Prescrizioni del Garante n. 164 del 12/03/2026

SEA - FaceBoarding aeroporto di Milano Linate: illiceità del trattamento di dati biometrici dei passeggeri

Il Garante ha esaminato d’ufficio il trattamento di dati biometrici effettuato da Società per Azioni Esercizi Aeroportuali S.E.A. tramite il sistema di riconoscimento facciale "FaceBoarding", impiegato per l’accesso all’area sterile e ai gate di imbarco dell’aeroporto di Milano Linate. Il procedimento trae origine dalla comunicazione preventiva della società e si è sviluppato alla luce dell’Opinion EDPB 11/2024 sul riconoscimento facciale per agevolare il flusso dei passeggeri aeroportuali.

Contesto istruttorio e riferimenti europei

L’Autorità, dopo la richiesta di informazioni del 16 dicembre 2024 e gli accertamenti ispettivi del 7 e 8 luglio 2025, ha verificato le caratteristiche tecniche e organizzative del sistema. Nel provvedimento viene richiamata l’Opinion 11/2024 del Comitato europeo per la protezione dei dati, che considera compatibili con il GDPR solo gli scenari in cui il passeggero conserva il controllo esclusivo del proprio modello biometrico; al contrario, lo Scenario 3.1, basato su conservazione centralizzata del template in banca dati all’interno dell’aeroporto sotto il controllo del gestore aeroportuale, è ritenuto non conforme agli artt. 5, par. 1, lett. f), 25 e 32 GDPR.

Caratteristiche del trattamento esaminate

Il sistema FaceBoarding consentiva ai passeggeri di iscriversi tramite chioschi aeroportuali o tramite App. In fase di enrollment venivano acquisiti documento di identità, carta d’imbarco e immagine del volto; il volto veniva trasformato in template biometrico per consentire il confronto all’accesso. Le verifiche hanno accertato che:

• il template biometrico era conservato in modo centralizzato nei sistemi SEA;
• le Digital Travel Credentials conservate sul dispositivo mobile contenevano solo alcuni dati del documento e il selfie, ma non attribuivano al passeggero il controllo del template biometrico;
• i database relativi a DTC e boarding pass erano cifrati con AES-256, mentre i template biometrici erano conservati in chiaro;
• per il programma a lungo termine la conservazione poteva arrivare fino al 31 dicembre dell’anno di adesione.

Violazioni riscontrate dal Garante

Il Garante ha ritenuto che il trattamento fosse illecito per più profili:

• violazione dell’art. 5, par. 1, lett. f), e dell’art. 32 GDPR, perché la sola compartimentazione dei dati in database distinti non garantiva una sicurezza adeguata e i template biometrici non erano cifrati;
• violazione dell’art. 5, par. 1, lett. e), per l’eccessiva durata della conservazione dei template biometrici, in particolare nel programma a lungo termine;
• violazione dell’art. 25 GDPR, poiché l’architettura del sistema non garantiva privacy by design e by default e non assicurava all’interessato un controllo diretto sul proprio modello biometrico;
• violazione dell’art. 13 GDPR, per l’informativa resa agli interessati tramite App, che indicava erroneamente la conservazione del modello biometrico esclusivamente sullo smartphone del passeggero;
• violazione dell’art. 6 GDPR, con riferimento ai passeggeri non aderenti che transitavano nei varchi ibridi: il sistema acquisiva comunque l’immagine del volto e generava, seppur per brevissimo tempo, il template biometrico senza una idonea base giuridica.

Valutazioni dell’Autorità sulla riconducibilità allo Scenario 3.1

Secondo il Garante, il FaceBoarding rientra pienamente nello Scenario 3.1 dell’Opinion 11/2024. La conservazione centralizzata del template nei server del gestore aeroportuale, unita all’assenza di cifratura del template e alla mancanza di un controllo esclusivo dell’interessato, rende il sistema incompatibile con gli artt. 5, 25 e 32 GDPR. Il ricorso a DTC memorizzate sul dispositivo del passeggero non è stato ritenuto sufficiente a spostare l’architettura del trattamento verso uno scenario lecito.

Esito finale e conseguenze

Il Garante ha dichiarato l’illiceità del trattamento effettuato da SEA ai sensi dell’art. 57, par. 1, lett. a), GDPR, senza disporre ulteriori misure correttive, poiché la società aveva già sospeso il servizio il 16 settembre 2025 e cancellato i dati personali trattati. Sono state ordinate l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità e la pubblicazione del provvedimento sul sito del Garante. Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.