AEPD multa a Aena con 10 millones por no evaluar el riesgo

La Agencia Española de Protección de Datos (AEPD) impuso a Aena una multa de 10.043.002 € (expediente PS/00431/2024, resolución de noviembre de 2025) por desplegar reconocimiento facial en varios aeropuertos españoles sin una evaluación de impacto (EIPD) válida, tal y como exige el artículo 35 del RGPD. La AEPD no sancionó usar biometría: sancionó encenderla sin haber evaluado antes, con el rigor que marca la ley, si era necesaria, proporcionada y si existía una alternativa menos invasiva. Aena ha anunciado que recurrirá la sanción ante los tribunales.

Qué hizo Aena y por qué llegó a la AEPD

Entre 2019 y 2022, Aena probó un sistema de identificación biométrica facial en modo piloto en los aeropuertos de Menorca, Madrid-Barajas y Barcelona-El Prat. Entre octubre de 2023 y junio de 2024 lo llevó a fase operativa en hasta ocho aeropuertos: 38.104 pasajeros se inscribieron en esa fase y 62.054 llegaron a registrarse en el conjunto del programa. La denuncia que abrió el expediente la presentó en 2023 la Fundación Éticas Data Society, no un pasajero afectado.

El sistema funcionaba en modo «uno contra muchos» (one-to-many), con almacenamiento centralizado de los datos biométricos: la forma más invasiva de identificación facial que existe, frente a comprobar el pasaporte o cotejar una sola foto contra el propio documento del viajero.

El artículo 35 del RGPD: lo que hay que hacer ANTES de encender un sistema de alto riesgo

El artículo 35 del RGPD obliga a hacer una evaluación de impacto (EIPD) antes de cualquier tratamiento de datos que, por su naturaleza, alcance o finalidad, entrañe un alto riesgo para las personas — y el tratamiento de datos biométricos para identificar a alguien de forma única está en esa categoría por definición. La EIPD tiene que acreditar tres cosas, lo que en la práctica se conoce como el «triple test»:

• Necesidad: el tratamiento resuelve un problema real que no se puede resolver de otro modo.
• Idoneidad: la tecnología elegida es la adecuada para ese fin concreto.
• Proporcionalidad: el nivel de invasión en la privacidad de las personas no excede lo que el fin perseguido justifica, existiendo o no una alternativa menos invasiva.

No es papeleo decorativo: es el único documento que obliga a una empresa a pararse a comprobar, con método, si debería hacer lo que está a punto de hacer — antes de haberlo hecho ya con los datos de miles de personas.

Por qué las evaluaciones de Aena no bastaron

Aena no llegó sin EIPD: presentó hasta tres borradores de evaluación de impacto a lo largo del proceso. La AEPD las rechazó por el mismo motivo de fondo: usaban una plantilla simplificada, pensada para una pyme con un tratamiento de riesgo menor, aplicada a una empresa que procesaba datos biométricos de decenas de miles de pasajeros de forma centralizada. El resultado es que ninguna llegaba a justificar de verdad la necesidad y la proporcionalidad de elegir el método más invasivo disponible, ni a documentar en serio por qué no bastaba una alternativa menos intrusiva. La AEPD ordenó, además, la suspensión inmediata de los tratamientos biométricos afectados hasta que exista una evaluación que sí cumpla.

Lo que nadie te cuenta: el tamaño de la empresa no es lo que falló

La lectura fácil de este caso es «cuidado con la biometría». La lectura real es otra: a Aena no la multaron por usar reconocimiento facial. La multaron por no evaluar el riesgo antes de encenderlo. 10.043.002 euros después, la pregunta vale para cualquier empresa.

Aena es una gran empresa pública con recursos legales y técnicos muy superiores a los de la pyme media. Si su evaluación de impacto no superó el examen del regulador, el problema no fue la falta de medios — fue tratar el artículo 35 como un trámite que se rellena después de decidir, en vez de como el paso que debería decidir si se hace o no. Cualquier empresa que implante hoy un sistema de IA sobre datos de personas — selección de personal, scoring de clientes, control de acceso, videovigilancia inteligente — tiene exactamente la misma obligación legal y exactamente el mismo riesgo si la trata igual de por encima.

5 preguntas que tiene que responder una EIPD real antes de lanzar un sistema de IA

• ¿Existe una necesidad real del tratamiento, documentada, y no solo una ventaja de comodidad o velocidad?
• ¿Se ha evaluado la proporcionalidad entre el riesgo para las personas y el fin que se persigue?
• ¿Están identificados por escrito los riesgos concretos para los derechos y libertades de las personas afectadas?
• ¿Hay medidas técnicas y organizativas concretas para mitigar cada riesgo identificado, no solo genéricas?
• ¿Se ha evaluado y descartado, con argumentos, una alternativa menos invasiva que lograría el mismo fin?

Si alguna de las cinco no tiene una respuesta documentada y defendible, la EIPD no está lista — y, según este caso, tampoco lo está el sistema que pretende amparar.

Qué significa esto para cualquier empresa que usa IA o biometría

Este caso se juzga con el RGPD, no con el Reglamento europeo de IA: el art. 35 obliga ya, haya o no AI Act de por medio. Pero conviene no perder de vista las dos capas a la vez — la identificación biométrica es, además, un uso de alto riesgo del Anexo III del Reglamento de IA, cuyo calendario de cumplimiento se aplazó a diciembre de 2027 (lo analizamos en detalle en nuestro artículo sobre el aplazamiento del alto riesgo). El aplazamiento del AI Act no aplaza el RGPD: una empresa puede estar, a la vez, dentro de plazo para el Reglamento de IA y fuera de la ley para el RGPD, como le pasó a Aena. Es la cuarta pieza de nuestra serie sobre cumplimiento normativo en España, después de revisar qué exige la NIS2 sin ley todavía y por qué el ENS no multa pero te saca del contrato.

Si tu empresa trata datos biométricos, usa IA para decidir sobre personas o simplemente no tiene claro si lo que ya tiene en marcha necesitaría una EIPD, nuestro equipo revisa esa exposición real dentro de una auditoría de ciberseguridad.

Preguntas frecuentes

¿La AEPD prohíbe el reconocimiento facial? No. La resolución no dice que la biometría esté prohibida; dice que Aena la usó sin la evaluación de impacto válida que la ley exige antes de hacerlo, y por eso ordena suspenderla hasta que exista una.

¿Qué es exactamente una EIPD? Es la evaluación de impacto relativa a la protección de datos que exige el artículo 35 del RGPD antes de cualquier tratamiento de alto riesgo: analiza necesidad, proporcionalidad, riesgos para las personas y medidas para mitigarlos.

¿Qué pasa si una empresa debería hacer una EIPD y no la hace, o la hace mal? Se expone a una sanción bajo el artículo 83.4 del RGPD: hasta 10 millones de euros o el 2% de la facturación mundial anual, lo que sea mayor — el mismo rango en el que se calculó la multa a Aena.

¿Aena ha dejado de usar reconocimiento facial en sus aeropuertos? La AEPD ordenó la suspensión inmediata de los tratamientos biométricos afectados por la resolución. Aena ha anunciado que recurrirá la sanción en los tribunales, alegando que el sistema era voluntario, convivía con el embarque tradicional y no generó ninguna brecha de seguridad.

¿Esto solo afecta a organismos públicos o grandes empresas? No. El artículo 35 se aplica a cualquier responsable del tratamiento, del tamaño que sea, que haga un tratamiento de alto riesgo — selección de personal con IA, scoring de crédito, videovigilancia con analítica facial o cualquier uso de datos biométricos incluido.

---

Este artículo analiza una resolución sancionadora de la AEPD con fines informativos; no es asesoramiento legal. Si tu empresa trata datos biométricos o usa IA para decidir sobre personas, conviene una evaluación específica con tu asesoría legal y una auditoría técnica de cumplimiento.