意大利Garante对阿联酋航空罚款18万欧元：MEDIF健康表单告知不透明、乘客难以预先判断是否需填写，且7年保存期限超限

案情源于一名乘客的投诉：该乘客称Emirates要求其填写MEDIF表单（Medical Information for Fitness to Travel or Special Assistance，旅行适宜性/特殊协助医疗信息表），而她认为自己并不属于必须填写该表的乘客类别。该表收集乘客健康信息，以及其医生与陪同人员的数据；投诉人同时对相关数据处理所提供的信息提出质疑。

在征询意大利民航局意见后，Garante认定：在为确保航空运输安全、向残疾或行动不便乘客提供适当协助所必需的情形下，通过MEDIF表单处理健康数据可以合法，故未认定其在数据收集合法性上违反GDPR第5(1)(a)至(c)条、第6(1)条与第9条。

但Garante认定，Emirates未就该处理提供足够清晰、完整与透明的信息：乘客无法预先便利地判断自身状况是否需要填写MEDIF表单，也无法清晰辨识处理目的、法律依据与保存期限等关键信息。Garante另认定，MEDIF数据适用7年保存期限，相对于评估旅行适宜性与行程中提供协助的目的而言过长。

据此，Garante就违反GDPR第5(1)(a)条、第5(1)(e)条、第12条与第13条对Emirates处以18万欧元行政罚款，并命令其在30日内整改：明确界定须填写MEDIF表单的乘客类别、具体说明哪些栏目与字段为必需，并为MEDIF数据设定适当保存期限、删除超出新定期限仍被留存的数据。在确定罚款金额时，Garante考虑了涉案乘客数量相对于Emirates整体客户群较为有限、不存在歧视投诉人的意图、已施加的整改措施，以及该公司此前无数据保护违规记录等因素。