PS-00431-2024

1/84  Expediente N.º: EXP202304532 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ÍNDICE ANTECEDENTES.......................................................................................................... 3 PRIMERO:................................................................................................................. 3 SEGUNDO:................................................................................................................ 4 TERCERO:................................................................................................................. 7 CUARTO:................................................................................................................... 7 QUINTO:.................................................................................................................. 14 SEXTO:.................................................................................................................... 15 SÉPTIMO:................................................................................................................ 15 OCTAVO:.................................................................................................................. 15 NOVENO:................................................................................................................. 16 DÉCIMO:.................................................................................................................. 16 UNDÉCIMO:............................................................................................................. 18 DUODÉCIMO:.......................................................................................................... 19 DÉCIMO TERCERO:................................................................................................ 20 DECIMO CUARTO:.................................................................................................. 20 DÉCIMO QUINTO:................................................................................................... 20 DÉCIMO SEXTO:..................................................................................................... 20 HECHOS PROBADOS................................................................................................ 27 PRIMERO: Sobre el diseño y documentación del tratamiento realizado por AENA: consulta previa planteada, y evaluaciones de impacto realizadas............................ 27 SEGUNDO: Datos personales objeto de tratamiento............................................... 30 TERCERO: Finalidad del tratamiento....................................................................... 30 CUARTO: Descripción del tratamiento..................................................................... 32 QUINTO. Funcionamiento del sistema biométrico empleado y características.........33 SEXTO: Sobre la arquitectura del sistema y almacenamiento de los datos.............35 SÉPTIMO: Medidas de seguridad aplicadas a cada elemento del sistema en que se traten datos de carácter personal............................................................................. 38 OCTAVO: Respecto al Análisis de Riesgos del tratamiento realizado...................... 39 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/84 NOVENO: Alcance y duración del tratamiento de datos biométricos realizado por AENA....................................................................................................................... 40 DÉCIMO: Suspensión del tratamiento y bloqueo/supresión de datos personales... .41 UNDÉCIMO. Base de licitud y excepción del consentimiento habilitante para tratar datos biométricos de los pasajeros.......................................................................... 41 DUODÉCIMO: Respecto a los procedimientos seguidos para cumplir el deber de información y acreditar el consentimiento................................................................. 43 DÉCIMO TERCERO: Respecto al análisis de idoneidad, necesidad y proporcionalidad incluido en la EIPD del tratamiento............................................... 44 DÉCIMO CUARTO:.................................................................................................. 44 FUNDAMENTOS DE DERECHO................................................................................. 45 I. Competencia......................................................................................................... 45 II. Cuestiones previas sobre el tratamiento de datos biométricos............................. 45 2.1. Definición y características de los datos biométricos..................................... 45 2.2. Las plantillas biométricas como datos personales de categoría especial y alto riesgo.................................................................................................................... 48 2.3. Sistema biométrico implantado por AENA...................................................... 48 2.4. Operaciones de tratamiento de datos biométricos realizadas por AENA.......49 2.5. AENA como responsable del tratamiento de datos........................................ 51 III Contestación a las alegaciones a la propuesta de resolución.............................. 52 IV. Sobre la obligación incumplida artículo 35 del RGPD......................................... 62 1.- Incumplimiento de las obligaciones contenidas en el art. 35.7 del RGPD........64 2 sobre el análisis de idoneidad, necesidad y proporcionalidad............................ 69 V. Tipificación y calificación de la infracción del artículo 35 del RGPD..................... 82 . VI Graduación de la sanción por la infracción del artículo 35 del RGPD..............82 VII Confirmación de las medidas.............................................................................. 86 RESUELVE:................................................................................................................. 88 PRIMERO:............................................................................................................... 88 SEGUNDO:.............................................................................................................. 88 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/84 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de marzo de 2023 A.A.A. interpuso reclamación en nombre propio y denuncia en nombre y representación de la Fundación Éticas Data Society (en adelante, FUNDACIÓN), ante la Agencia Española de Protección de Datos por una posible infracción imputable a AENA, S.M.E., S.A. con NIF A86212420 (en adelante, AENA). En relación con el sistema de reconocimiento facial implantado por AENA en el denominado “proyecto piloto” del Aeropuerto del Prat de Barcelona, la reclamación manifiesta lo siguiente: - Con fecha 6 de junio de 2022 manifiesta que formuló en nombre propio el derecho de acceso ante el delegado de protección de datos de AENA (dpd@aena.es), y que el mismo le contestó el 29 de junio de 2022, dándole la información que se contiene en el que se adjunta como Documento Nº 5, en el que se informaba de un total de 4 tratamientos realizados por AENA de los datos personales de la solicitante, entre los que se encontraba el denominado “BIOMETRICOS DE AEROPUERTOS – PILOTO PROYECTO BCN” En especial, se señala por A.A.A. que en relación al tratamiento de sus datos biométricos en aeropuertos realizado dentro del “Proyecto piloto Barcelona”, cuya finalidad es la “Seguridad en los procesos de paso por filtros de seguridad, proceso de embarque de los pasajeros y SelfBag Drop: gestión del acceso a la zona de embarque de los aeropuertos y el proceso de embarque de pasajeros con unos mayores niveles de seguridad, eficiencia y eficacia que los que se lograrían con los métodos de verificación de identidad empleados en la actualidad”, AENA le informó del proceso automatizado de toma de decisiones mediante la tecnología de reconocimiento facial que se realizaba. - Por otra parte, con fecha 23 de junio de 2022, la misma persona presentó solicitud de información pública a través del Portal de la Transparencia en nombre y representación de la Fundación Éticas Data Society. Solicitud que fue contestada por AENA mediante un correo electrónico de 21 de julio de 2022 (de “accesoinformacionpublica@aena.es” dirigido a ***EMAIL.1) que se adjunta como Documento 3, donde AENA accede a remitir copia del “Registro de actividades del tratamiento” del “proyecto biométrico de Aena, S.M.E., S.A”, que se adjunta al presente escrito como Documento Nº 4, pero deniega la petición de proporcionar una copia de la evaluación de impacto del referido proyecto piloto de biométricos, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/84 de cualquier consulta realizada a la Agencia Española de Protección de Datos relacionada con el sistema biométrico, en base a lo dispuesto en el artículo 14.1.

1. h)y
2. j)de la Ley 19/2013 de Transparencia, “por suponer un perjuicio para los intereses económicos y comerciales y el secreto profesional y la propiedad intelectual e industrial(…)”. - Considera que aunque medie el consentimiento expreso para el tratamiento de datos objeto de su reclamación, el tratamiento de sus datos biométricos por parte de la entidad reclamada incumple con la normativa de protección de datos. Junto con su escrito, se aporta la siguiente documentación: - Documento Nº 1: Acta de constitución de la fundación: FUNDACIÓN ETICAS DATA SOCIETY (en adelante, la Fundación). Documento Nº 2: Autorización de la parte reclamante para que FUNDACIÓN ETICAS DATA SOCIETY actúe en su nombre ante la Agencia Española de Protección de Datos. Documento Nº 3: Correo electrónico de 21 de julio de 2022 en el que se remite respuesta de AENA a la solicitud de información pública formulada por la FUNDACIÓN ÉTICAS DATA SOCIETY con fecha 23 de junio de 2022. Documento Nº 4: “Registro de actividades del tratamiento” del “proyecto biométrico de Aena. Documento Nº 5: Respuesta de la Unidad Central de Protección de Datos de AENA a la solicitud de acceso formulada por A.A.A. con fecha 6 de junio de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 12 de abril de 2023 se dio traslado de dicha reclamación a AENA, para que procediese a analizar e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos en relación con el proyecto piloto de reconocimiento facial para la identificación que estaba llevando a cabo en aeropuertos. Con fecha 12 de mayo de 2023, se presenta escrito de contestación al traslado por el DPD de AENA haciendo constar, principalmente, lo siguiente: - Explicación del tratamiento biométrico sobre el proyecto piloto del Aeropuerto de Barcelona al que se refiere la reclamación. “El sistema biométrico utilizado como proyecto piloto en el aeropuerto es un proceso mediante el cual, se valida la identidad mediante la comparación de la imagen del pasajero, tomada por él mismo en el momento del registro, con sus documentos identificativos (DNI/NIE/Pasaporte) y su tarjeta de embarque. (…)”. - Las finalidades del tratamiento son dos: prestar un servicio de mejora de la experiencia del pasajero en el tránsito por el aeropuerto, y mejorar la seguridad en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/84 los filtros de seguridad y embarque. Ambas son absolutamente imposibles de lograr sin la aplicación de un sistema biométrico como el realizado en el proyecto piloto de Aena. - Se considera que no se trata de una medida restrictiva de derechos fundamentales, sino una forma de acceso al embarque que libremente pueden elegir o no los pasajeros, al inscribirse voluntariamente en el sistema arbitrado al efecto en la APP de Aena o en los quioscos del aeropuerto. - Que se ha realizado una EIPD previa al tratamiento, cuya versión le fue remitida a la reclamante con fecha 26 de abril de 2023, con motivo de su petición a través del portal de transparencia. Se adjunta esta comunicación, incluyendo dicha Evaluación, como Documento Nº. 1. - AENA mantiene que tampoco considera que la Resolución E/05454/2021 de la AEPD que se menciona en la reclamación como aplicable a este asunto, no se pueda extrapolar al presente caso, dado que, en el supuesto que motivó la mencionada Resolución, se trataba la implantación de un sistema para monitorizar de forma remota, mediante un sistema de control biométrico, la realización de exámenes por parte de alumnos de una Universidad. Sin embargo, el sistema biométrico de Aena es completamente voluntario y no conlleva menoscabo alguno al pasajero que no consientan dado que siempre podrá realizar su embarque a través de los medios tradicionales. Alegan ampararse en la excepción del artículo 9.2.
3. a)del RGPD y que están habilitados para tratar datos biométricos de los pasajeros que suscriben el consentimiento. - AENA dice que: “es necesario indicar que los proyectos piloto biométricos que se implantaron en determinados aeropuertos de la red de Aena durante los años 2019 a 2022, están todos finalizados a fecha junio de 2022 y todos los datos personales recabados en los mismos han sido suprimidos, por lo que actualmente no existe ningún sistema biométrico orientado a pasajeros en los aeropuertos de Aena. La interesada, ejercitó su derecho de acceso, así como consulta al amparo de la Ley de Información Pública y buen Gobierno, respecto al último de los proyectos piloto que en ese momento estaba activo, el Proyecto Piloto Biométrico del Aeropuerto Josep Tarradellas – El Prat de Barcelona”. - Que las finalidades del tratamiento de datos biométricos de dicho proyecto piloto por parte de Aena se recogen en el Registro de Actividades de Tratamiento, tal y como hace referencia la reclamante. - En lo que se refiere a la Evaluación de la Proporcionalidad y sus tres vertientes, contenidas en la EIPD, se realiza un “resumen” de porqué se consideró en su EIPD que el tratamiento era idóneo, necesario y proporcional. - Que además de existir métodos alternativos para la identificación, se ha previsto que nunca se deniegue el embarque por negarse el pasajero a utilizar el sistema de reconocimiento facial del proyecto piloto o porque no funcione el sistema de reconocimiento facial: “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/84 - Mantienen que Aena no ha procedido ni va a proceder en ningún caso a extrapolar los datos biométricos para obtener información relativa a la raza, la religión o las creencias, en cuanto que, de acuerdo con el art. 9.1 de la Ley Orgánica 3/2018 de protección de datos y garantías de derechos digitales, para realizar este tipo de tratamientos de datos no basta el solo consentimiento del afectado. - Respecto a las medidas de seguridad, señalar que el sistema de biometría ha pasado los controles de seguridad de Aena, a través del cumplimiento de nuestra normativa de desarrollo seguro, basada en la norma ***NORMA.1, y que detallan el nivel de cumplimiento en base a la categorización de los datos tratados. Entre las medidas aplicadas, se encuentra el encriptado de los datos de categoría especial (datos biométricos) mediante un cifrado simétrico basado en AES256. - Por último, en cuanto a las medidas adoptadas para evitar nuevas incidencias, señalan que. “El proyecto piloto biométrico del aeropuerto de Barcelona está ya finalizado y, por tanto, no procede ya realizar actuaciones sobre el mismo. A raíz de la presente reclamación y de cara a la futura implantación del proyecto definitivo en todos los aeropuertos de la red de Aena, se está procediendo a revisar la Evaluación de Impacto en la privacidad que se está elaborando para este tratamiento. Así mismo, se detallará algo más la información respecto a decisiones automatizadas a facilitar a los interesados.” A dicho escrito de contestación al traslado se acompañan los siguientes documentos: - Documento Nº 1: Correo de AENA a ***EMAIL.1 con fecha 26 de abril de 2023 por la que se da cumplimiento a la Resolución del Consejo de Transparencia y Buen Gobierno por la que se estima la reclamación R-0749-2022 / 100-007267. Documento Nº 2: Evaluación de impacto del Tratamiento de la Actividad de Biométricos Josep Tarradellas Barcelona – El Prat, fechada el 23 de junio de 2021. Pág.58-71. Documento Nº 3: ANEXO III de la EIPD. Trazabilidad de los fines del tratamiento. Pág. 72-73 Documento Nº 4: ANEXO IV de la EIPD. Legitimación uso de datos biométricos por reconocimiento facial en los procesos aeroportuarios. Pág. 74-90 Documento Nº 5: ANEXO VII de la EIPD. Checklist cumplimiento normativo AEPD. Pág. 91-105 TERCERO: Con fecha 30 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Por otra parte, para esclarecer los hechos objeto de reclamación y denuncia, la Subdirección General de Inspección de Datos procedió a iniciar la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión con fecha de 10 de mayo de 2023, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/84 adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, con fecha de 9 de julio de 2024 se emitió Informe de actuaciones previas por la inspectora actuante, en el que se pone de manifiesto la realización de las siguientes diligencias que constan unidas al expediente, con el contenido que consta detallado en el acuerdo de inicio, y se resume a continuación, a efectos de evitar reiteraciones innecesarias en los hechos probados de esta Propuesta: 1. Primer requerimiento de información de 4 de septiembre de 2023 a AENA: Se le requieren, entre otros puntos, la copia del RAT, del Análisis de Riesgos y de la Evaluación del Impacto (en adelante, EIPD) relativos a las actividades que involucran el tratamiento de datos biométricos; información detallada sobre el Programa Estratégico de Identidad Digital de AENA en relación con la implementación de la biometría en los aeropuertos, los proyectos pilotos que se han llevado a cabo y previsión del despliegue del servicio biométrico a gran escala e información sobre el estado del proceso de adecuación de AENA al Esquema Nacional de Seguridad (en adelante, ENS). 2. Respuesta de AENA de 6 de octubre de 2023 al primer requerimiento de información (Resp#1). Tras solicitar ampliación de plazo y copia del expediente, cuya concesión se notifica a la entidad reclamada con fecha de 18 de septiembre de 2023, se presenta escrito de respuesta por el DPD de AENA con fecha de 6 de octubre de 2023, que se compone de un total de 12 entradas de registro, en los que se adjuntan los siguientes Anexos: .- Anexo nº 0: Declaración formal emitida por la Agencia Estatal de Seguridad Aérea (AESA) manifestando el apoyo a la implementación de los sistemas biométricos. .- Anexo nº 1: copia del contenido incluido en el Registro de Actividades de Tratamiento respecto del tratamiento de datos biométricos .- Anexo nº 2: copia del Análisis de Riesgos y determinación de los controles transversales y específicos meritados de 29 de septiembre de 2023. Firmado por el propio DPD. .- Anexo nº 3: copia de la Evaluación de Impacto en Protección de Datos (compuesta por el documento y 13 de los 14 anexos que conforman la misma. .- Anexo nº 4: copia del contenido de la primera y segunda capa para obtener consentimiento informado y proporcionar la política de privacidad. .- Anexo nº 5: relación de pantallas visionadas por los pasajeros en el momento del registro en el sistema a través de los quioscos de enrolamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/84 .- Anexo nº 6: relación de pantallas visionadas por los pasajeros en el momento del registro en el sistema a través de la APP. .- Anexo nº 7: copia del contenido de la cláusula informativa que las aerolíneas participantes en el proyecto pusieron a disposición de los pasajeros para recabar su consentimiento en el momento de adquisición del billete. .- Anexo nº 8: imágenes captadas en las puertas de acceso a los filtros de seguridad, zona de embarque y mostradores de facturación .- Anexo nº 9: evidencia de que los datos personales han sido destruidos de forma definitiva una vez finalizado el Piloto. .Anexo nº 10: Acuerdo de colaboración entre las empresas***EMPRESA.1,***EMPRESA.2,***EMPRESA.3 y AENA, S.M.E., S.A, para la realización de un piloto de embarque por biometría en el aeropuerto Josep Tarradellas Barcelona – el Prat. .- Anexo nº 11: Acuerdo de colaboración entre las empresas***EMPRESA.3 y AENA, S.M.E., S.A. para la realización de un piloto de embarque por biometría en el aeropuerto Josep Tarradellas Barcelona – El Prat. .- Anexo nº 12: Acuerdo de colaboración entre las empresas ***EMPRESA.4 y AENA, S.M.E., S.A. para realizar una prueba piloto de embarque biométrico en el aeropuerto Josep Tarradellas Barcelona-El Prat. .- Anexo nº 13: Acuerdo de colaboración entre las empresas ***EMPRESA.5 y AENA S.M.E., S.A. para la realización de un piloto de embarque por biometría en el aeropuerto Josep Tarradellas Barcelona – El Prat. .- Anexo nº 14: documento descriptivo de la arquitectura física del Sistema. .- Anexo nº 15: flujo de procesos del sistema biométrico. .- Anexo nº 16: información relativa al proceso de comparación de los datos. .- Anexo nº 17 y 18: planos del aeropuerto con la señalización de los equipos alojados en la Terminal 1 del aeropuerto Josep Tarradellas Barcelona-El Prat. .- Anexo nº 19: documento elaborado por la Dirección de Tecnologías de la Información y Comunicaciones de AENA que describe el sistema de seguridad empleado a nivel de comunicaciones, y el almacenamiento de la información personal. .- Anexo nº 20: intercambio de comunicaciones entre la reclamante y AENA en el seno del ejercicio del derecho de acceso. .- Anexo nº 21: Intercambio de las comunicaciones entre la reclamante y AENA en el seno de la solicitud de información pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/84 De los 21 Anexos aportados y la respuesta de AENA de 6 de octubre de 2023 el informe de actuaciones previas de investigación analiza y extrae los aspectos principales que fueron detallados en el acuerdo de inicio, y se reflejan en los hechos probados del procedimiento, sobre los siguientes aspectos: (
4. i)Respecto al contexto y la implantación de los sistemas biométricos en los aeropuertos españoles donde se ha desarrollado el piloto de biometría. Respecto a la implantación del programa de biometría, se indica, entre otras cuestiones que: “AENA decidió lanzar el programa de biometría de una forma muy controlada, llevando a cabo para ello una serie de pilotos incrementales desarrollados durante los años 2019 a 2022 en los aeropuertos de Menorca, Adolfo Suárez MadridBarajas y Josep Tarradellas Barcelona-El Prat. […] El Piloto fue reconocido como la "mejor innovación en procesos relacionados para los pasajeros" por el Consejo Internacional de Aeropuertos (ACI), englobado todo ello en el impulso por parte de la Comisión Europea de que los aeropuertos del espacio Schengen dispongan de sistemas de identificación por sistemas biométrícos (sic) antes de que acabe 2023.”(…) Como consecuencia los buenos resultados obtenidos en el lanzamiento de los proyectos piloto y en el marco del Plan Estratégico de AENA alineado con las directrices comunitarias y de las autoridades aeroportuarias, el pasado 4 de octubre procedió a poner en marcha de una forma gradual una primera fase del sistema de reconocimiento biométrico en los aeropuertos de Adolfo Suárez Madrid-Barajas, Josep Tarradellas Barcelona-El Prat, Menorca, Palma de Mallorca, Ibiza, Tenerife Norte y Gran Canaria, con una alcance limitado” Al respecto de esta cuestión, con fecha de 23 de agosto de 2023 se expide Diligencia por la inspectora para incorporar al procedimiento la nota de prensa obtenida como resultado de la consulta realizada en la página web https://www.aena.es/es/prensa/elproyecto-de-biometria-del-aeropuertojosep-tarradellas-barcelona-el---prat-premiadopor-el-consejo-internacional-deaeropuertos.html. Así mismo, se incorpora el enlace a dos vídeos relacionados con el proyecto piloto: - https://www.youtube.com/watch? v=A1CfmnaqiaQ.-https://cdn.jwplayer.com/previews/y3zhE3ob”. (
5. ii)Respecto al Registro de Actividades de Tratamiento (RAT). Solicitada la copia del contenido incluido en el RAT (artículo 30 del RGPD) relativo a las actividades que involucran el tratamiento de datos biométricos, AENA proporciona información respecto de la actividad “BIOMETRICOS AEROPUERTOS PILOTO BCN”, que incluye como categoría de datos identificativos, entre otros: imagen selfie e imagen almacenada en chip NFC; y como datos especialmente protegidos: datos biométricos con fines de identificación. Y se hace referencia a la base de licitud y excepción habilitadora del consentimiento. (iii) Respecto a la Evaluación de Impacto y Análisis de los riesgos asociados al tratamiento. AENA facilita una EIPD fechada el 23 de junio de 2021 como Anexo 3 (Resp#1_Anexo_3), realizada para el proyecto piloto de Barcelona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/84 La EIPD aparece sin firma de conformidad, haciéndose constar que ha sido elaborada por la Unidad Central de Protección de Datos de AENA, y visada por el DPD de AENA. La EIPD consta de 72 páginas organizadas en 13 apartados, siendo el último de ellos el relativo a los anexos. 1. Resumen ejecutivo. 2. Contexto del tratamiento. 3. Descripción del tratamiento 4 Licitud del tratamiento y cumplimiento normativo 5.Metodología de la EIPD 6. Análisis del tratamiento (ciclo vida de los datos). 7. Análisis de la obligación de realizar una EIPD ( Evaluación del riesgo). 8. Análisis de la necesidad del tratamiento 9. Medidas para la reducción del riesgo 10. Análisis del balance entre riesgo-beneficio 11. Plan de Acción 12. Conclusiones y recomendaciones del Delegado de Protección de Datos 13. Anexos. En concreto, se acompañan los siguientes: Pese a que en el índice de la EIPD constan un total de 14 Anexos, AENA señala que se adjuntan 13 de los 14 anexos que se mencionan en la misma. En concreto, no se aporta el documento 3.8 que contenía el análisis de riesgos realizado previamente a esta EIPD de 2021, aportando el Anexo II sobre Análisis de Riesgos en su sustitución, que está fechado el 29 de septiembre de 2023, que es el que se valora en el informe de inspección. Por tanto, se acompañan los siguientes anexos a la EIPD (todos a excepción del 3.8 correspondiente al análisis de riesgos que fundamentó la EIPD de 2021): 3.1. Comunicación Vº Bº AESA 3.2. Flujo de procesos del sistema biométrico 3.3. Trazabilidad de los fines del tratamiento 3.4. Informe análisis de legitimación 3.5. Análisis sobre plazos de conservación 3.6. Ciclo de vida 3.7. Checklist cumplimiento normativo AEPD 3.9. Video captado por los dispositivos 3.10. Carteles informativos 3.11. Privacidad desde el diseño y por defecto 3.12. Seguridad***EMPRESA.6 3.13. Plan Viabilidad ***PLAN.1 3.14. Acuerdos y Responsabilidades”. (
6. iv)Descripción del tratamiento La parte reclamada realiza una descripción del tratamiento en el apartado 3 de su EIPD (Resp#1_Anexo_3), en el que se identifica como responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/84 AENA explica en su respuesta al requerimiento que anteriormente a la implantación del proyecto piloto referido al aeropuerto del Prat, se han ejecutado con éxito entre los años 2020-2021 dos proyectos piloto en los aeropuertos de Menorca y Madrid-Barajas, que han concluido actualmente. En esta línea, la EIPD indica que el del aeropuerto del Prat será el tercer proyecto piloto puesto en marcha por AENA que utilizará reconocimiento facial para identificar a los pasajeros, el cual se basará en los anteriores añadiendo algunos aspectos incluirá adicionalmente el uso de la biometría en el self bag drop (servicio de auto entrega de equipaje), y la posibilidad de enrolamiento a través de APP de la aerolínea. La EIPD facilita un “resumen del funcionamiento del sistema biométrico” señalando que: “De forma básica, el proceso de tratamiento de datos personales en el proyecto biométrico consta de cuatro pasos” que se detallan en el Hecho Probado Quinto de esta Propuesta: • (…). Aunque la EIPD (Resp#1_Anexo_3) recoge el posible uso de la APP de la aerolínea, la parte reclamada aclara en el apartado 3 de dicho documento que no se va a poner en producción inicialmente.: "En una primera Fase, ***EMPRESA.7 no desea utilizar el SDK en su APP, (…)." Se aporta también un documento sobre el ciclo (Resp#1_Anexo_3.2 y (Resp#1_Anexo_15). de vida de los datos (
7. v)Licitud del tratamiento del artículo 6.1. del RGPD y concurrencia de excepción del artículo 9.2. del RGPD que habilite a tratar datos biométricos. AENA indica en su EIPD (Resp#1_Anexo_3), que la base jurídica para el tratamiento de los datos de los interesados es el Consentimiento (Art. 6.1.
8. a)y, adicionalmente, para levantar la prohibición del tratamiento de datos de categoría especial, se recurre a la excepción del 9.2.
9. a)RGPD (consentimiento), ya que el tratamiento requiere el uso de datos biométricos para el reconocimiento facial de los interesados. Aporta como documento (Resp#1_Anexo_3.4), el informe sobre el análisis de legitimación realizado para determinar esta base jurídica de tratamiento, al que se hará referencia en el Hecho Probado Undécimo. Además, en este apartado incluye un análisis del cumplimiento del resto de principios relativos a la protección de datos. AENA facilita el documento denominado Checklist cumplimiento normativo AEPD como (Resp#1_Anexo_3.7). (
10. i)Respecto a los procedimientos seguidos para cumplir el deber de información y acreditar el consentimiento. La inspección considera en su informe que AENA proporciona evidencias del procedimiento que se ha seguido para cumplir el deber de información a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/84 interesados y obtener el consentimiento de los mismos. Y lo desarrolla en el apartado 3.5 de su informe, al que se hará referencia en el Hecho Probado Décimo Segundo. (
11. ii)Respecto al juicio de proporcionalidad y al análisis de la necesidad del tratamiento La EIPD aportada correspondiente al proyecto piloto implantado en Barcelona, modelo de los posteriormente implantados, contiene un detalle al respecto de estas cuestiones por las que considera que el tratamiento realizado supera el triple juicio de idoneidad, necesidad y proporcionalidad exigido por el RGPD, que es ampliado en la respuesta al requerimiento por AENA de 6 de octubre de 2023. Se hará referencia al mismo en el Hecho Probado Décimo Tercero. Por una parte, este juicio de proporcionalidad y análisis de necesidad se contiene en diferentes partes de la EIPD de junio de 2021. (iii) Respecto a la arquitectura del sistema, con indicación de los lugares en los que se ubica y ejecuta cada elemento. AENA suministra el documento descriptivo de la arquitectura física del Sistema (Resp#1_Anexo_3.14) y expone que: “La arquitectura del sistema de reconocimiento facial estaba compuesta por tres elementos principales” a los que se hará referencia con detalle en el Hecho Probado Sexto: (…). (
12. iv)Respecto a las entidades intervinientes (encargados de tratamiento) La parte reclamada proporciona en su escrito de respuesta (Resp#1) un listado de los encargados de tratamiento realizado para el proyecto piloto de Barcelona, y aporta los acuerdos de colaboración entre las distintas empresas que están fechados de 2 de junio de 2021: (Resp#1_Anexo_10), (Resp#1_Anexo_11), (Resp#1_Anexo_12) y (Resp#1_Anexo_13). (
13. v)Plazos de conservación y almacenamiento de los datos personales Respecto al almacenamiento de los datos biométricos, la EIPD contiene en su apartado 8 una referencia a la “Necesidad de tener almacenada la información biométrica en los servidores” y distingue entre el almacenamiento de la imagen de los pasajeros y el almacenamiento del token biométrico obtenido, en los términos que se señalan en el Hecho Probado Sexto. Respecto a los plazos de conservación. La parte reclamada añade en su escrito de respuesta (Resp#1) que: “(…)” Proporciona los plazos de conservación que constan en el Anexo 5 de la EIPD, a los que se hará referencia en el Hecho Probado Sexto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/84 En otro orden de cosas, se informa a esta Agencia que se previó un plazo de bloqueo de los datos personales referidos de 3 años posteriores a la finalización del plazo activo, en atención al plazo de prescripción de las infracciones recogidas en la LOPDGDD así como la Ley 21/2003, de 7 de julio, de Seguridad Aérea.” No obstante, señalan que han procedido a la destrucción definitiva de los datos personales, y acompañan un Anexo 9 que es de 2 de junio de 2022, como justificación de la desinstalación del sistema y destrucción de los datos. (Resp#1_Anexo_9). (
14. vi)Medidas de seguridad aplicadas a cada elemento del sistema en que se traten datos de carácter personal. En el Hecho Probado Séptimo se hará referencia a las medidas del sistema de seguridad implementadas según AENA que constan reflejadas en el informe de actuaciones previas, de acuerdo con el Anexo 19 de la EIPD. Además, en su escrito de respuesta AENA ofrece un resumen de las medidas de seguridad de la información implementadas en el sistema. 3. Escrito ampliando la respuesta al requerimiento presentada por AENA con fecha 14 de junio de 2024 (Resp#2). Con fecha de 14 de junio de 2024 el DPD de AENA presenta nuevo escrito para ampliar la información aportada en su escrito de 6 de octubre de 2023, con respecto al requerimiento realizado por esta Agencia relativo a la “información detallada sobre el Programa Estratégico de Identidad Digital de AENA en relación con la implementación de la biometría en los aeropuertos. Proyectos piloto que se han llevado a cabo y previsión del despliegue del servicio biométrico a gran escala. Detalle de los procesos aeroportuarios realizados con esta tecnología”. A estos efectos, informa a esta Agencia de que ha paralizado los próximos proyectos piloto pendientes de implantación gradual y el tratamiento de datos biométricos que implica el mismo, por hallarse en proceso de análisis y adaptación de su sistema al objeto de cumplir con lo dispuesto en el nuevo Dictamen 11/2024 de 23 de mayo del Comité Europeo de Protección de Datos (en adelante Dictamen 11/24 del CEPD o EPDB). sobre el uso de tecnologías de reconocimiento facial para racionalizar el flujo de pasajeros en los aeropuertos. QUINTO: Con fecha de 8 de noviembre de 2024 se expide Diligencia para hacer consta que de acuerdo con el informe recogido de la herramienta AXESOR, la entidad AENA S.M.E. SA es una gran empresa constituida en el año 2011, con 8.301 empleados, y con un volumen de negocios de 4.386.767.000 euros en el año 2023. SEXTO: Con fecha de 8 de noviembre de 2024 se expide Diligencia para hacer constar la publicación de las siguientes noticias en prensa que se recogen en los Anexos I a III en relación con la implantación del sistema de reconocimiento facial como sistema de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/84 acceso en el Aeropuertos del Prat de Barcelona, y otros aeropuertos de AENA a partir de 2023: - ANEXO I. Artículo publicado con fecha de 19 de enero de 2024 por el Diario “On economía”, con la url siguiente: ***EMPRESA.7 implanta el reconocimiento facial en el aeropuerto de Barcelona. - ANEXO II. Artículo publicado el 19 de enero de 2024 por el Diario “El Periódico” con la url siguiente: Adiós a la tarjeta de embarque: Así funciona el reconocimiento facial en el aeropuerto del Prat de Barcelona. - ANEXO III. Noticia 22 de enero de 2024 Diario 20 minutos publicada en la siguiente url: Sin DNI, ni pasaporte o tarjeta de embarque: la primera aerolínea en España 'sin papeles'. SÉPTIMO: En fecha de 8 de noviembre de 2024 se incorpora al expediente también Diligencia para hacer constar la publicación de las diversas noticias en prensa en relación con el volumen potencial de pasajeros de la Compañía ***EMPRESA.7 en el Aeropuerto del Prat de Barcelona, que constan en los Anexos I y II de esta diligencia. OCTAVO: Con fecha 8 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
15. c)del RGPD, tipificada en el Artículo 83.5.
16. a)del RGPD, por concurrir evidencias de que podría haber realizado un tratamiento de datos personales de los pasajeros inscritos en este sistema que podría ser no necesario ni proporcional. El mencionado acuerdo contiene las siguientes conclusiones: “En conclusión, de lo expuesto se deduce que AENA reconoce que puso en marcha un sistema de reconocimiento facial como nuevo método de control de acceso de los pasajeros que se inscribieran voluntariamente en este sistema para los vuelos de la Compañía ***EMPRESA.7. En concreto: - AENA reconoce y aporta evidencias de que, efectivamente, el tratamiento citado se desarrolló (con base en la citada EIPD de 23 de junio de 2021) con ocasión de la ejecución del proyecto piloto del Aeropuerto de El Prat de Barcelona., que fue ejecutado, al menos entre diciembre de 2021 y junio de 2022. Y existen claros indicios de que, previamente a este proyecto piloto, se ejecutaron otros dos proyectos piloto en los aeropuertos de Madrid-Barajas y Menorca, dado que así se hace constar en el resumen ejecutivo de la EIPD mencionada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/84 - AENA reconoce también, tras finalizar el proyecto piloto de Barcelona, y “a la vista de su éxito”, comenzó la primera fase de implantación definitiva de este mismo tratamiento en éste mismo aeropuerto de Barcelona y otros 6 aeropuertos a partir de octubre de 2023 y la paralizó en mayo de 2024 tras la emisión del Dictamen 11-24 del CEPD. Constan indicios fundados de que este sistema de reconocimiento facial contratado con ***EMPRESA.7 continuó en el Aeropuerto de Barcelona formando parte de esta primera fase gradual de implantación, al menos, desde enero de 2024, según las 3 noticias que constan diligenciadas con fecha de 6 de noviembre. Pero no se han aportado evidencias de que los nuevos proyectos iniciados se hayan paralizado, más allá de las afirmaciones de AENA. De las evidencias constatadas se desprende que AENA ha realizado operaciones de tratamiento de datos personales biométricos (reconocimiento facial) con la finalidad de identificar unívocamente a los pasajeros al objeto de permitir su acceso a determinadas zonas de este y otros aeropuertos (filtros de seguridad, puertas de embarque, y facturación self-bag drop), sin haber justificado previamente que dicho tratamiento fuera necesario ni proporcional, al existir medios alternativos previos menos intrusivos capaces de cumplir la misma finalidad con eficacia y seguridad. Por los motivos que se han expuesto en el apartado anterior, se entiende que el tratamiento podría cumplir con el requisito de ser idóneo para verificar la identidad de los pasajeros y permitir su acceso a las zonas aeroportuarias, pero ni el análisis previo al tratamiento (contenido en la EIPD de 23 de junio de 2021) ni el posterior realizado en el escrito de AENA de 6 de octubre de 2023 justifican que el tratamiento realizado fuera necesario ni proporcional, lo que es requisito necesario y esencial de todo tratamiento de datos personales, y punto de partida antes de desarrollar ninguna otra fase del tratamiento. (…) .” NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada solicita copia del expediente y ampliación de plazo de alegaciones con fechas de 21 y 26 de noviembre de 2024, acordándose la ampliación y entrega de copia mediante acuerdo de 26 de noviembre de 2024, que fue notificado por vía electrónica junto con las claves necesarias para abrir el fichero que se remitió por mensajero el 26 de noviembre de 2024, entregándose finalmente dicho fichero con la copia del expediente por mensajero el 28 de noviembre de 2024. DÉCIMO: Con fecha de 12 de diciembre de 2024, el DPD de AENA presentó escrito de alegaciones al acuerdo de inicio, en el que se aportan 21 anexos, y se formulan un total de 9 alegaciones (7 alegaciones, precedidas de unas alegaciones sobre los hechos y unas alegaciones previas) I: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/84 - Alegaciones sobre los hechos: referidas principalmente al expediente de consulta previa. - Alegaciones previas: AENA muestra su disconformidad sobre la posición -que según AENA mantiene la Agencia en este procedimiento y en la Guía de biométricos publicada en noviembre de 2023-, señalando que la prohibición general que -a su juicio se realiza- de tratar datos biométricos como método de control de acceso en aeropuertos supone una interpretación demasiado restrictiva del artículo 5.1.
17. c)del RGPD, vulnera el Principio de Consentimiento informado, y es contraria a la posición del CEPD en su Dictamen 11/2024. Y por otra parte, se alega que se ha actuado conforme al Principio de Confianza legítima a la vista de la posición europea en la materia. - Alegación primera, sobre la finalidad del tratamiento. Donde AENA discrepa de la definición de finalidad real del tratamiento que se realiza en el acuerdo de inicio, señalando que la Agencia confunde la actividad de tratamiento (el “qué”) con la finalidad que persigue (“para qué”), apelando a las definiciones contenidas en las Directrices 07/2020 del CEPD. Y niegan que las finalidades que fueron descritas en la EIPD estuvieran enfocadas a justificar los objetivos estratégicos de la organización, alineados con los principales aeropuertos europeos e internacionales”, como señala el F.D cuarto. - Alegación segunda.- Donde se realizan manifestaciones generales sobre la disconformidad de la interpretación realizada en el acuerdo de inicio sobre el juicio de proporcionalidad, negando que se haya elaborado por AENA más de un juicio de proporcionalidad (el contenido en la EIPD y el realizado en los escritos presentados a lo largo del procedimiento) sino una actualización o mejora del anterior, lo que no puede reprocharse. Y señalan que lo que se debe tener en cuenta es la realidad fáctica del tratamiento efectivamente realizado. - Alegación tercera: denominada sobre “la necesidad y proporcionalidad del tratamiento de datos biométricos”, en la que también se incluyen argumentos referidos a la idoneidad del tratamiento. Según AENA, los argumentos que sostiene la AEPD para considerar que el tratamiento de datos biométricos llevado a cabo por parte de AENA no superan el juicio de proporcionalidad no se comparten, en la medida en que la finalidad del tratamiento que analiza en el acuerdo de inicio se centra en la identificación unívoca de los pasajeros. Según la que AENA entiende que es la verdadera finalidad del tratamiento (aumentar la comodidad y agilidad) insiste en que deben distinguirse los dos procesos aeroportuarios (filtro de seguridad y puertas de embarque) señalan porqué se supera el juicio de idoneidad, necesidad y proporcionalidad en cada uno. - Alegación cuarta sobre la antijuridicidad de la conducta. Donde AENA alega la vulneración del Principio de seguridad jurídica, y el Principio de Previsibilidad de la actuación administrativa, toda vez que se han cambiado los criterios aplicables en la materia por la Agencia sobre el tratamiento de datos biométricos de categoría especial al aprobarse la nueva Guía de biométricos de noviembre de 2023, sin adecuada motivación, por lo que también se alega vulneración de este deber de motivación de separarse de actuaciones precedentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/84 - Alegación quinta sobre la falta de intencionalidad o negligencia. Niegan la concurrencia de negligencia porque -a diferencia de lo señalado en el acuerdo de inicio-entienden que si han previsto el impacto de todos los riesgos concurrentes en su EIPD de 2021, como reconoce el informe de inspección, y que si han realizado un análisis de necesidad y proporcionalidad. Y por otra parte, señalan que la Agencia realiza una aplicación desproporcionada del Principio de Responsabilidad Proactiva en la que no se valora que se realizó una consulta previa, se implementaron las mejoras y se actuó conforme a la confianza de que se estaba siguiendo el criterio de esta autoridad, habiendo tenido que hacer modificaciones o actualizaciones porque la propia Agencia estaba cambiando de criterio. - Alegación sexta sobre la falta de proporcionalidad de la sanción propuesta. Solicita subsidiariamente reducir la sanción de 17 millones de euros negando que concurran las agravantes señaladas en el acuerdo de inicio (número de personas afectadas son mucho menores, y la duración del tratamiento se ha precisado); y solicitando que se consideren las atenuantes concurrentes (ausencia de beneficios y falta de perjuicios causados). - Alegación séptima sobre la acreditación de la adopción de la medida provisional. Mantienen que está suspendido el tratamiento, y borrados todos los datos. Lo acreditan mediante certificados con las fechas finalizó cada periodo, así como las fotografías donde se muestran los elementos y links deshabilitados en sus Anexos 17 a 21. UNDÉCIMO: Con fecha de 10 de febrero de 2025, se dictó acuerdo de práctica de prueba, notificado a AENA con fecha de 17 de febrero de 2025, en el que acordó practicar las siguientes pruebas: - Dar por reproducidos a efectos probatorios todas las actuaciones, alegaciones, y la documentación incorporada al procedimiento hasta el momento. - Atendiendo la petición de AENA, se acuerda requerir expediente de la consulta previa que fue planteada por la misma en torno a la implantación del sistema de reconocimiento facial en aeropuertos españoles para su incorporación al presente expediente, mediante Nota Interior dirigida a ***PUESTO.1 de esta Agencia, como órgano encargado de su tramitación (en adelante, ***PUESTO.1). - Requerir a AENA para que aporte en el plazo de 15 días hábiles la siguiente documentación, a los efectos de acreditar las manifestaciones realizadas en su defensa en su escrito de alegaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/84 1. Habiéndose aportado como Anexo 9 únicamente el Informe final de resultados del proyecto piloto de Barcelona, se requiere se aporten los informes finales de resultados realizados por AENA respecto al resto de proyectos pilotos que fueron implantados en los aeropuertos de Menorca y de Adolfo Suarez- Barajas de acuerdo con lo que se hace constar en el certificado aportado como Anexos 17 de su escrito de alegaciones. 2. Así mismo, constando en el certificado aportado como Anexo 18: “Que el Programa de Reconocimiento Facial de Aena estuvo operativo para los pasajeros desde octubre de 2023 hasta junio de 2024”, sin más especificaciones ni prueba justificativa de ello, se requiere lo siguiente; 2.1. Aporte nuevo certificado que señale expresamente en qué aeropuertos y durante qué fechas ha estado operativo el citado programa, y a qué número de pasajeros ha afectado. 2.2. Aporte informe de resultados del periodo durante el cual ha estado operativo dicho programa en los aeropuertos españoles entre octubre de 2023 y junio de 2024,. Si no existe un informe final se requiere aporte informe de resultados mensuales, o trimestrales de los que disponga referido a este periodo. 3. Al objeto de acreditar lo que se certifica como Anexo 19 respecto al bloqueo de los datos personales de los pasajeros inscritos en la base de datos de ***PLAN.1, se requiere justifique documentalmente dicho bloqueo, aportando la/s captura/s de pantalla del programa informático donde consten la mismas. 4. Así mismo, habiendo manifestado en sus alegaciones que procedió a suprimir los datos personales de los pasajeros inscritos en los proyectos piloto de Menorca, Barajas y Barcelona, se ruega justifique e informe de los motivos por los que ha procedido a la supresión y no al bloqueo de dichos datos, dada la existencia de los plazos de conservación que se hacen constar en la Evaluación de Impacto presentada en este procedimiento. 5. Dado que como Anexo 10 solo aporta el Manual de atención de incidencias del “proyecto biometría de Barcelona” (versión 7/7/21), se requiere que aporte el Manual de atención de incidencias del resto de proyectos de biometría que se hayan realizado, tanto en fase piloto como operativa. 6. Se requiere aporte las siguientes capturas de pantalla de la base de datos de ***PLAN.1 empleada por AENA que contengan el listado de todos los pasajeros que constan “biometrizados” en el sistema ***PLAN.1 de AENA desde el inicio del primer proyecto piloto hasta la presunta paralización de su fase operativa en junio de 2024. Se señaló en el acuerdo qué indicadores deberían constar en equiparación a los que aparecían en el Anexo 9 aportado por AENA respecto al proyecto piloto de BCN. DUODÉCIMO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/84 Con fecha de 10 de enero de 2025, se remite nota interior a ***PUESTO.1 de esta Agencia al objeto de solicitar el expediente de consulta previa tramitado por AENA en cumplimiento de lo previsto en el Acuerdo de Prueba. Con fecha de 12 de enero de 2025 se recibe nota interior de ***PUESTO.1 en la que se señala que se remitirá el expediente de consulta previa con número de referencia ***REFERENCIA.1, y con fecha de 17 de junio de 2025 se recibe dicho expediente acompañado de una nota interior e informe de ***PUESTO.1 en la que se contiene un índice completo de la documentación aportada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/84 DÉCIMO TERCERO: Tras solicitarse por AENA ampliación del plazo para aportar la prueba requerida, y acordarse tal ampliación del plazo, el 17 de marzo de 2025 AENA presenta escrito de respuesta al acuerdo de prueba realizado, en el que aporta un total de 15 Anexos, y se realizan alegaciones en relación con los siguientes extremos: o o o o PRIMERA. ACLARACIONES RELATIVAS AL FUNCIONAMIENTO DEL PROGRAMA DE RECONOCIMIENTO FACIAL. SEGUNDA. – SOBRE EL NÚMERO DE USUARIOS AFECTADOS POR EL PILOTO DESARROLLADO EN EL AEROPUERTO DE JOSEP TARRADELLAS BARCELONA – EL PRAT. TERCERA. – INFORMACIÓN Y DOCUMENTACIÓN SOLICITADA EN EL REQUERIMIENTO. CUARTA. – SOBRE LA ACREDITACIÓN DEL NÚMERO DE USUARIOS AFECTADOS. DECIMO CUARTO: Con fecha de 2 de julio de 2025 se solicita por la representante de AENA la centralización de todas las notificaciones en la dirección del DPD y remitir a dos diferentes direcciones electrónicas (de AENA y el DPD) los avisos de puesta a disposición del expediente, y con fecha de 4 de julio de 2025 se le contesta que no es posible notificar en la dirección electrónica única del DPD por concurrir conflicto de intereses, y que solo es posible designar una dirección de correo electrónico de aviso de puesta a disposición. DÉCIMO QUINTO: Con fecha 03/09/2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancione a AENA, S.M.E., S.A., con NIF A86212420, por una infracción del Artículo 35 del RGPD, tipificada en el Artículo 83.4.
18. a)del RGPD, con una multa de 10.043.002 €. DÉCIMO SEXTO: Con fecha de 3 de septiembre de 2025 se expidió Diligencia al objeto de unir al procedimiento el Informe de Axesor de 21 de agosto de 2025, en el que se hace constar que el volumen de negocios de AENA para el ejercicio 2024 es de y con fecha de 5.021.501.000 € en el año 2024. DÉCIMO SÉPTIMO Tras la ampliación del plazo solicitada, con fechas 26 y 29 de septiembre de 2025 AENA presentó escrito de alegaciones, en el que en síntesis manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/84 PRIMERA. – CONSECUENCIAS DE LA MODIFICACIÓN SUSTANCIAL DE LOS ELEMENTOS CONSTITUTIVOS DE LA INFRACCIÓN. ARCHIVO DE LAS PRESENTES ACTUACIONES AENA considera que la propuesta de resolución vulnera los artículos 68 de la LOPDGDD y 64 y 89 de la LPAC, por cuanto el procedimiento sancionador se inició por incumplimiento del del artículo 5.1c) RGPD y los hechos que ahora se imputan son diferentes de los que se imputaron en el acuerdo de inicio, y son estos últimos hechos los que se han enjuiciado, no siendo admisible su modificación una vez iniciada el procedimiento. SEGUNDA. - VULNERACIÓN DEL PRINCIPIO ACUSATORIO: INDEBIDA MODIFICACIÓN DE LA ACUSACIÓN EN LA ÚLTIMA FASE DEL PROCEDIMIENTO SANCIONADOR. VULNERACIÓN DEL DERECHO DE DEFENSA. La AEPD acordó iniciar el presente procedimiento por infracción del art. 5.1.
19. c)RGPD con la documentación e información aportada hasta entonces por AENA. A pesar de ello en la fase final del procedimiento, a través de la Propuesta de Resolución la AEPD viene a modificar de manera sobrevenida los elementos esenciales que se definieron en el Acuerdo de inicio y que son los que han orientado las argumentaciones y la documentación aportada por esta parte para su defensa, incluyendo los concretos hechos que se consideran constitutivos de infracción, el periodo en el que se cometieron (incluyendo ahora los palitos de Menorca y Madrid) y la tipificación de la infracción imputada, lo que incumple a su juicio el principio acusatorio derivado del art. 24 de la Constitución española, ocasionándola indefensión al no haber sido informada desde el inicio de la imputación y no haber podido alegar. Antes de la apertura del acuerdo de inicio, AENA facilitó a la Agencia información suficiente y detallada sobre el alcance del tratamiento, indicando expresamente qué aeropuertos estarían afectados, cuáles eran los proyectos piloto en ejecución y cuáles ya habían finalizado. Aunque la AEPD no conocía el volumen exacto de personas potencialmente afectadas puesto que no fue requerido, ello no puede ahora interpretarse como un desconocimiento imprescindible para realizar la calificación. El hecho de que en la Propuesta de Resolución se otorguen diez