La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción superior a los 10 millones de euros a Aena por haber implantado un sistema de reconocimiento facial en sus aeropuertos sin haber realizado previamente una Evaluación de Impacto en la Protección de Datos (DPIA), tal y como exige el artículo 35 del RGPD.
¿Qué ha ocurrido?
El sistema utilizaba tecnología biométrica para identificar a pasajeros en distintos puntos del aeropuerto, incluyendo zonas de embarque. Este tipo de tratamiento, por su naturaleza intrusiva y la escala masiva de datos procesados, está expresamente listado por la AEPD como una de las actividades que siempre requieren una DPIA antes de iniciarse.
La investigación determinó que Aena puso en marcha el sistema sin haber evaluado previamente los riesgos para los derechos y libertades de los millones de pasajeros afectados. La infracción se tipifica como muy grave bajo el RGPD.
¿Qué es una DPIA y por qué es obligatoria?
Una Evaluación de Impacto en la Protección de Datos (DPIA) es un análisis previo obligatorio que deben realizar las organizaciones antes de iniciar tratamientos que puedan entrañar un alto riesgo para los derechos y libertades de las personas. No es un trámite burocrático: es una herramienta de gestión de riesgos que obliga a identificar, evaluar y mitigar los riesgos antes de que el tratamiento comience.
El RGPD establece que la DPIA es obligatoria cuando concurren circunstancias como: tratamiento a gran escala de datos biométricos, vigilancia sistemática de espacios públicos, o cuando el tratamiento pueda provocar discriminación o vulneración de derechos. Aena cumplía con todas estas condiciones.
Las tres preguntas que toda DPIA debe responder
- ¿Qué datos se tratan, con qué finalidad y en qué base jurídica?
- ¿Cuáles son los riesgos concretos para los derechos de los interesados?
- ¿Qué medidas técnicas y organizativas se aplican para reducir esos riesgos a un nivel aceptable?
Si la organización no puede responder con rigor a estas tres preguntas antes de lanzar el sistema, no debería ponerlo en marcha.
Las lecciones para las empresas
Este caso no afecta únicamente a grandes corporaciones. Cualquier empresa que utilice tecnología de reconocimiento facial, videovigilancia avanzada, análisis de comportamiento o sistemas de localización está en el punto de mira del regulador. La AEPD ha dejado claro que la falta de DPIA puede constituir una infracción muy grave con multas de hasta 20 millones de euros o el 4% de la facturación global anual.
En 2026, con la proliferación de sistemas de inteligencia artificial que tratan datos personales de forma masiva, la DPIA se ha convertido en uno de los documentos más importantes del arsenal de cumplimiento de cualquier organización. Realizarla no solo evita sanciones: también genera confianza entre clientes, empleados y socios.
¿Está tu empresa protegida?
Si tu organización utiliza o tiene previsto implantar cualquier tecnología que procese datos biométricos, de comportamiento o de localización, es el momento de revisar si dispones de la DPIA correspondiente. Un Delegado de Protección de Datos (DPO) externo puede ayudarte a valorar qué tratamientos requieren esta evaluación y a redactarla correctamente.
¿Necesitas realizar una DPIA o revisar tus tratamientos de datos de alto riesgo? En DataIbérica somos expertos en cumplimiento RGPD. Contacta con nosotros y evita sanciones antes de que lleguen.
