Diez millones de multa por una evaluación de impacto mal hecha: el caso AENA
TL;DR
- La Agencia Española de Protección de Datos ha impuesto a AENA una multa de 10.043.002,00 € por infringir el artículo 35 del RGPD (expediente EXP202304532).
- La infracción no es «usar reconocimiento facial». Es no haber hecho, antes de desplegarlo, una evaluación de impacto en protección de datos (EIPD) que cumpliera los requisitos mínimos del artículo 35.7.
- Además de la multa, la AEPD confirmó la suspensión del tratamiento biométrico hasta que AENA haga la EIPD en condiciones. Es decir: el sistema se queda parado.
- Las obligaciones de sistemas de IA de alto riesgo del reglamento europeo de IA no se aplican hasta diciembre de 2027 (y agosto de 2028 en otro bloque). El RGPD se aplica hoy y sanciona hoy.
- Si tu empresa está metiendo IA en selección de personal, atención al cliente, videovigilancia, scoring o control horario, la norma que te puede costar dinero este año es el RGPD, no el reglamento de IA.
---
¿Qué pasó exactamente en el expediente EXP202304532?
AENA diseñó un sistema de identificación biométrica por reconocimiento facial para que los pasajeros pudieran pasar los filtros de seguridad, la puerta de embarque y el *self bag drop* sin enseñar documentación. Era voluntario y convivía con el método tradicional, que nunca se retiró.
El sistema no se improvisó. Se desplegó por fases: proyecto piloto en Menorca desde 2019, después Madrid y Barcelona. Los pilotos terminaron en junio de 2022, salvo el del aeropuerto Josep Tarradellas-El Prat, que siguió activo hasta el 12 de mayo de 2023. La fase operativa la paralizó la propia AENA en junio de 2024. Se enrolaron 62.054 personas, cuando la previsión inicial que manejó la compañía hablaba de 17,39 millones de pasajeros potenciales.
AENA tampoco actuó a ciegas. Consultó dos veces a la AEPD por la vía del artículo 36 del RGPD: el 3 de noviembre de 2020 (sobre los pilotos de Menorca y Madrid) y el 12 de abril de 2021 (sobre la fase operativa). La Agencia respondió el 8 de febrero de 2021 y el 3 de junio de 2021, y en las dos ocasiones dijo lo mismo: la evaluación de impacto no cumple los requisitos que exige la norma y hace falta un análisis más completo.
AENA siguió adelante. Ese es el hecho central del expediente.
La resolución, firmada por Lorenzo Cotino Hueso como presidente de la AEPD, acuerda dos cosas. Primera, imponer una multa de diez millones cuarenta y tres mil dos euros por infracción del artículo 35 del RGPD, tipificada en el artículo 83.4.a). Segunda, confirmar la suspensión temporal de todo el tratamiento de datos biométricos «hasta que AENA lleve a cabo una EIPD en los términos recogidos en el artículo 35 del RGPD».
¿Por qué esto le importa a una pyme que no gestiona aeropuertos?
Porque el reproche no va del algoritmo. Va del expediente.
La AEPD no entra a decir que el reconocimiento facial esté prohibido. No sanciona por sesgo, ni por falsos positivos, ni por la precisión del modelo. Sanciona porque el documento que la ley obliga a hacer antes de tratar los datos no estaba, o estaba mal hecho. Y eso sí escala hacia abajo: la obligación del artículo 35 es idéntica para AENA y para una empresa de 40 empleados que instala un sistema de control de acceso por huella o que enchufa un modelo de IA a su base de clientes.
Lo que cambia con el tamaño es la cuantía, no el deber. El artículo 83.4 fija el techo en 10 millones de euros o el 2 % del volumen de negocio anual global, el que sea mayor. Con una facturación de 5.021.501.000 € en 2024, la horquilla para AENA iba de 0 a 100.430.020 €. La cifra que le saldría a una pyme no será de ocho dígitos, pero la infracción se califica igual: grave, y prescribe a los dos años (artículo 73.t de la LOPDGDD).
Y hay un segundo efecto que suele preocupar más que la multa: la suspensión. Un sistema parado hasta que rehagas el papeleo es una inversión congelada con el coste ya pagado.
¿Qué es una EIPD y cuándo estoy obligado a hacerla?
La evaluación de impacto relativa a la protección de datos es el análisis que el responsable del tratamiento tiene que hacer antes de empezar a tratar los datos cuando es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. Lo dice el artículo 35.1 del RGPD, que menciona expresamente el uso de «nuevas tecnologías» como factor que eleva el riesgo.
El artículo 35.3 fija tres casos en los que se requiere «en particular»:
- Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, como la elaboración de perfiles, cuando sobre esa base se tomen decisiones con efectos jurídicos o que afecten significativamente de modo similar.
- Tratamiento a gran escala de categorías especiales de datos (artículo 9.1) o de datos sobre condenas e infracciones penales.
- Observación sistemática a gran escala de una zona de acceso público.
Además, el artículo 35.4 obliga a cada autoridad de control a publicar su lista. La AEPD publicó una lista orientativa de once criterios con una regla práctica muy útil: cuando un tratamiento cumple dos o más criterios, en la mayoría de los casos hará falta EIPD, y cuantos más reúna, mayor la certeza.
| Criterio de la lista de la AEPD (art. 35.4) | Ejemplo típico en una pyme |
|---|---|
| Perfilado o valoración de sujetos | Scoring de clientes o de candidatos |
| Decisiones automatizadas que impidan acceder a un bien, servicio o contrato | Preselección automática de currículums |
| Observación, monitorización o geolocalización sistemática | Control de flota, control de actividad en el puesto |
| Categorías especiales del art. 9.1, datos penales o de solvencia | Datos de salud, afiliación sindical, ficheros de morosos |
| Datos biométricos para identificar de forma única a una persona | Control de acceso por huella o cara |
| Datos genéticos | Cualquier uso |
| Tratamiento de datos a gran escala | Bases de clientes masivas |
| Cruce o enlace de bases de datos con finalidades distintas | Unificar CRM con datos de terceros |
| Sujetos vulnerables (incluidos menores de 14 años) | Servicios educativos, sociales o sanitarios |
| Nuevas tecnologías o uso innovador de tecnologías consolidadas | Incorporar un modelo de IA a un proceso existente |
| Tratamientos que impidan al interesado ejercer sus derechos | Datos recopilados por un tercero con excepciones de información |
Fíjate en la combinación que se da casi siempre al meter IA en un proceso ya existente: criterio 10 (uso innovador de tecnología) más el que corresponda por el tipo de dato o de decisión. Dos criterios. EIPD.
Dos apuntes más que se olvidan a menudo. El artículo 35.2 obliga a recabar el asesoramiento del delegado de protección de datos si lo hay. Y el 35.11 obliga a revisar la evaluación cuando cambie el riesgo: no es un documento que se firma una vez y se archiva.
¿Qué exige el artículo 35.7 y en qué falló AENA en cada letra?
El artículo 35.7 fija cuatro contenidos mínimos. La AEPD los recorrió uno a uno.
| Letra del art. 35.7 | Qué exige | Qué encontró la AEPD |
|---|---|---|
| a) | Descripción sistemática de las operaciones de tratamiento y de los fines | La EIPD reflejaba el propósito estratégico de AENA, pero no individualizaba cada operación ni concretaba los fines específicos de cada una |
| b) | Evaluación de la necesidad y la proporcionalidad respecto a la finalidad | No quedó justificado que el tratamiento superase el juicio de proporcionalidad; se apreció infracción del 35.7.b) en relación con el principio de minimización del art. 5.1.c) |
| c) | Evaluación de los riesgos para los derechos y libertades | No se identificaron los factores de riesgo, no se analizó impacto ni probabilidad y no se evaluó el nivel global de riesgo; el análisis partía de finalidades mal definidas y manejaba riesgo residual sin riesgo inherente |
| d) | Medidas previstas para afrontar los riesgos | Las medidas no reducían de forma acreditada probabilidad o impacto, y en muchos casos ni siquiera se clasificaban como de mitigación o eliminación |
Hay un detalle formal que conviene retener porque se repite en muchas pymes: dos de las versiones de la EIPD aportadas por AENA (una fechada el 23 de junio de 2021 y otra el 3 de octubre de 2023) llegaron sin firma y sin sello de tiempo, de modo que no acreditaban en qué momento se formalizaron. Una evaluación de impacto que no puedes datar es una evaluación que no puedes demostrar que fue previa.
¿Cómo se graduó la multa?
La AEPD partió de las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre cálculo de multas y aplicó las circunstancias del artículo 83.2. Estas pesaron en contra:
- Se inició y se continuó el tratamiento pese a dos informes desfavorables de la propia Agencia, sin corregir lo detectado.
- Se vulneraron varias obligaciones del 35.7 y, además, la de actualizar la EIPD del 35.11.
- El tratamiento no era necesario ni proporcional, existiendo alternativas biométricas menos invasivas además del método tradicional.
- El sistema almacenaba muchos más datos personales que la comprobación visual anterior: los del documento de identidad y los de la tarjeta de embarque pasaban a la base de datos de AENA durante dos años.
A favor de AENA se valoró haber elaborado varias versiones de la EIPD y haber consultado a la Agencia en tres de ellas.
Ese matiz importa para no sacar la lección equivocada. No basta con «tener el documento». La AEPD apreció también que un análisis bien hecho habría revelado que ese tratamiento concreto no superaba el juicio de necesidad y proporcionalidad. La EIPD no es un trámite para justificar lo que ya has decidido: es el instrumento que a veces te dice que no lo hagas.
¿Qué estructura debería tener la EIPD de un sistema de IA?
Trasladando lo que la AEPD echó en falta, y su guía *Gestión del riesgo y evaluación de impacto en tratamientos de datos personales* (junio de 2021), un esquema aplicable a un proyecto de IA en una pyme:
1. Descripción del sistema y del ciclo de vida del dato. Fase por fase: captura, clasificación y almacenamiento, uso y explotación, cesiones y transferencias a terceros, bloqueo y supresión. Aquí entran el proveedor del modelo, dónde se ejecuta la inferencia y qué se envía fuera.
2. Fines, uno a uno. Distingue el fin último (por ejemplo, «reducir el tiempo de respuesta al cliente») de los fines específicos de cada operación. Que sean medibles. El error de AENA fue quedarse en el objetivo estratégico.
3. Base jurídica de cada operación y, si hay categorías especiales del artículo 9, la excepción concreta que la habilita.
4. Juicio de idoneidad, necesidad y proporcionalidad. ¿El sistema sirve para el fin? ¿Existe una alternativa menos invasiva que lo consiga igual? ¿El beneficio compensa el sacrificio de derechos? Documenta las alternativas que descartaste y por qué. Ese apartado es el que hunde la mayoría de las evaluaciones.
5. Identificación de factores de riesgo propios de la IA: decisiones automatizadas sin intervención humana, falsos positivos y negativos, discriminación, reidentificación, pérdida de confidencialidad de la base de entrenamiento, dependencia de un proveedor.
6. Análisis de cada riesgo: impacto y probabilidad, riesgo inherente primero. No empieces por el residual.
7. Medidas de control por riesgo, clasificadas (reducir, eliminar, asumir), y reevaluación del riesgo residual tras aplicarlas.
8. Evaluación del nivel global de riesgo y declaración de si el riesgo residual global es aceptable. Si no lo es, no se inicia el tratamiento: toca consulta previa al amparo del artículo 36.
9. Asesoramiento del DPD (art. 35.2) y, cuando proceda, opinión de los interesados o sus representantes (art. 35.9).
10. Firma y sello de tiempo. Y un plan de revisión ligado a cambios en el riesgo (art. 35.11).
¿Y el reglamento europeo de IA? ¿No tengo tiempo hasta 2027?
Es la confusión más cara del momento. El Reglamento (UE) 2024/1689 se modificó por el Reglamento (UE) 2026/1744, de 8 de julio de 2026 (el llamado ómnibus digital sobre IA). Ese texto retrasó la aplicación del capítulo III, secciones 1, 2 y 3, es decir, el grueso de las obligaciones de los sistemas de alto riesgo: al 2 de diciembre de 2027 para los clasificados por el artículo 6.2 y el anexo III, y al 2 de agosto de 2028 para los del artículo 6.1 y el anexo I.
Ese calendario no toca el RGPD. El RGPD se aplica desde 2018 y es el que ha producido una sanción de ocho cifras a un sistema de IA en España. Dicho en corto: para casi cualquier pyme, la obligación exigible hoy sobre un sistema de IA que trate datos personales no es la del reglamento de IA, es la evaluación de impacto del artículo 35.
¿Por dónde empiezo el lunes?
- Inventaría los sistemas automatizados o de IA que ya funcionan y tocan datos personales, incluidos los que entraron por la puerta de atrás: asistentes conversacionales, herramientas de terceros conectadas al CRM.
- Contrasta cada uno con los once criterios de la AEPD. Dos o más criterios, EIPD.
- Comprueba si esa EIPD existe, si está firmada, si está fechada y si es anterior al inicio del tratamiento.
- Si en algún caso queda riesgo residual alto sin medidas suficientes, toca consulta previa del artículo 36, no seguir adelante.
- Engancha la revisión a los cambios: nueva versión del modelo, nuevo proveedor, nueva finalidad.
---
Preguntas frecuentes
¿La EIPD es obligatoria para toda empresa que use IA?
No para toda. Es obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo (art. 35.1), y en particular en los tres supuestos del artículo 35.3. La lista de la AEPD del artículo 35.4 es la herramienta práctica: con dos o más criterios cumplidos, en la mayoría de los casos habrá que hacerla.
¿Vale con una plantilla descargada de internet?
Vale como punto de partida, no como resultado. La resolución muestra que AENA usó una herramienta de evaluación y aun así incumplió, porque el contenido no describía las operaciones ni evaluaba el nivel global de riesgo. Lo que se sanciona es el fondo, no el formato.
¿Y si consulto a la AEPD antes? ¿Me cubre?
La consulta previa del artículo 36 procede cuando la evaluación muestra un riesgo alto que no has podido mitigar. Pero consultar no equivale a estar autorizado. AENA consultó dos veces, recibió dos respuestas desfavorables y siguió adelante: la Agencia valoró ese hecho en contra al graduar la multa.
¿Qué pasa si empiezo el tratamiento y hago la EIPD después?
Que ya has incumplido. El artículo 35.1 exige que la evaluación sea previa al tratamiento. Por eso importan la firma y el sello de tiempo: sin ellos no puedes acreditar cuándo la hiciste.
Mi sistema biométrico es voluntario y hay alternativa. ¿Eso me salva?
No por sí solo. El sistema de AENA era voluntario y el método tradicional siguió operativo en todo momento, y aun así la AEPD concluyó que el tratamiento no estaba justificado como necesario ni proporcional. La voluntariedad es un elemento del análisis, no una exención.
¿Cuánto puede costarle esto a una empresa pequeña?
El artículo 83.4 fija el máximo en 10 millones de euros o el 2 % del volumen de negocio anual global, el que sea mayor, y la sanción debe ser proporcionada al caso. La cifra concreta será muy inferior en una pyme, pero conviene mirar también la otra medida del caso AENA: la suspensión del tratamiento hasta rehacer la evaluación.
---
Fuentes
- Resolución de procedimiento sancionador, expediente EXP202304532, Agencia Española de Protección de Datos (PDF oficial):
- Reglamento (UE) 2016/679, General de Protección de Datos, artículos 35 y 36 (texto consolidado en EUR-Lex):
- AEPD, *Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art. 35.4)*:
- AEPD, *Gestión del riesgo y evaluación de impacto en tratamientos de datos personales* (junio de 2021):
- Reglamento (UE) 2024/1689, por el que se establecen normas armonizadas en materia de inteligencia artificial:
- Reglamento (UE) 2026/1744, de 8 de julio de 2026 (ómnibus digital sobre IA), que modifica las fechas de aplicación del capítulo III:
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (arts. 73.t y 76.4):
*Datos verificados sobre los documentos oficiales el 28 de julio de 2026.*
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.