Données de santé des passagers : le Garante inflige 180 000 euros à Emirates, pour une information lacunaire et une conservation de sept ans

12/10/26
👈 les autres actualités

Le Garante, l'autorité italienne de protection des données, a infligé le 14 mai 2026 une amende de 180 000 euros à Emirates pour la manière dont la compagnie traitait les données de santé collectées via le formulaire MEDIF, demandé aux passagers à mobilité réduite ou ayant un besoin médical. La collecte elle-même a été jugée licite. Ce qui est sanctionné, c'est une information insuffisante et une conservation de sept ans après le voyage. Présentée dans la newsletter du Garante du 17 juin, la décision a été relayée par le Comité européen de la protection des données (EDPB) le 9 octobre.

Ce que le Garante reproche à Emirates

Tout part de la plainte d'une passagère, déposée le 29 janvier 2025. Selon elle, Emirates lui avait demandé de remplir le formulaire MEDIF (Medical Information for Fitness to Travel or Special Assistance) alors qu'elle n'entrait pas dans les catégories de passagers tenues de le faire, sans information préalable sur le traitement de ses données. Le formulaire recueille des informations sur l'état de santé du passager, sur son médecin traitant et sur un éventuel accompagnateur.

Après la notification des griefs le 30 septembre 2025 et le mémoire en défense de la compagnie le 31 octobre, le Garante a saisi l'ENAC, l'autorité italienne de l'aviation civile, qui a répondu le 16 mars 2026 que le traitement des données collectées via le MEDIF était « strettamente funzionale » à un transport en sécurité et à l'assistance des passagers.

Sur cette base, le Garante n'a retenu aucun manquement sur la licéité du traitement (articles 5, paragraphe 1, a) à c), 6, paragraphe 1, et 9 du RGPD). Il a en revanche retenu deux séries de manquements :

  • Transparence (articles 5, paragraphe 1, a), 12 et 13) : la page du site consacrée au MEDIF se limitait à une phrase sur l'évaluation de l'aptitude au vol, et la politique de confidentialité ne mentionnait les données de santé que de façon générique. Un passager ne pouvait pas savoir à l'avance si son état de santé l'exposerait à ce traitement. À la date de la décision, la durée de conservation n'était toujours pas indiquée.
  • Limitation de la conservation (article 5, paragraphe 1, e) : le MEDIF était conservé pendant le voyage, puis sept ans.

Pourquoi c'est important

La décision sépare deux questions : avoir le droit de collecter une donnée de santé, et la traiter correctement. Une base légale solide au titre de l'article 9 du RGPD, ici validée par le régulateur sectoriel, ne dispense ni d'une information précise, ni d'une durée de conservation justifiée par la finalité.

L'argumentaire d'Emirates sur la conservation mérite attention, parce qu'il est répandu. La compagnie invoquait les obligations d'audit du secteur aérien et la défense de ses droits, en citant un délai de prescription de quinze ans aux Émirats arabes unis et de dix ans en Italie. Le Garante répond que la finalité, vérifier l'aptitude au vol avant le voyage, ne justifie qu'une conservation courte liée au voyage, et qu'un contentieux survenant des années après un trajet sans réclamation est un risque « del tutto astratto e di scarsa probabilità ». Emirates rappelait d'ailleurs elle-même que la Convention de Montréal fixe à deux ans le délai pour agir en responsabilité contre le transporteur, et indiquait étudier une durée plus courte, par exemple trois ans.

Le Garante a pris en compte des circonstances atténuantes : un nombre de personnes limité au regard de la clientèle (environ 7 300 passagers en 2024 sur quelque 53,7 millions transportés, selon les chiffres d'Emirates), l'absence d'intention de discriminer la plaignante, et l'absence de précédent. Le Garante a aussi sanctionné cette année une entreprise pour des questionnaires de santé imposés à ses salariés.

Ce que ça change pour les organisations

Outre l'amende, le Garante a enjoint à Emirates, dans les 30 jours suivant la notification, de recenser les catégories de passagers réellement tenues de remplir le MEDIF, de préciser quels champs sont nécessaires, de fixer des durées de conservation et d'effacer les données qui les dépassent, avec un compte rendu documenté. C'est une bonne grille de relecture pour tout formulaire qui collecte des données de santé :

  • Dire qui est concerné. La personne doit pouvoir savoir, avant de contracter, si sa situation déclenchera la collecte.
  • Informer là où l'on collecte. Une politique de confidentialité générale en pied de page ne suffit pas : la finalité, la base légale et la durée doivent être accessibles sur la page du formulaire.
  • Distinguer les champs obligatoires des champs facultatifs, catégorie de personnes par catégorie de personnes.
  • Justifier la durée par la finalité, et non par le plus long délai de prescription disponible. Voir aussi le guide Leto sur les durées de conservation.
  • Purger le stock. Fixer une nouvelle durée ne suffit pas : le Garante exige l'effacement des données déjà conservées au-delà.

Ce que Leto en pense

Cette décision rappelle qu'une sanction peut porter sur un traitement licite. Le Garante a validé la collecte et sanctionné ce qui l'entoure : une information introuvable et une durée calée sur le pire scénario contentieux. Pour un DPO, c'est un argument utile face aux métiers : la durée de conservation se déduit de la finalité inscrite au registre, et elle doit figurer dans l'information donnée au moment de la collecte. Relier registre et durées de conservation, c'est le travail quotidien que Leto aide à tenir : demander une démo.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo