西班牙Aena机场集团生物识别登机系统DPIA内容不完整被罚1000万欧元案

【案件背景】
Aena是全球按旅客数量计算最大的机场运营商，作为西班牙国有公司管理6座机场和2个直升机场。Aena于2019年在梅诺卡岛机场、巴塞罗那埃尔普拉特机场和马德里巴拉哈斯机场试点生物识别登机系统，合作方包括Atos、Idemia、伏林航空和欧洲航空，共注册超6.2万名用户。该系统通过生物识别（人脸识别）验证旅客身份以替代传统的登机牌和证件检查流程。2024年，西班牙数据保护机构AEPD对该系统展开调查。

【违法事实】
经AEPD调查认定：一是提交的DPIA内容不完整、细节不足——AEPD明确指认Aena提交的DPIA违反了GDPR义务，缺少对生物识别系统核心风险的系统性分析和对策论证；二是未进行充分的比例性评估——AEPD认为Aena未能证明使用生物识别数据在提升效率和安全性方面的必要性优于二维码、电子登机牌、证件扫描等侵扰性更低的替代方案；三是集中式存储存在严重风险——系统采用集中式存储方式保存用于1:N旅客识别的生物识别模板，AEPD认为这种做法不仅使数据集面临泄漏和未授权访问的风险，还会进一步削弱旅客对自身数据的控制能力。

【处罚决定】
AEPD责令Aena暂停基于生物识别的旅客登机系统，并处以1000万欧元（约合人民币8222万元）罚款。Aena于2024年6月暂停该生物识别项目，并表示将提起上诉，称罚款不成比例且系统从未发生安全漏洞。

【典型意义】
本案是欧盟对公共基础设施生物识别应用DPIA的最高罚款案例之一。一是确立了大型基础设施场景下DPIA的'必要性'审查标准——Aena覆盖全球最大旅客群体，监管机构要求其必须证明生物识别相较于传统方式的'不可替代性'，而非仅仅'便利性提升'；二是集中式存储的风险评估成为DPIA的核心考察点——AEPD的判断标准不仅看系统是否发生过泄露，而是看系统设计本身是否'先天地'制造了不可控风险；三是对全球机场和交通枢纽的生物识别应用具有深远影响——即便是国家级的公共基础设施，也必须全面满足GDPR对DPIA的实质要求。