TL;DR per il DPO
Novembre 2025: l'AEPD spagnola multa Aena (gestore aeroporti) per 10.043.002 EUR. Il sistema di imbarco con riconoscimento facciale era stato lanciato in 8 aeroporti SENZA una DPIA adeguata. La conclusione dell'Autorita' non e' che il sistema fosse insicuro: e' che mancava la valutazione d'impatto preventiva richiesta dall'art. 35 GDPR per trattamenti biometrici ad alto rischio. La biometria e' il focus enforcement 2025-2026.
I fatti
Aena, l'operatore degli aeroporti spagnoli, ha implementato un sistema di imbarco basato sul riconoscimento facciale in otto scali principali. I passeggeri potevano registrare il proprio volto per attraversare i controlli senza mostrare documenti. Il trattamento coinvolge dati biometrici, categoria particolare ex art. 9 GDPR, ad alto rischio per definizione.
L'AEPD ha rilevato che Aena aveva avviato il programma senza completare una DPIA adeguata prima dell'attivazione. La valutazione presentata era ritenuta insufficiente rispetto agli standard dell'art. 35 GDPR per un trattamento di tale portata e sensibilita'.
Il punto: sanzione SENZA breach
Aena non ha subito un data breach. Nessun dato e' stato compromesso. La sanzione e' per una carenza di accountability PREVENTIVA: non aver fatto la DPIA adeguata PRIMA di attivare il trattamento. Questo segna l'evoluzione dell'enforcement: le Autorita' non aspettano l'incidente, sanzionano la mancata valutazione del rischio a monte.
Cosa significa per il DPO
- La DPIA per trattamenti biometrici NON e' opzionale: e' obbligatoria ex art. 35.3.b GDPR (trattamento su larga scala di categorie particolari)
- La DPIA deve essere COMPLETATA prima dell'attivazione del trattamento, non dopo
- Una DPIA superficiale o generica equivale, per le Autorita', a una DPIA mancante
- La DPIA deve valutare: necessita' e proporzionalita', rischi per i diritti degli interessati, misure di mitigazione, alternative meno invasive considerate
- Per la biometria serve valutare se esiste un'alternativa non biometrica (es. l'imbarco tradizionale resta disponibile? il consenso e' libero?)
La Spagna guida l'enforcement europeo
Secondo il CMS GDPR Enforcement Tracker, l'AEPD ha emesso 932 sanzioni pubblicate, piu' di tutte le altre Autorita' europee messe insieme per volume. La Spagna e' un regolatore proattivo, ben finanziato, sempre piu' focalizzato su violazioni complesse: biometria e intelligenza artificiale sono i temi caldi 2025-2026. Chi opera in Spagna o tratta dati di residenti spagnoli deve considerare l'AEPD come l'Autorita' piu' aggressiva d'Europa.
Suggerimento operativo
Se un cliente usa o pianifica sistemi biometrici (rilevazione presenze, controllo accessi, riconoscimento facciale), la DPIA va fatta SUBITO e in modo approfondito. Documenta le alternative considerate e perche' la biometria e' necessaria e proporzionata. Conserva evidenza della consultazione del DPO e, se i rischi residui restano alti, valuta la consultazione preventiva all'Autorita' ex art. 36 GDPR.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
