se inscribieran voluntariamente en este sistema
para los vuelos de la Compañía ***EMPRESA.7. En concreto:
- AENA reconoce y aporta evidencias de que, efectivamente, el tratamiento
citado se desarrolló (con base en la citada EIPD de 23 de junio de 2021) con
ocasión de la ejecución del proyecto piloto del Aeropuerto de El Prat de
Barcelona., que fue ejecutado, al menos entre diciembre de 2021 y junio de
2022. Y existen claros indicios de que, previamente a este proyecto piloto, se
ejecutaron otros dos proyectos piloto en los aeropuertos de Madrid-Barajas y
Menorca, dado que así se hace constar en el resumen ejecutivo de la EIPD
mencionada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
49/84
- AENA reconoce también, tras finalizar el proyecto piloto de Barcelona, y “a la
vista de su éxito”, comenzó la primera fase de implantación definitiva de este
mismo tratamiento en éste mismo aeropuerto de Barcelona y otros 6
aeropuertos a partir de octubre de 2023 y la paralizó en mayo de 2024 tras la
emisión del Dictamen 11-24 del CEPD. Constan indicios fundados de que este
sistema de reconocimiento facial contratado con ***EMPRESA.7 continuó en el
Aeropuerto de Barcelona formando parte de esta primera fase gradual de
implantación, al menos, desde enero de 2024, según las 3 noticias que constan
diligenciadas con fecha de 6 de noviembre. Pero no se han aportado
evidencias de que los nuevos proyectos iniciados se hayan paralizado, más
allá de las afirmaciones de AENA.
De las evidencias constatadas se desprende que AENA ha realizado
operaciones de tratamiento de datos personales biométricos (reconocimiento
facial) con la finalidad de identificar unívocamente a los pasajeros al objeto de
permitir su acceso a determinadas zonas de este y otros aeropuertos (filtros de
seguridad, puertas de embarque, y facturación self-bag drop), sin haber
justificado previamente que dicho tratamiento fuera necesario ni proporcional,
al existir medios alternativos previos menos intrusivos capaces de cumplir la
misma finalidad con eficacia y seguridad (...)
Por tanto, los hechos que contempla el acuerdo de inicio se refieren al tratamiento de
datos biométricos realizados en los distintos aeropuertos, incluso al realizado durante
la fase operativa y que habría venido desarrollándose al menos hasta mayo de 2024.
No puede exigirse que desde el inicio del procedimiento la información sobre la
imputación sea absolutamente completa y exhaustiva, en este sentido se ha
pronunciado el Tribunal Constitucional en su sentencia 129/2006, de 24 de abril, que
determina que “En efecto, de la jurisprudencia constitucional sobre dicha cuestión
deriva, de un lado, que el derecho a conocer la acusación no implica que en la fase de
inicio del procedimiento exista obligación de precisar de forma absoluta los hechos y la
calificación jurídica correspondiente, sino que la acusación va precisándose de forma
gradual al desarrollo del procedimiento (por todas SSTC 41/1998, de 24 de febrero, FJ
15). De otra parte, a los efectos de considerar salvaguardado el derecho de defensa
resulta suficiente con que el acusado haya tenido ocasión de defenderse de la
acusación de forma plena desde el momento en que la conoce de forma plena (SSTC
41/1998, de 24 de febrero, FJ 27; 87/2001, de 2 de abril, FJ 3).
En idéntico sentido la STC 116/2007, de 21 de marzo, establece que “En cuanto a la
primera cuestión, este Tribunal ha reiterado que el derecho a ser informado de la
acusación implica la necesidad de dar a conocer al sometido a procedimiento la
imputación formulada de forma expresa y en términos que no sean absolutamente
vagos o indeterminados, con el fin de posibilitar el ejercicio del derecho de defensa,
pues mal puede defenderse de algo quien no sabe qué hechos en concreto se le
imputan (por todas, STC 299/2006, de 23 de octubre, FJ 2). Igualmente, se ha
destacado que este derecho, en su proyección en el ámbito administrativo
sancionador, no implica que en la fase de inicio del procedimiento disciplinario exista
obligación de precisar de forma absoluta los hechos y la calificación jurídica
correspondiente, sino que la imputación puede ir precisándose de forma gradual al
desarrollo del procedimiento siempre que se dé “ocasión de defenderse de la
acusación de forma plena desde el momento en que la conoce de forma plena” (por
todas, STC 129/2006, de 24 de abril, FJ 7)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
50/84
SEGUNDA. - VULNERACIÓN DEL PRINCIPIO ACUSATORIO: INDEBIDA
MODIFICACIÓN DE LA ACUSACIÓN EN LA ÚLTIMA FASE DEL PROCEDIMIENTO
SANCIONADOR. VULNERACIÓN DEL DERECHO DE DEFENSA.
Se reitera en este punto, que la propuesta de resolución no supone una alteración
esencial de la imputación. El presente procedimiento se inició por infracción del art.
5.1.c) RGPD al no haber acreditado AENA la necesidad y proporcionalidad del
tratamiento previsto para la finalidad perseguida: la gestión del acceso a la zona de
embarque de los aeropuertos y del proceso de embarque de pasajeros con unos
mayores niveles de seguridad y eficacia que los que se lograrían con los métodos de
verificación de identidad utilizados, cuestión que debe quedar justificada, en este caso,
en la EIPD que debía elaborarse al inicio del tratamiento. Así las cosas, AENA conocía
que la cuestión que se enjuiciaba era que el tratamiento de datos que había realizado
podía no superar el juicio de proporcionalidad y sabía que esta justificación debía
realizarse en la EIPD. Por tanto, AENA ha podido alegar cuanto a su derecho ha
considerado necesario y aportar la documentación que justificara que había realizado
un tratamiento acorde con el RGPD, lo que incluye de manera directa llevar a cabo la
EIPD en los términos requeridos por el art. 35 del RGPD.
AENA era conocedora de que las actuaciones de investigación se seguían con motivo
del tratamiento de datos biométricos realizado en los aeropuertos. El acuerdo de inicio
del procedimiento sancionador reflejaba todas las actuaciones realizadas y las
comprobaciones efectuadas, por tanto, no se ha producido ninguna modificación de
los hechos.
Ha de destacarse que incluso la EIPD ya fue requerida a AENA durante las
actuaciones previas de investigación. Si bien se solicitó la relativa a las actividades
que involucran el tratamiento de datos biométricos, haciendo referencia
exclusivamente a la EIPD de la Actividad de Biométricos Josep Tarradellas Barcelona,
debido a que la AEPD no tuvo conocimiento de que AENA había iniciado la fase
operativa el 4 de octubre de 2023, hasta el 6 de octubre de 2023, fecha en que AENA
dio respuesta al requerimiento de información. Hasta dicha fecha la AEPD sólo
conocía lo que AENA había manifestado el 12 de mayo de 2023 en las actuaciones de
traslado que “los proyectos piloto biométricos que se implantaron en determinados
aeropuertos de la red de Aena durante los años 2019 a 2022, están todos finalizados a
fecha junio de 2022”, por tanto, la EIPD solicitada se refería a la versión aplicable al
último proyecto llevado a cabo por AENA, es decir a la versión más actual.
La SAN de 29 de octubre de 2024, rec. 1824/2021, al examinar el artículo 64.2.b) de la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Publicas, que regula el acuerdo de inicio, determina la posibilidad
cierta de que en la propuesta de resolución se realice una imputación formal de una
infracción, incluso si no se hubiera imputado expresamente en el acuerdo de inicio,
pues el citado artículo contempla dicha posibilidad al indicar de forma expresa “… sin
perjuicio de lo que resulte de la instrucción”. Añade que el precepto «se complementa
con lo dispuesto en el artículo 89.3 de dicha norma cuando señala que “En la
propuesta de resolución se fijarán de forma motivada los hechos que se consideren
probados y su exacta calificación jurídica, se determinará la infracción que, en su
caso, aquéllos constituyan, la persona o personas responsables y la sanción que se
proponga, la valoración de las pruebas practicadas, en especial aquellas que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
51/84
constituyan los fundamentos básicos de la decisión, así como las medidas
provisionales que, en su caso, se hubieran adoptado…”.
Téngase en cuenta que sobre la propuesta de resolución, la Sala 3ª del Tribunal
Supremo (véase STS de 16 de noviembre de 2021), ha ido construyendo una
jurisprudencia consolidada, en la que tras analizar la STC 29/1989, se dice que “"el
derecho a ser informado de la acusación, que con la categoría de fundamental se
garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el
procedimiento administrativo sancionador a través de la notificación de la propuesta
de resolución, pues es en ésta donde se contiene un pronunciamiento preciso acerca
de la responsabilidad que se imputa, integrado, cuando menos, por la definición de la
conducta infractora que se aprecia, y su subsunción en un concreto tipo infractor, y por
la consecuencia punitiva que a aquélla se liga en el caso de que se trata.»
En definitiva, la AEPD no ha realizado ninguna imputación de modo sorpresivo, toda
vez que AENA ha tenido en todo momento conocimiento de las actuaciones llevadas a
cabo a las que ha tenido acceso y frente a las que ha podido formular alegaciones, lo
que excluye la existencia de indefensión material.
TERCERA. - NECESIDAD DE INCOPORAR HECHOS Y DOCUMENTACIÓN
ADICIONAL ESPECIALMENTE RELEVANTES COMO CONSECUENCIA DEL
CAMBIO SOBREVENIDO DE CALIFICACIÓN JURIDICA.
AENA aporta distintas versiones de la EIPD y manifiesta que la EIPD del proyecto
piloto de Barcelona realizada en junio de 2021 constaba de un alcance y una
profundidad mayor. Incluso indica que existía otra versión posterior. Sin embargo, esta
documentación no fue aportada cuando le fue requerida, por lo que no puede atribuir
su ausencia en el procedimiento a lo que denomina el cambio sobrevenido.
Por otro lado, AENA sostiene que el inicio de la fase operativa fue el 4 de octubre de
2023 y no el 17 de julio de 2023 como consta en la propuesta de resolución, y que el 3
de octubre de 2023 se aprueba la EDIP definitiva de la fase operativa (se adjunta
como documento anexo 10), manifestaciones que se admiten por esta Agencia
No obstante, respecto a las comunicaciones entre AENA y la AEPD, AENA aduce que
en la Propuesta de Resolución se afirma, como hechos probados, que tuvieron
comienzo el 23 de enero de 2020 con una carta de AENA y una posterior de 3 de
noviembre de 2020, pero omite diversas comunicaciones e intercambios de
documentación entre las partes, que tuvieron lugar entre noviembre de 2019 y la carta
del 3 de noviembre de 2020. Pero, en los hechos probados no se recoge tal
afirmación, lo que consta es que AENA presentó ante esta Agencia dos solicitudes de
consulta previa sobre las EIPD en los años 2020 y 2021. Por tanto, en nada modifica
estos hechos que AENA tuviera comunicaciones anteriores con la AEPD.
Finalmente, AENA rebate que la nueva versión de EIPD de 23 de junio de 2021 no se
sometiera a Consulta previa. Se admite esta alegación y se suprime esta afirmación de
los hechos probados, pues lo que no hizo AENA fue someter a consulta previa una
nueva versión de EIPD sin las carencias observadas en las versiones anteriores.
CUARTA. – INEXISTENCIA DE UNA CONDUCTA DE AENA SUBSUMIBLE EN EL
TIPO INFRACTOR IMPUTADO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
52/84
AENA sostiene que en ningún caso ha contravenido el artículo 35 RGPD pues realizó,
antes del tratamiento de cada uno de los proyectos piloto y antes del inicio de la fase
operativa, las respectivas EIPD.
Sobre las distintas versiones de EIPD aportadas se ha de indicar con carácter
preliminar que se encuentran sin firmar y sin ningún sello de tiempo que acredite el
momento especifico en el que se formalizó la EIPD. Además, no existe trazabilidad de
las versiones que permita controlar, identificar y seguir los cambios realizados, lo que
pone en duda la existencia de EIPD previa al tratamiento y acredita una inadecuada
gestión documental. Además, la documentación aportada se integra de multitud de
anexos sin una estructura clara y ordenada.
Añade AENA que las eventuales infracciones que pudieran apreciarse en cada uno de
los tratamientos de los proyectos piloto estarían prescritas, al no existir un tratamiento
continuado de datos. Pero contrariamente a lo manifestado, no puede considerarse
prescrita la infracción, por cuanto el tratamiento continuó hasta octubre de 2024. La
realización de un tratamiento de datos de alto riesgo sin realizar la EIPD previa supone
una infracción continuada que se produce mientras el tratamiento esté activo.
Indica que cumple los siguientes requisitos:
-Art. 35.7 a): la EIPD de fecha 3 de octubre de 2023 cuenta con tres anexos (anexos 2,
3 y 6) clave que definen y abordan claramente cada una de las operaciones del
tratamiento, así como los fines específicos.
No obstante, en este punto se reitera que los fines del tratamiento deben ser precisos,
específicos, medibles y acotados y la documentación aporta por AENA no cumple
estos requisitos. Además, se deben precisar las operaciones de tratamiento tanto
manuales como automatizadas que pretenden realizarse, por ejemplo: recogida,
registro, organización, estructuración, conservación, adaptación o modificación,
extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier
otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción.
-35.7 b): Respecto a la evaluación de la necesidad y la proporcionalidad de las
operaciones del tratamiento con respecto a su finalidad, la obligación contenida en el
artículo en el apartado b) debe ser interpretada a la luz de la consolidada
jurisprudencia del Tribunal Constitucional, que exige la aplicación del denominado
“triple juicio de proporcionalidad”
Pues bien, no discute esta AEPD que ha de aplicarse la doctrina del Tribunal
Constitucional, así como del Tribunal de Justicia de la Unión Europea. La limitación de
los derechos fundamentales tiene que ser la indispensable y estrictamente necesaria
para satisfacer el fin que se persigue, de manera que, si existen otras posibilidades de
satisfacer dicho fin menos agresivas y afectantes del derecho en cuestión, habrá que
emplear estas últimas y no aquellas otras más agresivas y afectantes, lo que AENA no
hizo en este caso. La mera utilidad o conveniencia no legitima sin más la elección del
sistema más agresivo para los derechos y libertades de las personas. AENA no ha
realizado una evaluación del juicio de necesidad que recoja las opciones disponibles
igualmente adecuadas, en el ámbito de conocimiento y decisión del responsable del
tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
53/84
Como integrante de la versión de la EIPD de octubre de 2023 aporta un juicio de
proporcionalidad en el Anexo XVI que contiene dos Anexos: el anexo I con el juicio de
proporcionalidad realizado sobre la actividad de reconocimiento facial de pasajeros en
los filtros de seguridad, y el Anexo II con el juicio de proporcionalidad realizado sobre
la actividad de reconocimiento facial de pasajeros en las puertas de embarque, pero
sigue sin justificar por qué entre las posibles alternativas incluso biométricas optó por
la que suponía mayores riesgos para los derechos y libertades de las personas, en
palabras del TJUE sin garantizar que “la medida no exceda de los límites de lo que es
apropiado y necesario para realizar esos objetivos legítimos y de que los
inconvenientes causados no sean desmesurados en relación con los objetivos
perseguidos por ese medio” (STJUE de 16 de julio de 2015, asunto C-83/14).
35.7 c): Respecto a la evaluación de los riesgos, AENA considera que el Anexo 8 de la
EIPD prueba que AENA analizó los riesgos derivados del tratamiento. Afirma que
adicionalmente, el Anexo XIII de la EIPD recoge un documento en el que se lleva a
cabo un análisis específico de la base de datos de ***PLAN.1 en el que se
almacenaban los datos de los usuarios del sistema.
Sin embargo, la identificación y análisis de riesgos para los derechos y libertades
presenta descripciones genéricas de los riesgos con un enfoque general que no
analiza de forma concreta cada uno de los riesgos identificados. Por ejemplo, la EIPD
identifica riesgos para los derechos de los interesados pero circunscritos al ejercicio de
los derechos contemplados en los artículos 15 a 21 del RGPD sin contener siquiera
una referencia al art. 22 del RGPD o a la posible existencia de decisiones
automatizadas injustas. Además, la mera referencia a los derechos reconocidos en el
RGPD no agota el análisis de riesgos para los derechos y libertades fundamentales.
El Considerando 75 desarrolla el concepto de riesgo para los derechos y libertades
como cualquier efecto o consecuencia no deseados sobre los interesados o no
previsto en el propio tratamiento de datos personales, capaz de generar daños o
perjuicios sobre sus derechos y libertades, particularizando, entre otros: los daños y
perjuicios físicos, materiales o inmateriales, problemas de discriminación, usurpación
de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización, perjuicios económicos o sociales, privación a los interesados de sus
derechos y libertades, que se les impida ejercer el control sobre sus datos personales,
etc.
La Declaración WP21826, interpreta que los derechos y principios fundamentales
establecidos en el RGPD que han de cumplir los responsables deben estar
garantizados, independientemente de las características del tratamiento y del proceso
de gestión del riesgo para los derechos y libertades.
Pues bien, por ejemplo, sobre el derecho a la participación humana en las decisiones
automatizadas, las Directrices WP 251 del Grupo de Trabajo del artículo 29 sobre
decisiones individuales automatizadas y elaboración de perfiles a los efectos del
Reglamento 2016/679, revisadas por última vez y adoptadas el 6 de febrero de 2018
especifican que “Como parte de la EIPD, el responsable del tratamiento debe
identificar y registrar el grado de participación humana en el proceso de toma de
decisiones y en qué punto se produce esta, pero la evaluación aportada por AENA
sólo contempla la intervención manual en caso de incidencia o problema técnico.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
54/84
Por otro lado, la EIPD únicamente menciona la posible existencia de riesgos para la
confidencialidad, integridad y disponibilidad, pero sin concretar cuales son las posibles
amenazas, o cómo se ha evaluado su impacto y probabilidad, ni siquiera se detalla
una cuestión básica, como si existen vulnerabilidades conocidas.
Tampoco se identifican por ejemplo factores de riesgo derivados de la propia la
tecnología empleada ni incluso del propio sistema de identificación biométrica
utilizado.
Cabe recordar que la identificación biométrica consiste en determinar la identidad de
una persona comparando sus datos biométricos (por ejemplo, una huella dactilar o un
patrón facial) con los datos de un conjunto amplio de personas almacenadas en una
base de datos. Es decir, responde a la pregunta: ¿quién eres tú entre todos los
posibles? Se trata de una operación uno-a-varios (1:N), y su principal implicación
desde el punto de vista de la protección de datos es que implica una búsqueda activa
dentro de un conjunto de identidades preexistentes, lo cual comporta mayores riesgos
para los derechos fundamentales, especialmente en contextos de vigilancia masiva,
control social o de seguridad. En cambio, la autenticación biométrica se basa en
confirmar que una persona es quien dice ser, comparando sus datos biométricos con
una plantilla única previamente vinculada a su identidad. Es una operación uno-a-uno
(1:1), que responde a la pregunta: ¿eres tú realmente esta persona concreta? Suele
utilizarse en el acceso a dispositivos o servicios
Sin embargo, la evaluación de riesgos de AENA no contempla estos mayores riesgos,
resultando insuficiente para identificar y valorar adecuadamente los riesgos para los
derechos y libertades derivados del sistema de identificación biométrica utilizado por
AENA.
35.7 d): Respecto a la adopción de medidas para afrontar dichos riesgos, el Anexo 8
relaciona una serie de medidas para todos los riesgos identificados
Pero difícilmente pueden determinarse medidas para mitigar los riesgos de un
determinado tratamiento cuando tales riesgos no han sido identificados previamente.
Es más, según el art. 36 del RGPD el responsable consultará a la autoridad de control
antes de proceder al tratamiento cuando de una evaluación de impacto relativa a la
protección de los datos en virtud del artículo 35 del RGPD muestre que el tratamiento
entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo. En este
caso como se ha dicho, AENA formuló en dos ocasiones consulta previa, pero en
ninguna de las ocasiones identificó los riesgos para los que no había sido posible
establecer las adecuadas garantías, ni tampoco se indica ahora cuales son esos
riesgos ni las medidas tomadas para afrontarlos.
Téngase en cuenta que no todos los tratamientos biométricos tienen la misma
intensidad de impacto, ni requieren idénticas medidas de protección. La autenticación
biométrica puede suponer un tratamiento menos intrusivo que la identificación y por
ello se han de aplicar las medidas adecuadas al específico tratamiento de datos
biométricos que utilice el responsable.
35.11 del RGPD: AENA cuenta con una metodología de análisis de riesgos que prevé
la actualización y revisión constante de los mismos en cuanto se produce un cambio
significativo en el riesgo de las operaciones de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
55/84
No obstante, la EIPD no contiene un procedimiento estructurado de revisiones que
incluya, por ejemplo, la frecuencia de las revisiones para detectar los cambios o los
nuevos riesgos, los criterios de revisión, responsabilidades, etc.
QUINTA. – INEXISTENCIA DE UN TRATAMIENTO CONTINUADO DE DATOS
Esta Agencia no comparte la manifestación de AENA relativa a que los proyectos piloto
y la fase operativa implementados en los distintos aeropuertos eran independientes y
presentaban características diferenciadoras de carácter temporal, de gestión de los
datos, organizativo, técnico, operativo y de cumplimiento regulatorio que impiden su
consideración como un tratamiento único.
Todos los tratamientos obedecen a un mismo propósito, siendo indiferente el momento
temporal en que se llevaron a cabo. Además, el procedimiento seguido para la
identificación de los pasajeros fue homogéneo en todos los casos.
SEXTA. – INFRACCIÓN DEL PRINCIPIO DE RESPONSABILIDAD
Alega la falta de elementos subjetivos de culpabilidad.
No pone en duda esta Agencia que AENA valoró los informes de la AEPD resultantes
de las consultas previas ni que haya invertido tiempo y recursos en la elaboración de
la EIPD, pero no se trata de justificar la proporcionalidad y adecuación de cualquier
tratamiento que se considere conveniente, sino en realizar únicamente los
tratamientos que sean justificables en función de su finalidad, necesidad y
proporcionalidad, reconociendo si fuera el caso que el tratamiento no puede realizarse
o al menos no puede realizarse en la forma inicialmente prevista. La EIPD pretende
garantizar que sólo se lleven a cabo los tratamientos proporcionados evitando los
innecesarios y desproporcionados, lo que no es una cuestión fácil, pero que no puede
llevar a excluir el elemento de la culpabilidad, como pretende AENA, ni la gravedad de
la negligencia.
SEXTA [sic, se refiere a la séptima]. – DE LA FALTA DE PROPORCIONALIDAD DE LA
SANCIÓN PROPUESTA.
Refiere que la Agencia no ha ponderado y motivado adecuadamente las circunstancias
concurrentes en el caso de AENA, ni ha valorado en su justa medida las condiciones
descritas en el artículo 83.2 del RGPD.
(i) (artículo 83.2 a):
• En cuanto a la naturaleza, la AEPD no ha valorado a la hora de imponer la sanción
que el tratamiento de datos biométricos realizado por AENA fue siempre de carácter
voluntario para los pasajeros, coexistiendo en todo momento con métodos
tradicionales de acceso.
Sobre este particular ha de indicarse que la existencia de una base de legitimación
para la realización de un determinado tratamiento de datos no exime al responsable
del cumplimiento de las obligaciones que el RGPD le impone, sobre todo de las
derivadas de la realización de un tratamiento de alto riesgo para los derechos y
libertades de los interesados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
56/84
• En cuanto al alcance y propósito del tratamiento, AENA manifiesta que no ha existido
en ningún momento un ánimo de lucro ilícito ni la obtención de beneficios económicos
derivados de la infracción. Además, el sistema fue implementado de forma progresiva,
lo que acota significativamente el impacto potencial de la infracción.
La ausencia de ánimo de lucro no se integra en las circunstancias artículo 83.2 a)
del RGPD y no puede tenerse en cuenta para minorar la gravedad de la infracción,
pues podría llevar a entender que infringir la norma sin pretender obtener beneficios,
financieros o del tipo que fuere, conlleva una menor gravedad del hecho infractor, lo
que no es así. Otra cosa es que la obtención de beneficios o la existencia de un ánimo
de lucro pueda ser considerado como una circunstancia que reviste a los hechos de
una mayor gravedad,
La AEPD ha aplicado el principio de proporcionalidad en la imposición de la sanción
a AENA y ha valorado las circunstancias concurrentes, resultando que la sanción
impuesta es efectiva, disuasoria y proporcional como prescribe el RGPD.
• Respecto al número de interesados afectados, la propia Agencia reconoce que el nú-
mero real de personas inscritas en el programa de reconocimiento facial ascendió a
62.054 usuarios. No obstante, estando ahora el debate jurídico únicamente
circunscrito a la fase operativa, el número real de personas inscritas a esta fase final
es de 38.104
Sin embargo, no es cierto que la infracción se haya producido exclusivamente en la
fase operativa. Por ello se considera probado que el número real de afectados es de
62.054 usuarios.
• En cuanto a la duración de la infracción, el procedimiento debe versar únicamente
sobre la fase operativa, que estuvo en funcionamiento desde octubre de 2023 a junio
de 2024.
Como se ha manifestado anteriormente AENA realizó un tratamiento continuado de
datos que finalizó en octubre de 2024. El hecho de que el tratamiento se ejecutara por
fases no implica que se trate de tratamientos distintos, pues todos obedecen a la
misma finalidad y propósito derivado del plan estratégico de AENA. La realización del
tratamiento de datos de alto riesgo sin realizar la EIPD previa se mantuvo mientras el
tratamiento estuvo activo.
(ii) (artículo 83.2 b):
• En relación con la intencionalidad o negligencia en la infracción, destaca que la
actuación de AENA carece de cualquier elemento subjetivo de culpabilidad.
No puede ser aceptada esta argumentación de AENA, por cuanto el modo de
atribución de responsabilidad, a las personas jurídicas no se corresponde con las
formas de culpabilidad dolosas o imprudentes que son imputables a la conducta
humana.
Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
57/84
las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.”
En el caso que se examina, no sólo se considera que AENA ha actuado
negligentemente, sino que lo ha hecho con negligencia grave. Como depositaria de
datos de carácter personal a gran escala, por lo tanto, habituada o dedicada
específicamente a la gestión de los datos de carácter personal, debe ser
especialmente diligente y cuidadosa en su tratamiento. Sin embargo, ha establecido
un sistema de identificación biométrica de los pasajeros sin observar de modo
escrupuloso las garantías que el RGPD impone para el tratamiento de estos datos. El
tratamiento de datos biométricos comporta un nivel de riesgo superior al tratamiento
de datos de otras categorías especial incluso el sistema de identificación biométrica
aplicado por AENA entraña riesgos muy superiores en los derechos y libertades de los
interesados a los sistemas de autenticación. Por ello le resulta exigible un mayor grado
de diligencia en la observancia de los principios, entre ellos el de protección de datos
desde el diseño y el de proporcionalidad, valorando alternativas igualmente eficaces y
factibles; en la identificación con mayor rigor y detalle de los riesgos y en el
establecimiento de garantías que minimicen de modo efectivo y eficaz tales riesgos.
• AENA ha demostrado una actitud proactiva y transparente, manteniendo una
coopera-ción plena y continua con la Agencia.
No obstante, el cumplimiento de la obligación de consulta previa no puede
considerarse colaboración, que ha de ser en todo caso voluntaria. Tampoco acredita la
adopción de medidas de responsabilidad proactiva.
• La EIPD y el análisis de riesgos realizados para la fase operativa, en particular, son
documentos robustos y detallados que incorporan una gestión completa del riesgo, tal
y como ha sido reconocido incluso por la instructora del procedimiento.
En este punto nos remitidos a lo recogido en el fundamento de derecho IV en el que se
detallan las carencias observadas
(iii) (artículo 83.2 k):
AENA sostiene que no ha quedado acreditado la obtención de ventajas competitivas,
comerciales o financieras derivadas del tratamiento de datos objeto de reproche y que
tampoco puede afirmarse que AENA haya evitado pérdidas económicas a raíz de la
conducta sancionada.
Esta cuestión no ha sido discutida por esta AEPD y las circunstancias alegadas por
AENA no se han tenido en cuenta en calidad de agravantes para el cómputo de la
multa. Se trata de circunstancias que no pueden apreciarse como atenuantes de la
sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
58/84
IV. Sobre la obligación incumplida artículo 35 del RGPD.
La evaluación de impacto en la protección de datos personales, EIPD, aparece como
la herramienta exigida por el RGPD al responsable del tratamiento cuando el
tratamiento se considerado de “alto riesgo”, según lo establecido en el artículo 35 en
su apartado 1 del RGPD (el subrayado es nuestro): “Cuando sea probable que un tipo
de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance,
contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas
físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación
del impacto de las operaciones de tratamiento en la protección de datos personales…”
Así las cosas, esta evaluación se hará con carácter previo al inicio del tratamiento, y,
deberá revisarse, en el sentido establecido por el artículo 35.11 del RGPD, que dispone:
“En caso necesario, el responsable examinará si el tratamiento es conforme con la
evaluación de impacto relativa a la protección de datos, al menos cuando exista un
cambio del riesgo que representen las operaciones de tratamiento.” Por tanto, si hay
variaciones en el diseño del tratamiento, o se modifica el análisis de riesgos en el
proceso de la gestión del riesgo, o varían las condiciones de necesidad,
proporcionalidad e idoneidad, será obligatorio revisar la EIPD para alinearla con las
modificaciones aplicadas.
En el presente supuesto, no cabe duda de que resultaba obligado realizar y superar una
previa EIPD, y AENA era consciente desde el inicio de que debía dar cumplimiento a lo
dispuesto en los artículos 35 y 36 del RGPD, y por ello solicitó asesoramiento a esta
Agencia en dos ocasiones: una el 3 de noviembre de 2020 sobre los proyectos piloto de
Menorca y Madrid, y la otra el 12 de abril de 2021 relacionada con la fase operativa.
En el supuesto presente, tras la instrucción practicada, se ha probado que AENA no
elaboró previamente una EIPD válida, que diera cumplimiento a los requisitos previstos
en los apartados 2 y 7 del artículo 35 del RGPD.
El Artículo 35 Evaluación de impacto relativa a la protección de datos, dispone en su
punto 7 lo siguiente:
“7. La evaluación deberá incluir como mínimo:
a) una descripción sistemática de las operaciones de tratamiento previstas y de los fines
del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el
responsable del tratamiento;
b) una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;
c) una evaluación de los riesgos para los derechos y libertades de los interesados a que
se refiere el apartado 1, y
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de
seguridad y mecanismos que garanticen la protección de datos personales, y a
demostrar la conformidad con el presente Reglamento, teniendo en cuenta los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
59/84
derechos e intereses legítimos de los interesados y de otras personas
afectadas.”
En este caso, AENA planteó una primera solicitud de consulta previa de 3 de
noviembre de 2020 relacionada con los proyectos piloto de Menorca y Madrid, que
motivó la emisión del informe de 8 de febrero de 2021 en el que se concluye que “con
relación a la evaluación de impacto y consulta previa, esta no cumple con los
requisitos que requiere la norma (señalados en el informe) y que requiere de un
análisis más completo para que el tratamiento se pueda implementar”.
Con fecha de 12 de abril 2021, AENA presenta una segunda solicitud de consulta
previa, a la que se acompaña para su valoración diversa documentación y un nuevo
documento de EIPD elaborado con la herramienta GESTIONA_EIPD, que incluye 2
Anexos y un documento Excel, en el que según AENA se analiza “el funcionamiento
biométrico del sistema en su fase de producción u operativa”. Se aporta, asimismo en
Anexo 5 análisis de riesgos y en Anexo 2 el juicio de idoneidad, proporcionalidad y
necesidad.
Dicha consulta previa se responde mediante informe de 3 de junio de 2021 en el que
igualmente se indica que, con relación a la evaluación de impacto y consulta previa,
esta no cumple con los requisitos que requiere la norma y que, por lo tanto, requiere
de un análisis más completo.
Por tanto, hasta esta fecha AENA no había cumplido con el art. 35 del RGPD. Sin
embargo, había implantado proyectos piloto biométricos durante los años 2019 a 2022,
que finalizaron en junio de 2022, salvo el proyecto piloto Biométrico del Aeropuerto
Josep Tarradellas – El Prat de Barcelona que en ese momento permanecía activo y
que finalizó el 12 de mayo de 2023
AENA ha aportado una nueva versión de informe de EIPD que tiene la fecha de 23 de
junio de 2021, pero que se encuentra sin firmar y sin ningún sello de tiempo que
acredite el momento especifico en el que se formalizó la EIPD. Según indica se aplicó
al proyecto piloto de Barcelona. También aporta otra versión de la que manifiesta que
es de 3 de octubre de 2023 y que se aplicó a la fase operativa, pero esta versión
tampoco contiene la firma de los intervinientes ni sello de tiempo. A pesar de lo anterior
se analizan estas versiones a continuación.
1.- Incumplimiento de las obligaciones contenidas en el art. 35.7 del RGPD
Las versiones de EIPD elaborada por AENA no cumplen con los requisitos mínimos
previstos en el artículo 35.7 del RGPD, pues se observan las siguientes deficiencias:
- Incumplimiento del requisito previsto en el artículo 35.7.a), referido a incluir
“una descripción sistemática de las operaciones de tratamiento previstas y de los
fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por
el responsable del tratamiento”:
Debe recordarse que, en la EIPD debe constar la descripción de todas las
operaciones de tratamiento que se pretenden realizar, haciendo constar el ciclo de
vida del tratamiento, con detalle, de cada una de las operaciones descritas, lo que
no se hace en este caso. Recuérdese que un tratamiento “típico” incluirá, de forma
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
60/84
general, las siguientes fases: captura de datos, clasificación y almacenamiento, uso
y explotación, cesiones y transferencias de datos a terceros, bloqueo y/o supresión
de los datos (Guía sobre Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales-junio 2021).
Además de describir estas operaciones de tratamiento, deben fijarse los fines o
finalidades del tratamiento mediante una descripción sistemática, distinguiendo
entre fines últimos del tratamiento, y fines específicos. Además, los fines deben ser
medibles, han de definir un estado futuro deseable en términos cualitativos.
Consta que la EIPD de AENA describió el tratamiento de acuerdo con lo que se
indica en el hecho probado cuarto, y el propósito y finalidades de acuerdo con lo
que indica el hecho probado tercero.
Las versiones hacen constar dos finalidades que se corresponden con el propósito
o fin último del tratamiento perseguido estratégicamente por AENA según su Plan
Estratégico y Análisis de Viabilidad del proyecto que se adjunta como Anexo 13,
pero no concretan las finalidades ni definen cada operación de tratamiento de datos
personales que era necesario ejecutar.
AENA ha orientado la evaluación de impacto a cumplir con dos finalidades del
tratamiento:
Seguridad en los procesos de paso por filtros de seguridad, proceso
de embarque de los pasajeros y SelfBag Drop:
Gestión del acceso a la zona de embarque de los aeropuertos y el
proceso de embarque de pasajeros con unos mayores niveles de
seguridad, eficiencia y eficacia que los que se lograrían con los
métodos de verificación de identidad empleados en la actualidad.
Así pues, AENA implantó en diversos aeropuertos españoles -concretados en el
Hecho Probado Noveno- un nuevo método de acceso, tránsito y embarque
voluntario de los pasajeros a determinadas zonas del aeropuerto mediante un
sistema biométrico de reconocimiento facial que implicaba realizar diversas
operaciones de tratamiento cuya finalidad era la identificación unívoca de pasajeros
que tenían derecho de acceso a las mismas, con el propósito o finalidad última de
mejorar el tránsito de pasajeros por el aeropuerto, logrando mayores niveles de
calidad, seguridad, agilidad y eficiencia que el método tradicional de acceso de
pasajeros mediante la exhibición de documentos al personal del aeropuerto.
Pues bien, se considera que AENA habría incumplido este requisito en todas las
versiones de EIPD porque, AENA no ha hecho una EIPD que describa de forma
precisa y concreta los fines específicos del tratamiento de datos personales. Se ha
hecho una EIPD que refleja el propósito o la finalidad última pretendida en el Plan
estratégico de AENA, pero que no individualiza cada uno de los fines que se
persiguen con las distintas operaciones de tratamiento, lo que es insuficiente a
efectos del artículo 35 del RGPD.
- Incumplimiento del requisito del artículo 35.7b), sobre la evaluación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
61/84
necesidad y proporcionalidad de las operaciones de tratamiento.
Por su extensión y relevancia, será analizado en apartado 2 de este fundamento.
- Incumplimiento del requisito del artículo 35.7. c) una evaluación de los
riesgos para los derechos y libertades de los interesados a que se refiere el
apartado 1.
La evaluación de los riesgos concurrentes y el nivel de riesgo de un tratamiento
tiene dos objetivos. El primero, optimizar los esfuerzos para mitigar y gestionar los
riesgos de forma adecuada y proporcional. El segundo, determinar si el nivel de
riesgo exige cumplir con lo previsto en los artículos 35 y 36 del RGPD (supuestos de
alto riesgo) No realizarla, o realizarla de forma incompleta y sin el rigor que
requiere, pueden derivar en consecuencias negativas para las personas físicas y en
diversos incumplimientos de la normativa.
Tal y como ha señalado esta Agencia:
“El proceso de evaluación del nivel de riesgo es una disciplina con una
metodología consolidada y común a cualquier proceso de gestión del riesgo.
Para la evaluación del nivel de riesgo asociado a un tratamiento hay que realizar
las siguientes tareas:
• • Identificar los factores de riesgo o amenazas para los derechos y libertades.
• • Analizar los mismos, en su impacto y probabilidad, para poder llevar a cabo la
evaluación del nivel de riesgo inherente que se deriva de cada uno de los factores de
riesgo.
• • Evaluar el nivel global del riesgo del tratamiento para los derechos y libertades
del tratamiento”.
En este caso, al no haber definido correctamente las finalidades específicas del
tratamiento, no resulta posible determinar los riesgos derivados de esos fines ni si
resulta necesario asumir tales riesgos para la consecución de los fines. Con carácter
previo a la identificación de los riesgos se hace necesario realizar una descripción del
tratamiento de datos que se prevé realizar y de sus fines al objeto de poder identificar
los riesgos y la necesidad y proporcionalidad de estos.
Consta que los informes de respuesta a la consulta previa emitidos por ***PUESTO.1
de esta Agencia señalaron que AENA no había realizado una adecuada gestión del
riesgo, puesto que incluso en la última versión presentada a consulta previa seguía sin
identificar y evaluar los factores de riesgo para los derechos y libertades de las
personas a fin de poder prever medidas adecuadas de mitigación, eliminación o
reducción de los mismos.
Tal y como señaló el segundo informe de respuesta de 3 de junio de 2021, el proceso de
identificación de estos riesgos forma parte de la labor del responsable, sin que quepa
trasladar a la Autoridad de Control el análisis de aquellos productos, servicios y
sistemas existentes en el mercado que pudieran ser empleados, así como los riesgos
asociados a los mismos en función de las tecnologías que incorporan, que solo puede y
debe analizar el responsable que los implanta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
62/84
AENA niega no haber previsto el impacto de todos los riesgos. Pero el análisis de
riesgos aportado por AENA no cumple con los requisitos esenciales de un análisis de
riesgos adecuado al tratamiento, toda vez que, entre otras cosas: parte de finalidades
del tratamiento que no están correctamente definidas, no incluye la totalidad de los
riesgos concurrentes, no contiene riesgo inherente sino riesgo residual de cada una de
ellas, las medidas no son tales y en muchos casos ni se califican como de mitigación,
eliminación, etc., y, sobre todo, no contiene la evaluación del nivel global del riesgo.
Por tanto, no habiéndose hecho constar en el análisis de riesgos incluido en la EIPD la
evaluación global de los riesgos, tras aplicar las medidas adoptadas, ni si existía un
riesgo residual global aceptable, no era posible continuar con el tratamiento e iniciar el
proyecto piloto de Barcelona Ni la fase operativa
En conclusión, AENA, pese a tener a su disposición la normativa y los instrumentos que
la hubieran podido llevar a realizar un adecuado análisis de riesgos, y pese a haber sido
asesorada en varias ocasiones al respecto por esta Agencia, elaboró varias versiones
de la EIPD en las que no identificó los factores de riesgo de las diversas operaciones
del tratamiento, ni analizó los mismos, su impacto o probabilidad de concurrencia
individual, ni evaluó posteriormente el nivel global de riesgo del tratamiento.
- Incumplimiento del requisito previsto en el artículo 35.7. d), sobre : “las
medidas previstas para afrontar los riesgos, incluidas garantías, medidas de
seguridad y mecanismos que garanticen la protección de datos personales, y a
demostrar la conformidad con el presente Reglamento, teniendo en cuenta los
derechos e intereses legítimos de los interesados y de otras personas afectadas”.
Tal y como ha señalado esta Agencia en la guía sobre Gestión del riesgo y
evaluación de impacto en tratamientos de datos personales:
“El tratamiento del riesgo supone tomar medidas e implementar garantías que
disminuyan específicamente el nivel de riesgo para los derechos y libertades.
Esta tarea supone ir más allá de meras declaraciones o compromisos aparentes.
Supone ejecutar acciones para reducir, eliminar o asumir de forma controlada los
riesgos identificados. Tratar los riesgos se traduce en reducir el potencial
perjuicio disminuyendo, bien la probabilidad de que estos se materialicen, bien el
impacto que representan. Esta tarea, como parte de la gestión del riesgo, se ha
de realizar con independencia de que se trate de un tratamiento de alto riesgo o
no (…)
El encargarse de los factores de riesgo del tratamiento se trata de un proceso
iterativo que se realiza fundamentalmente durante las etapas de concepción y el
diseño del ciclo de vida de este. En cada iteración, se aplicarán controles para
reducir la probabilidad o el impacto de los factores de riesgos identificados y se
evaluará nuevamente el riesgo residual tantas veces como pueda ser necesario
hasta alcanzar un nivel de riesgo aceptable. Las medidas de control se deben
considerar de forma independiente para cada riesgo identificado, aunque más
tarde se evalúe su efecto combinado, estableciéndose tantas medidas de control
como sean necesarias hasta lograr un nivel de riesgo aceptable”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
63/84
Como se ha dicho, a cada uno de los factores de riesgo identificados hay que aplicar
las medidas de control que disminuyan los niveles de probabilidad y/o los impactos
asociados al riesgo inherente. El responsable ha de asegurarse que las medidas de
control son adecuadas y acordes al riesgo, además de gestionar los riesgos de forma
conjunta y teniendo en cuenta la interrelación entre ellos, con el claro objetivo de poder
mitigar los niveles de riesgo del tratamiento como un todo.
Como resultado de atender el riesgo inherente se obtiene el riesgo residual, definido
como el nivel de riesgo resultante del tratamiento una vez se hayan aplicado medidas
de control para mitigar y/o reducir su nivel de exposición con relación al conjunto de
factores de riesgo identificados. A diferencia del riesgo inherente, el riesgo residual es
el riesgo tratado. El objetivo es que el riesgo residual se reduzca a un nivel de riesgo
aceptable
La decisión sobre las medidas que son necesarias para afrontar los riesgos derivados
del tratamiento corresponde únicamente al responsable, sin que se pueda trasladar a
esta autoridad el definir estas medidas. y pueden ser de muchos tipos.
Tomando como base el modelo de responsabilidad proactiva establecido en el capítulo
IV del RGPD, las medidas y garantías que se pueden adoptar para mitigar los riesgos
de protección de datos se pueden clasificar en: a) Medidas sobre el concepto y diseño
del tratamiento; b) Medidas de gobernanza y políticas; c) Medidas de protección de
datos por defecto y desde el diseño; y d) Medidas de prevención y gestión de brechas
de datos personales/ medidas de seguridad.
De ello se desprende que no basta con señalar en la EIPD las medidas de seguridad
que se han adoptado para tratar de reducir el riesgo para los derechos y libertades de
las personas físicas, sino que también ha de recoger medidas de gobernanza, medidas
de protección de datos desde el diseño y por defecto, medidas de gestión de brechas de
datos personales, etc. tal y como se ha indicado y como interpreta el documento del
GT29 WP218:
“(…) Hay que subrayar que abordar los riesgos que pudiera entrañar un tratamiento de
datos para los derechos y libertades de las personas no puede limitarse a aplicar
exclusivamente medidas de seguridad. Por lo tanto, la gestión de los riesgos de
seguridad es una más de las actividades para la gestión de los riesgos para los
derechos y libertades y se tiene que supeditar a esta última. Además, desde el punto de
vista del RGPD, las medidas de mitigación han de estar orientadas a reducir el impacto
y la probabilidad de que las brechas de datos personales afecten al interesado.”
Se ha de señalar que la evaluación realizada y las medidas adoptadas no demuestran la
conformidad con el RGPD. Así:
o AENA empleó un sistema de almacenamiento de datos personales
correspondiente al escenario 3 del Dictamen 11/2024, que se considera contrario
al Principio de Minimización de datos y que, además de vulnerar los artículos 25
y 32 del RGPD, evidencia que AENA realizó un tratamiento del riesgo
inadecuado. Consta que el método de verificación de identidad mediante
reconocimiento facial empleado el día del vuelo para permitir el acceso, tránsito y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
64/84
embarque se basaba en un método de comparación 1: N, de uno a varios, cuyos
riesgos son mucho mayores que los sistemas 1:1. Pero AENA no ha identificado
tales riesgos ni previsto medidas específicas y adecuadas para su mitigación.
AENA debió aplicar medidas de protección de datos por defecto y desde el
diseño que cumplieran con el principio de minimización como fue sugerido por
esta Agencia desde el primer informe de respuesta a la consulta previa.
o No ha existido una gestión adecuada del riesgo, al no haber analizado ni
evaluado todos los riesgos inherentes al tratamiento, haber calificado de riesgo
residual al que en realidad es riesgo inherente, no haber definido las medidas
para afrontar los riesgos inherentes concurrentes, ni haber evaluado el riesgo
global del tratamiento tras aplicar estas medidas (riesgo residual). Tampoco se
contienen posibles medidas reactivas o de corrección.
o AENA sólo contempla medidas de carácter técnico, que además ninguna
de ellas se refiere a las medidas adecuadas que serían posibles en el estado
actual de la técnica para afrontar los riesgos generados por el tratamiento de
datos biométricos.
En definitiva, la EIPD debe contener todas las medidas técnicas y organizativas
apropiadas para afrontar los riesgos para los derechos y libertades de las
personas que se han identificado, pare garantizar la salvaguarda de los derechos
y libertades de las personas físicas.
2 sobre el análisis de idoneidad, necesidad y proporcionalidad.
Corresponde al responsable del tratamiento asegurarse de que el tratamiento respeta
los principios previstos en el artículo 5 del RGPD.
En el caso de datos biométricos, por ser de categoría especial y poder suponer un
tratamiento de alto riesgo, resulta de especial importancia respetar el principio de
minimización, previsto en el artículo 5.1.c), que indica:
“1. Los datos personales serán:
a) adecuados, pertinentes y limitados a lo necesario en relación con los fines
para los que son tratados («minimización de datos»)”.
En este sentido el considerando 39 del RGPD subraya la importancia de que el
tratamiento sea necesario e indica que “Los datos personales solo deben tratarse si la
finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.”
En la misma línea se pronuncia el Grupo de Trabajo del artículo 29, en su Dictamen
3/2012 sobre la evolución de las tecnologías biométricas.
El principio de minimización de datos es un reflejo del principio de proporcionalidad
como tiene declarado el TJUE, entre otras en su STJUE de 22 de junio de 2021, Latvijas
Republikas Saeima C 439/19. Por ello el responsable tendrá que valorar si el
tratamiento es realmente necesario, idóneo, y proporcional antes de iniciarlo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
65/84
En los tratamientos de alto riesgo -como es el caso de los datos biométricos- el
responsable del tratamiento debe documentar esta evaluación en la EIPD, toda vez que
ésta debe contener “b) una evaluación de la necesidad y la proporcionalidad de las
operaciones de tratamiento con respecto a su finalidad”, de acuerdo con el artículo 35.7.
b) del RGPD.
El principio de proporcionalidad debe interpretarse a la luz de la reiterada jurisprudencia
del Tribunal de Justicia de la Unión Europea y de nuestro Tribunal Constitucional, en el
sentido de que toda medida restrictiva de derechos fundamentales (en este caso
operaciones de tratamiento de datos biométricos) debe superar “el triple juicio de
proporcionalidad”.
De este modo cualquier medida restrictiva de derechos fundamentales, según el
Tribunal Constitucional ( STC 14/2003, de 28 de enero) ha de ser conforme con el “triple
juicio de proporcionalidad” que requiere constatar previamente : «si tal medida es
susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es
necesaria, en el sentido de que no exista otra medida más moderada para la
consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la
misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para
el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de
proporcionalidad en sentido estricto)”.
Las Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos
de vídeo, de 29/01/2020, del CEPD, señalan que “El uso de datos biométricos y, en
particular, del reconocimiento facial conllevan elevados riesgos para los derechos de los
interesados. Es fundamental que el recurso a dichas tecnologías tenga lugar
respetando debidamente los principios de licitud, necesidad, proporcionalidad y
minimización de datos tal y como establece el RGPD. Aunque la utilización de estas
tecnologías se pueda percibir como particularmente eficaz, los responsables del
tratamiento deben en primer lugar evaluar el impacto en los derechos y libertades
fundamentales y considerar medios menos intrusivos de lograr su fin legítimo del
tratamiento. Es decir, habría que responder la cuestión de si esta aplicación biométrica
es algo que realmente es imprescindible y necesaria, o es solo “conveniente” (párrafo
72)
El hecho de que el análisis de idoneidad, necesidad y proporcionalidad deba ser
“previo” al inicio de todo tratamiento implica que éste deberá realizarse, por tanto,
antes de la ejecución material del tratamiento, durante la fase de diseño del mismo y
en cumplimiento del principio de protección de datos desde el diseño y por defecto al
que se refiere el art 25 RGPD, que es uno de los Principios inspiradores básicos sobre
los que pivota la nueva regulación del RGPD.
La evaluación de la idoneidad, necesidad, y la proporcionalidad debe conducir a la toma
de una decisión sobre si el tratamiento es viable o, por el contrario, no puede llevarse a
cabo
En el presente supuesto, AENA no ha podido demostrar la necesidad y proporcionalidad
del tratamiento que ha diseñado y ejecutado en ninguna las distintas versiones de EIPD
que ha presentado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
66/84
AENA ha debido documentar en sus versiones de EIPD que el tratamiento de datos
biométricos llevado a cabo durante la fases piloto y operativa fue: (i) idóneo para
cumplir su objetivo de identificar unívocamente al pasajero de forma segura y eficaz,
(ii) necesario para identificar unívocamente al pasajero por no existir otros medios
alternativos menos intrusivos en los que se logre la identificación de forma segura y
eficaz, (iii) y proporcional por producir más ventajas que desventajas en los derechos y
libertades de los pasajeros (no de la organización).
El tratamiento llevado a cabo por AENA si bien era idóneo para cumplir con la finalidad
pretendida (identificación unívoca de los pasajeros con derecho a acceso, tránsito, y
embarque en las zonas señaladas), no era necesario ni proporcional.
Esta Agencia no es contraria a que AENA trate datos biométricos como método de
control de acceso a determinadas zonas del aeropuerto, siempre y cuando el
tratamiento se realice con las debidas garantías y tras el completo cumplimiento de los
requisitos que impone el RGPD, entre ellos, llevar a cabo una EIPD en los términos del
art. 35 del RGPD, que incluya un análisis sistemático de la necesidad y proporcionalidad
de las operaciones de tratamiento que se pretenden realizar, en este caso un sistema
de identificación biométrica, es decir se ha de justificar de manera objetiva la necesidad
concreta de la implantación del sistema de identificación biométrica.
AENA pretende ofrecer unos “mayores niveles de seguridad” que los tratamientos
tradicionales, pero con este nuevo sistema AENA está tratando y almacenando
muchos más datos personales que los que precisan los métodos tradicionales de
comprobación visual humana. No solo porque tratan datos biométricos como el patrón
facial de los pasajeros -cuyo tratamiento es altamente intrusivo e implica riesgos
añadidos- sino porque además en el anterior sistema no era necesario almacenar
otros datos adicionales que ahora se conservan, los contenidos en los documentos de
identificación y tarjetas de embarque. Máxime, teniendo en cuenta que AENA afirma
que los datos de identificación del pasajero (incluida la imagen del chip NCF), que
antes no se almacenaba, se precisan tratar con el nuevo sistema y se conservan
“mientras el sistema esté disponible y durante un plazo máximo de dos años”. Hecho
que se puso de manifiesto como un problema de falta de necesidad del tratamiento en
el primer informe de respuesta de ***PUESTO.1 de esta Agencia, y que no se ha
justificado por AENA.
Y, en segundo lugar y no menos importante, está acreditado que el tratamiento diseñado
y ejecutado por AENA se corresponde con el escenario 3 contemplado en el Dictamen
11/2024 del CEPD, en relación con la utilización de sistemas de identificación biométrica
como método de racionalización del flujo de pasajeros en los aeropuertos, que no
cumple con el Principio de necesidad y proporcionalidad.
El Dictamen 11/2024 describe 4 posibles escenarios de estos sistemas biométricos (1,
2, 3.1 y 3.2), señalando expresamente que en el tercer escenario “el tratamiento no
puede cumplir los principios de necesidad y proporcionalidad”, Así se indica:
“La primera hipótesis -(...)- consiste en almacenar una plantilla biométrica
inscrita en manos de la persona, por ejemplo, en su dispositivo individual, bajo
su control exclusivo, con el fin de autenticar al pasajero (comparación de 1: 1)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
67/84
a medida que pasa por los puntos de control del aeropuerto antes
mencionados. El Comité concluye que podría considerarse que las medidas
elegidas cumplen el principio de necesidad si el responsable del tratamiento
puede demostrar que no existen soluciones alternativas menos intrusivas que
puedan alcanzar el mismo objetivo de manera eficaz. (…)
“El segundo supuesto -(...)- consiste en el almacenamiento centralizado, dentro
del aeropuerto, de una plantilla biométrica inscrita en forma cifrada con una
clave o un secreto exclusivamente en manos del pasajero. Esto permite la
autenticación de pasajeros (comparación 1: 1) a medida que pasan por los
puntos de control del aeropuerto antes mencionados. La inscripción es válida
durante un período determinado, que, por ejemplo, podría ser de hasta un año
después del último vuelo hasta la fecha de expiración del pasaporte. El Comité
concluye que podría considerarse que las medidas elegidas cumplen el
principio de necesidad si el responsable del tratamiento puede demostrar que
no existen soluciones alternativas menos intrusivas que puedan alcanzar el
mismo objetivo de manera eficaz. (…).
El tercer escenario -(...)- consiste en el almacenamiento centralizado de una
plantilla biométrica inscrita en forma cifrada dentro del aeropuerto bajo el
control del gestor del aeropuerto. Esto permite la identificación de los pasajeros
(comparación 1: N), ya que pasan por los puntos de control del aeropuerto
antes mencionados. El período de almacenamiento en este escenario suele ser
de 48 horas y los datos se eliminan una vez que el avión se ha retirado (24
horas tras el vuelo en el caso de AENA).
Dado que el almacenamiento de los datos de identidad y biométricos se
encuentra en una base de datos central, si la confidencialidad de la base de
datos se ve comprometida, puede implicar posteriormente el acceso a todo el
conjunto de datos y permitir la identificación no autorizada o ilícita de los
pasajeros en otros entornos. La arquitectura centralizada de almacenamiento
bajo el control del gestor del aeropuerto también hace que el pasajero pierda
en mayor medida el control de sus datos. El Comité considera que un resultado
similar a la racionalización del flujo de pasajeros en los aeropuertos puede
lograrse de manera menos intrusiva y que el impacto negativo en los derechos
y libertades fundamentales de los interesados que resultaría de una violación
de la seguridad de los datos en una base de datos centralizada de datos
biométricos parece ser superior al beneficio previsto derivado del tratamiento.
Por lo tanto, el tratamiento no puede cumplir los principios de necesidad y
proporcionalidad.”
““76. En cuanto a la compatibilidad con el artículo 25 del RGPD, y en particular
con el fin de cumplir el requisito de minimización de datos, el tratamiento
previsto en el escenario 3.1 no puede cumplir el principio de necesidad. El
Comité considera que un resultado similar para racionalizar el flujo de
pasajeros en los aeropuertos puede lograrse de manera menos intrusiva para
la privacidad. Por ejemplo, esto puede lograrse sin el uso de datos biométricos
(aunque la experiencia del usuario sería entonces diferente, ya que podría
tardar más tiempo en mostrar su tarjeta de embarque y, en caso necesario, los
documentos de identificación oficiales). Además, otras soluciones, en particular
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
68/84
las basadas en el almacenamiento de los datos biométricos en una cartera
local en el dispositivo de la persona o las que requieren el cifrado de los datos
con una clave específica almacenada en el dispositivo de la persona, permiten
alcanzar los objetivos de manera menos intrusiva para la privacidad.”
En conclusión, el CEPD aclara que los dos primeros escenarios de sistemas
biométricos de identificación de pasajeros en aeropuertos son menos intrusivos que el
tercero, (…). El CEPD después de analizar distintos escenarios concluye que el
tratamiento de datos realizado en casos del tercer escenario no puede cumplir los
principios de necesidad y proporcionalidad, pudiendo lograrse la misma finalidad del
tratamiento de forma menos intrusiva y proporcional sin el uso de datos biométricos o
con las otras dos soluciones de escenarios de sistemas biométricos”,
Por tanto, AENA podrá realizar un tratamiento que sea conforme con sus objetivos
siempre que justifique adecuadamente la necesidad y proporcionalidad del mismo
AENA, sin embargo, no realizó este análisis previo de modo completo contemplando las
distintas alternativas conocidas
Pese a que elaboró varias versiones de EIPD, en ninguna de ellas justificó ni siquiera la
idoneidad del tratamiento, ni, por supuesto, la necesidad y proporcionalidad en los
términos indicados por la jurisprudencia del TJUE y TC. No justifica los motivos por los
que entendió que el sistema de identificación biométrica implantado era necesario y
proporcional para cumplir con la finalidad perseguida.
En primer lugar, en las versiones iniciales de EIPD presentadas a consulta previa (de
15-3-2019, 30-7-20, y 12-4-21), AENA utilizó la herramienta gestiona que esta Agencia
pone a disposición para PYMES, por lo que no resulta adecuada para resolver las
cuestiones del sistema implantado por AENA. La EIPD presentada no contenía un
análisis concreto de la necesidad, proporcionalidad e idoneidad del tratamiento. Por
tanto, no cabe duda de que el tratamiento realizado durante la ejecución de los
proyectos piloto de Menorca y Madrid incumplió este requisito de forma grave y
prácticamente absoluta, toda vez que del expediente de consulta previa se deduce
que:
- La EIPD previa al inicio del tratamiento en Menorca de 15-3-19 no contenía un
análisis de riesgos ni un análisis de necesidad, idoneidad y proporcionalidad
(entre otros múltiples defectos).
- La EIPD realizada el 30-7-20 para Madrid y Menorca, según el primer informe de
8 de febrero de 2021 de ***PUESTO.1 ““no cumple con los requisitos que
requiere la norma (señalados en el informe) y que requiere de un análisis más
completo para que el tratamiento se pueda implementar. El informe señaló, entre
otras cosas, que en la documentación aportada junto con la EIPD “no se había
incluido un análisis sistemático de la necesidad y proporcionalidad de las
operaciones de tratamiento con respecto a su finalidad, incluyendo igualmente
una descripción detalla de la finalidad y finalidades con la suficiente claridad y
especificidad”, y a modo de ejemplo, señalaba varios aspectos del tratamiento
diseñado por AENA que planteaban dudas sobre su necesidad:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
69/84
(…).
- En cuanto a la versión presentada a consulta previa el 12-4-21 para “todo el
proceso de producción”, considera la ventaja de no mostrar la documentación en
el embarque, pero el juicio de necesidad, idoneidad y proporcionalidad de 2
páginas que incorpora, no justifica ninguno de ellos, ni incluye un análisis de
posibles alternativas menos intrusivas.
- Las versiones posteriores de EIPD tampoco contienen este análisis necesario
Ahora bien, en cuanto al juicio de idoneidad esta AEPD considera que el tratamiento
realizado sí resulta idóneo, por los motivos que se contienen en el acuerdo de inicio:
“No se niega que el hecho de que no tener que mostrar la documentación para pasar
los diferentes filtros de acceso hasta el avión vaya a resultar más cómodo para los
pasajeros, así como que vaya a reducir tiempos y aglomeraciones, siendo estos
beneficios para la entidad y los propios pasajeros.
Pero tal y como se señalaba entonces “Estas ventajas o beneficios deberán
considerarse en el posterior análisis de riesgo-beneficio que debe incluirse al valorar la
proporcionalidad en sentido estricto, junto con el resto de las ventajas y desventajas
concurrentes. Pero estas ventajas no determinan por sí solas que el sistema sea
idóneo desde el punto de vista del tratamiento de protección de datos personales”.
Se indicaba expresamente que: “podemos considerar inicialmente que el sistema de
reconocimiento facial desarrollado por AENA podría superar el requisito de idoneidad
para cumplir la finalidad real del tratamiento. Toda vez que el apartado 7 de la EIPD de
AENA ofrece datos objetivos y contrastados de que los sistemas de reconocimiento
facial podrían ser eficaces para servir como método eficaz de verificación de identidad
(identificación unívoca fiable) de los pasajeros al objeto de permitir su acceso a las
zonas aeroportuarias que se señalan en el proyecto, siempre que se configure con las
medidas y garantías adecuadas”
En consecuencia, el tratamiento además de ser idóneo deberá ser necesario, en el
sentido de que no exista otra medida más moderada para la consecución de tal
propósito con igual eficacia (juicio de necesidad) y proporcional (juicio de
proporcionalidad).
Por tanto, se analiza a continuación si la evaluación de proporcionalidad aportada por
AENA supera el juicio de necesidad y proporcionalidad en sentido estricto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
70/84
JUICIO DE NECESIDAD
En el juicio de necesidad, se trata de determinar si la finalidad perseguida no puede
alcanzarse de otro modo menos lesivo o invasivo, es decir de analizar a partir del
conocimiento del responsable del tratamiento si existen otras medidas igualmente
eficaces para conseguir el fin, debiéndose optar por la menos gravosa.
La necesidad no debe confundirse con utilidad del sistema. Puede que el sistema de
reconocimiento facial implantado por AENA facilite el no tener que llevar una tarjeta de
embarque ni tener que mostrar el documento de identidad, que se tarde menos en su
acceso, que sea automático e instantáneo y no excesivamente costoso. Y también que,
como AENA señalaba en el juicio de idoneidad, pueda reducir riesgos de extravío o robo
de documentos. Obviamente, el sistema de identificación biométrica de AENA puede ser
útil, pero no tiene por qué ser objetivamente necesario, siendo esto último lo que
realmente debe estar presente cuando se analiza el requisito de necesidad del
tratamiento.
Como establece el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas-
del GT 29-, debe examinarse “si es esencial para satisfacer esa necesidad, y no solo el
más adecuado o rentable”. Se han de analizar las opciones y alternativas antes de
instaurar un sistema nuevo que supone una elevada intromisión del derecho de cada
usuario, cuando pueden existir medios menos invasivos de la intimidad, y no optar por lo
práctico o ágil y cómodo, cuando están en juego derechos de sus titulares.
Así pues, el responsable que se plantee implantar un tratamiento de datos biométricos
debe ser escrupuloso en su labor de analizar las opciones alternativas conocidas,
incluidas otras alternativas biométricas, que sean igual de idóneas y eficaces, pero
menos intrusivas disponibles. Por consiguiente, se ha de documentar en la EIPD el
estudio de la viabilidad de otras posibles opciones disponibles que permitan incluso el
uso de sistemas biométricos menos invasivos, es decir comparar las opciones a partir
del conocimiento del responsable del tratamiento y documentar las conclusiones.
Pues bien, las evaluaciones de necesidad realizadas por AENA destacan las ventajas
de la identificación biométrica respecto del sistema utilizado o de otros alternativos
pero no incluyen evidencias objetivas que justifiquen que las alternativas menos
intrusivas valoradas sean menos eficaces ni menos seguras (no aporta datos objetivos
respecto al número de robos, extravíos y otras incidencias que generan las
suplantaciones de identidad, por ejemplo).
Así, en la versión de EIPD de junio de 2021 consta en el apartado 8.1, respecto de las
alternativas tradicionales lo siguiente:
“El propósito perseguido por Aena podría alcanzarse por otros medios, si bien
estos requieren la intervención humana, de forma similar a la empleada para la
verificación de la identidad realizada a través del método tradicional empleado
actualmente, con los riesgos de posibles errores que provoca dicha
intervención humana. Cualquiera de las otras medidas analizadas (Ver
apartado 2) no garantiza o mejora los niveles de seguridad, eficacia y eficiencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
71/84
que proporciona la identificación biométrica, respecto a los sistemas
tradicionales, y a la hora de identificar unívocamente al pasajero (Ver cuadros
apartado 2. Contexto del tratamiento).
Además, aun no siendo uno de los propósitos iniciales del proyecto, a raíz de
la actual situación de COVID19, con esta medida se evitan contactos físicos
que de otra forma no se evitarían (tanto con documentos como con los
aparatos de control físico) evitando propagaciones del virus. En este sentido,
las Directrices de la European Union Aviation Safety Agency (EASA) y
European Centre for Disease Prevention and Control (ECDC) previstas en su
documento “COVID-19 Aviation Health Safety Protocol. Operational Guidelines
for the management os air passenger and aviation personnel in relation to the
COVID-19 pandemic” prevén que los operadores aeroportuarios, tomarán
medidas apropiadas para evitar altas concentraciones de pasajeros, a fin de
reducir el riesgo de infección que plantea la interacción humana innecesaria.
Se puede afirmar que el uso del Sistema Biométrico permite realizar una
identificación fehaciente, a través de un proceso controlado por el usuario (éste
puede decidir si desea utilizar o no el sistema biométrico al obtener su tarjeta
de embarque e incluso, en el propio aeropuerto, puede decidir si utilizar las
puertas biométricas o los medios tradicionales), en el cual, a través de la
implementación de medidas técnicas y organizativas, se podría garantizar la
protección de los datos personales y la minimización del impacto en los
derechos y libertades de los interesados
Y en el análisis de proporcionalidad aportado junto a la versión de EIPD de octubre de
2023 se recoge lo siguiente:
1. (…)
Pues bien, en el presente supuesto, consta que el sistema biométrico puesto en
funcionamiento ha convivido con el sistema “tradicional” de control de acceso de
pasajeros que se basa en la comprobación visual de documentos de identidad y tarjeta
de embarque que se realiza por parte del personal del aeropuerto y de la compañía
área de que se trate que se halla físicamente situado en los filtros de seguridad,
puertas de embarque y puertas de facturación, respectivamente.
En la medida en que el sistema anterior es menos intrusivo, y ha demostrado hasta el
momento ser un método válido para cumplir con la finalidad del tratamiento, habría
sido necesario realizar un análisis pormenorizado sobre los motivos por los que se
descarta esta alternativa, considerando que el nuevo sistema es más eficaz y seguro,
y, por tanto, necesario.
Tampoco se justifica con evidencias objetivas las afirmaciones realizadas en torno a
que el sistema de reconocimiento facial elegido sea más seguro como método para
evitar las suplantaciones de identidad, ni que la tecnología biométrica utilizada sea la
de menor impacto sobre los derechos de los interesados, el juicio de necesidad exige
que se particularicen de modo más concreto las mejoras del sistema elegido respecto
del anterior u otras opciones
Se ha de tener en cuenta que este nuevo método no solo implica tratar datos
biométricos, sino que se realiza utilizando un sistema de identificación biométrica a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
72/84
través del software de biometría facial instalado en el PC local de cada aeropuerto y
además implica tratar toda una serie de datos personales adicionales que quedarán
almacenados durante dos años en la base de datos central de AENA (***PLAN.1) cuyo
tratamiento no es necesario con los métodos tradicionales u otras opciones de
almacenamiento.
La EIPD realiza un análisis respecto al control de seguridad nacional aérea pero no de
seguridad frente a los riesgos generados por el tratamiento de datos personales. En
concreto, tratando de corregir una deficiencia observada en los informes de respuesta
a la consulta previa, que se referían a que AENA no hacía constar la normativa
aplicable en materia de seguridad de aeropuertos, se señala en la EIPD que el
Programa Nacional de Seguridad (BOE nº 203 de 25/08/2021), recoge determinadas
obligaciones de control de seguridad que pretenden gestionarse mediante la biometría,
y que se controlará lo siguiente:
a) El acceso a zonas restringidas de seguridad para garantizar que
no entre en ellas ninguna persona sin autorización: tan solo las
personas con Tarjeta de Embarque válida para su utilización en el día
del vuelo pueden ser considerados Pasajeros.
b) La identidad de los pasajeros que constan en la tarjeta de
embarque: deberá realizarse una verificación de documentación, para
confirmar que su identidad se corresponde con la tarjeta de embarque.
En base a los objetivos de seguridad fijados por el Plan Nacional de Seguridad (PNS),
AENA mantiene que los métodos tradicionales revisten riesgos de emisión de tarjetas
de embarque falsas, y de suplantaciones de identidad de personas que puedan
acceder con los documentos de identidad extraviados o robados, lo que puede ser
cierto, pero la EIPD no ofrece datos objetivos ni realiza comprobaciones que
justifiquen que el sistema de reconocimiento facial va a ser más seguro para detectar
estas usurpaciones de identidad o tarjetas de embarque falsos.
Los argumentos ofrecidos por AENA no justifican, en definitiva, que el reconocimiento
facial implantado sea más eficaz y seguro que otros tipos de reconocimiento facial
aplicado al control de accesos o que los métodos tradicionales para servir como
método de control de acceso de los pasajeros en los aeropuertos, sino que
únicamente se orientan a justificar que estos medios permiten racionalizar el flujo de
pasajeros, centrándose en que obtiene un beneficio de “reducción de tiempos de
espera y aglomeración de pasajeros”, lo que redunda en un claro ahorro de costes a la
organización, al requerir menor número de personal, proporciona beneficios a los
pasajeros, y se alinea con el objetivo estratégico principal de AENA que es aumentar la
competitividad, pero no justifican la necesidad concreta de implantar un sistema de
identificación biométrica frente a un sistema de autenticación biométrica o frente a
otras alternativas tradicionales.
Respecto de la autenticación biométrica se dice en la EIP, lo siguiente:
“(…)”.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
73/84
Estas alternativas -que habían sido sugeridas en parte desde el primer informe de
respuesta de esta Agencia- se descartaron en la EIPD puesto que “suponen
entorpecer y ralentizar el proceso actual, por lo que no suponen beneficio alguno ni
para el pasajero ni para Aena”, lo que responde a fines estratégicos de la organización
(reducción de tiempos, agilidad, comodidad, etc.) por lo que consta que estas
alternativas no fueron evaluadas desde el punto de vista de la eficacia y menor
intrusismo en los derechos y libertades de los ciudadanos. No siendo válido este
descarte de alternativas realizado.
Los escritos presentados por AENA durante el procedimiento se basan en realizar
análisis y alegar motivos o hechos que no fueron recogidos en la EIPD, y que tampoco
permiten acreditar que AENA justificó la necesidad y la proporcionalidad del tratamiento
en una EIPD previa
JUICIO PROPORCIONALIDAD EN SENTIDO ESTRICTO INCLUIDO EN LA EIPD.
Finalmente, de acuerdo con la doctrina del TJUE y el TC, habrá que analizar si el
tratamiento mediante reconocimiento facial como método de acceso es ponderado o
equilibrado, por derivarse de este más beneficios o ventajas para el interés general que
perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido
estricto).
Ello se determina, entre otras, en “STC 66/1995, de 8 de mayo, F. 5; STC 55/1996, de
28 de marzo, FF. 7, 8 y 9; STC 270/1996, de 16 de diciembre, F. 4.e; STC 37/1998, de
17 de febrero, F. 8; STC 186/2000, de 10 de julio, F. 6).”
La proporcionalidad en sentido estricto implica valorar si los perjuicios causados por la
medida son desproporcionados respecto al objetivo perseguido. Estos perjuicios pueden
ser paliados mediante la incorporación de garantías técnicas y organizativas que
minimicen el impacto sobre los derechos de los interesados y que se incorporen desde
el diseño a fin de mitigar riesgos desde su concepción.
Con respecto al Juicio de proporcionalidad, la versión EIPD de AENA de 2021 recoge
lo siguiente:
“Juicio de proporcionalidad: Al ser un tratamiento basado en consentimiento y
proveer medios alternativos a los pasajeros que no deseen participar, los
derechos de los mismos no se ven lesionados.
Además, se incrementa el interés general del resto de pasajeros ya que se
refuerza la seguridad pública aeroportuaria, se simplifica el acceso a los
diferentes controles aeroportuarios y se mitigan las posibilidades de contagio
de enfermedades que se transmitan por el contacto o cercanía entre diferentes
individuos. Aena ha diseñado el sistema para que sea proporcional a los fines
perseguidos desde su propio diseño, ya que es el usuario el que decide en
todo momento utilizarlo o no. Esta discrecionalidad del usuario para la elección
de este sistema, supone que per se, el usuario está determinando la utilidad y
el beneficio de éste y, por tanto, la proporcionalidad del tratamiento. A esto
ayuda la transparencia con la que Aena no solo informa en la recogida del dato
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
74/84
personal, sino que en el mismo aeropuerto señala las zonas concretas donde
puede utilizarse esta tecnología.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
75/84
Se añade que
“8.2. Beneficios para los interesados
Este proyecto deriva de forma directa en beneficios para los pasajeros, al suponer
un procedimiento mucho más sencillo y ágil, evitando que tengan que portar y
mostrar excesiva documentación en el paso por el filtro de seguridad y embarque;
circunstancia que permite disminuir los tiempos de espera y aglomeraciones de
pasajeros, agilizando y facilitando el tránsito aeroportuario.
8.3. Beneficios para la entidad
Este proyecto mejora la seguridad aeroportuaria en puerta de embarque, al (…).”
Y finalmente, el apartado 10 de la EIPD contiene un “Análisis del balance riesgo-
beneficio” que es una suerte de conclusiones sobre lo antedicho que considera que el
balance es positivo a favor del proyecto, puesto que en pese existe alto riesgo del
tratamiento, se señala que se han adoptado medidas de mitigación del riesgo
suficientes.
Así las cosas, no se detallan los riesgos ni desventajas o limitaciones que el
tratamiento supone para los derechos y libertades de los interesados, se lista
únicamente los que se consideran ventajas o beneficios de la biometría aplicada a los
aeropuertos.
Por tanto, este análisis de proporcionalidad realizado en la EIPD tampoco sería válido
puesto que:
o No está ponderando las ventajas y desventajas de utilizar este sistema
biométrico frente a la alternativa pre-existente que permite identificar y verificar
mediante métodos de comprobación humana la identidad de esos pasajeros
que tienen derecho acceder a estas zonas del aeropuerto con la misma
eficacia que los sistemas biométricos.
o La EIPD tampoco pondera las ventajas y desventajas que tiene la forma de
procesamiento y almacenamiento de datos biométricos escogida frente a otras
alternativas biométricas de autenticación.
La EIPD realiza en este sentido un análisis de proporcionalidad (balance ventajas-
desventajas o riesgo-beneficio) manifiestamente incompleto porque hay una clara
asimetría entre la información proporcionada con relación a las limitaciones que supone
el tratamiento y la información proporcionada respecto a las ventajas o beneficios que
aporta, que además no se analizan desde el punto de vista de la protección de datos
sino desde el cumplimiento de criterios de atención comercial, eficacia y eficiencia
(objetivos estratégicos de la organización, o propósito último del tratamiento).
La versión de EIPD de octubre de 2023 tampoco reduce estas deficiencias pues
reconoce que no hay duda de que el sistema biométrico comporta un alto riesgo para
los derechos y libertades de los interesados, en tanto en cuanto cumple con tres de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
76/84
criterios que predeterminan este nivel de riesgo (aquellos que impliquen el uso de
categorías especiales de datos; el uso de datos biométricos y los que impliquen la
utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas).
Con ello, además no debe obviarse la alta injerencia en la privacidad de los usuarios.
Pero continúa sin identificar cuáles son esos riesgos que convierten al tratamiento
realizado por AENA en un tratamiento de alto riesgo.
AENA no lista desventajas ni perjuicios del tratamiento, pero sí hace referencia en la
versión de EIPD de 2021 a los riesgos concurrentes y a las medidas que ha adoptado
para mitigarlos: (i) El riesgo de la evaluación o puntuación de sujetos (no se crean
perfiles y se reducen los riesgos de vinculación a otros tratamientos); (ii) riesgo de
toma de decisiones automatizadas sin intervención humana y la existencia de falsos
positivos/negativos (a los que ya se ha hecho referencia en la idoneidad); (iii) riesgo de
reversión no autorizada de los datos biométricos que permitan la reidentificación
(acreditado y propio de la inmensa mayoría de los sistemas biométricos del mercado,
se ha considerado probado también el cifrado); (iv) el riesgo de discriminación de los
interesados (no se entiende que AENA acredite que no se consideran estos factores
en el proceso de identificación por el mero hecho de que se ofrezca la alternativa de
acudir al método tradicional) (v) el riesgo de pérdida de integridad y confidencialidad
de la información contenida en la base de datos.
Y en el juicio de proporcionalidad de la versión de octubre de 2023 se listan las
siguientes garantías
(…).
Pero al no identificar el impacto ni los concretos riesgos que plantea el sistema de
identificación biométrico utilizado, que resultan esenciales para valorar la
proporcionalidad del sistema empleado, no puede considerarse justificada la
aplicabilidad del mismo. Como ha puesto de manifiesto recientemente esta AEPD “la
identificación tiende a requerir justificaciones mucho más sólidas, siquiera sea porque
un número mayor de interesados se ven afectados” y “No todos los tratamientos tienen
la misma intensidad de impacto o requieren idénticas medidas de protección. Por ello
un impacto superior sobre derechos y libertades influye en las salvaguardas exigidas,
pero en este caso no se hace referencia al nivel de impacto y riesgo superior sobre los
derechos fundamentales derivados de la identificación biométrica”.
Cabe concluir, por tanto, que la EIPD tampoco justifica que el tratamiento de datos
personales que se diseñó e implantó por AENA superase el juicio de proporcionalidad
en sentido estricto.
En definitiva, la EIPD no justifica que el tratamiento cumpliese con los requisitos de
necesidad y proporcionalidad del tratamiento.
En consecuencia, AENA ha vulnerado también la obligación prevista en el artículo
35.7.b) del RGPD, en relación con el artículo 5.1.c) del RGPD.
V. Tipificación y calificación de la infracción del artículo 35 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
77/84
Los hechos expuestos vulneran lo establecido en el artículo 35 del RGPD, lo que
supone la comisión de una infracción administrativa tipificada en el artículo 83.4.a) del
RGPD que indica que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con
el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose
por la de mayor cuantía:
a) Las obligaciones del responsable y del encargado a tenor de los artículos
8, 11, 25 a 39, 42 y 43.”
A los efectos de prescripción, la LOPDGDD establece en su artículo 73.t) que: “En
función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
t) El tratamiento de datos personales sin haber llevado a cabo la evaluación del
impacto de las operaciones de tratamiento en la protección de datos personales en
los supuestos en que la misma sea exigible.”
. VI Graduación de la sanción por la infracción del artículo 35 del RGPD
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
acuerdo con la instrucción practicada, procede graduar la sanción a imponer de
acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD:
“2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en
el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en
cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a
la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
78/84
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42.
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas”
de la LOPDGDD: “De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
En este caso, considerando la gravedad de la infracción constatada respecto a la
vulneración del artículo 35 del RGPD, atendiendo especialmente a las consecuencias
que su comisión provoca en los interesados (pasajeros inscritos en el sistema
voluntario de acceso mediante reconocimiento facial), procede imponer una sanción
de multa.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, la condición de gran empresa, y el
volumen de negocio de la parte reclamada de 5.021.501.000 € en el año 2024.
A este respecto, cabe señalar que de acuerdo con lo señalado en las Directrices
04/2022 sobre el cálculo de las multas bajo el RGPD aprobadas por el CEPD (Guía de
Multas) aprobadas el 24 de mayo de 2023, deberán considerarse como punto de
partida las circunstancias del artículo 83.2 a) del RGPD, relativa a la naturaleza,
gravedad y duración de la infracción, junto con las circunstancias del artículo 83.2.b)
del RGPD, y 83.2.g) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
79/84
En este caso, se imputa la infracción del artículo 35 del RGPD tipificada en el artículo
83.4 del RGPD, donde el máximo de la multa a imponer será 10 000 000 de euros o,
tratándose de una empresa, el 2 % del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía. Por ello, la multa a
imponer iría de 0 a 100.430.020 €.
En el supuesto presente, para fijar la cuantía de la sanción de multa se tienen en
cuenta las siguientes circunstancias:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido (artículo 83.2, letra a), del RGPD):
La conducta en la que se concreta la naturaleza de infracción atribuida a AENA
afecta a la obligación del artículo 35 del RGPD, que está sancionada como se ha
dicho, con multa de hasta el 2% del volumen de negocios de la reclamada.
Se tiene en consideración para determinar la gravedad de la conducta el hecho
de que la obligación se vulneró tanto desde el punto de vista material como
formal. Desde el punto de vista formal se considera a favor de AENA haber
realizado diferentes versiones de la EIPD y consultado en las 3 primeras
versiones a esta Agencia.
Pero en contra de la misma se valora que se inició y continuó el tratamiento pese
a haber obtenido dos informes desfavorables de la AEPD sin haber corregido los
incumplimientos detectados.
También en contra se valora que AENA vulneró varias obligaciones contenidas
en el artículo 35.7 del RGPD y también, se incumplió la obligación de actualizar
la EIPD, prevista en el artículo 35.11 del RGPD.
Así mismo, se considera que además de no haberlo justificado en la EIPD, se
desarrolló un tratamiento que no era necesario ni proporcional por los motivos
expuestos, siendo consciente de que existían otras alternativas biométricas
además del método tradicional de acceso menos invasivas.
Se valora, así mismo, que este nuevo sistema requiere almacenar muchos más
datos personales que los que precisan los métodos tradicionales de
comprobación visual humana. No solo porque tratan datos biométricos como el
patrón facial de los pasajeros -cuyo tratamiento implica riesgos añadidos- sino
también porque además en el sistema pre-existente de verificación de identidad
mediante comprobación visual de documentos no era necesario almacenar otros
datos personales que con el sistema anterior quedaban a disposición solo de los
pasajeros y compañías aéreas y ahora pasan a almacenarse en la base de datos
de AENA (todos los que constan en los documentos de identificación del viajero y
las tarjetas de embarque). Datos personales (no biométricos) cuyo tratamiento
antes no era necesario y que con este nuevo método pasan a almacenarse por
AENA durante 2 años. La extensión del tratamiento de datos personales es,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
80/84
pues, muy significativa, e incrementa exponencialmente los riesgos respecto al
tratamiento pre-existente.
En relación con la gravedad del tratamiento, se considera que el token
biométrico se generaba el día del vuelo y se conservaba durante un máximo de
24 horas después del vuelo, así como los plazos de conservación del resto de
datos personales almacenados en ***PLAN.1. También el hecho de prever un
sistema de verificación de identidad basado en identificación biométrica 1:N sin
las medidas y garantías necesarias
Así mismo, se considera para graduar la sanción el número de afectados que se
enrolaron en el programa de reconocimiento facial (que asciende a un total de
62.054 personas en lugar de los 17,39 millones de pasajeros potenciales que se
tuvieron en consideración inicialmente), a la vista de la prueba practicada.
El periodo de duración del tratamiento que se inició en 2019 con el proyecto
piloto de Menorca, continuó y se solapó con los proyectos piloto de Madrid y
Barcelona, y finalizó al paralizarse la fase operativa motu proprio por AENA en
junio de 2024.
• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD):
En el cumplimiento de sus obligaciones legales de la entidad reclamada, que
tiene acceso a datos personales de los pasajeros a los que no tenía acceso
antes de implantar estos sistemas de identificación biométricos, debe actuar con
la diligencia que las circunstancias del caso exigen.
A propósito del grado de diligencia que el responsable del tratamiento está
obligado a desplegar puede traerse a colación la sentencia de la Audiencia
Nacional, Sala de lo Contencioso Administrativo, de 17 de octubre de 2007 (rec.
63/2006), que, aunque dictada bajo la vigencia de la normativa precedente
resulta extrapolable al asunto que nos ocupa. La SAN, después de indicar que
las entidades en las que el desarrollo de su actividad conlleva un continuo
tratamiento de datos de clientes y terceros han de observar un adecuado nivel
de diligencia, precisa que “...el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir,
cuando el infractor no se comporta con la diligencia exigible. Y en la valoración
del grado de diligencia ha de ponderarse especialmente la profesionalidad o no
del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse
a las prevenciones legales al respecto”.
Aplicando esta doctrina al presente supuesto, la falta de diligencia concurrente
debe calificarse de “grave”
• Artículo 83.2.g) del RGPD: “La afectación a una de las categorías
especiales de datos”: al haber procedido a tratar datos biométricos (patrón facial
de los pasajeros) cuya necesidad de protección es superior a la de otros datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
81/84
personales. Así lo indica el propio CEPD en su dictamen 4/2022 sobre el cálculo
de las multas administrativas contempladas en el RGPD, que se pronuncia en el
siguiente sentido: 57. En cuanto al requisito de tener en cuenta las categorías de
los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el
RGPD destaca claramente los tipos de datos que merecen una protección
especial y, por tanto, una respuesta más estricta en lo que respecta a las multas.
Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos
9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos
cuya difusión provoque daños y perjuicios inmediatos al interesado 26 (por
ejemplo, datos de localización, datos sobre comunicaciones privadas, números
de identificación nacionales o datos financieros, como resúmenes de
operaciones o números de tarjetas de crédito).En general, cuantas más de estas
categorías de datos estén implicadas o más sensibles sean los datos, más peso
podrá atribuir la autoridad de control a este factor.
Asimismo, se consideran los siguientes factores de graduación en calidad de
circunstancias agravantes de la responsabilidad:
• La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD), en
relación con el artículo 83.2.k), dado que la entidad reclamada por su actividad es
una gran empresa dedicada al tráfico aéreo, que reconoce en su EIPD que trata
datos a gran escala, y, por tanto, está vinculada con la realización de un
elevadísimo volumen de tratamientos de datos de carácter personal en el ámbito
en el que se ha producido la infracción.
En su virtud, se entiende que la multa, ha de quedar fijada en 10.043.002 € (diez
millones cuarenta y tres mil euros).
VII Confirmación de las medidas
El artículo 69.1 y 2 de la LOPDGDD, señala lo siguiente:
“Artículo 69. Medidas provisionales y de garantía de los derechos.
1. Durante la realización de las actuaciones previas de investigación o iniciado
un procedimiento para el ejercicio de la potestad sancionadora, la Agencia
Española de Protección de Datos podrá acordar motivadamente las medidas
provisionales necesarias y proporcionadas para salvaguardar el derecho
fundamental a la protección de datos y, en especial, las previstas en el artículo
66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la
obligación inmediata de atender el derecho solicitado.
2. En los casos en que la Agencia Española de Protección de Datos considere
que la continuación del tratamiento de los datos personales, su comunicación o
transferencia internacional comportara un menoscabo grave del derecho a la
protección de datos personales, podrá ordenar a los responsables o encargados
de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, en
caso de incumplirse por estos dichos mandatos, proceder a su inmovilización”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
82/84
En el presente caso, en el acuerdo de inicio del procedimiento sancionador se acordó la
suspensión temporal de todo tratamiento de datos personales biométricos y en especial
de los referidos al sistema de reconocimiento por reconocimiento facial para controlar el
acceso de los pasajeros a determinadas zonas de los aeropuertos gestionados por
AENA.
Por su parte, el artículo 58.2 del RGPD dispone lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
f) imponer una limitación temporal o definitiva del tratamiento, incluida su
prohibición; […].
La imposición de estas medidas es compatible entre sí y con la sanción consistente en
multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
AENA aporta acreditación fehaciente de la efectiva paralización del tratamiento en el
mes de junio de 2024, y de que actualmente no está tratando datos biométricos de los
pasajeros y ha suprimido/bloqueado los datos personales de las personas que
constaban inscritas en el programa de reconocimiento facial que constaban
almacenados en la base de datos de ***PLAN.1.
No obstante, resulta conveniente, en virtud del art. 58.2 del RGPD, mantener la medida
consistente en la suspensión temporal de todo tratamiento de datos biométricos y en
especial de los referidos al sistema de identificación por reconocimiento facial para
controlar el acceso de los pasajeros a determinadas zonas de los aeropuertos
gestionados por AENA hasta que AENA lleve a cabo una EIPD en los términos
recogidos en el artículo 35 del RGPD. Toda vez que la suspensión del tratamiento se
considera necesaria, proporcional y efectiva para garantizar los derechos y libertades de
los afectados.
Esta medida no impide a AENA seguir controlando el acceso de los pasajeros con el
sistema tradicional de verificación de identidad mediante comprobación visual de
documentación de los pasajeros por operarios colocados en las puertas de acceso, que
se ha seguido utilizando simultáneamente al nuevo sistema, ni a los pasajeros les
supondría la pérdida del vuelo contratado, ya que se puede seguir entrando en las
zonas del aeropuerto con normalidad con el sistema tradicional pues es un sistema
“complementario” o “alternativo” al del reconocimiento facial implantado, tal y como
afirma continuamente AENA.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
83/84
RESUELVE:
PRIMERO:
IMPONER a AENA, S.M.E., S.A., con NIF A86212420, por una infracción del artículo
35 del RGPD, tipificada en el Artículo 83.4.a) del RGPD, una multa de DIEZ
MILLONES CUARENTA Y TRES MIL DOS EUROS (10.043.002,00 €).
SEGUNDO:
CONFIRMAR la suspensión temporal de todo tratamiento de datos biométricos y en
especial de los referidos al sistema de identificación por reconocimiento facial para
controlar el acceso de los pasajeros a determinadas zonas de los aeropuertos
gestionados por AENA, hasta que AENA lleve a cabo una EIPD en los términos
recogidos en el artículo 35 del RGPD.
TERCERO:
NOTIFICAR la presente resolución a AENA, S.M.E., S.A.
Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de
esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al
sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente
resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
84/84
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública, una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-180725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es