provvedimento garante della pribvacy

di

Passeggeri a mobilità ridotta, il Garante privacy sanziona Emirates – Provvedimento del 14 maggio 2026

Passeggeri a mobilità ridotta, il Garante privacy sanziona Emirates - Provvedimento del 14 maggio 2026

Le compagnie aeree possono trattare i dati sanitari dei passeggeri con disabilità o a mobilità ridotta (Pmr) senza acquisirne il consenso quando ciò sia necessario per garantire la sicurezza del trasporto e l’assistenza durante il viaggio, secondo quanto previsto dalla normativa di settore.

Devono però assicurare il rispetto dei principi di trasparenza sul trattamento dei dati e limitarne la conservazione al periodo strettamente necessario al perseguimento di tali finalità. Lo ha ribadito il Garante per la protezione dei dati personali che, a seguito del reclamo di una passeggera, ha sanzionato <https://www.gpdp.it/garante/doc.jsp?ID=10259296> la compagnia aerea Emirates per 180mila euro.

Secondo la reclamante, Emirates subordinava l’erogazione dell’assistenza alla compilazione del modulo Medif (Medical information for fitness to travel or medical assistance) – destinato alla raccolta di informazioni sullo stato di salute del passeggero, di dati relativi al medico curante e agli eventuali accompagnatori – pur non rientrando tra le categorie di passeggeri tenute a compilare tale documentazione. Inadeguata, inoltre, l’informativa sul trattamento dei dati raccolti tramite il modulo.

Nel corso dell’istruttoria, nell’ambito della quale è stato consultato anche l’Ente nazionale per l’aviazione civile (Enac), il Garante ha ritenuto legittimo il trattamento dei dati sanitari, in quanto necessario a garantire il trasporto sicuro e l’assistenza ai passeggeri con disabilità o a mobilità ridotta. Sono tuttavia emerse violazioni degli obblighi di trasparenza e del principio di limitazione della conservazione dei dati.    

In particolare, Emirates non forniva agli interessati un’informativa sufficientemente chiara e completa né attraverso il proprio sito web né tramite il personale incaricato dell’assistenza. Inoltre, la compagnia conservava i dati sanitari raccolti mediante il modulo Medif per un periodo di sette anni, ritenuto dall’Autorità eccessivo e non proporzionato rispetto alla finalità perseguita, limitata all’organizzazione e al corretto svolgimento del viaggio. Il Garante ha quindi ordinato a Emirates di aggiornare l’informativa privacy, specificando quali categorie di passeggeri siano tenute a compilare il modulo Medif e quali sezioni dello stesso siano effettivamente obbligatorie. Ha imposto inoltre alla compagnia di definire tempi di conservazione coerenti con le finalità del trattamento e di cancellare i dati conservati oltre il periodo ritenuto congruo.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10259296

Rispondi

di

Data breach, il Garante privacy sanziona The European House Ambrosetti per 85mila euro. Coinvolte oltre 61mila persone, password non protette e comunicazione tardiva agli interessati – Garante della Privacy Provvedimento del 17 aprile 2026

Data breach, il Garante privacy sanziona The European House Ambrosetti per 85mila euro. Coinvolte oltre 61mila persone, password non protette e comunicazione tardiva agli interessati - Garante della Privacy Provvedimento del 17 aprile 2026

Una sanzione di 85mila euro è stata irrogata dal Garante per la protezione dei dati personali a The European House – Ambrosetti spa, società di consulenza strategica e think tank, per carenze nelle misure di sicurezza. Le criticità sono emerse a seguito di un data breach che ha coinvolto 61.670 persone, tra cui dipendenti di aziende clienti e personale interno che utilizzavano i servizi online. Tardiva anche la comunicazione della violazione agli interessati, avvenuta solo dopo l’intervento dell’Autorità.

L’attacco informatico, riconducibile a un accesso non autorizzato ai sistemi tramite una vulnerabilità tecnica, ha comportato l’esfiltrazione di nomi, cognomi, indirizzi email, username e password. Dagli accertamenti del Garante sono emerse diverse violazioni della normativa privacy. In particolare, la società conservava una parte delle password in chiaro e un’altra mediante tecniche crittografiche non conformi agli standard di sicurezza più avanzati. Conservava inoltre credenziali relative a sistemi non più in uso, in violazione dei principi di limitazione della conservazione e di sicurezza dei dati.

L’Autorità ha anche accertato che la società, pur avendo notificato il data breach entro le 72 ore previste dalla normativa, non ha informato tempestivamente gli interessati, nonostante la violazione potesse rappresentare un rischio elevato per i loro diritti e libertà. La comunicazione agli utenti è avvenuta a distanza di circa due mesi dalla scoperta dell’incidente, solo dopo un provvedimento correttivo del Garante.

Con il provvedimento, il Garante ribadisce la necessità per i titolari del trattamento di adottare misure tecniche e organizzative adeguate e di assicurare una gestione tempestiva e trasparente delle violazioni dei dati personali. Le esigenze reputazionali rappresentate dalla società non possono prevalere sui diritti delle persone coinvolte.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10252460

Rispondi

di

Garante: non conforme al Gdpr “FaceBoarding” di Milano Linate – Provvedimento del 12 marzo 2026

Garante: non conforme al Gdpr “FaceBoarding” di Milano Linate - Provvedimento del 12 marzo 2026

Il Garante privacy ha dichiarato illecito il trattamento dei dati biometrici dei passeggeri dell’aeroporto di Milano Linate effettuato attraverso il sistema di riconoscimento facciale “FaceBoarding”, rispetto al quale l’Autorità era già intervenuta con un provvedimento di limitazione provvisoria nel mese di settembre 2025.

Il sistema veniva utilizzato da SEA (Società per azioni esercizi aeroportuali), per consentire l’accesso all’area sterile e l’imbarco al gate dei passeggeri previa registrazione presso appositi chioschi o mediante app e successiva associazione del volto al documento di riconoscimento e alla carta d’imbarco.    

L’Autorità, nel corso dell’istruttoria avviata d’ufficio, ha accertato che il “FaceBoarding” vìola il GDPR ed è in contrasto, in particolare, con il parere dell’EDPB sull’uso del riconoscimento facciale in aeroporto.  Il sistema, infatti, prevede che i dati biometrici acquisiti siano interamente conservati in maniera centralizzata nei server di SEA impedendo ai passeggeri di esercitare un controllo esclusivo sui propri dati.

Il Garante ha riscontrato, inoltre, che SEA non ha adottato misure di cifratura dei modelli biometrici; ha conservato i template per un periodo eccessivo (fino a 12 mesi), comportando così un aumento significativo dei rischi di violazioni dei dati personali, ed ha rilasciato un’informativa con indicazioni inesatte. Per di più la società acquisiva, senza il loro consenso, le immagini del volto dei passeggeri che, pur non avendo aderito al “FaceBoarding”, utilizzavano i varchi ibridi. 

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10238246

Rispondi