L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre d'AENA, S.M.E., S.A., comprenant le prononcé d'une amende de 10 043 002 €, pour des manquements liés à la mise en œuvre de son système de reconnaissance faciale dans les aéroports espagnols.
Cette affaire débute par une plainte déposée le 22 mars 2023 par une personne physique, agissant en son nom propre et pour le compte de la Fondation Éticas Data Society, concernant le système de reconnaissance faciale mis en place par AENA dans le cadre d'un projet pilote à l'aéroport del Prat de Barcelone.

L’enquête menée par l’autorité a permis de constater :
* Obligation de réaliser une évaluation d'impact relative à la protection des données (article 35 du RGPD) : AENA a mis en œuvre un système de reconnaissance faciale, impliquant un traitement à haut risque de données biométriques, sans avoir réalisé une évaluation d'impact sur la protection des données (AIPD) préalable et conforme. Les différentes versions de l'AIPD fournies, notamment celles de juin 2021 et octobre 2023, ont été jugées incomplètes. L'autorité a relevé l'absence d'une description systématique des opérations et des finalités précises du traitement, ainsi qu'une évaluation insuffisante des risques pour les droits et libertés des personnes. Surtout, l'analyse de la nécessité et de la proportionnalité du traitement était défaillante, AENA n'ayant pas démontré que des moyens moins intrusifs ne pouvaient atteindre les mêmes objectifs de fluidification et de sécurité, et ce, malgré les observations défavorables de l'AEPD lors de consultations préalables.

En conséquence, l’autorité a imposé une amende de 10 043 002 € à AENA, S.M.E., S.A.
En outre, l’autorité a ordonné le maintien de la suspension temporaire de tout traitement de données biométriques via le système de reconnaissance faciale jusqu'à ce qu'AENA réalise une évaluation d'impact conforme aux exigences du RGPD.