文章总结： 西班牙机场运营集团Aena因生物识别登机系统违反GDPR要求被西班牙数据保护局罚款1000万欧元约8222万元人民币并被责令暂停该系统监管机构认为其数据保护影响评估不完整且采用集中式存储存在风险Aena辩称系统从未出现安全漏洞且旅客为自愿参与已对该判决提起上诉此案例凸显了生物识别技术在数据保护方面的合规挑战
综合评分： 72
文章分类： 数据安全,政策法规,漏洞预警,安全大事件,其他
违规收集用户生物识别数据，这家机场集团被罚超8200万元
黑白之道
2025年12月7日 09:19
山东
因生物识别登机功能违反GDPR要求，西班牙机场运营集团Aena被罚款超8200万元；
该集团称相关功能从未出现安全漏洞，后续将提起上诉。
西班牙数据监管机构已责令机场管理公司Aena暂停其基于生物识别的旅客登机系统，并处以1000万欧元（约合人民币8222万元）罚款。Aena正在对此判决提起上诉，称罚款不成比例，且其系统并不存在数据泄露风险。
按旅客数量计算，Aena是全球最大的机场运营商。作为国有公司，Aena管理西班牙6座机场和2个直升机场。
使用生物识别功能被罚，
Aena称从未出现安全漏洞
根据11月上旬公布的一项决定，西班牙数据保护局（AEPD）表示，Aena提交的数据保护影响评估（DPIA）内容不完整、细节不足，从而违反《通用数据保护条例》（GDPR）。监管机构同时强调，该生物识别登机系统依赖集中式存储，在隐私和安全方面存在风险。
11月25日，Aena发表声明，表示不同意监管机构对影响评估的判断。Aena还强调，其从未出现过任何安全漏洞。
公司表示：“Aena保证从未发生任何安全漏洞，因此西班牙境内机场网络所部署的各类生物识别登机系统的用户数据，以及任何第三方数据，均未出现数据泄漏。数据主体均为享受生物识别通行自愿提供了知情同意。”
该系统最初在西班牙3座机场进行试点，包括梅诺卡岛机场、何塞普·塔拉德利亚斯巴塞罗那埃尔普拉特机场以及阿道弗·苏亚雷斯马德里巴拉哈斯机场。试点于2019年启动，合作伙伴包括Atos、Idemia、伏林航空（Vueing）和欧洲航空，共有超过6.2万名注册用户。
然而，该系统部署遭到总部位于巴塞罗那的非营利组织Fundación Éticas的批评。该组织与一名匿名个人共同向数据监管机构提交了投诉。Aena已于2024年6月暂停该生物识别项目。
监管机构认为机场未能满足GDPR要求
AEPD裁定，机场运营商未能评估使用生物识别技术的比例性，也未能证明与二维码、电子登机牌、证件扫描等侵扰性更低的替代方案相比，使用生物识别数据在提升效率和安全性方面具有必要性。
Aena采用集中式存储方式保存用于1:N旅客识别的生物识别模板。监管机构认为，这种做法不仅使数据集面临泄漏和未授权访问的风险，还会进一步削弱旅客对自身数据的控制能力。
AEPD解释称：“委员会认为，通过侵扰性更低的方式同样可以实现类似的旅客流动优化效果，而集中式生物识别数据库若发生安全漏洞，其对数据主体基本权利和自由造成的负面影响，似乎大于该处理本应带来的好处。”
监管机构指出，机场运营商未能向旅客清晰、完整地披露有关生物识别处理、数据保留和删除期限、潜在风险及撤回同意等信息。调查发现，生物识别数据的保存期限存在不明确之处。
尽管该项目为自愿参与，但判决指出，其同意机制记录不充分，旅客可能未获得足够信息以做出真正的知情同意。
Aena回应称，对已注册旅客的生物识别数据处理符合GDPR及当地《个人数据保护与数字权利保障基础法》（LOPDGDD）的要求。
公司表示：“Aena与参与项目的航空公司共同实施生物识别登机，是为了通过优化办理值机流程，为旅客提供更佳的机场体验。机场管理方将继续朝这一方向努力，以尽快重启该项目。”
参考资料：biometricupdate.com
文章来源 ：安全内参
精彩推荐
乘风破浪|华盟信安线下网络安全就业班招生中！
【Web精英班·开班】HW加油站，快来充电！
始于猎艳，终于诈骗！带你了解“约炮”APP
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：黑白之道 《违规收集用户生物识别数据，这家机场集团被罚超8200万元》