← España

PS-00005-2025

1/53  Expediente N.º: EXP202315175 IMI Reference: A56ID 590304 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes CONTENIDO ANTECEDENTES..........................................................................................................4 PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos............................................................................................................4 SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 31 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación ............................................................................................4 TERCERO: En respuesta a requerimiento de información de esta Agencia, el 18 de diciembre de 2023 tuvo entrada un escrito de AMADEUS.........................................5 CUARTO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, esta Agencia transmitió la citada cuestión el día 22 de diciembre de 2023..........................................................5 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación....................................................................6 .-1-. Ampliación de la denuncia...............................................................................6 .-2-. Marco normativo..............................................................................................6 .-3-. Glosario...........................................................................................................7 .-4-. Sobre AMADEUS............................................................................................8 .-4.1-. Sobre el funcionamiento de AMADEUS....................................................8 .-4.2-. Sobre el origen de los datos personales de los pasajeros y la base de legitimación para la recogida de dichos datos...................................................11 .-4.3-. Sobre la política de privacidad de GDS de AMADEUS...........................12 .-4.4-. Sobre el papel de responsable y encargado de cada uno de los intervinientes.....................................................................................................14 .-4.5-. Sobre el Registro de Nombres de Pasajeros (PNR) y la Directiva PNR..19 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/53 .-4.6-. Respecto al Registro de Actividades de Tratamiento (RAT)....................19 .-4.7-. Sobre la Evaluación de impacto en el tratamiento de datos personales en el sistema de reservas de AMADEUS...............................................................20 .-4.8-. Respecto a los plazos de conservación de los PNR...............................20 .-5-. Sobre ***PLATAFORMA.1 (***PLATAFORMA.1)..........................................23 -.5.1.- Sobre el conocimiento de ***PLATAFORMA.1.......................................23 -.5.2.- Información sobre el producto ***PLATAFORMA.1................................27 -.5.3.- Descripción del producto ***PLATAFORMA.1........................................28 -.5.4.- Sobre los contratos con las cadenas hoteleras.......................................33 -.5.5.- Sobre el servicio ***SERVICIO.1............................................................39 -.5.6.- Sobre la EIPD de ***PLATAFORMA.1....................................................40 -.5.7.- Sobre el Interés legítimo como Base de legitimación..............................43 -.5.8.- Sobre la información aportada a los interesados para ***PLATAFORMA.1 .......................................................................................................................... 44 -.5.9.- Sobre los datos utilizados en ***PLATAFORMA.1..................................47 -.5.10.- Sobre la implicación de las aerolíneas en ***PLATAFORMA.1.............48 -.5.11.- Información aportada sobre ***EMPRESA.1.........................................49 -.5.12.- Información de ***ORGANISMO.1........................................................50 .-6-. Sobre el número de viajeros involucrados.....................................................50 .-6.1-. Número de clientes cuyos datos fueron utilizados..................................51 SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR...............51 SÉPTIMO: Con fecha 22 de abril de 2025, la Presidencia de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador..................................51 OCTAVO: Con fecha 21 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AMADEUS..........51 NOVENO: En fecha 29 de mayo de 2025, AMADEUS ha procedido al pago de la sanción..................................................................................................................... 52 HECHOS PROBADOS................................................................................................52 FUNDAMENTOS DE DERECHO.................................................................................82 I Competencia......................................................................................................... 83 II Cuestiones previas...............................................................................................83

  1. Tratamiento de datos personales......................................................................83
  2. Rol de AMADEUS.............................................................................................85
  3. Tratamiento de datos personales transfronterizo..............................................86 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/53 III Obligación incumplida. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado.....................................................86 IV Tipificación de la infracción del artículo 14 del RGPD y calificación a efectos de prescripción.............................................................................................................. 93 V Sanción por la infracción del artículo 14 del RGPD..............................................93 VI Obligación incumplida. Licitud del tratamiento....................................................96 VII Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción............................................................................................................ 105 VIII Sanción por la infracción del artículo 6 del RGPD...........................................106 IX Terminación del procedimiento por pago voluntario...........................................108 la Presidencia de la Agencia Española de Protección de Datos RESUELVE:............109 ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a AMADEUS IT GROUP, S.A. con NIF A84236934 (en adelante, AMADEUS), a través de una denuncia anónima de fecha 26 de septiembre de
  4. Los hechos que se pusieron en conocimiento de esta autoridad eran: La posible existencia de un uso indebido de datos para la elaboración de perfiles en la actividad desarrollada por uno de los principales gestores de reservas aéreas en la UE, Amadeus IT Group, S.A., y la línea aérea ***EMPRESA.1 La denuncia sugiere que estarían involucrados otros responsables y encargados de tratamiento sobre los que son competentes las autoridades de protección de datos sueca, (...), alemana (LDI) y belga, así como la Comisión Europea. En la denuncia se analiza la doble condición de responsable y encargado de tratamiento de los grandes sistemas de distribución global (GDS), como AMADEUS, dependiendo de la vía por la que los clientes realizan la reserva de vuelo (a través de una agencia de viajes o de una compañía aérea), y se pone de manifiesto que: los datos personales de viajeros de todo el mundo se han consolidado en una plataforma de datos gracias a los sistemas ***EMPRESA.2 y ***PLATAFORMA.1 (***PLATAFORMA.1). se ha llevado a cabo un perfilado de los mismos reuniendo el historial de viajes asociados por una persona concreta y que han sido reservados y efectuados a través de las distintas agencias y líneas aéreas. Según los hechos denunciados, el uso indebido afectaría a más de 12.000 millones de datos, incluidos los datos de millones de españoles, habiéndose constatado que de los clientes no se solicita consentimiento en ningún caso, no siendo tampoco informados por el GDS cuando este actúa como responsable de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/53 En la denuncia también se destaca que el plazo de conservación de los datos no es el adecuado. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 31 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: En respuesta a requerimiento de información de esta Agencia, el 18 de diciembre de 2023 tuvo entrada un escrito de AMADEUS en el que manifestaba que: “.- “tratamiento GDS* (por sus siglas en inglés, Global Distribution System, un sistema que permite realizar reservas utilizado por entidades del sector de viajes como aerolíneas, hoteles, agencias de viajes, etc.) GDS*: Amadeus es un proveedor de tecnología para la industria del viaje (su actividad es B2B). Como tal, provee a las empresas que operan en el sector del viaje como como, por ejemplo, aerolíneas, hoteles, trenes, aeropuertos u otras con la tecnología y las soluciones que les permiten llevar a cabo su actividad. […] .- El responsable del tratamiento es Amadeus IT Group, S.A. con domicilio en la calle Salvador de Madariaga 1, 28027 Madrid, España. Amadeus IT Group, S.A. es la sociedad matriz del grupo, donde se produce la toma de decisiones y se configura todo el tratamiento relativo a GDS, siendo por lo tanto el establecimiento relevante a estos efectos. […] .- el grupo de empresas de Amadeus cuenta con distintas empresas en el Espacio Económico Europeo. Todas ellas son empresas independientes pertenecientes al mismo grupo. […] .- El establecimiento principal se sitúa en España donde Amadeus IT Group, S.A. (con domicilio en la calle Salvador de Madariaga 1, 28027 Madrid, España) lleva la administración central. […] .- El tratamiento afecta sustancialmente a interesados en más de un Estado miembro (esto es, a viajeros de cualquier Estado miembro) y tiene carácter transfronterizo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/53 CUARTO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, esta Agencia transmitió la citada cuestión el día 22 de diciembre de
  5. El traslado de esta cuestión al resto de autoridades se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que AMADEUS tiene su establecimiento único o principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada” las autoridades de Países Bajos, Suecia, Estonia, Austria, Noruega, Lituania, Francia, Italia, Hungría, Bélgica, Dinamarca, Irlanda, Polonia, Eslovaquia, Finlandia y las autoridades alemanas de Renania-Palatinado, Baden-Wurtemberg, Renania del Norte-Westfalia, Berlín, Baviera- Sector Privado y Hesse. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: .-1-. Ampliación de la denuncia - Con fechas 21 de octubre de 2024 y 26 de diciembre de 2024, se recibió en esta Agencia sendos escritos de denuncia con el objeto de sugerir posibles sanciones e informar sobre una nueva denuncia remitida a cuatro reguladores europeos (Portugal, Islandia, Finlandia y Grecia) en los que hay aerolíneas que utilizan el software de AMADEUS. .-2-. Marco normativo Durante las actuaciones previas de investigación se han identificado como relevantes las siguientes referencias normativas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/53 • REGLAMENTO (CE) No 80/2009 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 14 de enero de 2009 por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) nº 2299/89 del Consejo. [RE80/2009_Código_conducta_SIR] • DIRECTIVA (UE) 2016/681 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativa a la utilización de datos del registro de nombres de los pasajeros (PNR) para la prevención, detección, investigación y enjuiciamiento de los delitos de terrorismo y de la delincuencia grave. [DIR2016/681-PNR] • Ley Orgánica 1/2020, de 16 de septiembre, sobre la utilización de los datos del Registro de Nombres de Pasajeros para la prevención, detección, investigación y enjuiciamiento de delitos de terrorismo y delitos graves. [LO1/2020-PNR] • DIRECTIVA 2004/82/CE DEL CONSEJO de 29 de abril de 2004 sobre la obligación de los transportistas de comunicar los datos de las personas transportadas. • SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala) de 21 de junio de
  6. Asunto C-817/
  7. [Sentencia_C-817/19] .-3-. Glosario Debido a la complejidad de las siglas y acrónimos, se añade un glosario para facilitar la lectura del presente documento: • • • • • • • • C/ Jorge Juan, 6 28001 – Madrid BIDT: Billing Information Data Tapes CDS: Common Data Service CPR: Customer Product Record CRS: Computer Reservation System / SIR (sistema informatizado de reserva) DCS: Departure Control System e-ticketing or EMD (Electronic Miscellaneous Document) EIPD: Evaluación de Impacto relativa a la Protección de Datos GDS: Un Sistema de Distribución Global (GDS) es un sistema de red informatizado propiedad u operado por una empresa que permite transacciones entre proveedores de servicios de la industria de viajes, principalmente aerolíneas, hoteles, compañías de alquiler de automóviles y agencias de viajes. El GDS utiliza principalmente el inventario en tiempo real (por ejemplo, el número de habitaciones de hotel disponibles, el número de asientos de vuelo disponibles o el número de automóviles disponibles) de los proveedores de servicios. Las agencias de viajes tradicionalmente dependían de GDS para servicios, productos y tarifas con el fin de proporcionar servicios relacionados con los viajes a los consumidores finales. Por lo tanto, un GDS puede vincular servicios, tarifas y reservas consolidando productos y servicios en los tres sectores de www.aepd.es sedeaepd.gob.es 7/53 • • • • • • • • • • • • viajes: Es decir, reservas de líneas aéreas, reservas de hotel, alquiler de coches.1 Los GDS más importantes son: o AMADEUS o SABRE (de IBM para American Airlines) o ABACUS (Asia) o TravelPort (Galileo + Worldspan) o Otros: Travelsky, KIU Systems, TCA Innst. IATA: International Air Transport Association IPR: Intellectual Property Rights ITG: AMADEUS IT GROUP MIDT: Marketing Information Data Tapes / Cintas de datos informáticos comerciales (datos de comercialización, reservas y ventas) NDC: New Distribution Capability (un programa apoyado por la industria de viajes (NDC Program) lanzado por IATA para el desarrollo y la adopción en el mercado de un nuevo estándar de transmisión de datos basado en XML (Estándar NDC). El Estándar NDC mejora la capacidad de comunicación entre las aerolíneas y las agencias de viajes y está abierto a cualquier tercero, intermediario, proveedor de TI o miembro no IATA, para implementar y usar.) PDR: Past Date Record (un PNR que se ha eliminado del Sistema Central de Amadeus una vez que los segmentos del itinerario son FLWN/PAST en 4 días y se almacena en una base de datos archivada de la que puede recuperarse posteriormente en caso de que surjan reclamaciones posteriores al viaje) PMS: Property Management System (sistema utilizado para ofrecer a los hoteles la gestión de su inventario de habitaciones, gestionar los procesos de check-in y check-out de los huéspedes y otras labores esenciales para la gestión hotelera) PNR: Passenger Name Record, Registro de nombres de pasajeros, con datos personales. RAT: Registro de Actividades de Tratamiento de datos personales SAS: Scandinavian Airlines SBR: Servidor donde se almacenan los PNR mientras están “activos” (y hasta 72-96 horas después). SIR: Sistema Informatizado de Reserva / CRS (Computer Reservation System) .-4-. Sobre AMADEUS .-4.1-. Sobre el funcionamiento de AMADEUS 1 Fuente: https://en.wikipedia.org/wiki/Global_distribution_system C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/53 - Como resumen de la composición del grupo empresarial, en el escrito de 10 de abril de 2024 se indica que “se debe resaltar que el Grupo Amadeus cuenta con una estructura de gobierno corporativo altamente centralizada en Amadeus ITG.” Se aporta como Anexo 1.1 y Anexo 1.2 la composición del grupo empresarial AMADEUS (empresas que lo forman y actividades que realiza cada una de ellas). - En cuanto al funcionamiento del sistema de reservas que AMADEUS ofrece a sus clientes, éste está descrito con detalle en el Anexo 2.1 de su escrito de 10 de abril de 2024: • (…) .-4.2-. Sobre el origen de los datos personales de los pasajeros y la base de legitimación para la recogida de dichos datos En el Anexo 2.3 de su escrito de 10 de abril de 2024, AMADEUS indicaba: (…) En su escrito de 10 de abril de 2024, AMADEUS explicaba que: (…) .-4.3-. Sobre la política de privacidad de GDS de AMADEUS El 24 de noviembre de 2023 y 30 de abril de 2024 se comprobó la política de privacidad disponible en el enlace https://amadeus.com/es/politicas/declaraciondeprivacidad-del-gds y se observó que se había actualizado la política de privacidad con fecha enero 2024, y el título cambió de “Aviso de privacidad del GDS de Amadeus” a “Aviso de privacidad de Amadeus GDS para viajeros”, y se proporcionaba al viajero información más detallada sobre el uso de sus datos personales. A 24 de noviembre de 2023 se enumeraban las siguientes finalidades para el tratamiento de datos personales: “Amadeus utiliza los datos personales para tramitar reservas de viajes, proporcionar a los usuarios del GDS de Amadeus acceso a esta información, emitir billetes y otros documentos relacionados con los viajes, y llevar a cabo procesos internos de la empresa (como pruebas y procesos de control de calidad), procesar tarjetas de crédito, así como con fines de autenticación y prevención de fraudes y para prestar otros servicios relacionados con los viajes. El fundamento jurídico para el procesamiento de datos personales reside en que el procesamiento es necesario para el cumplimiento de un contrato en el que el viajero constituye una de las partes. Amadeus también puede utilizar los datos personales con fines investigativos, analíticos y estadísticos, y para identificar preferencias, intereses, tendencias y otras actividades en la industria del turismo, así como productos y servicios que puedan ser de interés particular para las personas. Los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/53 utilizados con fines analíticos derivan de datos personales, pero se tratan de forma anónima y agregada. El fundamento jurídico para procesar los datos personales con fines investigativos, analíticos y estadísticos y para identificar productos y servicios que puedan ser de interés particular para las personas está basado en el legítimo interés empresarial de Amadeus. Siempre que se procese información personal con estos fines, se considerará el impacto sobre la privacidad de la persona cuyos datos se están procesando.” A 30 de abril de 2024, entre otros propósitos, se especificaban las siguientes finalidades de tratamiento con sus bases jurídicas: “•Propósito: Gestionar el GDS de Amadeus […] Base Jurídica: La ejecución de un contrato en el que usted (como viajero) es parte con el usuario de Amadeus GDS (por ejemplo, su agencia de viajes). • Propósito: Realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos productos, mejorar nuestros servicios e identificar tendencias de uso. Base Jurídica: El interés legítimo de Amadeus en comprender mejor nuestros servicios y mejorarlos, identificar tendencias de uso y desarrollar nuevos productos. • Propósito: Proceso de anonimziación y agregación con el fin de utilizar los datos con fines analíticos. Los datos agregados que no se pueden utilizar para identificar a los viajeros pueden ser compartidos por Amadeus con terceros. Base Jurídica: El interés legítimo de Amadeus en actividades de investigación, análisis y estadísticas con el fin de mejorar nuestros servicios, identificar tendencias de uso y desarrollar nuevos productos. […]” (sic) Con fecha 2 de diciembre de 2024 se comprobó que el enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds había cambiado a https://amadeus.com/es/politicas/gds-privacy-statement. .-4.4-. Sobre el papel de responsable y encargado de cada uno de los intervinientes En el Anexo 2.4 de su escrito de 10 de abril de 2024, AMADEUS explicaba que: • (…) Esto es el Reglamento (CE) n.º 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) n.º 2299/89 del Consejo («Reglamento»), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/53 publicado en el Diario Oficial L 36/48 y que entró en vigor el 29 de marzo de
  8. El artículo 11.1 del citado Reglamento establece: “
  9. Los datos personales recogidos en el transcurso de las actividades de un SIR para la realización de reservas o la emisión de billetes relacionados con productos de transporte solo se tratarán de manera compatible con dichos fines. En el tratamiento de dichos datos, el vendedor de sistemas será considerado el responsable del tratamiento de datos, según la definición del artículo 2, letra d), de la Directiva 95/46/CE.” Como Anexo 2.6 de su escrito de 10 de abril de 2024, AMADEUS aportó un documento con el título “Subscriber Agreement 3.0” (traducción no oficial: “Acuerdo de Suscriptor 3.0”), con el contrato genérico que firmaban las agencias de viaje, en el cual se especificaba (el subrayado es nuestro): (…) Como Anexo 2.7 de su escrito de 10 de abril de 2024, AMADEUS aportó un documento con el título “Hotel Distribution Agreement Template (July 2019)” (traducción no oficial: “Plantilla de acuerdo de distribución hotelera (Julio 2019”), con el contrato genérico que firmaban las cadenas hoteleras, en el cual se especificaba (el subrayado es nuestro): (…) Como Anexo 2.8 de su escrito de 10 de abril de 2024, AMADEUS aportó un documento con el título “Global Distribution Agreement_FULL_FINAL” (traducción no oficial: “Acuerdo de Distribución Global COMPLETO_FINAL”), con el contrato genérico que firmaban las aerolíneas, al cual se incluye un Anexo 2.8.1 con el título “Side Letter to the Global Distribution Agreement (for GDPR)” (traducción no oficial: “Nota complementaria al Acuerdo de distribución global (para GDPR)”), con el siguiente contenido en el punto 1.3 (el subrayado es nuestro): (…) En su escrito de 6 de junio de 2024, en respuesta a requerimiento de esta Agencia, AMADEUS indicó (el subrayado es nuestro): “Adjunto como Anexo 2 se encuentra el modelo de contrato entre Amadeus IT Group, S.A. y aerolíneas para la distribución directa. El contrato consta de un primer documento (Master Services Agreement template) donde se encuentran las condiciones generales de contratación (incluyendo las cláusulas con relación a la protección de datos personales) y un segundo documento (Schedule 3A al Master Services Agreement template) dónde se describen los servicios RES para “direct distribution”. Confirmamos que Amadeus ejerce como encargado del tratamiento recibiendo instrucciones de la aerolínea que actúa como responsable del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/53 Como Anexo 2 de su escrito de 6 de junio de 2024, AMADEUS aportó un documento con el título “COPIA DEL MODELO DE CONTRATO SUSCRITO ENTRE AMADEUS Y UNA AEROLÍNEA (“DIRECT DISTRIBUTION”), en el cual se estipula: (…) .-4.5-. Sobre el Registro de Nombres de Pasajeros (PNR) y la Directiva PNR En su escrito de 10 de abril de 2024, AMADEUS explicaba que: (…) .-4.6-. Respecto al Registro de Actividades de Tratamiento (RAT) En su escrito de 10 de abril de 2024, AMADEUS acompaña como Anexo 6.1 un documento sin firma ni fecha ni indicación de qué versión se trata, con el título “RoPA Reservation and ticketing Amadeus GDS” (traducción no oficial: registro de actividades de tratamiento de reservas y emisión de billetes de Amadeus GDS”), en el que se especifican únicamente las actividades ***ACTIVIDAD.1 y ***ACTIVIDAD.2, en ambas actividades figura AMADEUS como Responsable del tratamiento. En su escrito de 6 de junio de 2024, AMADEUS acompaña como Anexo 1 un documento con la “copia del Registro de las actividades de tratamiento de datos personales de viajeros que realiza Amadeus IT Group, S.A. donde se encuentran las actividades de tratamiento efectuadas bajo su responsabilidad y las categorías de actividades de tratamiento efectuadas por cuenta de un responsable.” Tal como explica AMADEUS en su escrito de 6 de junio de 2024, las categorías de actividades de tratamiento están organizadas por unidad de negocio con la siguiente correlación: • (…) .-4.7-. Sobre la Evaluación de impacto en el tratamiento de datos personales en el sistema de reservas de AMADEUS Consultada sobre las evaluaciones de impacto relativas a la protección de datos derivadas del Artículo 35 del RGPD para actividades que involucran el tratamiento de datos personales en el sistema de reservas de Amadeus, en su escrito de 10 de abril de 2024 AMADEUS indicaba: “Amadeus ha realizado dos evaluaciones de impacto relativas a la protección de datos derivadas del Artículo 35 del RGPD para actividades que involucran el tratamiento de datos personales en el sistema de reservas de Amadeus. Una de ellas relativa al procesamiento de datos de menores y otra para el procesamiento de las solicitudes de servicios especiales o Special Service Requests (SSRs por sus siglas en inglés). Copia de ambas evaluaciones se adjuntan como Anexo 6.3.1 y Anexo 6.3.2.” Se aporta como Anexo 6.3.1 un documento sin fecha ni firma ni indicación de qué versión se trata, con el título “Risk and DPIA on the processing of minors’ data” (traducción no oficial: “Riesgo y EIPD sobre el tratamiento de menores”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/53 Se aporta como Anexo 6.3.2 un documento sin fecha ni firma ni indicación de qué versión se trata, con el título “Risk and DPIA on the processing of sensitive SSRs data” (traducción no oficial: “Riesgo y EIPD sobre el tratamiento de datos sensibles SSR”). .-4.8-. Respecto a los plazos de conservación de los PNR En su escrito de 10 de abril de 2024, AMADEUS explicaba: (…) En el Anexo 4.5 del escrito de AMADEUS de 10 de abril de 2024 se detallaba que: (…) (…) Esta Información es coherente con la proporcionada sobre el Periodo de conservación de los datos en el documento Anexo 6.3.1 del escrito de AMADEUS de 10 de abril de 2024 «Risk and DPIA for the processing of minors’ data in the context of the Amadeus GDS»: (…) Por su parte, el artículo 11.4 del Reglamento (CE) nº 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) nº 2299/89 del Consejo establece: “
  10. La información sobre reservas individuales identificables que esté bajo el control del vendedor de sistemas se almacenará de forma que no pueda accederse a ella en línea, a más tardar a las 72 horas del momento en que se haya efectuado el último elemento de la reserva individual, y se destruirá en un plazo máximo de tres años. Solo se autorizará el acceso a tales datos cuando sea necesario para resolver controversias acerca de la facturación.” Y la Sentencia _C-817/19 del Tribunal de Justicia (Gran Sala) de 21 de junio de 2022 ha indicado: “En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara: (…) 4) El artículo 12, apartado 3, letra b), de la Directiva 2016/681 debe interpretarse en el sentido de que se opone a una normativa nacional con arreglo a la cual la autoridad creada como Unidad de Información sobre los Pasajeros (UIP) reviste también la condición de autoridad nacional competente facultada para aprobar la comunicación de los datos PNR tras la expiración del plazo de seis meses desde la transferencia de estos datos a la UIP. 5) El artículo 12, apartado 1, de la Directiva 2016/681, en relación con los artículos 7 y 8 y con el artículo 52, apartado 1, de la Carta de los Derechos Fundamentales, debe interpretarse en el sentido de que se opone a una normativa nacional que prevé una duración general de conservación de los datos PNR de cinco años, aplicable a todos los pasajeros aéreos sin distinción, incluidos aquellos respecto de los cuales ni la evaluación previa prevista en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/53 artículo 6, apartado 2, letra a), de la Directiva 2016/681, ni las eventuales verificaciones realizadas durante el período de seis meses previsto en el artículo 12, apartado 2, de la referida Directiva, ni ninguna otra circunstancia han revelado la existencia de elementos objetivos que puedan demostrar la existencia de un riesgo en materia de delitos de terrorismo o de delitos graves que presenten un vínculo objetivo, cuando menos indirecto, con el transporte aéreo de pasajeros.” .-5-. Sobre ***PLATAFORMA.1 (***PLATAFORMA.1) -.5.1.- Sobre el conocimiento de ***PLATAFORMA.1 durante el transcurso de la investigación Durante las actuaciones de inspección se navegó en la página web de AMADEUS y en su web corporativa con el objetivo de recabar indicios respecto al posible tratamiento de perfilado denunciado. 1) En el documento “Informe Global de Amadeus 2022”, accesible desde la página web: https://corporate.amadeus.com/documents/es/recursos/informacionempresarial/documentos-corporativos/informes-globales/2022/Informe-AnualAmadeus-2022_Accesible-AA.pdf se especificaba la siguiente información: (…) Páginas 38 y 39: Soluciones tecnológicas para la industria aérea “Trabajamos con nuestros socios —aerolíneas, empresas tecnológicas y otros socios comerciales— para identificar y ayudar a las aerolíneas a ofrecer experiencias de viaje extraordinarias de forma integrada en todo el itinerario, desde que nace el deseo de viajar hasta la fase posterior al viaje e incluso más allá. Gracias a un profundo conocimiento del cliente final adquirido mediante una gran cantidad de datos e información, nuestros clientes logran generar nuevas oportunidades para organizar el contenido de una forma eficaz y conectar con los viajeros en cualquier punto de interacción, por ejemplo: → Creando experiencias únicas en todos los puntos de interacción con los viajeros, tanto digitales como físicos. → Aumentando la conversión de clientes con búsquedas minoristas dirigidas e hiperpersonalizadas, incluidos los canales de las redes sociales. → Anticipándose y gestionando mejor las alteraciones de los servicios en tiempo real mediante la automatización, el autoservicio y los centros de servicios inteligentes. → Incrementando el valor a largo plazo del cliente con programas de recompensas y fidelización más eficientes. → Mejorando la colaboración entre las aerolíneas y los aeropuertos. Estas oportunidades permiten que las aerolíneas conviertan las experiencias en relaciones a través de momentos excepcionales durante todo el itinerario del viaje, trayendo al presente las experiencias de viaje del futuro. Eche un vistazo al viaje de Olivia, un trayecto fluido lleno de experiencias más placenteras y personalizadas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/53 2) En el documento “***DOCUMENTO.1”, accesible desde la página web: ***URL.1 se especificaba la siguiente información en (…): (…) 3) El 15 de abril de 2024 en la página web ***URL.2 se especificaba la siguiente información: (…) 4) El 15 de abril de 2024 en la página web ***URL.3, se especificaba la siguiente información: (…) 5) Junto a su escrito de 10 de abril de 2024, AMADEUS acompaña el Anexo 5.1 con el listado y copia de las Newsletters del 2022 y
  11. Tras analizar la información proporcionada en estas Newsletters se observan los artículos que incluyen las siguientes manifestaciones: - (…) -.5.2.- Información sobre el producto ***PLATAFORMA.1 En su escrito de 6 de junio de 2024, en respuesta a requerimiento de esta Agencia, AMADEUS ha señalado: (…) Respecto a la descripción del servicio que proporciona a los proveedores de servicios, AMADEUS indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/53 (…) Con relación a la descripción de los “datos e información relacionada con el viaje” compartida entre los proveedores de viaje, AMADEUS manifiesta: (…) Respecto a las categorías de datos personales que están involucradas en este producto, el modo de obtención de los datos personales de los viajeros y la base de legitimación para el tratamiento de dichos datos, los procedimientos seguidos para cumplir el deber de información y evidencias de cumplimiento y los plazos de conservación de los datos de carácter personal, AMADEUS remite al documento Anexo 4.1 de su escrito de 6 de junio de 2024, explicado en el siguiente apartado. -.5.3.- Descripción del producto ***PLATAFORMA.1 En el Anexo 4.1 de su escrito de 6 de junio de 2024, en respuesta a requerimiento de esta Agencia, AMADEUS ha proporcionado la siguiente información y manifestaciones: (…) Respecto a la categoría de datos y la base de legitimación, AMADEUS aclara: (…) Con relación a las fuentes de información, AMADEUS indica las siguientes: (…) Respecto a la información facilitada a los interesados, AMADEUS manifiesta: (…) En un apartado posterior del presente documento se analizará la información aportada a los interesados. De la información aportada, esta Agencia concluye que AMADEUS actúa: - como Encargado de tratamiento para los datos de las cadenas hoteleras ***EMPRESA.2 y ***EMPRESA.3 y - como Responsable para el tratamiento de sus propios datos obtenidos a través del GDS de AMADEUS. En este caso, el origen de los datos son los PNRs del GDS de Amadeus y la Base jurídica es su Interés legítimo. -.5.4.- Sobre los contratos con las cadenas hoteleras Solicitada copia de los contratos suscritos respecto a ***PLATAFORMA.1 entre AMADEUS y las cadenas hoteleras ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4 y ***EMPRESA.5, AMADEUS remite junto a su escrito de 6 de junio de 2024, el documento Anexo 4.8 con los contratos de AMADEUS con ***EMPRESA.2 y ***EMPRESA.3 y proporciona la siguiente información y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/53 (…) Respecto a las instrucciones aportadas por las cadenas hoteleras ***EMPRESA.2 y ***EMPRESA.3 a AMADEUS como encargado de tratamiento de los datos de los clientes para la realización del proyecto piloto ***PLATAFORMA.1, se revisa el contrato con ***EMPRESA.2 (Anexo 4.8.1 del escrito de AMADEUS de 6 de junio de 2024) y se corrobora la siguiente información: (…) En el Anexo 4.8.2 del escrito de AMADEUS de 6 de junio de 2024 se aporta un documento titulado “***EMPRESA.2 Data Processing Agreement” (Traducción no oficial: “Acuerdo de tratamiento de datos de ***EMPRESA.2”), en el que se indica: - (…) Revisado el contrato con ***EMPRESA.3 (Anexo 4.8.3 del escrito de AMADEUS de 6 de junio de 2024), se corrobora la siguiente información: - (…) De la información aportada, esta Agencia concluye que AMADEUS firmó Contratos para el piloto ***PLATAFORMA.1 con las cadenas hoteleras ***EMPRESA.2 y ***EMPRESA.3: .Firmado por ***EMPRESA.2 con fecha 12 de junio de
  12. Fecha efectiva de la enmienda: 3 de diciembre de
  13. Fecha de realización de los servicios: desde la fecha efectiva hasta final de marzo de
  14. .Firmado por ***EMPRESA.3 con fecha 23 de marzo de
  15. Fecha efectiva: 15 de marzo de
  16. Fecha de inicio de los servicios: Fecha en la cual AMADEUS comienza a comparar los datos de ***EMPRESA.3 y los datos de Amadeus GDS. Finalización: 3 meses tras la fecha de inicio. .(…) -.5.5.- Sobre el servicio ***SERVICIO.1 Requerida información sobre las empresas que han contratado o utilizado el servicio ***SERVICIO.1, en su escrito de 25 de octubre de 2024 AMADEUS explicaba que: (…) Al respecto, esta Agencia desea recordar el texto especificado en el contrato entre ***EMPRESA.2 y AMADEUS para el piloto ***PLATAFORMA.1: (…) -.5.6.- Sobre la EIPD de ***PLATAFORMA.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/53 AMADEUS facilita la Evaluación de Impacto relativa a la Protección de Datos en las actividades relacionadas con el piloto ***PLATAFORMA.1 como documento Anexo 6.1 de su escrito de 6 de junio de 2024, y explica en este escrito que “(…).” Respecto a la EIPD de ***PLATAFORMA.1, Anexo 6.1 del escrito de AMADEUS de 6 de junio de 2024, es relevante destacar: (…) Como Anexo 6.1 del escrito de AMADEUS de 6 de junio de 2024, AMADEUS proporciona la EIPD del proyecto ***PLATAFORMA.1, en cuyo anexo se evalúa el impacto del interés legítimo. (…) -.5.7.- Sobre el Interés legítimo como Base de legitimación vs. Consentimiento Como anexo a su EIPD de ***PLATAFORMA.1, documento Anexo 6.1 de su escrito de 6 de junio de 2024, AMADEUS proporciona una evaluación de impacto sobre Interés Legítimo para el piloto ***PLATAFORMA.1, con fecha del documento 5 de noviembre de 2021, en el cual realiza una serie de preguntas con el objetivo de “(…).” (Traducción no oficial). Sin embargo, en la copia de la presentación realizada para promocionar la semana de la privacidad 2022, titulada “***PRESENTACIÓN.1”, documento Anexo 4.9 del escrito de AMADEUS de 6 de junio de 2024, indica en la Página 719 las razones por las que el interés legítimo no se debe usar para tratar datos en ***PLATAFORMA.1: (…) En dicha presentación AMADEUS incluye información sobre la base jurídica para compartir los datos, y no es el interés legítimo: (…) -.5.8.- Sobre la información aportada a los interesados para ***PLATAFORMA.1 AMADEUS facilita junto a su escrito de 10 de abril de 2024 el documento “Transparency” (traducción no oficial: “Transparencia”) como Anexo 4.4, en el que explica cómo Amadeus informa a los pasajeros sobre el tratamiento de los datos personales de los viajeros de GDS para la reserva y emisión de billetes. (…) Según lo especificado en el Anexo 4.4 de su escrito de 10 de abril de 2024, AMADEUS indica que cumple con el deber de información: o (…) A fecha 14 de febrero de 2024 en el enlace http://www.iatatravelcenter.com/privacy, podía verse: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/53 “Data Protection and Privacy Information You are encouraged to read the privacy policies of the marketing and operating carriers for your booking. Note that more than one privacy policy may apply to you. These documents specify how your personal data is collected, stored, used, disclosed and transferred. An index of carrier privacy policies is available here. Your travel agent may also process your personal information in order to provide services to you. You should contact your travel agent for further information and for a copy of their privacy policy. Reservation system providers (sometimes known as a Global Distribution System or GDS) facilitate the transmission of booking information from your travel agent to the carrier. Their privacy policies may apply and govern how your booking information is used. An index of GDS privacy policies is available here (PDF file).” (Traducción no oficial: “Protección de datos e información sobre privacidad Le recomendamos que lea las políticas de privacidad de las compañías de marketing y operadoras para su reserva. Tenga en cuenta que más de una política de privacidad puede aplicarse a usted. Estos documentos especifican cómo se recopilan, almacenan, utilizan, divulgan y transfieren sus datos personales. Un índice de las políticas de privacidad del operador está disponible aquí. Su agente de viajes también puede procesar su información personal para proporcionarle servicios. Debe ponerse en contacto con su agente de viajes para obtener más información y una copia de su política de privacidad. Los proveedores de sistemas de reservas (a veces conocidos como Sistema de Distribución Global o GDS) facilitan la transmisión de información de reservas de su agente de viajes al transportista. Sus políticas de privacidad pueden aplicarse y regular cómo se utiliza la información de su reserva. Un índice de las políticas de privacidad de GDS está disponible aquí (archivo PDF).”) A continuación, aparecía un extenso listado de aerolíneas diferentes con enlaces a sus políticas de privacidad. Consultado el enlace https://www.iatatravelcentre.com/privacy-content/2.htm, aparecía la siguiente información: “ComunicaciÃ3n sobre protecciÃ3n de datos- General (Spanish) Sus datos personales se procesarán de acuerdo con la política de privacidad aplicable del operador y, si su reserva se realiza mediante un proveedor de sistema de reserva (“GDS”), conforme a su política de privacidad, que estará disponible en https://iatatravelcentre.com/privacy.htm, o en el operador o GDS directamente. Debe leer esta documentación, que se aplica a su reserva y especifica, por ejemplo, cómo se recopilan, almacenan, utilizan, revelan y transfieren sus datos personales.” En el documento que se descargaba al acceder al enlace https://www.iatatravelcentre.com/uploads/pdfs/privacy/ReservationSystemProvider.pdf, podía verse: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/53 “Data Protection and Privacy – Reference Index for Reservation System Provider Privacy Policies/Statements Provider Amadeus AXESS Farelogix INFINI KIU System Solutions Radixx International, Inc Sabre Sirena Travel JSC SITA Travelport TravelSky Unisys Privacy Policy/Privacy Statement Reference http://www.amadeus.com/web/amadeus/en_1Acorporate/ Amadeus-Home/Amadeus_IT_Group_SALegalnotices-2014/1319560218660-PageAMAD_Detail_PopUp_Ppal?assetid=1319607040997&a ssettype=DataProtection_C Please contact provider directly Please contact provider directly Please contact provider directly Please contact provider directly Please contact provider directly https://www.sabre.com/about/privacy/ http://www.sirena-travel.ru/personal-dataprocessing.html https://www.sita.aero/copyright-menu/privacy-statement https://www.travelport.com/privacy Please contact provider directly https://www.unisys.com/unisys-legal/privacy Revision date: 9 July 2019” Por su parte, en el contrato genérico con los Suscriptores (agencias de viaje), aportado como Anexo 2.6 del escrito de AMADEUS de 10 de abril de 2024, figuraba: “(…) -.5.9.- Sobre los datos utilizados en ***PLATAFORMA.1 En su escrito de 25 de octubre de 2024, de respuesta a requerimiento de esta Agencia, AMADEUS proporcionaba la siguiente información con relación a los datos utilizados en el piloto ***PLATAFORMA.1: (…) Al respecto esta Agencia desea recordar que en su escrito de 10 de abril de 2024, AMADEUS explicaba que: (…) Y en el Anexo 2.1 de su escrito de 10 de abril de 2024, AMADEUS indicaba que: • “(…)” Respecto a las aerolíneas, y consultada sobre las instrucciones aportadas por las aerolíneas a AMADEUS como encargado de tratamiento respecto de los datos de los pasajeros para la realización del proyecto piloto, en su escrito de 25 de octubre de 2024, AMADEUS indicaba que “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/53 Requerida la información sobre la muestra temporal utilizada en el servicio ***PLATAFORMA.1, es decir, rango de fechas de los PNR utilizados, en su escrito de 25 de octubre de 2024 AMADEUS especificaba que “(…).” Al respecto esta Agencia se remite al punto 3.1.9 del presente apartado, donde se detallan los plazos de conservación de los PNR y la aplicación del Reglamento Reglamento (CE) n o 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) n o 2299/89 del Consejo (Texto pertinente a efectos del EEE), que en su artículo 11.4 establece (el subrayado es nuestro): “
  17. La información sobre reservas individuales identificables que esté bajo el control del vendedor de sistemas se almacenará de forma que no pueda accederse a ella en línea, a más tardar a las 72 horas del momento en que se haya efectuado el último elemento de la reserva individual, y se destruirá en un plazo máximo de tres años. Solo se autorizará el acceso a tales datos cuando sea necesario para resolver controversias acerca de la facturación.” -.5.10.- Sobre la implicación de las aerolíneas en ***PLATAFORMA.1 Durante las actuaciones previas de investigación del presente procedimiento, no ha podido ser constatado el conocimiento de ***PLATAFORMA.1 por parte de las aerolíneas. Solicitada copia del modelo de contrato suscrito entre AMADEUS y una aerolínea para la reserva y emisión de billetes, AMADEUS facilitó (como Anexo 2 de su escrito de 6 de junio de 2024) el documento titulado “Master Services Agreement between AMADEUS and [CT:AIRLINE]). En este documento genérico suscrito entre AMADEUS y una aerolínea para la reserva y emisión de billetes, se indicaba, respecto a los datos procesados de conformidad con el acuerdo: “(…)” -.5.11.- Información aportada sobre ***EMPRESA.1 Requerida copia de los contratos suscritos entre AMADEUS y la aerolínea ***EMPRESA.1, ya sea como Subscriber, como Travel Service Provider o como cliente de los servicios de AMADEUS, donde consten las cláusulas con relación a la protección de datos de carácter personal, junto a su escrito de 6 de junio de 2024, AMADEUS aporta la siguiente documentación: (…) Una vez revisada toda la documentación, no se ha encontrado información sobre el producto « ***PRODUCTO.1». -.5.12.- Información de ***ORGANISMO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/53 Sobre la relación de AMADEUS con la aerolínea ***EMPRESA.6, con fecha 4 de septiembre de 2024 la autoridad (...) de protección de datos (***ORGANISMO.1) puso en conocimiento de esta Agencia que: “***EMPRESA.6 nos ha indicado que no tiene conocimiento de los sistemas y productos «***EMPRESA.2» y « ***PRODUCTO.1» y que no ha contratado estos productos ni con Amadeus IT Group ni con ninguna otra entidad del Grupo Amadeus. La empresa alemana ***EMPRESA.7 figura entre los subcontratistas posteriores de Amadeus IT Group con los que ***EMPRESA.6 ha contratado servicios informáticos y que actúa como subcontratista de primer nivel de ***EMPRESA.
  18. Sin embargo, en el contexto de estos servicios informáticos, estas dos entidades de Amadeus están vinculadas por las cláusulas de subcontratación firmadas con Amadeus IT Group, en virtud de las cuales se prohíbe a Amadeus reutilizar los datos para fines distintos de los relacionados con la prestación de los servicios, a fortiori crear y alimentar una base de datos consolidada con fines de elaboración de perfiles. Por lo tanto, no se informa a ***EMPRESA.6 de la aplicación del tratamiento antes mencionado. ***EMPRESA.6 indicó a la ***ORGANISMO.1 que, paralelamente a su función de subcontratista de servicios informáticos, Amadeus IT Group también actúa como responsable independiente del tratamiento de datos para su actividad de sistema central de reservas (GDS). A este respecto, ***EMPRESA.6 no tiene control ni visibilidad sobre las actividades de tratamiento de Amadeus en este contexto.” .-6-. Sobre el número de viajeros involucrados Solicitada información sobre el número de clientes cuyos datos fueron utilizados para la realización del piloto ***PLATAFORMA.1, así como el número de viajeros cuyos datos se han utilizado, en los últimos 3 años, para ciertas finalidades especificadas, AMADEUS proporcionó la siguiente información en su escrito de 23 de diciembre de 2024: “de forma preliminar deseamos hacer hincapié en determinados aspectos que, aunque ya han sido tratados en nuestras respuestas a requerimientos de información previos, creemos que es conveniente recordar en este momento: a. ***PLATAFORMA.1 no es un producto de Amadeus. Nunca se ha comercializado y no forma ni nunca ha formado parte de nuestra oferta de productos o servicios. En su momento se realizó un piloto de ***PLATAFORMA.
  19. Tras ese piloto, fue descartado, entre otras, por razones de protección de datos personales. b. En lo que respecta al servicio GDS y las preguntas relacionadas con el Aviso de privacidad del GDS de Amadeus para viajeros, GDS opera por PNR y no por viajero. Recordando lo explicado en detalle en la respuesta al segundo requerimiento de información de 10 de abril de 2024, el PNR es el archivo que generan los sistemas de reservas (tanto Amadeus como cualquier otro) para almacenar los datos de las reservas y emisión del correspondiente billete en su caso. Por ello, se deben tomar en consideración y resaltar las Precisiones (según se definen más abajo) que rodean a las cifras de viajeros en tanto que distintos PNRs se pueden (y, de hecho, es habitual) referir a el mismo sujeto o, en algunos casos, a ninguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/53 Lo mismo ocurre con los datos relativos a menores, con el matiz adicional de que, en muchos casos, que el viajero es un menor se deduce de la información adicional de los SSR. .-6.1-. Número de clientes cuyos datos fueron utilizados para la realización del piloto ***PLATAFORMA.1 En su escrito de 23 de diciembre de 2024, AMADEUS ha indicado: Número de clientes de ***EMPRESA.2 cuyos datos fueron utilizados para la realización del piloto ***PLATAFORMA.
  20. ***CANTIDAD.1 clientes de ***EMPRESA.
  21. Número de clientes de ***EMPRESA.3 cuyos datos fueron utilizados para la realización del piloto ***PLATAFORMA.
  22. ***CANTIDAD.2 clientes de ***EMPRESA.
  23. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR el 20 de febrero de 2024, la entidad AMADEUS IT GROUP, S.A. es una gran empresa constituida en el año 2005, y con un volumen de negocios de 4.467.600.000 € euros en el año
  24. SÉPTIMO: Con fecha 22 de abril de 2025, la Presidencia de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.5 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. OCTAVO: Con fecha 21 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AMADEUS, por la presunta infracción del Artículo 14 del RGPD y Artículo 6 del RGPD, tipificadas en el Artículo 83.5 del RGPD. NOVENO: En fecha 29 de mayo de 2025, AMADEUS ha procedido al pago de la sanción en la cuantía de 14.400.000,00 euros haciendo uso de una de las reducciones previstas en el Acuerdo de inicio transcrito anteriormente, sin haber reconocido su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/53 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: Respecto a su actividad en general, según ha informado AMADEUS en su escrito de 18 de diciembre de 2023, AMADEUS es un proveedor de tecnología para la industria del viaje (su actividad es B2B). Como tal, provee a las empresas que operan en el sector del viaje como como, por ejemplo, aerolíneas, hoteles, trenes, aeropuertos u otras con la tecnología y las soluciones que les permiten llevar a cabo su actividad. GDS (por sus siglas en inglés, Global Distribution System) es un sistema que permite realizar reservas utilizado por entidades del sector de viajes como aerolíneas, hoteles, agencias de viajes, etc.). El responsable de dicho tratamiento es Amadeus IT Group, S.A. con domicilio en la calle Salvador de Madariaga 1, 28027 Madrid, España. Amadeus IT Group, S.A. es la sociedad matriz del grupo, donde se produce la toma de decisiones y se configura todo el tratamiento relativo a GDS, siendo por lo tanto el establecimiento relevante a estos efectos. El grupo de empresas de Amadeus cuenta con distintas empresas en el Espacio Económico Europeo. Todas ellas son empresas independientes pertenecientes al mismo grupo. El establecimiento principal se sitúa en España donde Amadeus IT Group, S.A. (con domicilio en la calle Salvador de Madariaga 1, 28027 Madrid, España) lleva la administración central. Dicho tratamiento afecta sustancialmente a interesados en más de un Estado miembro (esto es, a viajeros de cualquier Estado miembro) y tiene carácter transfronterizo. SEGUNDO: Respecto a su actividad en general, según ha manifestado AMADEUS en su escrito de 10 de abril de 2024, (…). TERCERO: Respecto a su actividad en general, según ha indicado AMADEUS en el Anexo 2.3 de su escrito de 10 de abril de 2024, (…). CUARTO: Respecto a su actividad en general, según ha indicado AMADEUS en su escrito de 10 de abril de 2024, Amadeus (…). QUINTO: Respecto a su actividad en general, el 24 de noviembre de 2023 en el enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds se enumeraban las siguientes finalidades para el tratamiento de datos personales: “Amadeus utiliza los datos personales para tramitar reservas de viajes, proporcionar a los usuarios del GDS de Amadeus acceso a esta información, emitir billetes y otros documentos relacionados con los viajes, y llevar a cabo procesos internos de la empresa (como pruebas y procesos de control de calidad), procesar tarjetas de crédito, así como con fines de autenticación y prevención de fraudes y para prestar otros servicios relacionados con los viajes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/53 El fundamento jurídico para el procesamiento de datos personales reside en que el procesamiento es necesario para el cumplimiento de un contrato en el que el viajero constituye una de las partes. Amadeus también puede utilizar los datos personales con fines investigativos, analíticos y estadísticos, y para identificar preferencias, intereses, tendencias y otras actividades en la industria del turismo, así como productos y servicios que puedan ser de interés particular para las personas. Los datos personales utilizados con fines analíticos derivan de datos personales, pero se tratan de forma anónima y agregada. El fundamento jurídico para procesar los datos personales con fines investigativos, analíticos y estadísticos y para identificar productos y servicios que puedan ser de interés particular para las personas está basado en el legítimo interés empresarial de Amadeus. Siempre que se procese información personal con estos fines, se considerará el impacto sobre la privacidad de la persona cuyos datos se están procesando.” El 30 de abril de 2024 en el enlace https://amadeus.com/es/politicas/declaraciondeprivacidad-del-gds se especificaban las siguientes finalidades de tratamiento con sus bases jurídicas: “• Propósito: Gestionar el GDS de Amadeus […] Base Jurídica: La ejecución de un contrato en el que usted (como viajero) es parte con el usuario de Amadeus GDS (por ejemplo, su agencia de viajes). • Propósito: Realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos productos, mejorar nuestros servicios e identificar tendencias de uso. Base Jurídica: El interés legítimo de Amadeus en comprender mejor nuestros servicios y mejorarlos, identificar tendencias de uso y desarrollar nuevos productos. • Propósito: Proceso de anonimziación y agregación con el fin de utilizar los datos con fines analíticos. Los datos agregados que no se pueden utilizar para identificar a los viajeros pueden ser compartidos por Amadeus con terceros. Base Jurídica: El interés legítimo de Amadeus en actividades de investigación, análisis y estadísticas con el fin de mejorar nuestros servicios, identificar tendencias de uso y desarrollar nuevos productos. […]” (sic) El 2 de diciembre de 2024 se comprobó que el enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds había cambiado a https://amadeus.com/es/politicas/gds-privacy-statement. SEXTO: A fecha 14 de febrero de 2024, en el enlace http://www.iatatravelcenter.com/privacy podía verse: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/53 “Data Protection and Privacy Information You are encouraged to read the privacy policies of the marketing and operating carriers for your booking. Note that more than one privacy policy may apply to you. These documents specify how your personal data is collected, stored, used, disclosed and transferred. An index of carrier privacy policies is available here. Your travel agent may also process your personal information in order to provide services to you. You should contact your travel agent for further information and for a copy of their privacy policy. Reservation system providers (sometimes known as a Global Distribution System or GDS) facilitate the transmission of booking information from your travel agent to the carrier. Their privacy policies may apply and govern how your booking information is used. An index of GDS privacy policies is available here (PDF file).” (Traducción no oficial: “Protección de datos e información sobre privacidad Le recomendamos que lea las políticas de privacidad de las compañías de marketing y operadoras para su reserva. Tenga en cuenta que más de una política de privacidad puede aplicarse a usted. Estos documentos especifican cómo se recopilan, almacenan, utilizan, divulgan y transfieren sus datos personales. Un índice de las políticas de privacidad del operador está disponible aquí. Su agente de viajes también puede procesar su información personal para proporcionarle servicios. Debe ponerse en contacto con su agente de viajes para obtener más información y una copia de su política de privacidad. Los proveedores de sistemas de reservas (a veces conocidos como Sistema de Distribución Global o GDS) facilitan la transmisión de información de reservas de su agente de viajes al transportista. Sus políticas de privacidad pueden aplicarse y regular cómo se utiliza la información de su reserva. Un índice de las políticas de privacidad de GDS está disponible aquí (archivo PDF).”) A continuación, aparecía un extenso listado de aerolíneas diferentes con enlaces a sus políticas de privacidad. Consultado el enlace https://www.iatatravelcentre.com/privacy-content/2.htm, aparecía la siguiente información: “ComunicaciÃ3n sobre protecciÃ3n de datos- General (Spanish) Sus datos personales se procesarán de acuerdo con la política de privacidad aplicable del operador y, si su reserva se realiza mediante un proveedor de sistema de reserva (“GDS”), conforme a su política de privacidad, que estará disponible en https://iatatravelcentre.com/privacy.htm, o en el operador o GDS directamente. Debe leer esta documentación, que se aplica a su reserva y especifica, por ejemplo, cómo se recopilan, almacenan, utilizan, revelan y transfieren sus datos personales.” En el documento que se descargaba al acceder al enlace https://www.iatatravelcentre.com/uploads/pdfs/privacy/ReservationSystemProvider.pdf, podía verse: “Data Protection and Privacy – Reference Index for Reservation System Provider Privacy Policies/Statements C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/53 Provider Amadeus AXESS Farelogix INFINI KIU System Solutions Radixx International, Inc Sabre Sirena Travel JSC SITA Travelport TravelSky Unisys Privacy Policy/Privacy Statement Reference http://www.amadeus.com/web/amadeus/en_1Acorporate/ Amadeus-Home/Amadeus_IT_Group_SALegalnotices-2014/1319560218660-PageAMAD_Detail_PopUp_Ppal?assetid=1319607040997&a ssettype=DataProtection_C Please contact provider directly Please contact provider directly Please contact provider directly Please contact provider directly Please contact provider directly https://www.sabre.com/about/privacy/ http://www.sirena-travel.ru/personal-dataprocessing.html https://www.sita.aero/copyright-menu/privacy-statement https://www.travelport.com/privacy Please contact provider directly https://www.unisys.com/unisys-legal/privacy Revision date: 9 July 2019” En el contrato genérico con los Suscriptores (agencias de viaje), aportado como Anexo 2.6 del escrito de AMADEUS de 10 de abril de 2024, figuraba: “(…) SÉPTIMO: Respecto a su actividad en general, según ha explicado AMADEUS en su Anexo 2.4 de su escrito de 10 de abril de 2024, (…). (…). Esto es el Reglamento (CE) n.º 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) n.º 2299/89 del Consejo («Reglamento»), publicado en el Diario Oficial L 36/48 y que entró en vigor el 29 de marzo de
  25. El artículo 11.1 del citado Reglamento establece: “
  26. Los datos personales recogidos en el transcurso de las actividades de un SIR para la realización de reservas o la emisión de billetes relacionados con productos de transporte solo se tratarán de manera compatible con dichos fines. En el tratamiento de dichos datos, el vendedor de sistemas será considerado el responsable del tratamiento de datos, según la definición del artículo 2, letra d), de la Directiva 95/46/CE.” OCTAVO: Respecto a su actividad en general, de acuerdo con el Anexo 2.6 del escrito de AMADEUS de 10 de abril de 2024, en el contrato genérico que firmaban las agencias de viaje se especificaba: (…) NOVENO: Respecto a su actividad en general, de acuerdo con el Anexo 2.7 del escrito de AMADEUS de 10 de abril de 2024, en el contrato genérico que firmaban las cadenas hoteleras se especificaba: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/53 DÉCIMO: Respecto a su actividad en general, de acuerdo con el Anexo 2.8 del escrito de AMADEUS de 10 de abril de 2024, en el contrato genérico que firmaban las aerolíneas se incluía: (…) DÉCIMO PRIMERO: Respecto a su actividad en general, de acuerdo con el Anexo 2.1 del escrito de AMADEUS de 10 de abril de 2024, (…). DÉCIMO SEGUNDO: Respecto a su actividad en general, según el Anexo 2 del escrito de AMADEUS de 6 de junio de 2024, en este documento genérico suscrito entre AMADEUS y una aerolínea para la reserva y emisión de billetes, se indicaba: (…) DÉCIMO TERCERO: Respecto a su actividad en general, en su escrito de 6 de junio de 2024, AMADEUS indicó que en el modelo de contrato entre Amadeus IT Group, S.A. y aerolíneas para la distribución directa “Amadeus ejerce como encargado del tratamiento recibiendo instrucciones de la aerolínea que actúa como responsable del tratamiento.” De acuerdo con el Anexo 2 de su escrito de 6 de junio de 2024, en el documento “COPIA DEL MODELO DE CONTRATO SUSCRITO ENTRE AMADEUS Y UNA AEROLÍNEA (“DIRECT DISTRIBUTION”), se estipulaba: (…) DÉCIMO CUARTO: Respecto a su actividad en general, según lo explicado por AMADEUS en su escrito de 10 de abril de 2024, (…). DÉCIMO QUINTO: Respecto a su actividad en general, según lo indicado en el Anexo 6.1 del escrito de AMADEUS de 10 de abril de 2024, para las actividades de tratamiento ***ACTIVIDAD.1 y ***ACTIVIDAD.2, AMADEUS actúa como Responsable del tratamiento. De acuerdo con el Anexo 1 del escrito de AMADEUS de 6 de junio de 2024, las categorías de actividades de tratamiento que realiza AMADEUS están organizadas por unidad de negocio con la siguiente correlación: • (…) DÉCIMO SEXTO: Respecto a su actividad en general, según ha explicado AMADEUS en su escrito de 10 de abril de 2024, (…). De acuerdo con el Anexo 4.5 del escrito de AMADEUS de 10 de abril de 2024: “(…) De acuerdo con el Anexo 6.3.1 del escrito de AMADEUS de 10 de abril de 2024 «Risk and DPIA for the processing of minors’ data in the context of the Amadeus GDS»: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/53 DÉCIMO SÉPTIMO: Respecto a ***PLATAFORMA.1, en el documento “Informe Global de Amadeus 2022”, accesible desde la página web: https://corporate.amadeus.com/documents/es/recursos/informacionempresarial/documentos-corporativos/informes-globales/2022/Informe-AnualAmadeus-2022_Accesible-AA.pdf, se especificaba la siguiente información: (…) DÉCIMO OCTAVO: Respecto a ***PLATAFORMA.1, en el documento “***DOCUMENTO.1”, accesible desde la página web: ***URL.1 se especificaba la siguiente información (…). DÉCIMO NOVENO: Respecto a ***PLATAFORMA.1, en la página web ***URL.2, el 15 de abril de 2024 se especificaba la siguiente información: (…) VIGÉSIMO: Respecto a ***PLATAFORMA.1, en la página web ***URL.3, el 15 de abril de 2024 se especificaba la siguiente información: (…) VIGÉSIMO PRIMERO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 5.1 AMADEUS incluyó en su newsletter de (…). VIGÉSIMO SEGUNDO: Respecto a ***PLATAFORMA.1, en su escrito de 6 de junio de 2024, AMADEUS ha señalado que (…). VIGÉSIMO TERCERO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 4.1 del escrito de AMADEUS de 6 de junio de 2024, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/53 VIGÉSIMO CUARTO: Respecto a ***PLATAFORMA.1, en lo relativo a aquellos datos personales provenientes del GDS de AMADEUS, AMADEUS realizaba esta actividad en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios de tal actividad. VIGÉSIMO QUINTO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 4.8.1 del escrito de AMADEUS de 6 de junio de 2024, el 12 de junio de 2021 ***EMPRESA.2 firmó un contrato con AMADEUS para la realización del proyecto piloto ***PLATAFORMA.1, con el siguiente contenido: (…) En el Anexo 4.8.2 del escrito de AMADEUS de 6 de junio de 2024 se aporta un documento titulado “***EMPRESA.2 Data Processing Agreement” (Traducción no oficial: “Acuerdo de tratamiento de datos de ***EMPRESA.2”), en el que se indica: - (…) VIGÉSIMO SEXTO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 4.8.3 del escrito de AMADEUS de 6 de junio de 2024, ***EMPRESA.3 firmó el 23 de marzo de 2022 un contrato con AMADEUS para la realización del piloto ***PLATAFORMA.1, con el siguiente contenido (entre otros): - (…) VIGÉSIMO SÉPTIMO: Respecto a ***PLATAFORMA.1, en su escrito de 25 de octubre de 2024 AMADEUS ha explicado que ***SERVICIO.1 (…). VIGÉSIMO OCTAVO: Respecto a ***PLATAFORMA.1, considera AMADEUS, de acuerdo con el Anexo 6.1 de su escrito de 6 de junio de 2024 (Evaluación de Impacto relativa a la Protección de Datos en las actividades relacionadas con el piloto ***PLATAFORMA.1), que: (…) No obstante, en toda esta documentación no consta una evaluación detallada de si los intereses perseguidos por AMADEUS prevalecían sobre los intereses o derechos y libertades fundamentales de los interesados afectados por la realización del piloto ***PLATAFORMA.
  27. VIGÉSIMO NOVENO: Respecto a ***PLATAFORMA.1, en la presentación realizada para promocionar la semana de la privacidad 2022, titulada “ ***PRESENTACIÓN.1”, documento Anexo 4.9 del escrito de AMADEUS de 6 de junio de 2024, se indica en la Página 719 las razones por las que el interés legítimo no se debe usar para tratar datos en ***PLATAFORMA.1: (…) En dicha presentación AMADEUS incluye información sobre la base jurídica para compartir los datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/53 (…) No consta que AMADEUS hubiera obtenido el consentimiento específico de los interesados para la utilización de sus datos personales para la realización del proyecto ***PLATAFORMA.
  28. TRIGÉSIMO: Respecto a su actividad en general, de acuerdo con el Anexo 4.4 del escrito de AMADEUS de 10 de abril de 2024, (…) En el citado Anexo, AMADEUS indica que cumple con el deber de información: (…) Respecto a ***PLATAFORMA.1, en el Anexo 4.1 del escrito de AMADEUS de 6 de junio de 2024 se indica: “(...)” En su política de privacidad AMADEUS no proporcionaba a los interesados información específica sobre el proyecto ***PLATAFORMA.1 ni sobre las cadenas hoteleras con las que se colaboró para su realización. Tampoco se proporcionó en modo alguno tal información a los interesados cuyos datos fueron utilizados tres años después de haber sido recogidos para la realización de una reserva de algún servicio de viaje. TRIGÉSIMO PRIMERO: Respecto a ***PLATAFORMA.1, en su escrito de 25 de octubre de 2024, AMADEUS ha indicado, en relación a los datos utilizados en el piloto ***PLATAFORMA.1, que (…). TRIGÉSIMO SEGUNDO: Respecto a ***PLATAFORMA.1, en su escrito de 25 de octubre de 2024 AMADEUS especificaba que (…). TRIGÉSIMO TERCERO: No se ha encontrado información sobre el producto “ ***PRODUCTO.1” en la siguiente documentación suscrita entre AMADEUS e ***EMPRESA.1: (…) TRIGÉSIMO CUARTO: Respecto a ***PLATAFORMA.1, ***EMPRESA.6 ha indicado a la autoridad (...) de protección de datos que no tiene conocimiento de los sistemas y productos «***EMPRESA.2» y « ***PRODUCTO.1» y que no ha contratado estos productos ni con Amadeus IT Group ni con ninguna otra entidad del Grupo Amadeus. La empresa alemana ***EMPRESA.7 figura entre los subcontratistas posteriores de Amadeus IT Group con los que ***EMPRESA.6 ha contratado servicios informáticos y que actúa como subcontratista de primer nivel de ***EMPRESA.
  29. Sin embargo, en el contexto de estos servicios informáticos, estas dos entidades de Amadeus están vinculadas por las cláusulas de subcontratación firmadas con Amadeus IT Group, en virtud de las cuales se prohíbe a Amadeus reutilizar los datos para fines distintos de los relacionados con la prestación de los servicios, a fortiori crear y alimentar una base de datos consolidada con fines de elaboración de perfiles. Por lo tanto, no se informó a ***EMPRESA.6 de la aplicación del tratamiento antes mencionado. ***EMPRESA.6 indicó que, paralelamente a su función de subcontratista de servicios informáticos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/53 Amadeus IT Group también actúa como responsable independiente del tratamiento de datos para su actividad de sistema central de reservas (GDS). A este respecto, indica ***EMPRESA.6 que no tiene control ni visibilidad sobre las actividades de tratamiento de Amadeus en este contexto. TRIGÉSIMO QUINTO: Respecto a ***PLATAFORMA.1, AMADEUS ha indicado en su escrito de 23 de diciembre de 2024 que GDS opera por PNR y no por viajero. Las cifras de viajeros en tanto que distintos PNRs se pueden (y, de hecho, es habitual) referir a el mismo sujeto o, en algunos casos, a ninguno. Lo mismo ocurre con los datos relativos a menores, con el matiz adicional de que, en muchos casos, que el viajero es un menor se deduce de la información adicional de los SSR. En su escrito de 23 de diciembre de 2024, AMADEUS ha indicado: Número de clientes de ***EMPRESA.2 cuyos datos fueron utilizados para la realización del piloto ***PLATAFORMA.
  30. ***CANTIDAD.1 clientes de ***EMPRESA.
  31. Número de clientes de ***EMPRESA.3 cuyos datos fueron utilizados para la realización del piloto ***PLATAFORMA.
  32. ***CANTIDAD.2 clientes de ***EMPRESA.
  33. TRIGÉSIMO SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR el 20 de febrero de 2024, la entidad AMADEUS IT GROUP, S.A. es una gran empresa constituida en el año 2005, y con un volumen de negocios de 4.467.600.000 € euros en el año
  34. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/53 II Cuestiones previas
  35. Tratamiento de datos personales El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” AMADEUS es uno de los Sistemas de Distribución Global (GDS) más importantes a nivel mundial. Un GDS es un sistema de red que permite transacciones entre proveedores de servicios de la industria de viajes, y utiliza principalmente el inventario en tiempo real (por ejemplo, el número de habitaciones de hotel disponibles, el número de asientos de vuelo disponibles o el número de automóviles disponibles) de los proveedores de estos servicios. (…) Al respecto, en la política de privacidad de AMADEUS disponible en el enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds, a 30 de abril de 2024 se especificaban las siguientes finalidades de tratamiento con sus bases jurídicas: a) gestionar el GDS de AMADEUS (basado en la ejecución de un contrato); b) realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos productos, mejorar nuestros servicios e identificar tendencias de uso (basado en el interés legítimo de AMADEUS); y c) anonimizar y agregar datos con el fin de utilizar los datos con fines analíticos (también basado en el interés legítimo de AMADEUS). (…) En cuanto a los tipos y categorías de datos que intervinieron en el proyecto ***PLATAFORMA.1, provenientes de “Amadeus GDS PNRs”, AMADEUS indicó que se trataron los siguientes datos: (…) Por tanto, en el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AMADEUS realizaba, entre otros tratamientos, la recogida y conservación de, al menos, los siguientes datos personales de personas físicas: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/53
  36. Rol de AMADEUS El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el Anexo 2.4 de su escrito de 10 de abril de 2024, AMADEUS explicaba que (…) Por su parte, la distribución de contenido de aerolíneas a través de GDS está regulada en Europa por el Reglamento (CE) n.º 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) n.º 2299/89 del Consejo («Reglamento»), publicado en el Diario Oficial L 36/48 y que entró en vigor el 29 de marzo de 2009, el cual en su artículo 11.1 establece: “
  37. Los datos personales recogidos en el transcurso de las actividades de un SIR para la realización de reservas o la emisión de billetes relacionados con productos de transporte solo se tratarán de manera compatible con dichos fines. En el tratamiento de dichos datos, el vendedor de sistemas será considerado el responsable del tratamiento de datos, según la definición del artículo 2, letra d), de la Directiva 95/46/CE.” No obstante, tal como explicó AMADEUS en su escrito de 6 de junio de 2024, cuando se trata de distribución directa por parte de las aerolíneas, AMADEUS ejerce como encargado del tratamiento, recibiendo instrucciones de la aerolínea, que actúa como responsable del tratamiento. En cuanto a los datos utilizados para la realización del piloto ***PLATAFORMA.1, respecto de aquellos datos personales provenientes del GDS de AMADEUS, AMADEUS realizaba esta actividad en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD.
  38. Tratamiento de datos personales transfronterizo Además, se trata de un tratamiento transfronterizo, dado que AMADEUS está establecida en España, si bien presta servicio a otros países de la Unión Europea y, en el presente caso, tal y como consta en antecedentes, se han visto afectados datos de ciudadanos de otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/53 encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo
  39. En el caso examinado, como se ha expuesto, AMADEUS tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. III Obligación incumplida. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado El artículo 14 del RGPD establece la información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado, en virtud del cual: “
  40. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento; d) las categorías de datos personales de que se trate; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
  41. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado: a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo; b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero; c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada; e) el derecho a presentar una reclamación ante una autoridad de control; f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público; g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/53 significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
  42. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2: a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos; b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.
  43. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado
  45. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que: a) el interesado ya disponga de la información; b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información; c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal.” La obligación prevista en el mencionado artículo 14 del RGPD desempeña un papel fundamental en el marco de la protección de datos personales en aquellos contextos donde los datos personales no se obtienen directamente de los interesados. Esta disposición garantiza la transparencia y el respeto por los derechos en dicho ámbito, dos pilares esenciales sobre los que se construye la confianza entre los titulares de los datos y las entidades que los tratan. El mandato previsto en el artículo implica que el responsable del tratamiento debe proporcionar a los interesados una serie de información relacionada con el tratamiento de sus datos personales La importancia de cumplir con la obligación prevista en dicho artículo radica en varios aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/53 - Proporciona a los interesados una comprensión clara y completa de cómo se están utilizando sus datos personales, lo cual resulta esencial para la construcción de una relación basada en la confianza con las entidades que manejan sus datos. - Facilita y garantiza a sus titulares el ejercicio de sus derechos de protección de datos, incluido el derecho a la objeción del tratamiento, acceso, rectificación, y supresión de sus datos personales, entre otros. - Refuerza la legitimidad del tratamiento de datos personales al asegurar que se realice dentro del marco legal establecido y de acuerdo con los principios del RGPD. - Ayuda a proteger a los individuos contra el uso indebido de sus datos personales, asegurando que solo se utilicen para fines específicos, legítimos y explícitamente informados. - Ayuda a los responsables del tratamiento con el cumplimiento de la normativa de protección de datos, evitando sanciones, así como daños a su reputación que podrían derivarse del incumplimiento. En el presente caso, en su escrito de 10 de abril de 2024, AMADEUS explicaba que: (…). En el Anexo 4.
  46. de su escrito de 10 de abril de 2024 AMADEUS explicó cómo informa a los pasajeros sobre el tratamiento de los datos personales de los viajeros de GDS para la reserva y emisión de billetes: (…). Según lo especificado en el Anexo 4.4 de su escrito de 10 de abril de 2024, AMADEUS indica que cumple con el deber de información: o (…) A fecha 14 de febrero de 2024 en el enlace http://www.iatatravelcenter.com/privacy, podía verse: “Data Protection and Privacy Information You are encouraged to read the privacy policies of the marketing and operating carriers for your booking. Note that more than one privacy policy may apply to you. These documents specify how your personal data is collected, stored, used, disclosed and transferred. An index of carrier privacy policies is available here. Your travel agent may also process your personal information in order to provide services to you. You should contact your travel agent for further information and for a copy of their privacy policy. Reservation system providers (sometimes known as a Global Distribution System or GDS) facilitate the transmission of booking information from your travel agent to the carrier. Their privacy policies may apply and govern how your booking information is used. An index of GDS privacy policies is available here (PDF file).” (Traducción no oficial: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/53 “Protección de datos e información sobre privacidad Le recomendamos que lea las políticas de privacidad de las compañías de marketing y operadoras para su reserva. Tenga en cuenta que más de una política de privacidad puede aplicarse a usted. Estos documentos especifican cómo se recopilan, almacenan, utilizan, divulgan y transfieren sus datos personales. Un índice de las políticas de privacidad del operador está disponible aquí. Su agente de viajes también puede procesar su información personal para proporcionarle servicios. Debe ponerse en contacto con su agente de viajes para obtener más información y una copia de su política de privacidad. Los proveedores de sistemas de reservas (a veces conocidos como Sistema de Distribución Global o GDS) facilitan la transmisión de información de reservas de su agente de viajes al transportista. Sus políticas de privacidad pueden aplicarse y regular cómo se utiliza la información de su reserva. Un índice de las políticas de privacidad de GDS está disponible aquí (archivo PDF).”) A continuación, aparecía un extenso listado de aerolíneas diferentes con enlaces a sus políticas de privacidad. Consultado el enlace https://www.iatatravelcentre.com/privacy-content/2.htm, aparecía la siguiente información: “ComunicaciÃ3n sobre protecciÃ3n de datos- General (Spanish) Sus datos personales se procesarán de acuerdo con la política de privacidad aplicable del operador y, si su reserva se realiza mediante un proveedor de sistema de reserva (“GDS”), conforme a su política de privacidad, que estará disponible en https://iatatravelcentre.com/privacy.htm, o en el operador o GDS directamente. Debe leer esta documentación, que se aplica a su reserva y especifica, por ejemplo, cómo se recopilan, almacenan, utilizan, revelan y transfieren sus datos personales.” En el documento que se descargaba al acceder al enlace https://www.iatatravelcentre.com/uploads/pdfs/privacy/ReservationSystemProvider.pdf, podía verse: “Data Protection and Privacy – Reference Index for Reservation System Provider Privacy Policies/Statements Provider Amadeus AXESS Farelogix INFINI KIU System Solutions Radixx International, Inc Sabre Sirena Travel JSC SITA C/ Jorge Juan, 6 28001 – Madrid Privacy Policy/Privacy Statement Reference http://www.amadeus.com/web/amadeus/en_1Acorporate/ Amadeus-Home/Amadeus_IT_Group_SALegalnotices-2014/1319560218660-PageAMAD_Detail_PopUp_Ppal?assetid=1319607040997&a ssettype=DataProtection_C Please contact provider directly Please contact provider directly Please contact provider directly Please contact provider directly Please contact provider directly https://www.sabre.com/about/privacy/ http://www.sirena-travel.ru/personal-dataprocessing.html https://www.sita.aero/copyright-menu/privacy-statement www.aepd.es sedeaepd.gob.es 38/53 Travelport TravelSky Unisys https://www.travelport.com/privacy Please contact provider directly https://www.unisys.com/unisys-legal/privacy Revision date: 9 July 2019” Por su parte, en el contrato genérico con los Suscriptores (agencias de viaje), aportado como Anexo 2.6 del escrito de AMADEUS de 10 de abril de 2024, figuraba: “(…) Respecto a la información facilitada a los interesados sobre el piloto ***PLATAFORMA.1, en el Anexo 4.1 de su escrito de 6 de junio de 2024 AMADEUS manifestó: (…) En su política de privacidad, a 24 de noviembre de 2023 se indicaba en el enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds: “Amadeus también puede utilizar los datos personales con fines investigativos, analíticos y estadísticos, y para identificar preferencias, intereses, tendencias y otras actividades en la industria del turismo, así como productos y servicios que puedan ser de interés particular para las personas. Los datos personales utilizados con fines analíticos derivan de datos personales, pero se tratan de forma anónima y agregada. El fundamento jurídico para procesar los datos personales con fines investigativos, analíticos y estadísticos y para identificar productos y servicios que puedan ser de interés particular para las personas está basado en el legítimo interés empresarial de Amadeus. Siempre que se procese información personal con estos fines, se considerará el impacto sobre la privacidad de la persona cuyos datos se están procesando.” En su política de privacidad, a 30 de abril de 2024, entre otros propósitos, se especificaba la siguiente finalidad de tratamiento con su base jurídica: “• • Propósito: Realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos productos, mejorar nuestros servicios e identificar tendencias de uso. Base Jurídica: El interés legítimo de Amadeus en comprender mejor nuestros servicios y mejorarlos, identificar tendencias de uso y desarrollar nuevos productos.” Con fecha 2 de diciembre de 2024 se comprobó que el enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds había cambiado a https://amadeus.com/es/politicas/gds-privacy-statement. Como se ha explicado, AMADEUS no obtiene los datos personales de los viajeros directamente de los interesados, por lo que le resulta de aplicación el artículo 14 del RGPD. Dado que no tiene lugar ninguna de las excepciones indicadas en el apartado 5 del citado artículo, es obligación de AMADEUS proporcionar a los interesados toda la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/53 información detallada en los apartados 1 y 2 sobre el tratamiento de datos personales que realizara en su condición de responsable. Respecto a la utilización de datos personales de viajeros para la realización del piloto ***PLATAFORMA.1, dado que se trataba de un tratamiento ulterior de los datos para un fin distinto para el que se obtuvieron (o sea, la realización de una reserva de un servicio de viaje), era obligación de AMADEUS proporcionar a los interesados, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente, de acuerdo con lo establecido en el apartado 4 del artículo 14 del RGPD. Al respecto, indica AMADEUS que proporcionó tal información a través de su política de privacidad. No obstante, esta Agencia considera que simplemente una referencia genérica en su política de privacidad publicada en su página web es insuficiente a los fines del citado artículo del RGPD. En especial, si se tiene en cuenta que los servicios GDS son servicios B2B y AMADEUS no tuvo relación directa con los usuarios finales cuyos datos se trataban a través del GDS, por lo que no todos los interesados son conscientes de que AMADEUS trata sus datos cuando realizan una reserva, y mucho menos que sus datos serían tratados por parte de AMADEUS, con posterioridad a la realización de una reserva determinada, con el fin de desarrollar nuevos productos de los que pudiera beneficiarse. A mayor abundamiento, en su escrito de 25 de octubre de 2024 AMADEUS misma indicó que “(…)”. Es decir, se trataron datos tres años después de que los interesados hubieran realizado una reserva de algún servicio de viaje, para la realización de un piloto por parte de una empresa con la cual ellos no tuvieron relación directa alguna, a fin de analizar la posibilidad de implementar un producto nuevo. Lo cual, a juicio de esta Agencia, no sería una expectativa razonable por su parte. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos probados son constitutivos de una infracción, imputable a AMADEUS, por vulneración del artículo 14 del RGPD. IV Tipificación de la infracción del artículo 14 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "(…) b) los derechos de los interesados a tenor de los artículos 12 a 22;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/53 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." V Sanción por la infracción del artículo 14 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “
  47. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
  48. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; b) la intencionalidad o negligencia en la infracción; c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; e) toda infracción anterior cometida por el responsable o el encargado del tratamiento; f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; g) las categorías de los datos de carácter personal afectados por la infracción; h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/53 i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “
  49. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo.
  50. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: a) El carácter continuado de la infracción. b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. c) Los beneficios obtenidos como consecuencia de la comisión de la infracción. d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente. f) La afectación a los derechos de los menores. g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de AMADEUS (4.467.600.000 euros en el año 2023). A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se dispone en el presente momento de proyecto de acuerdo de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/53 • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por no proporcionar a los interesados la información exigida por el artículo 14 del RGPD relativa a la realización del piloto ***PLATAFORMA.1, lo que afectó a millones de interesados, del 15 de marzo de 2022 al 15 de junio de 2022 (contrato firmado con ***EMPRESA.3). En este sentido, resulta muy significativo que los datos personales, que no eran recogidos directamente de los interesados (no todas las personas eran conscientes de que AMADEUS estaba tratando sus datos al realizar una reserva, toda vez que los servicios GDS son servicios B2B) fueran utilizados para un tratamiento ulterior de AMADEUS (un determinado proyecto piloto) que no era razonablemente previsible en el momento y en el contexto de la recogida de los datos personales de los interesados para un fin particular. El poder de disposición y control de los titulares del derecho fundamental a la protección de datos personales respecto de los datos personales que les conciernen queda totalmente desdibujado si los interesados desconocen que sus datos personales, recogidos para una finalidad concreta y en un contexto determinado están siendo tratados posteriormente para otra finalidad distinta y en otro contexto diferente. La posibilidad de ejercitar los derechos que le confiere el RGPD también se ve limitada consecuentemente, así como la posibilidad de reaccionar frente a una vulneración de sus derechos. No suministrar la información a los interesados en tiempo y en forma y con el contenido previsto en el RGPD, respecto de los tratamientos concretos de datos personales a los que estén sometidos los interesados, constituye un riesgo claro en los derechos y libertades de los interesados. Riesgo que tiene que ser identificado, valorado y evaluado por el responsable del tratamiento para evitar que se materialice, produciendo daños en los interesados. Y mucho más aun cuando, para el ***PLATAFORMA.1, según asevera AMADEUS la base jurídica que les legitimaba para realizar ese tratamiento ulterior de dichos datos personales era el interés legítimo, que requiere, por sus especiales características (ponderación de intereses y derechos) un especial cuidado de transparencia, explicitando cuáles son los concretos intereses legítimos del responsable que prevalecen sobre los de los interesados para un tratamiento de datos concreto. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • Toda infracción anterior cometida por el responsable o el encargado del tratamiento (artículo 83.2, letra e), del RGPD): El 10 de junio de 2022 la Directora de la Agencia Española de Protección de Datos dictó resolución en la que se impuso a AMADEUS, por una infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/53 • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): AMADEUS es uno de los Sistemas de Distribución Global (GDS) más importantes a nivel mundial, lo que implica tratar datos personales de millones de viajeros para la realización de reservas de servicios de la industria de viajes, por lo cual se trata de una entidad habituada a la realización de tratamientos de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 14 del RGPD, permite imponer una sanción de multa administrativa de 9.000.000,00 euros (NUEVE MILLONES DE EUROS). VI Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "
  51. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
  52. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
  53. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por: a) el Derecho de la Unión, o b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/53 La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
  54. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas: a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto; b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10; d) las posibles consecuencias para los interesados del tratamiento ulterior previsto; e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." El principio de licitud representa uno de los pilares fundamentales sobre los que se asienta el Reglamento General de Protección de Datos (RGPD). La relevancia de este principio radica, entre otros aspectos, en el papel esencial en la construcción de una relación de confianza entre las distintas personas y entidades que tratan datos personales y los individuos titulares de dichos datos. La licitud en el tratamiento de los datos personales garantiza que toda actividad de tratamiento se realice dentro del marco legal establecido, respetando los derechos de sus titulares de datos y cumpliendo con las obligaciones legales. Este principio actúa, por tanto, como un escudo protector de los derechos fundamentales de las personas, garantizando que sus datos personales no sean utilizados de manera indebida o para fines que no hayan sido explícitamente autorizados o que no estén claramente definidos por la ley. En la práctica, el principio de licitud obliga a los responsables y encargados del tratamiento de datos a identificar una base legal válida antes de proceder con cualquier actividad de tratamiento. Esta base legal se determina por el citado artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/53 6.1 que establece de forma concreta las condiciones para considerar un determinado tratamiento lícito. Estas condiciones incluyen el consentimiento del interesado, la necesidad del tratamiento para la ejecución de un contrato en el que el interesado es parte, el cumplimiento de una obligación legal, la protección de intereses vitales, la ejecución de una misión realizada en interés público o el ejercicio de poderes públicos, y la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre estos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales. Por tanto, para que un tratamiento de datos se considere lícito, de acuerdo con lo dispuesto en el mencionado artículo, requiere la existencia de una base legal que lo legitime. En el presente caso, AMADEUS llevó a cabo un piloto denominado ***PLATAFORMA.1 (***PLATAFORMA.1). A tal fin, (…). Respecto a los PNR, en su escrito de 10 de abril de 2024 AMADEUS explicaba que: (…) Y en el Anexo 4.5 de dicho escrito se detallaba que había dos tipos de PNR:  (…) En cuanto a los tipos y categorías de datos que intervinieron en el proyecto ***PLATAFORMA.1, provenientes de “Amadeus GDS PNRs”, AMADEUS indicó que se trataron los siguientes datos: (…). (…) en el Anexo 4.5 del escrito de AMADEUS de 10 de abril de 2024 que (…). Por su parte, el artículo 11.4 del Reglamento (CE) nº 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) nº 2299/89 del Consejo establece (el subrayado es nuestro): “
  55. La información sobre reservas individuales identificables que esté bajo el control del vendedor de sistemas se almacenará de forma que no pueda accederse a ella en línea, a más tardar a las 72 horas del momento en que se haya efectuado el último elemento de la reserva individual, y se destruirá en un plazo máximo de tres años. Solo se autorizará el acceso a tales datos cuando sea necesario para resolver controversias acerca de la facturación.” No obstante, en el presente caso AMADEUS ha utilizado los datos de los PNR en su poder para la realización del piloto ***PLATAFORMA.
  56. Como anexo a su EIPD de ***PLATAFORMA.1, documento Anexo 6.1 de su escrito de 6 de junio de 2024, AMADEUS proporciona un documento denominado evaluación de impacto sobre Interés Legítimo para el piloto ***PLATAFORMA.1, con fecha del documento 5 de noviembre de
  57. En el documento Anexo a la EIPD, AMADEUS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 46/53 indica que evalúa el impacto del interés legítimo para la realización del piloto ***PLATAFORMA.
  58. (…) Sin embargo, en la copia de la presentación realizada para promocionar la semana de la privacidad 2022, titulada “ ***PRESENTACIÓN.1”, documento Anexo 4.9 del escrito de AMADEUS de 6 de junio de 2024, indicaba en la Página 719 las razones por las que el interés legítimo no se debía usar para tratar datos en ***PLATAFORMA.1: “• (…) En dicha presentación AMADEUS incluía información sobre la base jurídica para compartir los datos, y no era el interés legítimo: (…) Al respecto, esta Agencia no puede menos que coincidir con el análisis realizado por la propia AMADEUS para la realización de su presentación “ ***PRESENTACIÓN.1”. Dado que AMADEUS no tenía relación directa con los usuarios finales cuyos datos se trataban a través del GDS y que no todas las personas eran conscientes de que AMADEUS estaba tratando sus datos al realizar una reserva (toda vez que los servicios GDS son servicios B2B), no constituía una expectativa razonable para los interesados que sus datos fueran a ser tratados por parte de AMADEUS, con posterioridad a la realización de una reserva determinada, con el fin de desarrollar nuevos productos de los que pudiera beneficiarse. Por más que en la EIPD de ***PLATAFORMA.1 AMADEUS cite una encuesta en la que se afirma que el 49% de clientes están preparados para dar sus datos a marcas en las que confían y que el 69% de clientes se mostró satisfecho de que las marcas utilicen sus datos para enviarles descuentos en productos y servicios que realmente desean, ello no significa que los usuarios que realizaron una reserva de un servicio de viaje a través de una determinada empresa tuvieran siquiera la expectativa de que una tercera empresa de la que muy posiblemente no tenían conocimiento utilizaría sus datos años después para la realización de un piloto para probar la posibilidad de desarrollar un producto nuevo. Aunque se afirme en la tal EIPD que se explicaría claramente el citado tratamiento de datos a través del aviso de privacidad de AMADEUS, lo cierto es que tal información no ha sido proporcionada de forma específica y no ha quedado acreditado en el presente procedimiento que los interesados tuvieran conocimiento de tal situación. Lo cual convierte en completamente inútil que AMADEUS hubiera implementado un mecanismo de exclusión voluntaria para permitir que los interesados se opongan al procesamiento de sus datos personales basado en el interés legítimo, dado que ni siquiera tenían conocimiento de que tal tratamiento tendría lugar. (…) A mayor abundamiento, el ya citado artículo 11.4 del Reglamento (CE) nº 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 47/53 un código de conducta para los sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) nº 2299/89 del Consejo establece (el subrayado es nuestro): “
  59. La información sobre reservas individuales identificables que esté bajo el control del vendedor de sistemas se al

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.