撰文、编辑 / Kaamel Labs
2026年10月9日，欧洲数据保护委员会（EDPB）发布阿联酋航空乘客健康数据案英文摘要。意大利数据保护机构此前认定，阿联酋航空未充分告知乘客健康数据处理情况，且数据保存期限过长，违反GDPR相关规定。据此，监管机构对阿联酋航空处以18万欧元罚款，并责令整改。
案件起因于一名乘客投诉，称其被要求填写医疗信息表（MEDIF），但航空公司未明确说明该表格的适用情形及数据处理规则。MEDIF用于收集乘客健康状况、医生及陪同人员信息，以评估飞行适宜性或安排特殊协助。
意大利监管机构咨询国家民航局（ENAC）后确认，为保障飞行安全及提供必要协助，处理必需的健康数据本身不违法。监管重点在于告知义务的履行及数据最小化原则的遵守。最终认定阿联酋航空违反GDPR第5条第1款(a)、(e)项，以及第12条、第13条。
MEDIF表格的数据处理告知不足
阿联酋航空辩称，网站页脚已提供一般隐私政策及联系渠道，足以履行告知义务。但监管机构指出，MEDIF页面仅概括说明用于评估飞行安全，一般隐私政策也未明确哪些情形需填写该表，导致乘客无法预判自身是否属于填表范围。
尽管阿联酋航空在调查期间补充了隐私政策链接，但未说明处理目的、法律依据及具体保存期限，仍不符合告知要求。监管机构要求公司依据航空规则，明确需填表的乘客类别，并在页面中清晰标注必填项与选填项。仅在隐私政策中笼统列出“健康数据”类别，无法满足透明性要求。
健康数据保存期限缺乏合理性
阿联酋航空将MEDIF数据保存至行程结束后七年，理由包括航空安全审计及应对潜在诉讼。监管机构认为，数据收集目的是评估飞行适宜性，保存期限应与旅行完成直接相关。对于无争议的行程，多年后发生诉讼的可能性较低且抽象，不足以证明长期保存健康数据的必要性。
监管机构认定此举违反存储限制原则，要求公司重新评估并设定合理期限，删除超期数据。监管机构未指定统一年限，而是要求企业自行论证期限合理性。
此案例提示企业，参考诉讼时效设定保存期限时，需具体阐释数据与潜在争议间的关联，例如说明保留完整健康资料对应对争议的实际必要性，而非单纯依赖时效长度。
参考文献
EDPB案件摘要见：https://www.edpb.europa.eu/news/italian-dpa-fines-emirates-eur-180-000-for-infringements-concerning-passengers-health-data_en；意大利数据保护机构处罚决定（第4.1、4.2、6节）见：https://garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10259296。
Kaamel 简介
Kaamel 始终站在隐私保护的前沿，我们坚信通过技术驱动的方式帮助企业识别和解决隐私合规风险。
创新的 Kaamel AI 检测引擎依托主流法规和监管判例，可以帮助企业快速、全面识别自身的隐私合规风险。Kaamel 也为企业提供全方位的隐私合规解决方案，助力企业在出海业务经营中更加有效地应对监管和用户需求，减轻隐私风险与合规隐患，在国际化市场建立隐私信任。
