L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre d'AMADEUS IT GROUP, S.A. (comprenant le prononcé d'une amende de 14 400 000 €) pour des manquements en lien avec l'information des personnes concernées et la base juridique d'un traitement de données à des fins de profilage. Cette affaire débute par une plainte anonyme datée du 26 septembre 2023, signalant une potentielle utilisation illicite de données personnelles pour du profilage dans le cadre d'un projet pilote.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'information lorsque les données n'ont pas été collectées auprès de la personne concernée (article 14 du RGPD) : AMADEUS a utilisé des données de dossiers passagers (PNR) datant de 2019 pour un projet pilote nommé "***PLATAFORMA.1" en 2022, constituant un traitement ultérieur pour une finalité non raisonnablement prévisible par les voyageurs au moment de la collecte. N'ayant pas de relation directe avec les personnes concernées (son activité étant interentreprises), la société n'a pas fourni d'information spécifique sur ce nouveau traitement, se contentant d'une mention générique dans sa politique de confidentialité, jugée insuffisante par l'autorité.

* Obligation de licéité du traitement (article 6 du RGPD) : La société a fondé le traitement des données pour le projet pilote "***PLATAFORMA.1" sur son intérêt légitime. L'autorité a jugé cette base juridique inapplicable, notant que les données ont été traitées trois ans après la réservation initiale pour une finalité distincte. De plus, un document interne d'AMADEUS ("***PRESENTACIÓN.1") indiquait que l'intérêt légitime ne devait pas être utilisé pour ce traitement, confirmant l'absence de base juridique valable.

En conséquence, l’autorité a imposé une amende de 14 400 000 € à AMADEUS IT GROUP, S.A., après une réduction de 20 % sur la sanction initiale de 18 000 000 € pour paiement volontaire.