Nei processi aeroportuali digitalizzati, la protezione dei dati personali impone confini netti sia ai vettori aerei sia ai gestori degli scali. Da un lato, le informazioni sanitarie dei passeggeri possono essere indispensabili per predisporre un trasporto sicuro ed un’assistenza appropriata; dall’altro, l’impiego del riconoscimento facciale non può sottrarre al viaggiatore il controllo effettivo sui propri dati biometrici. Sono le direttrici che emergono dai provvedimenti del Garante per la protezione dei dati personali e dal parere del Comitato europeo per la protezione dei dati, l’Edpb.

Il Garante, con l’ordinanza-ingiunzione n. 347 del 14 maggio 2026, ha sanzionato una compagnia aerea con 180 mila Euro dopo il reclamo presentato da una passeggera. L’autorità ha riconosciuto che il vettore aereo può trattare dati relativi alla salute, anche senza consenso, quando essi servano a valutare l’idoneità al viaggio, pianificare l’assistenza e prevenire criticità operative o mediche durante il volo per passeggeri con disabilità o a mobilità ridotta.

La disciplina applicabile è il Regolamento (Ce) n. 1107/2006, che garantisce alle persone con mobilità ridotta o con specifiche condizioni mediche l’accesso non discriminatorio al trasporto aereo ed il diritto ad un’assistenza adeguata e gratuita. In questo perimetro, secondo quanto rilevato dal Garante anche alla luce delle valutazioni dell’Enac (Ente nazionale aviazione civile), le compagnie possono domandare informazioni cliniche e, quando necessario, documentazione medica.

Il modulo Medif, ossia Medical Information for Fitness to Travel or Medical Assistance, è lo strumento standardizzato impiegato per raccogliere i dati necessari nei casi che richiedono una verifica della capacità di affrontare il viaggio in sicurezza. Può riguardare, tra l’altro, la necessità di assistenza sanitaria durante il volo, l’impiego di apparecchiature mediche, interventi chirurgici recenti o patologie dalle quali possa derivare un’incertezza sull’idoneità al trasporto. Non deve invece essere richiesto quando il passeggero abbia bisogno soltanto di supporto a terra.

Per tali trattamenti, effettuati in attuazione della normativa europea e necessari all’esercizio di un interesse pubblico, non occorre il consenso dell’interessato ai sensi dell’articolo 9 del Gdpr, Regolamento (Ue) n. 2016/679. L’Enac ha evidenziato, ed il Garante ha condiviso questa impostazione, che per i viaggiatori affetti da patologie croniche o degenerative l’aggiornamento delle informazioni sanitarie può rappresentare l’unico mezzo per organizzare misure di sicurezza adeguate, evitando emergenze in quota o atterraggi non programmati.

La sanzione non riguarda dunque la liceità della raccolta dei dati sanitari in sé, bensì le modalità del trattamento. La passeggera aveva contestato che l’assistenza fosse subordinata in modo illegittimo alla compilazione del Medif, nel quale venivano richiesti dati sanitari, riferimenti del medico curante ed eventuali informazioni sugli accompagnatori. Aveva inoltre segnalato carenze nell’informativa privacy e l’assenza di consenso.

Il Garante ha accertato una violazione degli obblighi di trasparenza, rilevando che l’informativa non era sufficientemente chiara né sul sito della compagnia né attraverso il personale addetto all’assistenza. È stata inoltre giudicata sproporzionata la conservazione per sette anni dei dati raccolti mediante il Medif, poiché la finalità dichiarata era circoscritta alla preparazione e al regolare svolgimento del viaggio. Alla compagnia è stato quindi ordinato di aggiornare l’informativa, precisando quali passeggeri siano tenuti a compilare il modulo e quali campi siano realmente obbligatori, oltre a definire tempi di conservazione compatibili con le finalità e cancellare le informazioni mantenute oltre il periodo congruo.

Un secondo intervento dell’Autorità, il provvedimento n. 164 del 12 marzo 2026, riguarda un sistema di riconoscimento facciale utilizzato per consentire l’accesso all’area sterile e l’imbarco al gate. I passeggeri potevano aderire attraverso chioschi dedicati o un’app, associando il proprio volto al documento di identità e alla carta d’imbarco. Il Garante ha ritenuto il sistema non conforme al Gdpr.

La criticità principale era l’archiviazione centralizzata, sui server della società di gestione aeroportuale, dei dati biometrici acquisiti. Questa configurazione, secondo l’Autorità, impediva ai viaggiatori di mantenere un controllo esclusivo sui propri dati. Sono state contestate anche l’assenza di misure di cifratura dei template biometrici e una conservazione fino a dodici mesi, intervallo ritenuto tale da accrescere sensibilmente il rischio connesso a eventuali violazioni dei dati personali.

Il provvedimento rileva inoltre l’uso di un’informativa contenente indicazioni inesatte. Un’ulteriore violazione è stata individuata nel rilevamento delle immagini facciali di passeggeri non iscritti al servizio che transitavano nei varchi ibridi, utilizzabili sia dagli aderenti sia da chi non aveva scelto il riconoscimento facciale. La società aveva sostenuto che tali varchi fossero chiaramente segnalati e che il template generato per i non aderenti venisse eliminato automaticamente in meno di 1,5 secondi. Per il Garante, tuttavia, la brevità del trattamento non elimina la violazione quando manca un’idonea base giuridica.

Il quadro europeo era stato delineato dall’Edpb nel parere n. 11 del 24 maggio 2024. Il Comitato, che riunisce le autorità europee per la protezione dei dati, individua due configurazioni aeroportuali compatibili con il Gdpr. Nella prima, il template biometrico rimane esclusivamente su dispositivi detenuti dal passeggero. Nella seconda, il modello è conservato in forma cifrata presso l’aeroporto, ma la chiave segreta è conosciuta soltanto dall’interessato.

L’Edpb esclude invece i modelli nei quali i template siano raccolti in una banca dati centralizzata controllata dal gestore aeroportuale oppure in un cloud sotto il controllo della compagnia aerea. In entrambe le ipotesi, il passeggero non dispone di un controllo attivo sulle informazioni biometriche e l’architettura tecnologica risulta maggiormente esposta ad attacchi e violazioni dei dati.