Aena va faire appel d'une amende de 10 millions d'euros pour violation de la protection des données liée à l'embarquement biométrique dans les aéroports

L’opérateur aéroportuaire espagnol Aena annonce qu’il portera l’affaire devant la justice après que l’Agence espagnole de protection des données (AEPD) lui a infligé une amende de 10 043 002 € pour avoir déployé des portiques d’embarquement à reconnaissance faciale sans réaliser d’évaluation d’impact sur la protection des données (DPIA) conforme. Cette sanction, publiée le 18 janvier 2026, ordonne également à Aena de suspendre le traitement biométrique tant que les lacunes ne seront pas corrigées.

Aena affirme que les empreintes faciales des passagers sont chiffrées, stockées localement sur l’appareil et effacées après l’embarquement, soutenant que sa DPIA respecte les directives européennes. L’opérateur dénonce une focalisation de l’AEPD sur des manquements formels plutôt que sur une violation concrète de la vie privée — aucun incident de fuite de données n’a été signalé depuis le lancement des essais en 2023 à Madrid-Barajas, Barcelone-El Prat, Palma de Majorque et Minorque.



Ce bras de fer juridique a des répercussions immédiates sur le terrain. À Barajas, la reconnaissance faciale est utilisée pour 32 départs quotidiens d’Iberia et Air Europa; ces portiques électroniques seront remplacés par des contrôles manuels des documents, ce qui pourrait rallonger de cinq à sept minutes le passage des passagers aux heures de pointe matinales. Les compagnies aériennes recommandent à leurs clients en cabine premium d’arriver plus tôt, tandis que les prestataires au sol s’activent pour réaffecter leur personnel.

Sur le plan des politiques de mobilité, cette affaire illustre les nombreux défis de conformité liés aux solutions biométriques, que beaucoup d’acteurs espèrent voir fluidifier les flux passagers après l’entrée en vigueur du Système européen d’entrée/sortie (EES). Les gestionnaires de voyages sont invités à suivre de près l’appel, à revoir les DPIA de leurs fournisseurs et à s’assurer que les formulaires de consentement des voyageurs respectent le RGPD. Les experts en droit de la vie privée estiment que, si la décision est confirmée, elle pourrait créer un précédent en Europe, contraignant d’autres gestionnaires d’aéroports à suspendre ou réévaluer des projets similaires.

Aena dispose de 30 jours pour déposer son recours devant l’Audiencia Nacional espagnole. Les observateurs anticipent une bataille judiciaire longue, qui pourrait se prolonger jusqu’en 2027, en parallèle du déploiement complet du système ETIAS.