Una multa di 180mila euro inflitta a Emirates dal Garante per la protezione dei dati personali riporta al centro dell’attenzione un tema che riguarda milioni di viaggiatori ogni anno: il modo in cui le compagnie aeree trattano le informazioni sanitarie di chi vola con una disabilità o una mobilità ridotta. Il provvedimento nasce dal reclamo di una passeggera che si era vista chiedere la compilazione del modulo Medif, acronimo di Medical information for fitness to travel or medical assistance, pur non rientrando tra le categorie per cui quella documentazione risulta obbligatoria. Il modulo raccoglie dati delicati: condizioni di salute, riferimenti al medico curante, eventuali necessità di accompagnamento durante il volo.
Cosa prevede la normativa sui dati sanitari dei passeggeri con mobilità ridotta
L’istruttoria condotta dall’Autorità, che ha coinvolto anche l’Ente nazionale per l’aviazione civile, ha permesso di chiarire un punto applicativo non scontato del regolamento europeo sulla protezione dei dati. Le compagnie aeree, secondo quanto ribadito dal Garante, possono trattare le informazioni sanitarie dei passeggeri con disabilità o a mobilità ridotta anche senza acquisire un consenso esplicito, purché tale trattamento risulti necessario per garantire la sicurezza del trasporto e l’assistenza durante il viaggio: è la stessa normativa di settore a prevedere questa possibilità, proprio perché in determinati casi servono informazioni cliniche per organizzare un volo in condizioni di sicurezza, dal bisogno di ossigeno a bordo fino alla presenza di un accompagnatore medico. Su questa base il Garante ha ritenuto legittimo, nel merito, il trattamento dei dati raccolti da Emirates attraverso il Medif, escludendo quindi che la raccolta in sé costituisse una violazione.
Resta tuttavia un nodo procedurale che ha pesato sulla decisione finale: la reclamante non apparteneva alle categorie di passeggeri per cui la compilazione del modulo è effettivamente richiesta, eppure l’assistenza le sarebbe stata erogata solo a fronte di quella documentazione.
Le criticità riscontrate dall’Autorità sull’informativa e sulla conservazione
Le violazioni accertate dal Garante riguardano due aspetti distinti rispetto alla legittimità del trattamento di base, e toccano altrettanti pilastri del sistema di tutele previsto dal GDPR. Il primo riguarda la trasparenza: secondo l’Autorità, Emirates non forniva ai passeggeri un’informativa sufficientemente chiara e completa sul trattamento dei dati raccolti tramite il modulo, né attraverso il proprio sito web né tramite il personale incaricato dell’assistenza in aeroporto. Il secondo riguarda invece i tempi di conservazione: la compagnia tratteneva i dati sanitari raccolti con il Medif per sette anni, un periodo che il Garante ha definito eccessivo e non proporzionato, considerando che la finalità del trattamento si limita all’organizzazione e al corretto svolgimento del singolo viaggio. Da qui derivano gli ordini correttivi: aggiornare l’informativa privacy specificando con esattezza quali categorie di passeggeri siano tenute a compilare il modulo e quali sezioni risultino effettivamente obbligatorie, oltre a ridefinire i tempi di conservazione dei dati in coerenza con lo scopo del trattamento, cancellando quanto trattenuto oltre il periodo ritenuto congruo.
Emirates dovrà quindi intervenire sia sui contenuti informativi destinati ai passeggeri sia sulle proprie procedure interne di gestione dei dati raccolti tramite il Medif.
