L'autorité italienne de protection des données a sanctionné la compagnie aérienne Emirates pour des manquements liés à la transparence et à la durée de conservation des données de santé collectées via son formulaire médical, tout en reconnaissant la légitimité de cette collecte au nom de la sécurité aérienne.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre d'Emirates, comprenant le prononcé d'une amende de 180 000 €, pour des manquements en lien avec le traitement des données de santé des passagers à mobilité réduite.

L'affaire trouve son origine dans une plainte déposée le 29 janvier 2025 par une passagère, qui s'est vue imposer la complétion d'un questionnaire médical, le formulaire d'information médicale pour l'aptitude au voyage ou l'assistance spéciale (MEDIF), sans avoir reçu d'information préalable adéquate sur le traitement de ses données.

Motifs de la décision

L'autorité a d'abord examiné la licéité de la collecte des données de santé. Après avoir consulté l'Organisme National pour l'Aviation Civile (ENAC), elle a conclu que le traitement était justifié par des motifs d'intérêt public important liés à la sécurité du transport aérien et à la nécessité de vérifier l'aptitude au vol des passagers. Les manquements aux articles 5, paragraphe 1, points a), b) et c), 6, paragraphe 1, et 9 du RGPD n'ont donc pas été retenus. Cependant, des violations ont été confirmées sur d'autres aspects.

• Obligation de transparence (article 5, paragraphe 1, point a), 12 et 13 du RGPD) : L'autorité a jugé que les informations fournies aux passagers étaient insuffisantes. Ni la page du site internet dédiée au formulaire MEDIF, ni la politique de confidentialité générale ne contenaient d'informations spécifiques, claires et accessibles sur les finalités, les bases juridiques et les durées de conservation de ce traitement particulier de données de santé. L'ajout ultérieur d'un lien vers la politique générale a été considéré comme une mesure insuffisante pour garantir une information complète et intelligible au moment de la collecte.
• Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : La compagnie conservait les formulaires MEDIF pendant sept ans après le voyage. L'autorité a estimé cette durée excessive et non conforme au principe de limitation de la conservation, tel que précisé par le considérant 39 du RGPD. La finalité principale, à savoir vérifier l'aptitude au vol, est atteinte une fois le voyage terminé. La justification d'une conservation prolongée pour d'éventuels contentieux a été jugée trop abstraite et disproportionnée, l'autorité notant que la Convention de Montréal prévoit un délai de prescription de deux ans pour les actions en dédommagement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 180 000 € à Emirates.

En outre, l'autorité a ordonné à la compagnie, sous 30 jours, de mettre ses traitements en conformité. Elle devra notamment définir précisément les catégories de passagers et les informations strictement nécessaires à la collecte, fournir une information spécifique et claire sur la page du formulaire, et établir une durée de conservation proportionnée à la finalité, en procédant à la suppression des données conservées au-delà de cette nouvelle durée.

Enseignements

Cette décision rappelle que :

• La reconnaissance d'un intérêt public important comme base juridique pour le traitement de données de santé ne dispense pas le responsable de traitement du respect des autres principes du RGPD, notamment la transparence et la limitation de la conservation.
• L'information fournie aux personnes concernées doit être spécifique au traitement en question et facilement accessible au moment de la collecte des données ; un renvoi vers une politique de confidentialité générale est insuffisant, surtout pour des données sensibles.
• La durée de conservation des données doit être définie en stricte adéquation avec la finalité poursuivie. Une conservation à des fins de défense en justice doit reposer sur un risque concret et probable, et non sur une possibilité purement abstraite.
• Le principe de minimisation des données impose de ne collecter que les informations strictement nécessaires, ce qui peut se traduire par l'identification claire des champs obligatoires et optionnels dans un formulaire.