Garante per la protezione dei dati personali (Garante) har utfärdat en sanktionsavgift på 180 000 euro mot ett flygbolag för bristande informationsskyldighet och alltför lång lagringstid vid behandling av hälsouppgifter om passagerare med nedsatt rörlighet enligt dataskyddsförordningen (GDPR).
Bakgrund
Bolaget är ett flygbolag som kräver att passagerare med nedsatt rörlighet eller medicinska behov fyller i ett standardiserat hälsoformulär, ett så kallat MEDIF-formulär (Medical Information for Fitness to Travel or Special Assistance), för att kunna tillhandahålla transporttjänster på ett säkert sätt. Formuläret innehåller identifikationsuppgifter, kontaktuppgifter, hälsoinformation, uppgifter om medicinska behov samt uppgifter om behandlande läkare och eventuell medresenär.
I januari 2025 lämnade en registrerad in ett klagomål till Garante. Den registrerade uppgav att bolaget begärt att formuläret skulle fyllas i trots att den registrerade inte tillhörde de kategorier som krävdes för detta, och att ingen information lämnades om hur uppgifterna skulle behandlas.
Bolaget hävdade att formuläret var ett nödvändigt och standardiserat verktyg för att bedöma om passagerare var lämpliga att flyga, i enlighet med skyldigheter enligt EU-lagstiftningen. Bolaget ansåg att de registrerade fick tillräcklig information, att behandlingen vilade på giltig rättslig grund och att en lagringstid om sju år var motiverad av rättsliga skyldigheter och behovet av att kunna försvara sig mot framtida tvister.
Myndighetens bedömning
Garante konsulterade den italienska luftfartsmyndigheten ENAC, som konstaterade att behandlingen via formuläret var förenlig med artikel 5 GDPR eftersom den var nödvändig för att tillhandahålla transporttjänster på ett säkert sätt för passagerare med nedsatt rörlighet. Garante fann därför att bolaget hade giltig rättslig grund för behandlingen och konstaterade ingen överträdelse av artiklarna 5.1 (a), (b), (c), 6.1 och 9 GDPR avseende behandlingens laglighet.
Garante fann däremot att bolaget inte uppfyllt sina skyldigheter avseende principen om öppenhet i 5.1 (a) GDPR samt artiklarna 12 och 13 GDPR. Informationen på webbsidan för formuläret var knapphändig och angav enbart att formuläret användes för att bedöma om det var säkert för passageraren att flyga. Bolagets allmänna integritetspolicy saknade ett avsnitt om denna behandling och nämnde hälsouppgifter endast i generella ordalag. Garante konstaterade också att personalen inte vid något tillfälle lämnade den registrerade tydlig och begriplig information om behandlingen. Det framgick inte heller av tillgänglig information vilka rättsliga grunder som låg till grund för behandlingen eller hur länge uppgifterna sparades. Garante noterade också att bolaget efter att ärendet inletts hade lagt till en länk till integritetspolicyn i sidfoten på webbsidan för formuläret, men bedömde att det fortfarande var svårt för den registrerade att hitta nödvändig information om rättsliga grunder och lagringstider.
Garante konstaterade vidare att bolaget brutit mot principen om lagringsminimering i 5.1 (e) GDPR. Bolaget sparade hälsouppgifterna i sju år med hänvisning till rättsliga skyldigheter och behovet av att kunna försvara sig mot framtida tvister. Garante bedömde att den primära insamlingsgrunden, att bedöma om en passagerare var lämplig att flyga, inte motiverade en lagringstid om sju år, och att risken för tvister år efter en resa utan anmärkningar framstod som abstrakt och osannolik.
Garante ålade bolaget en sanktionsavgift på 180 000 euro och förelade bolaget att se över vilka passagerarkategorier som faktiskt behöver fylla i formuläret, klargöra vilka fält som kan lämnas tomma och fastställa kortare och proportionerliga lagringstider. Bolaget ska redovisa vidtagna åtgärder till Garante inom 30 dagar.
Praktiska konsekvenser
Beslutet påminner om att en giltig rättslig grund för behandling av hälsouppgifter inte i sig är tillräckligt. Informationsskyldigheten enligt artiklarna 12 och 13 GDPR är en självständig skyldighet som måste uppfyllas oavsett om behandlingen i övrigt är laglig. En generell integritetspolicy som inte specifikt beskriver den aktuella behandlingen av hälsouppgifter uppfyller inte detta krav. Garante konstaterade också att information som enbart finns tillgänglig via en länk i sidfoten på en webbplats inte uppfyller kravet på att information ska vara tydlig, begriplig och lättillgänglig.
Beslutet klargör också att lagringstider för hälsouppgifter måste vara konkret motiverade utifrån det specifika ändamålet med insamlingen. Garante avvisade bolagets argument om hypotetiska framtida tvister och konstaterade att det primära ändamålet inte motiverade en sjuårig lagringstid. Organisationer som samlar in hälsouppgifter behöver fastställa lagringstider som är direkt kopplade till det ändamål för vilket uppgifterna samlats in.
TechLaw följer utvecklingen och publicerar löpande inlägg om tillsynsärenden, rättsutveckling och andra aktuella frågor på dataskyddsområdet. Läs mer om hur vi bistår våra klienter inom dataskydd och integritet.
Källa: Garante.
