La autoridad de control italiana ha impuesto una sanción de 180.000 euros a Emirates por conservar, durante un periodo de tiempo excesivo, datos de salud y no informar adecuadamente sobre dicho tratamiento. La reclamación se interpuso por una pasajera que puso de manifiesto que Emirates condicionaba la prestación de su asistencia a la cumplimentación del formulario MEDIF (un documento que recababa información sobre el estado de salud del pasajero, así como datos de su médico o de posibles acompañantes). La reclamante indicó que la compañía le exigió completar dicho formulario pese a no pertenecer a las categorías de pasajeros obligadas a hacerlo (esto es, personas con discapacidad o movilidad reducida). Además, cuestionó la ausencia de información sobre el tratamiento de estos datos recabados.
Si bien el Garante en su resolución declara que las compañías aéreas pueden tratar determinados datos de salud de estos pasajeros sin su consentimiento expreso cuando dicho tratamiento resulte necesario para garantizar la seguridad del transporte o para prestar la asistencia requerida durante el viaje, se debe proporcionar la adecuada información sobre dicho tratamiento. De este modo, la autoridad de control indicó que la recopilación de información sanitaria mediante el citado formulario podía estar justificada cuando resultara necesaria para verificar la aptitud para volar, así como para poder organizar la asistencia correspondiente a pasajeros con discapacidad o movilidad reducida.
En consecuencia, el problema no se debió a la ausencia de base legitimadora (esto es, la inexistencia de consentimiento expreso), sino en la información insuficiente facilitada a los pasajeros, así como en la conservación, durante siete años, de los formularios cumplimentados.
En este sentido, la política de protección de datos no permitía conocer, de forma clara, cuándo se iba a exigir el formulario cumplimentado, qué datos se iban a tratar, cuál era la base legitimadora que justificaba el tratamiento o el plazo durante el que los datos iban a ser conservados. Es por ello por lo que, entre otras cuestiones, se ha requerido a la compañía para que revise y actualice la información contenida en dicha política, de modo que explique con claridad qué pasajeros están obligados a cumplimentar el formulario y qué apartados deben rellenarse.
Adicionalmente, se tuvo constancia de que Emirates conservaba los datos obtenidos a través del formulario durante siete años después del viaje, un periodo que la autoridad de control ha considerado desproporcionado en relación con la finalidad perseguida. El Garante entendió que la compañía no había justificado adecuadamente la necesidad de mantener esos datos durante un plazo tan prolongado.
Es por ello por lo que la autoridad de control ha exigido a la compañía establecer periodos de conservación acordes con las finalidades del tratamiento y eliminar los datos que se hubieran conservado con carácter excesivo.
En este sentido, el hecho de que exista una base jurídica que legitime el tratamiento de los datos de salud no exime de cumplir la obligación de proporcionar información específica sobre dicho tratamiento, así como de definir plazos adecuados de conservación.
Puede acceder a la resolución sancionadora aquí.
