La Agencia Española de Protección de Datos (AEPD) impuso una multa inicial de 18 millones de euros a Amadeus IT Group, uno de los mayores proveedores mundiales de tecnología para la industria del turismo en el mundo- esto tras concluir que la compañía reutilizó datos personales de viajeros para desarrollar un proyecto de perfilado comercial sin una base jurídica válida y sin cumplir con las obligaciones de información establecidas en el Reglamento General de Protección de Datos (GDPR). La empresa se acogió posteriormente al mecanismo de pago voluntario previsto por la legislación española, razón por la cual la AEPD redujo la sanción en junio pasado a 14,4 millones de euros, aunque anunció que recurrirá la resolución.
La investigación del ente regulador se centró en un proyecto piloto desarrollado por la empresa entre 2021 y 2022 para crear nuevas capacidades de análisis y personalización dirigidas a aerolíneas, hoteles y otros actores del sector turístico. Para ello, Amadeus utilizó datos históricos procedentes de su sistema global de distribución (GDS), incluyendo información asociada a reservas realizadas años antes, con el objetivo de identificar patrones de comportamiento y desarrollar herramientas de segmentación comercial.
La AEPD concluyó que el tratamiento excedía la finalidad para la cual los datos habían sido recopilados originalmente. Según la resolución, la información había sido obtenida para gestionar reservas de viaje y posteriormente fue utilizada para una finalidad distinta relacionada con el desarrollo de nuevos productos comerciales, sin acreditar una base jurídica suficiente para ese nuevo tratamiento. Por ello, la autoridad impuso una sanción de nueve millones de euros por infracción del artículo 6 del GDPR, relativo a la licitud del tratamiento.
Las conclusiones de la AEPD y el principio de finalidad
La segunda infracción correspondió al artículo 14 del GDPR, que regula el deber de información cuando los datos personales no son obtenidos directamente del titular. La autoridad determinó que los viajeros no fueron informados de que sus datos serían reutilizados dentro del proyecto de perfilado, motivo por el cual aplicó otros nueve millones de euros en sanciones.
En su resolución, la AEPD señaló que el tratamiento realizado por la empresa no cumplía con los requisitos del Reglamento al considerar que “los datos personales fueron tratados para una finalidad distinta de aquella para la que fueron recogidos”.
Durante el procedimiento, Amadeus sostuvo que el proyecto correspondía a una iniciativa de investigación y desarrollo y que los datos habían sido sometidos a procesos de seudonimización. Sin embargo, la autoridad estimó que esa circunstancia no eliminaba la necesidad de contar con una base jurídica válida ni eximía del cumplimiento de las obligaciones de transparencia previstas por el GDPR.
Tras conocerse la resolución, la compañía confirmó que recurrirá la decisión judicialmente. Al mismo tiempo, realizó el pago anticipado de la multa para acogerse a la reducción contemplada en la normativa española, disminuyendo el monto definitivo a 14,4 millones de euros sin que ello implicara aceptar la responsabilidad por las infracciones sancionadas.
El caso se ha convertido en uno de los precedentes más relevantes en materia de protección de datos en Europa al abordar la reutilización de información histórica para proyectos de analítica y personalización.
Diversos análisis jurídicos coinciden en que la resolución refuerza la necesidad de que las organizaciones evalúen la finalidad, la base jurídica y las obligaciones de transparencia antes de reutilizar datos personales para nuevos tratamientos, especialmente en iniciativas relacionadas con inteligencia artificial y análisis masivo de información.
