1. Contexto general y punto de partida
Durante 2025 se han producido avances modestos pero significativos en la forma en que autoridades de control, el legislador europeo y la doctrina jurídica están abordando el tratamiento de datos biométricos.
Tras un periodo de interpretaciones restrictivas, marcadas por un fuerte componente de desconfianza en esta tecnología, comienza a perfilarse un enfoque más técnico, diferenciado y proporcional, especialmente en relación con los sistemas de autenticación biométrica uno-a-uno (1:1).
La resolución sancionadora de la AEPD contra AENA, pese a su dureza económica, contiene elementos de apertura relevantes que permiten superar una visión monolítica del dato biométrico como intrínsecamente peligroso.
Progresivamente va surgiendo un convencimiento de que el verdadero riesgo no reside en la biometría como tal, sino en determinados usos concretos, especialmente los de identificación masiva (1:N), remota y sin participación activa del interesado.
2. La distinción clave: identificación (1:N) vs autenticación (1:1)
Uno de los avances es la consolidación de la distinción conceptual y jurídica entre identificación biométrica y autenticación biométrica, como reflejamos en este estudio
- Identificación (1:N): implica comparar los datos de una persona con una base de datos de múltiples individuos. Supone una búsqueda activa, es más invasiva y presenta mayores riesgos para los derechos fundamentales.
- Autenticación o verificación (1:1): se limita a comprobar si una persona es quien dice ser, comparando sus datos únicamente con la plantilla previamente registrada por ella misma.
La AEPD reconoce en la resolución AENA que no todos los tratamientos de datos biométricos generan el mismo nivel de riesgo, y que la identificación suele ser más intrusiva que la autenticación. Este reconocimiento resulta coherente con la doctrina del Comité Europeo de Protección de Datos, con el Reglamento de Inteligencia Artificial y con normativa sectorial reciente, que excluye expresamente la autenticación 1:1 de los escenarios de mayor riesgo.
Este punto es importante, ya que permite abandonar el enfoque restrictivo que había dominado la práctica administrativa, y abre la puerta a evaluaciones de impacto con un riesgo residual aceptable.
3. El miedo infundado a la suplantación por robo de datos biométricos
Poco a poco se espera que se relegue a la categoría de leyenda urbana la creencia de que el robo de bases de datos biométricos al responsable del tratamiento permite suplantar identidades con facilidad.
Tras un análisis de las brechas de seguridad relevantes, incluyendo casos masivos como OPM (EE. UU.), Biostar 2, Aadhaar (India) u Oracle Cloud, se puede llegar a la conclusión de que no existe constancia documental, judicial ni técnica de ningún caso de suplantación de identidad ejecutado con éxito mediante la reutilización de plantillas biométricas robadas a un responsable del tratamiento.
Este dato es particularmente relevante porque afecta a cientos de millones de personas potencialmente afectadas por brechas, sin que se haya producido una sola denuncia por suplantación basada en dichos datos. Después de una brecha de seguridad, las autoridades de control consideran la ausencia de quejas y denuncias como un indicador significativo para archivar el expediente.
4. Riesgo percibido vs riesgo real
Deben tenerse en cuenta las diferencias entre los tres principales vectores de ataque:
- Robo de datos biométricos al responsable del tratamiento.
- Obtención de datos biométricos a partir de fotos y vídeos en redes sociales (OSINT).
- Ingeniería social (phishing, vishing y deepfakes).
La conclusión es contundente: existe una desconexión radical entre el riesgo percibido y el riesgo real. Mientras que el robo de bases de datos biométricos presenta una tasa de suplantación conocida del 0%, los ataques basados en imágenes públicas y deepfakes muestran tasas de éxito muy elevadas y millones de denuncias.
La razón es técnica: las plantillas biométricas almacenadas por los responsables del tratamiento son hashes irreversibles, incompatibles entre sistemas, cifrados, minimizados y protegidos por múltiples barreras, lo que las convierte en datos “muertos” desde el punto de vista operativo del atacante.
Por el contrario, una simple fotografía publicada en redes sociales es un dato “vivo”, reutilizable, interoperable y directamente explotable mediante herramientas de IA de bajo coste.
La falta de información sobre la materia genera la paradoja de que un usuario de cultura media tiene pánico a que su identidad sea suplantada a partir del robo de sus datos biométricos, mientras publica felizmente y sin ningún tipo de prudencia fotos y vídeos en Instagram, cuya probabilidad de que sean utilizados para obtener un deepfake biométrico con IA es mil veces superior.
5. Barreras técnicas que hacen inviable la suplantación desde datos robados
Las barreras que un atacante debería superar para reutilizar una plantilla biométrica robada son, entre otras, las siguientes:
- Irreversibilidad matemática.
- Incompatibilidad entre algoritmos propietarios.
- Cifrado.
- Imposibilidad de inyección directa.
- Pruebas de vida.
- Autenticación multifactor.
- Revocabilidad y caducidad.
- Minimización extrema de datos.
- Relación riesgo–recompensa absolutamente desfavorable.
El resultado es que el esfuerzo técnico, el riesgo penal y el coste del ataque superan con creces cualquier posible beneficio, lo que explica la inexistencia de casos reales.
6. Aportaciones relevantes de la resolución AENA
Más allá del debate sobre la suplantación, cabe destacar varios puntos clave de la resolución de la AEPD en el caso AENA:
- Importancia del almacenamiento y del control del interesado sobre sus datos biométricos.
- Reconocimiento de la idoneidad técnica del sistema biométrico para la finalidad perseguida.
- Necesidad de separar las finalidades y de analizarlas de forma individual, evitando tratamientos en bloque.
- Importancia del triple juicio de idoneidad, necesidad y proporcionalidad, con especial atención al análisis de alternativas y de los riesgos y beneficios para el interesado y para el responsable.
Aunque la AEPD sanciona a AENA por una EIPD deficiente, no niega la idoneidad y la viabilidad del uso de la biometría en relación con finalidades de control de acceso, lo que representa un avance significativo en relación con el planteamiento restrictivo de la guía de 2023.
7. Derechos fundamentales y uso instrumental de la biometría
Debe considerarse que la autenticación biométrica tiene en muchos casos un carácter instrumental, lo que la diferencia de otros tratamientos de categorías especiales de datos. No se utiliza para inferir atributos sensibles (salud, ideología, orientación sexual), sino únicamente para verificar una identidad en un contexto concreto, con una finalidad esencial relacionada con la seguridad.
El Tribunal Supremo refuerza esta idea al considerar que una plantilla biométrica altamente minimizada, seudonimizada y utilizada con participación activa del interesado no constituye una intromisión ilegítima en el derecho a la intimidad.
8. La biometría frente al error humano y otras alternativas
Otro argumento central es la mayor fiabilidad objetiva de los sistemas biométricos frente a la verificación manual de identidad, afectada por errores de percepción, fatiga, sesgos cognitivos y discriminación inconsciente.
Según datos del CCN, las tasas de error de los sistemas biométricos son muy inferiores a las del ser humano, lo que refuerza su idoneidad en contextos de seguridad.
Además, el CCN concluye que no existe un sistema de autenticación automático equivalente y menos intrusivo que garantice la identidad real de una persona.
9. Conclusión
La conclusión derivada de estos avances es que el tratamiento de datos biométricos, especialmente en autenticación 1:1, ha sido objeto de una sobrerreacción regulatoria basada en miedos no respaldados por evidencias empíricas.
La ausencia total de casos de suplantación derivados del robo de plantillas biométricas, y las características técnicas de estos sistemas, obliga a replantear el enfoque de las autoridades de control y a centrar los esfuerzos en los riesgos reales, es decir, en la exposición voluntaria de fotografías y vídeos en redes sociales y su explotación mediante IA y datos biométricos a través de deepfakes.
Superar este miedo no implica relajar garantías, sino aplicarlas donde realmente son necesarias, permitiendo que la biometría cumpla su función legítima como medida de seguridad eficaz, proporcional y técnicamente robusta, en línea con la evolución tecnológica, y con una interpretación más madura del RGPD.
