Prescrizioni del Garante n. 489 del 11/09/2025

Limitazione provvisoria del trattamento biometrico FaceBoarding presso l’aeroporto di Milano Linate

Il Garante ha adottato nei confronti di Società per Azioni Esercizi Aeroportuali S.E.A. una misura di limitazione provvisoria del trattamento dei dati biometrici dei passeggeri effettuato tramite il sistema "FaceBoarding" per l’accesso all’area sterile e ai gate di imbarco dell’aeroporto di Milano Linate. Il provvedimento è stato emesso in via d’urgenza, all’esito di una richiesta di informazioni, di riscontri documentali e di accertamenti ispettivi.

Origine del procedimento e quadro di riferimento

Il procedimento prende avvio dalla richiesta di informazioni del 16 dicembre 2024 ex art. 157 del Codice privacy, seguita dalla nota del 14 febbraio 2025, dalla comunicazione del 14 aprile 2025, dagli accertamenti ispettivi del 7 e 8 luglio 2025 e dalla nota di chiarimenti del 31 luglio 2025. Nel motivare la decisione, il Garante richiama il GDPR, il Codice privacy e il parere n. 11/2024 dell’EDPB del 24 maggio 2024, dedicato all’uso del riconoscimento facciale per agevolare il flusso dei passeggeri in aeroporto.

Esito delle verifiche sul sistema FaceBoarding

Dalle verifiche è emerso che il template biometrico viene interamente conservato in un sistema centralizzato di SEA, sia quando l’adesione avviene tramite i chioschi aeroportuali, sia quando avviene tramite l’App dedicata. Anche nell’ipotesi di adesione via App, all’interno delle Digital Travel Credential risultano memorizzati solo i dati del documento d’identità e l’immagine del volto acquisita tramite selfie, mentre il template biometrico resta nel sistema centralizzato della Società.

Secondo il Garante, ciò impedisce all’interessato un controllo attivo ed esclusivo sui propri dati biometrici e rende la soluzione pienamente riconducibile allo scenario 3 dell’Opinion n. 11/2024, scenario ritenuto non conforme al Regolamento.

Violazioni riscontrate

Il Garante ha rilevato plurime non conformità, in particolare:

• violazione dell’art. 5, par. 1, lett. f), del GDPR, per la conservazione centralizzata dei template biometrici senza adeguata garanzia di integrità e riservatezza;
• violazione degli artt. 25 e 32 del GDPR, per l’assenza di adeguate misure tecniche e organizzative e, in particolare, per la mancata cifratura dei template biometrici;
• violazione dell’art. 5, par. 1, lett. e), del GDPR, per tempi di conservazione fino a 12 mesi nel caso di adesione al "Programma a lungo termine";
• violazione dell’art. 13 del GDPR, poiché l’informativa contiene un’indicazione inesatta sul luogo di conservazione del modello biometrico per l’adesione tramite App, facendo erroneamente riferimento allo smartphone del passeggero;
• violazione dell’art. 6 del GDPR, in quanto i varchi dedicati sono di natura ibrida e possono generare il template biometrico anche per passeggeri non aderenti al sistema, pur in assenza di consenso.

Valutazioni del Garante sulla non conformità del trattamento

Il Garante osserva che il sistema FaceBoarding, così come implementato, comporta la memorizzazione dei template biometrici in un archivio centralizzato presso il gestore aeroportuale, senza che l’interessato mantenga un potere di controllo esclusivo sui propri dati. Per tale ragione il trattamento rientra nello scenario 3 dell’Opinion n. 11/2024, scenario che l’EDPB ha ritenuto non conforme al GDPR.

Inoltre, la combinazione tra natura dei dati trattati, conservazione centralizzata, assenza di cifratura e tempi di conservazione estesi accentua il rischio per i diritti e le libertà degli interessati.

Urgenza dell’intervento e destinatari della misura

Il provvedimento sottolinea che il trattamento era ancora in essere presso l’aeroporto di Milano Linate e che, al 31 luglio 2025, aveva riguardato 24.550 interessati. Considerata la gravità delle violazioni, l’elevato numero di soggetti coinvolti e la particolare delicatezza dei dati biometrici, il Garante ha ritenuto necessario intervenire senza indugio per tutelare gli interessi degli interessati.

Misura adottata e effetti

Ai sensi dell’art. 58, par. 2, lett. f), del GDPR, il Garante dispone nei confronti di SEA la limitazione provvisoria del trattamento dei dati biometrici dei passeggeri tramite FaceBoarding. La limitazione:

• ha effetto immediato dalla ricezione del provvedimento;
• dura per il tempo necessario al completamento dell’istruttoria;
• è adottata salva successiva ulteriore valutazione dell’Autorità.

Il provvedimento dispone inoltre la pubblicazione sul sito internet dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019, nonché l’annotazione delle violazioni e delle misure nel registro interno previsto dall’art. 57, par. 1, lett. u), del GDPR.

Profili sanzionatori e rimedi

Il Garante richiama infine che l’inosservanza della misura disposta può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. e), del GDPR. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 del GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.