Le compagnie aeree possono trattare i dati sanitari dei passeggeri con disabilità o a mobilità ridotta (Pmr) senza acquisirne il consenso quando ciò sia necessario per garantire la sicurezza del trasporto e l’assistenza durante il viaggio, secondo quanto previsto dalla normativa di settore.

Devono però assicurare il rispetto dei principi di trasparenza sul trattamento dei dati e limitarne la conservazione al periodo strettamente necessario al perseguimento di tali finalità. Lo ha ribadito il Garante per la protezione dei dati personali che, a seguito del reclamo di una passeggera, ha sanzionato <https://www.gpdp.it/garante/doc.jsp?ID=10259296> la compagnia aerea Emirates per 180mila euro.

Secondo la reclamante, Emirates subordinava l’erogazione dell’assistenza alla compilazione del modulo Medif (Medical information for fitness to travel or medical assistance) – destinato alla raccolta di informazioni sullo stato di salute del passeggero, di dati relativi al medico curante e agli eventuali accompagnatori – pur non rientrando tra le categorie di passeggeri tenute a compilare tale documentazione. Inadeguata, inoltre, l’informativa sul trattamento dei dati raccolti tramite il modulo.

Nel corso dell’istruttoria, nell’ambito della quale è stato consultato anche l’Ente nazionale per l’aviazione civile (Enac), il Garante ha ritenuto legittimo il trattamento dei dati sanitari, in quanto necessario a garantire il trasporto sicuro e l’assistenza ai passeggeri con disabilità o a mobilità ridotta. Sono tuttavia emerse violazioni degli obblighi di trasparenza e del principio di limitazione della conservazione dei dati.    

In particolare, Emirates non forniva agli interessati un’informativa sufficientemente chiara e completa né attraverso il proprio sito web né tramite il personale incaricato dell’assistenza. Inoltre, la compagnia conservava i dati sanitari raccolti mediante il modulo Medif per un periodo di sette anni, ritenuto dall’Autorità eccessivo e non proporzionato rispetto alla finalità perseguita, limitata all’organizzazione e al corretto svolgimento del viaggio. Il Garante ha quindi ordinato a Emirates di aggiornare l’informativa privacy, specificando quali categorie di passeggeri siano tenute a compilare il modulo Medif e quali sezioni dello stesso siano effettivamente obbligatorie. Ha imposto inoltre alla compagnia di definire tempi di conservazione coerenti con le finalità del trattamento e di cancellare i dati conservati oltre il periodo ritenuto congruo.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10259296