Facepass Privacy Policy

GE.S.A.C. S.p.A., con sede legale presso Uffici Direzionali GESAC - Aeroporto di Capodichino 80144 - Napoli (“Gesac”), in qualità di titolare del trattamento informa i passeggeri che intendono prendere parte al progetto sperimentale “Face Pass” delle modalità di trattamento dei propri dati, anche biometrici (“Progetto” o “Servizio”).
 

1. Tipologie di dati trattati e modalità di raccolta
    

   Il Servizio potrà essere utilizzato solo da soggetti che abbiano compiuto il diciottesimo anno di età e muniti di carta d’identità elettronica emessa dopo gennaio 2016 o passaporto (documenti standard ICAO 9303).

   Gesac tratterà alcuni Suoi dati personali, senza i quali non sarebbe possibile partecipare al Progetto, da Lei comunicati tramite il chiosco a ciò dedicato (“Chiosco”).

   In particolare, sono trattati i seguenti dati personali (“Dati Personali”):

   a) dati contenuti nel passaporto, quali, ad esempio: nome, cognome, codice MRZ, data di emissione e data di scadenza, fotografia riportata sul passaporto (la fotografia riportata sul documento sarà memorizzata solo temporaneamente al fine di elaborare un “primo template biometrico” relativo alle caratteristiche del viso, che sarà confrontato con quello rilevato ed elaborato in tempo reale dalla fotocamera presente sui dispositivi; dopo la verifica, tale template sarà cancellato);
   
   b) dati contenuti nella carta di imbarco (numero e data del volo, aeroporto di partenza e di destinazione e numero di posto), necessari per permettere i consueti controlli aeroportuali;
   
   c) un’immagine del volto del passeggero scattata presso il Chiosco, dalla quale saranno estrapolati i tratti salenti, misurati e trasformati in un “secondo template biometrico”, che non permette comunque di risalire all’immagine originariamente acquisita, la quale viene immediatamente cancellata dal dispositivo, e che, a seguito del positivo confronto con il “primo template biometrico”, dà origine ad un Secure Travel Token (“token”), il quale viene memorizzato in forma cifrata e trasmesso, assieme ai dati di cui alle precedenti lettere a) e b), ad un archivio elettronico in cloud, situato in UE e protetto con elevate misure di sicurezza.
    
2. Finalità, basi giuridiche del trattamento e natura del conferimento dei Dati Personali
    

   I Dati Personali vengono acquisiti e trattati con la finalità di eseguire le operazioni di autenticazione dei passeggeri, richieste dalla normativa applicabile, nell’ambito delle verifiche di imbarco sui voli effettuate con la tecnologia del riconoscimento facciale. 

   Il Progetto offre l’opportunità di migliorare la sicurezza, l’efficienza operativa, aumentando la soddisfazione dei passeggeri e ottimizzando le risorse e i tempi di risposta. Si tratta di un Progetto “pilota”, che coinvolgerà un numero esiguo di passeggeri, la partecipazione dei quali sarà a titolo strettamente volontario.

   L’adesione al Progetto è del tutto facoltativa: i passeggeri rimangono liberi di utilizzare le consuete modalità di accesso ai varchi aeroportuali, mediante lettura della carta di imbarco in proprio possesso, ferma, ove richiesta (ad es., presso i gate di imbarco), la verifica del relativo documento di riconoscimento.

   Il trattamento dei dati biometrici del passeggero (relativi alle caratteristiche del volto necessarie per il riconoscimento facciale) può essere effettuato da Gesac solo se il passeggero che intende aderire alla sperimentazione ha prestato il proprio consenso esplicito ex art. 9, par. 2, lett. a) GDPR in relazione all’art. 6, par. 1, lettera (a) GDPR; il trattamento degli ulteriori dati personali sopra indicati è necessario per dare esecuzione alla richiesta di adesione del medesimo passeggero al Progetto ed alla prestazione dei relativi servizi, per adempiere ai correlati obblighi normativi ed amministrativi e per perseguire legittimi interessi correlati allo svolgimento da parte di Gesac delle attività organizzative e tecniche inerenti il funzionamento e la sicurezza del Servizio, la verifica della relativa affidabilità e l’analisi e valutazione dei risultati della sperimentazione.

   Pertanto, qualora Lei decida di negare il Suo consenso al trattamento dei Suoi Dati Personali e di non fornirli, non potrà usufruire del Servizio, ma potrà in ogni caso accedere ai controlli di sicurezza ed effettuare le operazioni di imbarco secondo modalità tradizionali.

3.  Processo decisionale automatizzato, logica utilizzata ed effetti
    

   La Sua scelta di effettuare le operazioni di autenticazione tramite biometria comporta che la verifica della Sua identità avverrà in maniera interamente automatizzata. A tal fine è necessaria la Sua preventiva registrazione al Programma presso il Chiosco ubicato in aeroporto. La verifica interamente automatizzata della Sua identità e della titolarità della carta di imbarco, ai fini della registrazione, si basa (a) sulla corrispondenza tra i template biometrici dell’immagine del volto memorizzata nel Suo documento d’identità e quello dell’immagine acquisita tramite il Chiosco; (b) sulla correlazione tra le generalità del Suo documento d’identità e l’intestazione della carta d’imbarco; e (c) sulla verifica della validità dei dati relativi alla carta d’imbarco e del Suo documento d’identità.

   Qualora la registrazione non andasse a buon fine, i Dati Personali forniti durante il processo di registrazione saranno immediatamente cancellati. In ogni caso, Lei avrà la possibilità di richiedere l’intervento di un operatore e accedere all’area security e all’imbarco seguendo le tradizionali procedure manuali.

4.  Destinatari dei Dati Personali
   
   Fermo restando il rispetto del principio di minimizzazione e di proporzionalità, i Dati Personali potranno essere resi accessibili ai seguenti soggetti per le finalità sopra elencate:
   
   a) ai dipendenti e ai collaboratori di Gesac, sulla base delle istruzioni ricevute da Gesac e sotto la sua autorità;
   
   b) a società, consulenti e/o professionisti cui Gesac ricorre nell’erogazione dei propri servizi fra cui, in particolare, al fornitore incaricato dello sviluppo e della gestione tecnica del sistema di autenticazione tramite riconoscimento facciale, debitamente nominati come responsabili del trattamento;
   
   c) a soggetti (ivi incluse le pubbliche autorità) che hanno accesso ai Dati Personali in forza di provvedimenti normativi o amministrativi; 
   
   d) limitatamente ai Dati Personali relativi alla carta di imbarco, alle compagnie aeree coinvolte, sulla base del legittimo interesse delle stesse a eseguire le relative verifiche tramite tali modalità tecnologiche per accertare la validità della carta di imbarco e consentirle di accedere all’aeromobile (verifiche che sono richieste dal Piano per la Sicurezza Nazionale elaborato da ENAC).
   
   I Dati Personali saranno sottoposti ai più elevati standard di sicurezza e verranno conservati esclusivamente in forma crittografata. In nessun caso i Dati Personali verranno diffusi o, comunque, comunicati ad un numero indeterminato di soggetti.
5. Periodo di conservazione dei Dati Personali
   
   I dati contenuti nel Token saranno conservati per un arco temporale massimo di dieci ore. 
   In particolare: 
   
   - il Token potrà essere creato e attivato fino a quattro ore antecedenti all’orario di partenza previsto del volo; 
   
   - il Token e i relativi Dati Personali saranno cancellati immediatamente dopo l’imbarco del passeggero (avvenuto utilizzando il face-pod biometrico al gate); 
   
   - nel caso in cui il passeggero non effettui l’imbarco (ad esempio a causa di ritardo del volo) il Token e i Dati Personali ivi contenuti saranno conservati sino ad un massimo di sei ore successive all’orario di partenza del volo, per consentire al passeggero di imbarcarsi, e comunque non oltre l’imbarco effettivo. 
       
6. Diritti dell’interessato
   
   In relazione al trattamento dei Suoi Dati Personali, Le viene riconosciuta la facoltà di esercitare i seguenti diritti:
   
   - chiedere al Titolare del trattamento l’accesso ai propri dati personali ed alle informazioni relative agli stessi; la rettifica dei dati inesatti o l’integrazione di quelli incompleti; la cancellazione dei dati personali che lo riguardano (al verificarsi di una delle condizioni indicate nell’art. 17, paragrafo 1 del Regolamento e nel rispetto delle eccezioni previste nel paragrafo 3 dello stesso articolo); la limitazione del trattamento dei dati personali conferiti (al ricorrere di una delle ipotesi indicate nell’art. 18, paragrafo 1 del GDPR);
   
   - richiedere ed ottenere dal Titolare del trattamento - nelle ipotesi in cui la base giuridica del trattamento sia il contratto o il consenso, e lo stesso sia effettuato con mezzi automatizzati - i dati personali conferiti in un formato strutturato e leggibile da dispositivo automatico, anche al fine di comunicare tali dati ad un altro titolare del trattamento (c.d. diritto alla portabilità dei dati personali);
   
   - opporsi in qualsiasi momento al trattamento dei dati personali conferiti al ricorrere di situazioni particolari che riguardano l’Interessato;
   
   - revocare in qualsiasi momento il consenso prestato, limitatamente alle ipotesi in cui il trattamento sia basato sul consenso per una o più specifiche finalità e riguardi dati personali comuni (ad esempio data e luogo di nascita o luogo di residenza), oppure particolari categorie di dati (ad esempio dati che rivelano l’origine razziale dell’Interessato, le sue opinioni politiche, le sue convinzioni religiose, lo stato di salute o la vita sessuale). Il trattamento basato sul consenso ed effettuato antecedentemente alla revoca dello stesso, conserva, comunque, la sua liceità;
   
   - proporre reclamo a un’autorità di controllo (Autorità Garante per la protezione dei dati personali – www.garanteprivacy.it).
7. Trasferimento dei Dati Personali
    

   I Suoi Dati Personali saranno trattati all’interno dell’Unione Europea.

    

   GE.S.A.C. S.p.A.

   novembre 2024