Al termine del procedimento istruttorio avviato a fine 2025, il Garante per la protezione dei dati personali ha stabilito che il sistema FaceBoarding utilizzato dalla SEA (Società per Azioni Esercizi Aeroportuali) nell’aeroporto di Milano Linate non rispetta il GDPR (Regolamento generale sulla protezione dei dati). La SEA aveva già sospeso il servizio a settembre 2025, quindi non sono state inflitte sanzioni.
Trattamento illecito dei dati dei passeggeri
All’inizio di maggio 2024, la SEA ha informato il Garante dell’installazione del sistema FaceBoarding nell’aeroporto di Milano Linate per velocizzare l’accesso al gate di imbarco attraverso il riconoscimento facciale. I passeggeri potevano effettuare la registrazione in app o ai chioschi in aeroporto e quindi consentire l’associazione del volto al documento di riconoscimento e alla carta di imbarco. Fino al 31 luglio 2025 era stato utilizzato da 24.550 passeggeri maggiorenni.
In seguito al parere del Comitato europeo per la protezione dei dati (EDPB), il Garante aveva avviato un procedimento il 16 dicembre 2024. Il sistema FaceBoarding, utilizzato per tre varchi, erano di natura ibrida. Ciò significa che veniva acquisita anche l’immagine del volto dei passeggeri non registrati, quindi senza il loro consenso.
L’autorità ha inoltre accertato che i template biometrici erano conservati sui server della SEA, per cui i passeggeri non potevano esercitare il controllo sui propri dati. Tra l’altro, i modelli biometrici non erano protetti con la crittografia e sono rimasti sui server per un periodo eccessivo (fino a 12 mesi), comportando così un aumento significativo dei rischi di violazioni dei dati personali. La SEA non ha infine rilasciato un’informativa con indicazioni corrette.
Le suddette violazioni sono durate oltre un anno, ovvero dal 7 maggio 2024 al 16 settembre 2025, quando la SEA ha sospeso l’uso di FaceBoarding e cancellato tutti i dati dei passeggeri, dopo l’ordine ricevuto dal Garante. Al termine del procedimento è stato confermato il trattamento illecito dei dati. Non sono state inflitte sanzioni perché il sistema non è più funzionante.
Ti potrebbe interessare
17 apr 2026