Аэропорт оштрафован за безопасность биометрических персданных

Испанский регулятор обязал приостановить работу биометрической системы посадки пассажиров и выплатить штраф в размере 10 млн евро (около 11,5 млн долларов). Крупнейший в мире по количеству пассажиров оператор аэропортов Aena утверждает, что штраф несоразмерен, а его система защищена от утечек биометрических персданных, поэтому оспорит вынесенное решение.

Aena — государственная компания, управляет шестью аэропортами и двумя вертодромами в Испании.

Агентство по защите данных (AEPD) Испании сообщило, что Aena нарушила GDPR, предоставив неполную оценку воздействия на защиту персональных данных (DPIA). Регулятор также указал на риски для конфиденциальности и безопасности данных, связанные с биометрической системой посадки на борт, которая использует централизованное хранение данных.

Следом компания Aena опубликовала ответ, не согласившись с решением регулятора, и сообщила, что нарушений безопасности данных не было.

Компания заявила, что «гарантирует отсутствие нарушений и утечки данных пользователей биометрических систем посадки на борт, установленных в аэропортах. Субъекты данных добровольно дали информированное согласие на обработку персональных данных».

Впервые биометрическая система была запущена в трех аэропортах Испании в 2019 году при поддержке Atos, Idemia, авиакомпании Vueing и Air Europa. За время проведения пилотного проекта было зарегистрировано более 62 000 пользователей. Однако внедрение системы раскритиковала некоммерческая организация Fundación Éticas, которая подала жалобу в орган по защите данных. Таким образом, Aena приостановила работу системы, использующей биометрические персональные данные, в июне 2024.

AEPD постановила, что оператор аэропорта не смог доказать, что использование биометрических персональных данных было необходимо для достижения эффективности и безопасности по сравнению с другими альтернативами, такими как QR-коды или цифровые посадочные талоны.

Aena также использовала централизованное хранение биометрических шаблонов, используемых для идентификации пассажиров. Регулятор сообщил, что такая схема подвергает персональные данные риску утечки и несанкционированного доступа, а также приводит к тому, что пассажиры теряют контроль над своими данными. Оператор аэропорта также не предоставил пассажирам полной информации об обработке биометрических персональных данных, сроках хранения и удаления, рисках и отзыве согласия.

В решении регулятора отмечаено, что, хотя программа и является добровольной, механизм получения согласия на обработку персональных данных не был прозрачным.