Amadeus'un Hukuki Dayanak ve Aydınlatma İhlalleri

1/53

 Expediente N.º: EXP202315175
IMI Reference: A56ID 590304

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

CONTENIDO

ANTECEDENTES..........................................................................................................4
PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de
ciertos hechos............................................................................................................4
SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 31 de octubre
de 2023, la Directora de la Agencia Española de Protección de Datos instó a la
Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones
previas de investigación ............................................................................................4
TERCERO: En respuesta a requerimiento de información de esta Agencia, el 18 de
diciembre de 2023 tuvo entrada un escrito de AMADEUS.........................................5
CUARTO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento
Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo
es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre
los Estados miembros y el intercambio de información, esta Agencia transmitió la
citada cuestión el día 22 de diciembre de 2023..........................................................5
QUINTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación....................................................................6
.-1-. Ampliación de la denuncia...............................................................................6
.-2-. Marco normativo..............................................................................................6
.-3-. Glosario...........................................................................................................7
.-4-. Sobre AMADEUS............................................................................................8
.-4.1-. Sobre el funcionamiento de AMADEUS....................................................8
.-4.2-. Sobre el origen de los datos personales de los pasajeros y la base de
legitimación para la recogida de dichos datos...................................................11
.-4.3-. Sobre la política de privacidad de GDS de AMADEUS...........................12
.-4.4-. Sobre el papel de responsable y encargado de cada uno de los
intervinientes.....................................................................................................14
.-4.5-. Sobre el Registro de Nombres de Pasajeros (PNR) y la Directiva PNR..19

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/53

.-4.6-. Respecto al Registro de Actividades de Tratamiento (RAT)....................19
.-4.7-. Sobre la Evaluación de impacto en el tratamiento de datos personales en
el sistema de reservas de AMADEUS...............................................................20
.-4.8-. Respecto a los plazos de conservación de los PNR...............................20
.-5-. Sobre ***PLATAFORMA.1 (***PLATAFORMA.1)..........................................23
-.5.1.- Sobre el conocimiento de ***PLATAFORMA.1.......................................23
-.5.2.- Información sobre el producto ***PLATAFORMA.1................................27
-.5.3.- Descripción del producto ***PLATAFORMA.1........................................28
-.5.4.- Sobre los contratos con las cadenas hoteleras.......................................33
-.5.5.- Sobre el servicio ***SERVICIO.1............................................................39
-.5.6.- Sobre la EIPD de ***PLATAFORMA.1....................................................40
-.5.7.- Sobre el Interés legítimo como Base de legitimación..............................43
-.5.8.- Sobre la información aportada a los interesados para ***PLATAFORMA.1
.......................................................................................................................... 44
-.5.9.- Sobre los datos utilizados en ***PLATAFORMA.1..................................47
-.5.10.- Sobre la implicación de las aerolíneas en ***PLATAFORMA.1.............48
-.5.11.- Información aportada sobre ***EMPRESA.1.........................................49
-.5.12.- Información de ***ORGANISMO.1........................................................50
.-6-. Sobre el número de viajeros involucrados.....................................................50
.-6.1-. Número de clientes cuyos datos fueron utilizados..................................51
SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR...............51
SÉPTIMO: Con fecha 22 de abril de 2025, la Presidencia de la AEPD adoptó un
proyecto de decisión de inicio de procedimiento sancionador..................................51
OCTAVO: Con fecha 21 de mayo de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a AMADEUS..........51
NOVENO: En fecha 29 de mayo de 2025, AMADEUS ha procedido al pago de la
sanción..................................................................................................................... 52
HECHOS PROBADOS................................................................................................52
FUNDAMENTOS DE DERECHO.................................................................................82
I Competencia......................................................................................................... 83
II Cuestiones previas...............................................................................................83
1. Tratamiento de datos personales......................................................................83
2. Rol de AMADEUS.............................................................................................85
3. Tratamiento de datos personales transfronterizo..............................................86

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/53

III Obligación incumplida. Información que deberá facilitarse cuando los datos
personales no se hayan obtenido del interesado.....................................................86
IV Tipificación de la infracción del artículo 14 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 93
V Sanción por la infracción del artículo 14 del RGPD..............................................93
VI Obligación incumplida. Licitud del tratamiento....................................................96
VII Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de
prescripción............................................................................................................ 105
VIII Sanción por la infracción del artículo 6 del RGPD...........................................106
IX Terminación del procedimiento por pago voluntario...........................................108
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:............109

ANTECEDENTES

PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de
ciertos hechos que podrían constituir una posible infracción imputable a AMADEUS IT
GROUP, S.A. con NIF A84236934 (en adelante, AMADEUS), a través de una
denuncia anónima de fecha 26 de septiembre de 2023.

Los hechos que se pusieron en conocimiento de esta autoridad eran:

La posible existencia de un uso indebido de datos para la elaboración de perfiles en la
actividad desarrollada por uno de los principales gestores de reservas aéreas en la
UE, Amadeus IT Group, S.A., y la línea aérea ***EMPRESA.1

La denuncia sugiere que estarían involucrados otros responsables y encargados de
tratamiento sobre los que son competentes las autoridades de protección de datos
sueca, (...), alemana (LDI) y belga, así como la Comisión Europea.

En la denuncia se analiza la doble condición de responsable y encargado de
tratamiento de los grandes sistemas de distribución global (GDS), como AMADEUS,
dependiendo de la vía por la que los clientes realizan la reserva de vuelo (a través de
una agencia de viajes o de una compañía aérea), y se pone de manifiesto que:

- los datos personales de viajeros de todo el mundo se han consolidado en una
plataforma de datos gracias a los sistemas ***EMPRESA.2 y ***PLATAFORMA.1
(***PLATAFORMA.1).

- se ha llevado a cabo un perfilado de los mismos reuniendo el historial de viajes
asociados por una persona concreta y que han sido reservados y efectuados a través
de las distintas agencias y líneas aéreas.

Según los hechos denunciados, el uso indebido afectaría a más de 12.000 millones de
datos, incluidos los datos de millones de españoles, habiéndose constatado que de los
clientes no se solicita consentimiento en ningún caso, no siendo tampoco informados
por el GDS cuando este actúa como responsable de tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/53

En la denuncia también se destaca que el plazo de conservación de los datos no es el
adecuado.

SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 31 de octubre de
2023, la Directora de la Agencia Española de Protección de Datos instó a la
Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas
de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD).

TERCERO: En respuesta a requerimiento de información de esta Agencia, el 18 de
diciembre de 2023 tuvo entrada un escrito de AMADEUS en el que manifestaba que:

“.- “tratamiento GDS* (por sus siglas en inglés, Global Distribution System, un
sistema que permite realizar reservas utilizado por entidades del sector de
viajes como aerolíneas, hoteles, agencias de viajes, etc.)
GDS*: Amadeus es un proveedor de tecnología para la industria del viaje (su
actividad es B2B). Como tal, provee a las empresas que operan en el sector
del viaje como como, por ejemplo, aerolíneas, hoteles, trenes, aeropuertos u
otras con la tecnología y las soluciones que les permiten llevar a cabo su
actividad.
[…]
.- El responsable del tratamiento es Amadeus IT Group, S.A. con domicilio en
la calle Salvador de Madariaga 1, 28027 Madrid, España.
Amadeus IT Group, S.A. es la sociedad matriz del grupo, donde se produce la
toma de decisiones y se configura todo el tratamiento relativo a GDS, siendo
por lo tanto el establecimiento relevante a estos efectos.
[…]
.- el grupo de empresas de Amadeus cuenta con distintas empresas en el
Espacio Económico Europeo. Todas ellas son empresas independientes
pertenecientes al mismo grupo.
[…]
.- El establecimiento principal se sitúa en España donde Amadeus IT Group,
S.A. (con domicilio en la calle Salvador de Madariaga 1, 28027 Madrid,
España) lleva la administración central.
[…]
.- El tratamiento afecta sustancialmente a interesados en más de un Estado
miembro (esto es, a viajeros de cualquier Estado miembro) y tiene carácter
transfronterizo.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/53

CUARTO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo
y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer
la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información, esta Agencia transmitió la citada cuestión el
día 22 de diciembre de 2023. El traslado de esta cuestión al resto de autoridades se
realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE)
2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la
Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos
Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo
en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar
como autoridad de control principal, dado que AMADEUS tiene su establecimiento
único o principal en España.

Los tratamientos de datos que se llevan a cabo afectan a interesados en varios
Estados miembros. Según las informaciones incorporadas al Sistema IMI, de
conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de
“autoridad de control interesada” las autoridades de Países Bajos, Suecia, Estonia,
Austria, Noruega, Lituania, Francia, Italia, Hungría, Bélgica, Dinamarca, Irlanda,
Polonia, Eslovaquia, Finlandia y las autoridades alemanas de Renania-Palatinado,
Baden-Wurtemberg, Renania del Norte-Westfalia, Berlín, Baviera- Sector Privado y
Hesse. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que
residen en el territorio de estas autoridades de control se ven sustancialmente
afectados o es probable que se vean sustancialmente afectados por el tratamiento
objeto del presente procedimiento.

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:

.-1-. Ampliación de la denuncia

- Con fechas 21 de octubre de 2024 y 26 de diciembre de 2024, se recibió en
esta Agencia sendos escritos de denuncia con el objeto de sugerir posibles
sanciones e informar sobre una nueva denuncia remitida a cuatro reguladores
europeos (Portugal, Islandia, Finlandia y Grecia) en los que hay aerolíneas que
utilizan el software de AMADEUS.

.-2-. Marco normativo

Durante las actuaciones previas de investigación se han identificado como relevantes
las siguientes referencias normativas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/53

• REGLAMENTO (CE) No 80/2009 DEL PARLAMENTO EUROPEO Y DEL
CONSEJO de 14 de enero de 2009 por el que se establece un código de
conducta para los sistemas informatizados de reserva y por el que se
deroga el Reglamento (CEE) nº 2299/89 del Consejo.
[RE80/2009_Código_conducta_SIR]

• DIRECTIVA (UE) 2016/681 DEL PARLAMENTO EUROPEO Y DEL
CONSEJO de 27 de abril de 2016 relativa a la utilización de datos del
registro de nombres de los pasajeros (PNR) para la prevención, detección,
investigación y enjuiciamiento de los delitos de terrorismo y de la
delincuencia grave. [DIR2016/681-PNR]

• Ley Orgánica 1/2020, de 16 de septiembre, sobre la utilización de los datos
del Registro de Nombres de Pasajeros para la prevención, detección,
investigación y enjuiciamiento de delitos de terrorismo y delitos graves.
[LO1/2020-PNR]

• DIRECTIVA 2004/82/CE DEL CONSEJO de 29 de abril de 2004 sobre la
obligación de los transportistas de comunicar los datos de las personas
transportadas.

• SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala) de 21 de junio de
2022. Asunto C-817/19. [Sentencia_C-817/19]

.-3-. Glosario

Debido a la complejidad de las siglas y acrónimos, se añade un glosario para facilitar
la lectura del presente documento:

• BIDT: Billing Information Data Tapes
• CDS: Common Data Service
• CPR: Customer Product Record
• CRS: Computer Reservation System / SIR (sistema informatizado de
reserva)
• DCS: Departure Control System
• e-ticketing or EMD (Electronic Miscellaneous Document)
• EIPD: Evaluación de Impacto relativa a la Protección de Datos
• GDS: Un Sistema de Distribución Global (GDS) es un sistema de red
informatizado propiedad u operado por una empresa que permite
transacciones entre proveedores de servicios de la industria de viajes,
principalmente aerolíneas, hoteles, compañías de alquiler de automóviles y
agencias de viajes. El GDS utiliza principalmente el inventario en tiempo
real (por ejemplo, el número de habitaciones de hotel disponibles, el
número de asientos de vuelo disponibles o el número de automóviles
disponibles) de los proveedores de servicios. Las agencias de viajes
tradicionalmente dependían de GDS para servicios, productos y tarifas con
el fin de proporcionar servicios relacionados con los viajes a los
consumidores finales. Por lo tanto, un GDS puede vincular servicios, tarifas
y reservas consolidando productos y servicios en los tres sectores de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/53

viajes: Es decir, reservas de líneas aéreas, reservas de hotel, alquiler de
coches.1 Los GDS más importantes son:
o AMADEUS
o SABRE (de IBM para American Airlines)
o ABACUS (Asia)
o TravelPort (Galileo + Worldspan)
o Otros: Travelsky, KIU Systems, TCA Innst.
• IATA: International Air Transport Association
• IPR: Intellectual Property Rights
• ITG: AMADEUS IT GROUP
• MIDT: Marketing Information Data Tapes / Cintas de datos informáticos
comerciales (datos de comercialización, reservas y ventas)
• NDC: New Distribution Capability (un programa apoyado por la industria de
viajes (NDC Program) lanzado por IATA para el desarrollo y la adopción en
el mercado de un nuevo estándar de transmisión de datos basado en XML
(Estándar NDC). El Estándar NDC mejora la capacidad de comunicación
entre las aerolíneas y las agencias de viajes y está abierto a cualquier
tercero, intermediario, proveedor de TI o miembro no IATA, para
implementar y usar.)
• PDR: Past Date Record (un PNR que se ha eliminado del Sistema Central
de Amadeus una vez que los segmentos del itinerario son FLWN/PAST en 4
días y se almacena en una base de datos archivada de la que puede
recuperarse posteriormente en caso de que surjan reclamaciones
posteriores al viaje)
• PMS: Property Management System (sistema utilizado para ofrecer a los
hoteles la gestión de su inventario de habitaciones, gestionar los procesos
de check-in y check-out de los huéspedes y otras labores esenciales para
la gestión hotelera)
• PNR: Passenger Name Record, Registro de nombres de pasajeros, con
datos personales.
• RAT: Registro de Actividades de Tratamiento de datos personales
• SAS: Scandinavian Airlines
• SBR: Servidor donde se almacenan los PNR mientras están “activos” (y
hasta 72-96 horas después).
• SIR: Sistema Informatizado de Reserva / CRS (Computer Reservation
System)

.-4-. Sobre AMADEUS

.-4.1-. Sobre el funcionamiento de AMADEUS

1 Fuente: https://en.wikipedia.org/wiki/Global_distribution_system

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/53

- Como resumen de la composición del grupo empresarial, en el escrito de 10 de
abril de 2024 se indica que “se debe resaltar que el Grupo Amadeus cuenta
con una estructura de gobierno corporativo altamente centralizada en Amadeus
ITG.” Se aporta como Anexo 1.1 y Anexo 1.2 la composición del grupo
empresarial AMADEUS (empresas que lo forman y actividades que realiza
cada una de ellas).

- En cuanto al funcionamiento del sistema de reservas que AMADEUS ofrece a
sus clientes, éste está descrito con detalle en el Anexo 2.1 de su escrito de 10
de abril de 2024:

• (…)

.-4.2-. Sobre el origen de los datos personales de los pasajeros y la base de
legitimación para la recogida de dichos datos

En el Anexo 2.3 de su escrito de 10 de abril de 2024, AMADEUS indicaba:

(…)

En su escrito de 10 de abril de 2024, AMADEUS explicaba que:

(…)

.-4.3-. Sobre la política de privacidad de GDS de AMADEUS

El 24 de noviembre de 2023 y 30 de abril de 2024 se comprobó la política de
privacidad disponible en el enlace https://amadeus.com/es/politicas/declaracionde-
privacidad-del-gds y se observó que se había actualizado la política de privacidad con
fecha enero 2024, y el título cambió de “Aviso de privacidad del GDS de Amadeus” a
“Aviso de privacidad de Amadeus GDS para viajeros”, y se proporcionaba al viajero
información más detallada sobre el uso de sus datos personales.

A 24 de noviembre de 2023 se enumeraban las siguientes finalidades para el
tratamiento de datos personales:

“Amadeus utiliza los datos personales para tramitar reservas de viajes,
proporcionar a los usuarios del GDS de Amadeus acceso a esta información,
emitir billetes y otros documentos relacionados con los viajes, y llevar a cabo
procesos internos de la empresa (como pruebas y procesos de control de
calidad), procesar tarjetas de crédito, así como con fines de autenticación y
prevención de fraudes y para prestar otros servicios relacionados con los
viajes.
El fundamento jurídico para el procesamiento de datos personales reside en
que el procesamiento es necesario para el cumplimiento de un contrato en el
que el viajero constituye una de las partes.
Amadeus también puede utilizar los datos personales con fines investigativos,
analíticos y estadísticos, y para identificar preferencias, intereses, tendencias y
otras actividades en la industria del turismo, así como productos y servicios
que puedan ser de interés particular para las personas. Los datos personales

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/53

utilizados con fines analíticos derivan de datos personales, pero se tratan de
forma anónima y agregada.
El fundamento jurídico para procesar los datos personales con fines
investigativos, analíticos y estadísticos y para identificar productos y servicios
que puedan ser de interés particular para las personas está basado en el
legítimo interés empresarial de Amadeus. Siempre que se procese información
personal con estos fines, se considerará el impacto sobre la privacidad de la
persona cuyos datos se están procesando.”

A 30 de abril de 2024, entre otros propósitos, se especificaban las siguientes
finalidades de tratamiento con sus bases jurídicas:

“•Propósito:
Gestionar el GDS de Amadeus […]
Base Jurídica:
La ejecución de un contrato en el que usted (como viajero) es parte con el
usuario de Amadeus GDS (por ejemplo, su agencia de viajes).

• Propósito:
Realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos
productos, mejorar nuestros servicios e identificar tendencias de uso.
Base Jurídica:
El interés legítimo de Amadeus en comprender mejor nuestros servicios y
mejorarlos, identificar tendencias de uso y desarrollar nuevos productos.

• Propósito:
Proceso de anonimziación y agregación con el fin de utilizar los datos con fines
analíticos. Los datos agregados que no se pueden utilizar para identificar a los
viajeros pueden ser compartidos por Amadeus con terceros.
Base Jurídica:
El interés legítimo de Amadeus en actividades de investigación, análisis y
estadísticas con el fin de mejorar nuestros servicios, identificar tendencias de
uso y desarrollar nuevos productos.
[…]” (sic)

Con fecha 2 de diciembre de 2024 se comprobó que el enlace
https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds había cambiado a
https://amadeus.com/es/politicas/gds-privacy-statement.

.-4.4-. Sobre el papel de responsable y encargado de cada uno de los intervinientes

En el Anexo 2.4 de su escrito de 10 de abril de 2024, AMADEUS explicaba que:

• (…)

Esto es el Reglamento (CE) n.º 80/2009 del Parlamento Europeo y del
Consejo, de 14 de enero de 2009, por el que se establece un código de
conducta para los sistemas informatizados de reserva y por el que se
deroga el Reglamento (CEE) n.º 2299/89 del Consejo («Reglamento»),

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/53

publicado en el Diario Oficial L 36/48 y que entró en vigor el 29 de marzo de
2009.

El artículo 11.1 del citado Reglamento establece: “1. Los datos personales
recogidos en el transcurso de las actividades de un SIR para la realización
de reservas o la emisión de billetes relacionados con productos de
transporte solo se tratarán de manera compatible con dichos fines. En el
tratamiento de dichos datos, el vendedor de sistemas será considerado el
responsable del tratamiento de datos, según la definición del artículo 2,
letra d), de la Directiva 95/46/CE.”

Como Anexo 2.6 de su escrito de 10 de abril de 2024, AMADEUS aportó un
documento con el título “Subscriber Agreement 3.0” (traducción no oficial: “Acuerdo de
Suscriptor 3.0”), con el contrato genérico que firmaban las agencias de viaje, en el cual
se especificaba (el subrayado es nuestro):

(…)

Como Anexo 2.7 de su escrito de 10 de abril de 2024, AMADEUS aportó un
documento con el título “Hotel Distribution Agreement Template (July 2019)”
(traducción no oficial: “Plantilla de acuerdo de distribución hotelera (Julio 2019”), con el
contrato genérico que firmaban las cadenas hoteleras, en el cual se especificaba (el
subrayado es nuestro):

(…)

Como Anexo 2.8 de su escrito de 10 de abril de 2024, AMADEUS aportó un
documento con el título “Global Distribution Agreement_FULL_FINAL” (traducción no
oficial: “Acuerdo de Distribución Global COMPLETO_FINAL”), con el contrato genérico
que firmaban las aerolíneas, al cual se incluye un Anexo 2.8.1 con el título “Side Letter
to the
Global Distribution Agreement (for GDPR)” (traducción no oficial: “Nota
complementaria al Acuerdo de distribución global (para GDPR)”), con el siguiente
contenido en el punto 1.3 (el subrayado es nuestro):

(…)

En su escrito de 6 de junio de 2024, en respuesta a requerimiento de esta Agencia,
AMADEUS indicó (el subrayado es nuestro):

“Adjunto como Anexo 2 se encuentra el modelo de contrato entre Amadeus IT
Group, S.A. y aerolíneas para la distribución directa. El contrato consta de un
primer documento (Master Services Agreement template) donde se encuentran
las condiciones generales de contratación (incluyendo las cláusulas con
relación a la protección de datos personales) y un segundo documento
(Schedule 3A al Master Services Agreement template) dónde se describen los
servicios RES para “direct distribution”.
Confirmamos que Amadeus ejerce como encargado del tratamiento recibiendo
instrucciones de la aerolínea que actúa como responsable del tratamiento.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/53

Como Anexo 2 de su escrito de 6 de junio de 2024, AMADEUS aportó un documento
con el título “COPIA DEL MODELO DE CONTRATO SUSCRITO ENTRE AMADEUS Y
UNA AEROLÍNEA (“DIRECT DISTRIBUTION”), en el cual se estipula:

(…)

.-4.5-. Sobre el Registro de Nombres de Pasajeros (PNR) y la Directiva PNR

En su escrito de 10 de abril de 2024, AMADEUS explicaba que:
(…)

.-4.6-. Respecto al Registro de Actividades de Tratamiento (RAT)

En su escrito de 10 de abril de 2024, AMADEUS acompaña como Anexo 6.1 un
documento sin firma ni fecha ni indicación de qué versión se trata, con el título “RoPA
Reservation and ticketing Amadeus GDS” (traducción no oficial: registro de actividades
de tratamiento de reservas y emisión de billetes de Amadeus GDS”), en el que se
especifican únicamente las actividades ***ACTIVIDAD.1 y ***ACTIVIDAD.2, en ambas
actividades figura AMADEUS como Responsable del tratamiento.

En su escrito de 6 de junio de 2024, AMADEUS acompaña como Anexo 1 un
documento con la “copia del Registro de las actividades de tratamiento de datos
personales de viajeros que realiza Amadeus IT Group, S.A. donde se encuentran las
actividades de tratamiento efectuadas bajo su responsabilidad y las categorías de
actividades de tratamiento efectuadas por cuenta de un responsable.”

Tal como explica AMADEUS en su escrito de 6 de junio de 2024, las categorías de
actividades de tratamiento están organizadas por unidad de negocio con la siguiente
correlación:

• (…)

.-4.7-. Sobre la Evaluación de impacto en el tratamiento de datos personales en el
sistema de reservas de AMADEUS

Consultada sobre las evaluaciones de impacto relativas a la protección de datos
derivadas del Artículo 35 del RGPD para actividades que involucran el tratamiento de
datos personales en el sistema de reservas de Amadeus, en su escrito de 10 de abril
de 2024 AMADEUS indicaba:

“Amadeus ha realizado dos evaluaciones de impacto relativas a la protección de datos
derivadas del Artículo 35 del RGPD para actividades que involucran el tratamiento de
datos personales en el sistema de reservas de Amadeus. Una de ellas relativa al
procesamiento de datos de menores y otra para el procesamiento de las solicitudes de
servicios especiales o Special Service Requests (SSRs por sus siglas en inglés).
Copia de ambas evaluaciones se adjuntan como Anexo 6.3.1 y Anexo 6.3.2.”

Se aporta como Anexo 6.3.1 un documento sin fecha ni firma ni indicación de qué
versión se trata, con el título “Risk and DPIA on the processing of minors’ data”
(traducción no oficial: “Riesgo y EIPD sobre el tratamiento de menores”).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/53

Se aporta como Anexo 6.3.2 un documento sin fecha ni firma ni indicación de qué
versión se trata, con el título “Risk and DPIA on the processing of sensitive SSRs data”
(traducción no oficial: “Riesgo y EIPD sobre el tratamiento de datos sensibles SSR”).

.-4.8-. Respecto a los plazos de conservación de los PNR

En su escrito de 10 de abril de 2024, AMADEUS explicaba:

(…)

En el Anexo 4.5 del escrito de AMADEUS de 10 de abril de 2024 se detallaba que: (…)

(…)

Esta Información es coherente con la proporcionada sobre el Periodo de conservación
de los datos en el documento Anexo 6.3.1 del escrito de AMADEUS de 10 de abril de
2024 «Risk and DPIA for the processing of minors’ data in the context of the Amadeus
GDS»:

(…)

Por su parte, el artículo 11.4 del Reglamento (CE) nº 80/2009 del Parlamento Europeo
y del Consejo, de 14 de enero de 2009, por el que se establece un código de conducta
para los sistemas informatizados de reserva y por el que se deroga el Reglamento
(CEE) nº 2299/89 del Consejo establece:

“4. La información sobre reservas individuales identificables que esté bajo el
control del vendedor de sistemas se almacenará de forma que no pueda
accederse a ella en línea, a más tardar a las 72 horas del momento en que se
haya efectuado el último elemento de la reserva individual, y se destruirá en un
plazo máximo de tres años. Solo se autorizará el acceso a tales datos cuando
sea necesario para resolver controversias acerca de la facturación.”

Y la Sentencia _C-817/19 del Tribunal de Justicia (Gran Sala) de 21 de junio de 2022
ha indicado:

“En virtud de todo lo expuesto, el Tribunal de Justicia (Gran Sala) declara: (…)
4) El artículo 12, apartado 3, letra b), de la Directiva 2016/681 debe
interpretarse en el sentido de que se opone a una normativa nacional con
arreglo a la cual la autoridad creada como Unidad de Información sobre los
Pasajeros (UIP) reviste también la condición de autoridad nacional competente
facultada para aprobar la comunicación de los datos PNR tras la expiración del
plazo de seis meses desde la transferencia de estos datos a la UIP.
5) El artículo 12, apartado 1, de la Directiva 2016/681, en relación con los
artículos 7 y 8 y con el artículo 52, apartado 1, de la Carta de los Derechos
Fundamentales, debe interpretarse en el sentido de que se opone a una
normativa nacional que prevé una duración general de conservación de los
datos PNR de cinco años, aplicable a todos los pasajeros aéreos sin distinción,
incluidos aquellos respecto de los cuales ni la evaluación previa prevista en el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/53

artículo 6, apartado 2, letra a), de la Directiva 2016/681, ni las eventuales
verificaciones realizadas durante el período de seis meses previsto en el
artículo 12, apartado 2, de la referida Directiva, ni ninguna otra circunstancia
han revelado la existencia de elementos objetivos que puedan demostrar la
existencia de un riesgo en materia de delitos de terrorismo o de delitos graves
que presenten un vínculo objetivo, cuando menos indirecto, con el transporte
aéreo de pasajeros.”

.-5-. Sobre ***PLATAFORMA.1 (***PLATAFORMA.1)

-.5.1.- Sobre el conocimiento de ***PLATAFORMA.1 durante el transcurso de la
investigación

Durante las actuaciones de inspección se navegó en la página web de AMADEUS y en
su web corporativa con el objetivo de recabar indicios respecto al posible tratamiento
de perfilado denunciado.

1) En el documento “Informe Global de Amadeus 2022”, accesible desde la página
web: https://corporate.amadeus.com/documents/es/recursos/informacion-
empresarial/documentos-corporativos/informes-globales/2022/Informe-Anual-
Amadeus-2022_Accesible-AA.pdf se especificaba la siguiente información:

(…)

Páginas 38 y 39: Soluciones tecnológicas para la industria aérea
“Trabajamos con nuestros socios —aerolíneas, empresas tecnológicas y otros socios
comerciales— para identificar y ayudar a las aerolíneas a ofrecer experiencias de viaje
extraordinarias de forma integrada en todo el itinerario, desde que nace el deseo de
viajar hasta la fase posterior al viaje e incluso más allá.
Gracias a un profundo conocimiento del cliente final adquirido mediante una gran
cantidad de datos e información, nuestros clientes logran generar nuevas
oportunidades para organizar el contenido de una forma eficaz y conectar con los
viajeros en cualquier punto de interacción, por ejemplo:
→ Creando experiencias únicas en todos los puntos de interacción con los viajeros,
tanto digitales como físicos.
→ Aumentando la conversión de clientes con búsquedas minoristas dirigidas e
hiperpersonalizadas, incluidos los canales de las redes sociales.
→ Anticipándose y gestionando mejor las alteraciones de los servicios en tiempo real
mediante la automatización, el autoservicio y los centros de servicios inteligentes.
→ Incrementando el valor a largo plazo del cliente con programas de recompensas y
fidelización más eficientes.
→ Mejorando la colaboración entre las aerolíneas y los aeropuertos.

Estas oportunidades permiten que las aerolíneas conviertan las experiencias en
relaciones a través de momentos excepcionales durante todo el itinerario del viaje,
trayendo al presente las experiencias de viaje del futuro. Eche un vistazo al viaje de
Olivia, un trayecto fluido lleno de experiencias más placenteras y personalizadas.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/53

2) En el documento “***DOCUMENTO.1”, accesible desde la página web: ***URL.1 se
especificaba la siguiente información en (…):

(…)

3) El 15 de abril de 2024 en la página web ***URL.2 se especificaba la siguiente
información:

(…)

4) El 15 de abril de 2024 en la página web ***URL.3, se especificaba la siguiente
información:

(…)

5) Junto a su escrito de 10 de abril de 2024, AMADEUS acompaña el Anexo 5.1 con el
listado y copia de las Newsletters del 2022 y 2023.

Tras analizar la información proporcionada en estas Newsletters se observan los
artículos que incluyen las siguientes manifestaciones:

- (…)

-.5.2.- Información sobre el producto ***PLATAFORMA.1

En su escrito de 6 de junio de 2024, en respuesta a requerimiento de esta Agencia,
AMADEUS ha señalado:

(…)

Respecto a la descripción del servicio que proporciona a los proveedores de servicios,
AMADEUS indica:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/53

(…)

Con relación a la descripción de los “datos e información relacionada con el viaje”
compartida entre los proveedores de viaje, AMADEUS manifiesta:

(…)

Respecto a las categorías de datos personales que están involucradas en este
producto, el modo de obtención de los datos personales de los viajeros y la base de
legitimación para el tratamiento de dichos datos, los procedimientos seguidos para
cumplir el deber de información y evidencias de cumplimiento y los plazos de
conservación de los datos de carácter personal, AMADEUS remite al documento
Anexo 4.1 de su escrito de 6 de junio de 2024, explicado en el siguiente apartado.

-.5.3.- Descripción del producto ***PLATAFORMA.1

En el Anexo 4.1 de su escrito de 6 de junio de 2024, en respuesta a requerimiento de
esta Agencia, AMADEUS ha proporcionado la siguiente información y manifestaciones:

(…)

Respecto a la categoría de datos y la base de legitimación, AMADEUS aclara:

(…)

Con relación a las fuentes de información, AMADEUS indica las siguientes:

(…)

Respecto a la información facilitada a los interesados, AMADEUS manifiesta:

(…)

En un apartado posterior del presente documento se analizará la información aportada
a los interesados.

De la información aportada, esta Agencia concluye que AMADEUS actúa:
- como Encargado de tratamiento para los datos de las cadenas hoteleras
***EMPRESA.2 y ***EMPRESA.3 y
- como Responsable para el tratamiento de sus propios datos obtenidos a
través del GDS de AMADEUS. En este caso, el origen de los datos son los
PNRs del GDS de Amadeus y la Base jurídica es su Interés legítimo.

-.5.4.- Sobre los contratos con las cadenas hoteleras

Solicitada copia de los contratos suscritos respecto a ***PLATAFORMA.1 entre
AMADEUS y las cadenas hoteleras ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4
y ***EMPRESA.5, AMADEUS remite junto a su escrito de 6 de junio de 2024, el
documento Anexo 4.8 con los contratos de AMADEUS con ***EMPRESA.2 y
***EMPRESA.3 y proporciona la siguiente información y manifestaciones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/53

(…)

Respecto a las instrucciones aportadas por las cadenas hoteleras ***EMPRESA.2 y
***EMPRESA.3 a AMADEUS como encargado de tratamiento de los datos de los
clientes para la realización del proyecto piloto ***PLATAFORMA.1, se revisa el
contrato con ***EMPRESA.2 (Anexo 4.8.1 del escrito de AMADEUS de 6 de junio de
2024) y se corrobora la siguiente información:

(…)

En el Anexo 4.8.2 del escrito de AMADEUS de 6 de junio de 2024 se aporta un
documento titulado “***EMPRESA.2 Data Processing Agreement” (Traducción no
oficial: “Acuerdo de tratamiento de datos de ***EMPRESA.2”), en el que se indica:

- (…)

Revisado el contrato con ***EMPRESA.3 (Anexo 4.8.3 del escrito de AMADEUS de 6
de junio de 2024), se corrobora la siguiente información:

- (…)

De la información aportada, esta Agencia concluye que AMADEUS firmó Contratos
para el piloto ***PLATAFORMA.1 con las cadenas hoteleras ***EMPRESA.2 y
***EMPRESA.3:
.- Firmado por ***EMPRESA.2 con fecha 12 de junio de 2021.
Fecha efectiva de la enmienda: 3 de diciembre de 2021.
Fecha de realización de los servicios: desde la fecha efectiva hasta final
de marzo de 2022.
.- Firmado por ***EMPRESA.3 con fecha 23 de marzo de 2022.
Fecha efectiva: 15 de marzo de 2022.
Fecha de inicio de los servicios: Fecha en la cual AMADEUS comienza
a comparar los datos de ***EMPRESA.3 y los datos de Amadeus GDS.
Finalización: 3 meses tras la fecha de inicio.
.- (…)

-.5.5.- Sobre el servicio ***SERVICIO.1

Requerida información sobre las empresas que han contratado o utilizado el servicio
***SERVICIO.1, en su escrito de 25 de octubre de 2024 AMADEUS explicaba que:

(…)

Al respecto, esta Agencia desea recordar el texto especificado en el contrato entre
***EMPRESA.2 y AMADEUS para el piloto ***PLATAFORMA.1:
(…)

-.5.6.- Sobre la EIPD de ***PLATAFORMA.1

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/53

AMADEUS facilita la Evaluación de Impacto relativa a la Protección de Datos en las
actividades relacionadas con el piloto ***PLATAFORMA.1 como documento Anexo 6.1
de su escrito de 6 de junio de 2024, y explica en este escrito que “(…).”

Respecto a la EIPD de ***PLATAFORMA.1, Anexo 6.1 del escrito de AMADEUS de 6
de junio de 2024, es relevante destacar:

(…)

Como Anexo 6.1 del escrito de AMADEUS de 6 de junio de 2024, AMADEUS
proporciona la EIPD del proyecto ***PLATAFORMA.1, en cuyo anexo se evalúa el
impacto del interés legítimo.

(…)

-.5.7.- Sobre el Interés legítimo como Base de legitimación vs. Consentimiento

Como anexo a su EIPD de ***PLATAFORMA.1, documento Anexo 6.1 de su escrito de
6 de junio de 2024, AMADEUS proporciona una evaluación de impacto sobre Interés
Legítimo para el piloto ***PLATAFORMA.1, con fecha del documento 5 de noviembre
de 2021, en el cual realiza una serie de preguntas con el objetivo de “(…).” (Traducción
no oficial).

Sin embargo, en la copia de la presentación realizada para promocionar la semana de
la privacidad 2022, titulada “***PRESENTACIÓN.1”, documento Anexo 4.9 del escrito
de AMADEUS de 6 de junio de 2024, indica en la Página 719 las razones por las que
el interés legítimo no se debe usar para tratar datos en ***PLATAFORMA.1:
(…)

En dicha presentación AMADEUS incluye información sobre la base jurídica para
compartir los datos, y no es el interés legítimo:

(…)

-.5.8.- Sobre la información aportada a los interesados para ***PLATAFORMA.1

AMADEUS facilita junto a su escrito de 10 de abril de 2024 el documento
“Transparency” (traducción no oficial: “Transparencia”) como Anexo 4.4, en el que
explica cómo Amadeus informa a los pasajeros sobre el tratamiento de los datos
personales de los viajeros de GDS para la reserva y emisión de billetes.

(…)

Según lo especificado en el Anexo 4.4 de su escrito de 10 de abril de 2024, AMADEUS
indica que cumple con el deber de información:

o (…)

A fecha 14 de febrero de 2024 en el enlace http://www.iatatravelcenter.com/privacy,
podía verse:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/53

“Data Protection and Privacy Information
You are encouraged to read the privacy policies of the marketing and operating
carriers for your booking. Note that more than one privacy policy may apply to you.
These documents specify how your personal data is collected, stored, used, disclosed
and transferred. An index of carrier privacy policies is available here.
Your travel agent may also process your personal information in order to provide
services to you. You should contact your travel agent for further information and for a
copy of their privacy policy.
Reservation system providers (sometimes known as a Global Distribution System or
GDS) facilitate the transmission of booking information from your travel agent to the
carrier. Their privacy policies may apply and govern how your booking information is
used. An index of GDS privacy policies is available here (PDF file).”

(Traducción no oficial:
“Protección de datos e información sobre privacidad
Le recomendamos que lea las políticas de privacidad de las compañías de marketing y
operadoras para su reserva. Tenga en cuenta que más de una política de privacidad
puede aplicarse a usted. Estos documentos especifican cómo se recopilan,
almacenan, utilizan, divulgan y transfieren sus datos personales. Un índice de las
políticas de privacidad del operador está disponible aquí.
Su agente de viajes también puede procesar su información personal para
proporcionarle servicios. Debe ponerse en contacto con su agente de viajes para
obtener más información y una copia de su política de privacidad.
Los proveedores de sistemas de reservas (a veces conocidos como Sistema de
Distribución Global o GDS) facilitan la transmisión de información de reservas de su
agente de viajes al transportista. Sus políticas de privacidad pueden aplicarse y
regular cómo se utiliza la información de su reserva. Un índice de las políticas de
privacidad de GDS está disponible aquí (archivo PDF).”)

A continuación, aparecía un extenso listado de aerolíneas diferentes con enlaces a sus
políticas de privacidad.

Consultado el enlace https://www.iatatravelcentre.com/privacy-content/2.htm, aparecía
la siguiente información:

“ComunicaciÃ3n sobre protecciÃ3n de datos- General (Spanish)
Sus datos personales se procesarán de acuerdo con la política de privacidad aplicable
del operador y, si su reserva se realiza mediante un proveedor de sistema de reserva
(“GDS”), conforme a su política de privacidad, que estará disponible en
https://iatatravelcentre.com/privacy.htm, o en el operador o GDS directamente. Debe
leer esta documentación, que se aplica a su reserva y especifica, por ejemplo, cómo
se recopilan, almacenan, utilizan, revelan y transfieren sus datos personales.”

En el documento que se descargaba al acceder al enlace
https://www.iatatravelcentre.com/uploads/pdfs/privacy/ReservationSystemProvider.pdf,
podía verse:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/53

“Data Protection and Privacy – Reference Index for Reservation System Provider
Privacy Policies/Statements

Provider Privacy Policy/Privacy Statement Reference
Amadeus http://www.amadeus.com/web/amadeus/en_1Acorporate/
Amadeus-Home/Amadeus_IT_Group_SALegal-
notices-2014/1319560218660-Page-
AMAD_Detail_PopUp_Ppal?assetid=1319607040997&a
ssettype=DataProtection_C
AXESS Please contact provider directly
Farelogix Please contact provider directly
INFINI Please contact provider directly
KIU System Solutions Please contact provider directly
Radixx International, Inc Please contact provider directly
Sabre https://www.sabre.com/about/privacy/
Sirena Travel JSC http://www.sirena-travel.ru/personal-dataprocessing.html
SITA https://www.sita.aero/copyright-menu/privacy-statement
Travelport https://www.travelport.com/privacy
TravelSky Please contact provider directly
Unisys https://www.unisys.com/unisys-legal/privacy

Revision date: 9 July 2019”

Por su parte, en el contrato genérico con los Suscriptores (agencias de viaje), aportado
como Anexo 2.6 del escrito de AMADEUS de 10 de abril de 2024, figuraba: “(…)

-.5.9.- Sobre los datos utilizados en ***PLATAFORMA.1

En su escrito de 25 de octubre de 2024, de respuesta a requerimiento de esta
Agencia, AMADEUS proporcionaba la siguiente información con relación a los datos
utilizados en el piloto ***PLATAFORMA.1:

(…)

Al respecto esta Agencia desea recordar que en su escrito de 10 de abril de 2024,
AMADEUS explicaba que:

(…)

Y en el Anexo 2.1 de su escrito de 10 de abril de 2024, AMADEUS indicaba que:

• “(…)”

Respecto a las aerolíneas, y consultada sobre las instrucciones aportadas por las
aerolíneas a AMADEUS como encargado de tratamiento respecto de los datos de los
pasajeros para la realización del proyecto piloto, en su escrito de 25 de octubre de
2024, AMADEUS indicaba que “(…)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/53

Requerida la información sobre la muestra temporal utilizada en el servicio
***PLATAFORMA.1, es decir, rango de fechas de los PNR utilizados, en su escrito de
25 de octubre de 2024 AMADEUS especificaba que “(…).”

Al respecto esta Agencia se remite al punto 3.1.9 del presente apartado, donde se
detallan los plazos de conservación de los PNR y la aplicación del Reglamento
Reglamento (CE) n o 80/2009 del Parlamento Europeo y del Consejo, de 14 de enero
de 2009, por el que se establece un código de conducta para los sistemas
informatizados de reserva y por el que se deroga el Reglamento (CEE) n o 2299/89 del
Consejo (Texto pertinente a efectos del EEE), que en su artículo 11.4 establece (el
subrayado es nuestro):

-.5.10.- Sobre la implicación de las aerolíneas en ***PLATAFORMA.1

Durante las actuaciones previas de investigación del presente procedimiento, no ha
podido ser constatado el conocimiento de ***PLATAFORMA.1 por parte de las
aerolíneas.

Solicitada copia del modelo de contrato suscrito entre AMADEUS y una aerolínea para
la reserva y emisión de billetes, AMADEUS facilitó (como Anexo 2 de su escrito de 6
de junio de 2024) el documento titulado “Master Services Agreement between
AMADEUS and [CT:AIRLINE]).

En este documento genérico suscrito entre AMADEUS y una aerolínea para la reserva
y emisión de billetes, se indicaba, respecto a los datos procesados de conformidad con
el acuerdo:

“(…)”

-.5.11.- Información aportada sobre ***EMPRESA.1

Requerida copia de los contratos suscritos entre AMADEUS y la aerolínea
***EMPRESA.1, ya sea como Subscriber, como Travel Service Provider o como cliente
de los servicios de AMADEUS, donde consten las cláusulas con relación a la
protección de datos de carácter personal, junto a su escrito de 6 de junio de 2024,
AMADEUS aporta la siguiente documentación:
(…)

Una vez revisada toda la documentación, no se ha encontrado información sobre el
producto « ***PRODUCTO.1».

-.5.12.- Información de ***ORGANISMO.1

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/53

Sobre la relación de AMADEUS con la aerolínea ***EMPRESA.6, con fecha 4 de
septiembre de 2024 la autoridad (...) de protección de datos (***ORGANISMO.1) puso
en conocimiento de esta Agencia que:

“***EMPRESA.6 nos ha indicado que no tiene conocimiento de los sistemas y
productos «***EMPRESA.2» y « ***PRODUCTO.1» y que no ha contratado estos
productos ni con Amadeus IT Group ni con ninguna otra entidad del Grupo Amadeus.
La empresa alemana ***EMPRESA.7 figura entre los subcontratistas posteriores de
Amadeus IT Group con los que ***EMPRESA.6 ha contratado servicios informáticos y
que actúa como subcontratista de primer nivel de ***EMPRESA.6. Sin embargo, en el
contexto de estos servicios informáticos, estas dos entidades de Amadeus están
vinculadas por las cláusulas de subcontratación firmadas con Amadeus IT Group, en
virtud de las cuales se prohíbe a Amadeus reutilizar los datos para fines distintos de
los relacionados con la prestación de los servicios, a fortiori crear y alimentar una base
de datos consolidada con fines de elaboración de perfiles. Por lo tanto, no se informa
a ***EMPRESA.6 de la aplicación del tratamiento antes mencionado. ***EMPRESA.6
indicó a la ***ORGANISMO.1 que, paralelamente a su función de subcontratista de
servicios informáticos, Amadeus IT Group también actúa como responsable
independiente del tratamiento de datos para su actividad de sistema central de
reservas (GDS). A este respecto, ***EMPRESA.6 no tiene control ni visibilidad sobre
las actividades de tratamiento de Amadeus en este contexto.”

.-6-. Sobre el número de viajeros involucrados

Solicitada información sobre el número de clientes cuyos datos fueron utilizados para
la realización del piloto ***PLATAFORMA.1, así como el número de viajeros cuyos
datos se han utilizado, en los últimos 3 años, para ciertas finalidades especificadas,
AMADEUS proporcionó la siguiente información en su escrito de 23 de diciembre de
2024:

“de forma preliminar deseamos hacer hincapié en determinados aspectos que, aunque
ya han sido tratados en nuestras respuestas a requerimientos de información previos,
creemos que es conveniente recordar en este momento:

a. ***PLATAFORMA.1 no es un producto de Amadeus. Nunca se ha comercializado y
no forma ni nunca ha formado parte de nuestra oferta de productos o servicios. En su
momento se realizó un piloto de ***PLATAFORMA.1. Tras ese piloto, fue descartado,
entre otras, por razones de protección de datos personales.

b. En lo que respecta al servicio GDS y las preguntas relacionadas con el Aviso de
privacidad del GDS de Amadeus para viajeros, GDS opera por PNR y no por viajero.
Recordando lo explicado en detalle en la respuesta al segundo requerimiento de
información de 10 de abril de 2024, el PNR es el archivo que generan los sistemas de
reservas (tanto Amadeus como cualquier otro) para almacenar los datos de las
reservas y emisión del correspondiente billete en su caso.
Por ello, se deben tomar en consideración y resaltar las Precisiones (según se definen
más abajo) que rodean a las cifras de viajeros en tanto que distintos PNRs se pueden
(y, de hecho, es habitual) referir a el mismo sujeto o, en algunos casos, a ninguno.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/53

Lo mismo ocurre con los datos relativos a menores, con el matiz adicional de que, en
muchos casos, que el viajero es un menor se deduce de la información adicional de
los SSR.

.-6.1-. Número de clientes cuyos datos fueron utilizados para la realización del piloto
***PLATAFORMA.1

En su escrito de 23 de diciembre de 2024, AMADEUS ha indicado:

Número de clientes de ***EMPRESA.2 cuyos datos fueron utilizados para la
realización del piloto ***PLATAFORMA.1.
***CANTIDAD.1 clientes de ***EMPRESA.2.

Número de clientes de ***EMPRESA.3 cuyos datos fueron utilizados para la
realización del piloto ***PLATAFORMA.1.
***CANTIDAD.2 clientes de ***EMPRESA.3.

SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR el 20 de
febrero de 2024, la entidad AMADEUS IT GROUP, S.A. es una gran empresa
constituida en el año 2005, y con un volumen de negocios de 4.467.600.000 € euros
en el año 2023.

SÉPTIMO: Con fecha 22 de abril de 2025, la Presidencia de la AEPD adoptó un
proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso
establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del
sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas
que tenían cuatro semanas desde ese momento para formular objeciones pertinentes
y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó
suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo
dispuesto en el artículo 64.5 de la LOPDGDD.

Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron
objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las
autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por
este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD.

OCTAVO: Con fecha 21 de mayo de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a AMADEUS, por la
presunta infracción del Artículo 14 del RGPD y Artículo 6 del RGPD, tipificadas en el
Artículo 83.5 del RGPD.

NOVENO: En fecha 29 de mayo de 2025, AMADEUS ha procedido al pago de la
sanción en la cuantía de 14.400.000,00 euros haciendo uso de una de las reducciones
previstas en el Acuerdo de inicio transcrito anteriormente, sin haber reconocido su
responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y
su calificación jurídica.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/53

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes:

HECHOS PROBADOS

PRIMERO: Respecto a su actividad en general, según ha informado AMADEUS en su
escrito de 18 de diciembre de 2023, AMADEUS es un proveedor de tecnología para la
industria del viaje (su actividad es B2B). Como tal, provee a las empresas que operan
en el sector del viaje como como, por ejemplo, aerolíneas, hoteles, trenes, aeropuertos
u otras con la tecnología y las soluciones que les permiten llevar a cabo su actividad.

GDS (por sus siglas en inglés, Global Distribution System) es un sistema que permite
realizar reservas utilizado por entidades del sector de viajes como aerolíneas, hoteles,
agencias de viajes, etc.).

El responsable de dicho tratamiento es Amadeus IT Group, S.A. con domicilio en la
calle Salvador de Madariaga 1, 28027 Madrid, España. Amadeus IT Group, S.A. es la
sociedad matriz del grupo, donde se produce la toma de decisiones y se configura
todo el tratamiento relativo a GDS, siendo por lo tanto el establecimiento relevante a
estos efectos.

El grupo de empresas de Amadeus cuenta con distintas empresas en el Espacio
Económico Europeo. Todas ellas son empresas independientes pertenecientes al
mismo grupo. El establecimiento principal se sitúa en España donde Amadeus IT
Group, S.A. (con domicilio en la calle Salvador de Madariaga 1, 28027 Madrid,
España) lleva la administración central. Dicho tratamiento afecta sustancialmente a
interesados en más de un Estado miembro (esto es, a viajeros de cualquier Estado
miembro) y tiene carácter transfronterizo.

SEGUNDO: Respecto a su actividad en general, según ha manifestado AMADEUS en
su escrito de 10 de abril de 2024, (…).

TERCERO: Respecto a su actividad en general, según ha indicado AMADEUS en el
Anexo 2.3 de su escrito de 10 de abril de 2024, (…).

CUARTO: Respecto a su actividad en general, según ha indicado AMADEUS en su
escrito de 10 de abril de 2024, Amadeus (…).

QUINTO: Respecto a su actividad en general, el 24 de noviembre de 2023 en el
enlace https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds se
enumeraban las siguientes finalidades para el tratamiento de datos personales:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/53

El fundamento jurídico para el procesamiento de datos personales reside en
que el procesamiento es necesario para el cumplimiento de un contrato en el
que el viajero constituye una de las partes.
Amadeus también puede utilizar los datos personales con fines investigativos,
analíticos y estadísticos, y para identificar preferencias, intereses, tendencias y
otras actividades en la industria del turismo, así como productos y servicios
que puedan ser de interés particular para las personas. Los datos personales
utilizados con fines analíticos derivan de datos personales, pero se tratan de
forma anónima y agregada.
El fundamento jurídico para procesar los datos personales con fines
investigativos, analíticos y estadísticos y para identificar productos y servicios
que puedan ser de interés particular para las personas está basado en el
legítimo interés empresarial de Amadeus. Siempre que se procese información
personal con estos fines, se considerará el impacto sobre la privacidad de la
persona cuyos datos se están procesando.”

El 30 de abril de 2024 en el enlace https://amadeus.com/es/politicas/declaracionde-
privacidad-del-gds se especificaban las siguientes finalidades de tratamiento con sus
bases jurídicas:

“• Propósito:
Gestionar el GDS de Amadeus […]
Base Jurídica:
La ejecución de un contrato en el que usted (como viajero) es parte con el
usuario de Amadeus GDS (por ejemplo, su agencia de viajes).

El 2 de diciembre de 2024 se comprobó que el enlace
https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds había cambiado a
https://amadeus.com/es/politicas/gds-privacy-statement.

SEXTO: A fecha 14 de febrero de 2024, en el enlace
http://www.iatatravelcenter.com/privacy podía verse:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/53

A continuación, aparecía un extenso listado de aerolíneas diferentes con enlaces a sus
políticas de privacidad.

Consultado el enlace https://www.iatatravelcentre.com/privacy-content/2.htm, aparecía
la siguiente información:

En el documento que se descargaba al acceder al enlace
https://www.iatatravelcentre.com/uploads/pdfs/privacy/ReservationSystemProvider.pdf,
podía verse:

“Data Protection and Privacy – Reference Index for Reservation System Provider
Privacy Policies/Statements

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/53

Revision date: 9 July 2019”

En el contrato genérico con los Suscriptores (agencias de viaje), aportado como Anexo
2.6 del escrito de AMADEUS de 10 de abril de 2024, figuraba: “(…)

SÉPTIMO: Respecto a su actividad en general, según ha explicado AMADEUS en su
Anexo 2.4 de su escrito de 10 de abril de 2024, (…).

(…). Esto es el Reglamento (CE) n.º 80/2009 del Parlamento Europeo y del Consejo,
de 14 de enero de 2009, por el que se establece un código de conducta para los
sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) n.º
2299/89 del Consejo («Reglamento»), publicado en el Diario Oficial L 36/48 y que
entró en vigor el 29 de marzo de 2009. El artículo 11.1 del citado Reglamento
establece: “1. Los datos personales recogidos en el transcurso de las actividades de
un SIR para la realización de reservas o la emisión de billetes relacionados con
productos de transporte solo se tratarán de manera compatible con dichos fines. En el
tratamiento de dichos datos, el vendedor de sistemas será considerado el responsable
del tratamiento de datos, según la definición del artículo 2, letra d), de la Directiva
95/46/CE.”

OCTAVO: Respecto a su actividad en general, de acuerdo con el Anexo 2.6 del escrito
de AMADEUS de 10 de abril de 2024, en el contrato genérico que firmaban las
agencias de viaje se especificaba:

(…)

NOVENO: Respecto a su actividad en general, de acuerdo con el Anexo 2.7 del escrito
de AMADEUS de 10 de abril de 2024, en el contrato genérico que firmaban las
cadenas hoteleras se especificaba:

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/53

DÉCIMO: Respecto a su actividad en general, de acuerdo con el Anexo 2.8 del escrito
de AMADEUS de 10 de abril de 2024, en el contrato genérico que firmaban las
aerolíneas se incluía:

(…)

DÉCIMO PRIMERO: Respecto a su actividad en general, de acuerdo con el Anexo 2.1
del escrito de AMADEUS de 10 de abril de 2024, (…).

DÉCIMO SEGUNDO: Respecto a su actividad en general, según el Anexo 2 del escrito
de AMADEUS de 6 de junio de 2024, en este documento genérico suscrito entre
AMADEUS y una aerolínea para la reserva y emisión de billetes, se indicaba:

(…)

DÉCIMO TERCERO: Respecto a su actividad en general, en su escrito de 6 de junio
de 2024, AMADEUS indicó que en el modelo de contrato entre Amadeus IT Group,
S.A. y aerolíneas para la distribución directa “Amadeus ejerce como encargado del
tratamiento recibiendo instrucciones de la aerolínea que actúa como responsable del
tratamiento.”

De acuerdo con el Anexo 2 de su escrito de 6 de junio de 2024, en el documento
“COPIA DEL MODELO DE CONTRATO SUSCRITO ENTRE AMADEUS Y UNA
AEROLÍNEA (“DIRECT DISTRIBUTION”), se estipulaba:

(…)

DÉCIMO CUARTO: Respecto a su actividad en general, según lo explicado por
AMADEUS en su escrito de 10 de abril de 2024, (…).

DÉCIMO QUINTO: Respecto a su actividad en general, según lo indicado en el Anexo
6.1 del escrito de AMADEUS de 10 de abril de 2024, para las actividades de
tratamiento ***ACTIVIDAD.1 y ***ACTIVIDAD.2, AMADEUS actúa como Responsable
del tratamiento.

De acuerdo con el Anexo 1 del escrito de AMADEUS de 6 de junio de 2024, las
categorías de actividades de tratamiento que realiza AMADEUS están organizadas por
unidad de negocio con la siguiente correlación:
• (…)

DÉCIMO SEXTO: Respecto a su actividad en general, según ha explicado AMADEUS
en su escrito de 10 de abril de 2024, (…).

De acuerdo con el Anexo 4.5 del escrito de AMADEUS de 10 de abril de 2024: “(…)

De acuerdo con el Anexo 6.3.1 del escrito de AMADEUS de 10 de abril de 2024 «Risk
and DPIA for the processing of minors’ data in the context of the Amadeus GDS»:

(…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/53

DÉCIMO SÉPTIMO: Respecto a ***PLATAFORMA.1, en el documento “Informe Global
de Amadeus 2022”, accesible desde la página web:
https://corporate.amadeus.com/documents/es/recursos/informacion-
empresarial/documentos-corporativos/informes-globales/2022/Informe-Anual-
Amadeus-2022_Accesible-AA.pdf, se especificaba la siguiente información:

(…)

DÉCIMO OCTAVO: Respecto a ***PLATAFORMA.1, en el documento
“***DOCUMENTO.1”, accesible desde la página web: ***URL.1 se especificaba la
siguiente información (…).

DÉCIMO NOVENO: Respecto a ***PLATAFORMA.1, en la página web ***URL.2, el 15
de abril de 2024 se especificaba la siguiente información:

(…)

VIGÉSIMO: Respecto a ***PLATAFORMA.1, en la página web ***URL.3, el 15 de abril
de 2024 se especificaba la siguiente información:

(…)

VIGÉSIMO PRIMERO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 5.1
AMADEUS incluyó en su newsletter de (…).

VIGÉSIMO SEGUNDO: Respecto a ***PLATAFORMA.1, en su escrito de 6 de junio de
2024, AMADEUS ha señalado que (…).

VIGÉSIMO TERCERO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 4.1
del escrito de AMADEUS de 6 de junio de 2024, (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/53

VIGÉSIMO CUARTO: Respecto a ***PLATAFORMA.1, en lo relativo a aquellos datos
personales provenientes del GDS de AMADEUS, AMADEUS realizaba esta actividad
en su condición de responsable del tratamiento, dado que era quien determinaba los
fines y medios de tal actividad.

VIGÉSIMO QUINTO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 4.8.1
del escrito de AMADEUS de 6 de junio de 2024, el 12 de junio de 2021
***EMPRESA.2 firmó un contrato con AMADEUS para la realización del proyecto piloto
***PLATAFORMA.1, con el siguiente contenido:

(…)

- (…)

VIGÉSIMO SEXTO: Respecto a ***PLATAFORMA.1, de acuerdo con el Anexo 4.8.3
del escrito de AMADEUS de 6 de junio de 2024, ***EMPRESA.3 firmó el 23 de marzo
de 2022 un contrato con AMADEUS para la realización del piloto ***PLATAFORMA.1,
con el siguiente contenido (entre otros):

- (…)

VIGÉSIMO SÉPTIMO: Respecto a ***PLATAFORMA.1, en su escrito de 25 de octubre
de 2024 AMADEUS ha explicado que ***SERVICIO.1 (…).

VIGÉSIMO OCTAVO: Respecto a ***PLATAFORMA.1, considera AMADEUS, de
acuerdo con el Anexo 6.1 de su escrito de 6 de junio de 2024 (Evaluación de Impacto
relativa a la Protección de Datos en las actividades relacionadas con el piloto
***PLATAFORMA.1), que:

(…)

No obstante, en toda esta documentación no consta una evaluación detallada de si los
intereses perseguidos por AMADEUS prevalecían sobre los intereses o derechos y
libertades fundamentales de los interesados afectados por la realización del piloto
***PLATAFORMA.1.

VIGÉSIMO NOVENO: Respecto a ***PLATAFORMA.1, en la presentación realizada
para promocionar la semana de la privacidad 2022, titulada “ ***PRESENTACIÓN.1”,
documento Anexo 4.9 del escrito de AMADEUS de 6 de junio de 2024, se indica en la
Página 719 las razones por las que el interés legítimo no se debe usar para tratar
datos en ***PLATAFORMA.1:
(…)

En dicha presentación AMADEUS incluye información sobre la base jurídica para
compartir los datos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/53

(…)

No consta que AMADEUS hubiera obtenido el consentimiento específico de los
interesados para la utilización de sus datos personales para la realización del proyecto
***PLATAFORMA.1.

TRIGÉSIMO: Respecto a su actividad en general, de acuerdo con el Anexo 4.4 del
escrito de AMADEUS de 10 de abril de 2024, (…)

En el citado Anexo, AMADEUS indica que cumple con el deber de información:

(…)

Respecto a ***PLATAFORMA.1, en el Anexo 4.1 del escrito de AMADEUS de 6 de
junio de 2024 se indica: “(...)”

En su política de privacidad AMADEUS no proporcionaba a los interesados
información específica sobre el proyecto ***PLATAFORMA.1 ni sobre las cadenas
hoteleras con las que se colaboró para su realización.

Tampoco se proporcionó en modo alguno tal información a los interesados cuyos datos
fueron utilizados tres años después de haber sido recogidos para la realización de una
reserva de algún servicio de viaje.

TRIGÉSIMO PRIMERO: Respecto a ***PLATAFORMA.1, en su escrito de 25 de
octubre de 2024, AMADEUS ha indicado, en relación a los datos utilizados en el piloto
***PLATAFORMA.1, que (…).

TRIGÉSIMO SEGUNDO: Respecto a ***PLATAFORMA.1, en su escrito de 25 de
octubre de 2024 AMADEUS especificaba que (…).

TRIGÉSIMO TERCERO: No se ha encontrado información sobre el producto “
***PRODUCTO.1” en la siguiente documentación suscrita entre AMADEUS e
***EMPRESA.1:
(…)

TRIGÉSIMO CUARTO: Respecto a ***PLATAFORMA.1, ***EMPRESA.6 ha indicado a
la autoridad (...) de protección de datos que no tiene conocimiento de los sistemas y
productos «***EMPRESA.2» y « ***PRODUCTO.1» y que no ha contratado estos
productos ni con Amadeus IT Group ni con ninguna otra entidad del Grupo Amadeus.
La empresa alemana ***EMPRESA.7 figura entre los subcontratistas posteriores de
Amadeus IT Group con los que ***EMPRESA.6 ha contratado servicios informáticos y
que actúa como subcontratista de primer nivel de ***EMPRESA.6. Sin embargo, en el
contexto de estos servicios informáticos, estas dos entidades de Amadeus están
vinculadas por las cláusulas de subcontratación firmadas con Amadeus IT Group, en
virtud de las cuales se prohíbe a Amadeus reutilizar los datos para fines distintos de
los relacionados con la prestación de los servicios, a fortiori crear y alimentar una base
de datos consolidada con fines de elaboración de perfiles. Por lo tanto, no se informó a
***EMPRESA.6 de la aplicación del tratamiento antes mencionado. ***EMPRESA.6
indicó que, paralelamente a su función de subcontratista de servicios informáticos,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/53

Amadeus IT Group también actúa como responsable independiente del tratamiento de
datos para su actividad de sistema central de reservas (GDS). A este respecto, indica
***EMPRESA.6 que no tiene control ni visibilidad sobre las actividades de tratamiento
de Amadeus en este contexto.

TRIGÉSIMO QUINTO: Respecto a ***PLATAFORMA.1, AMADEUS ha indicado en su
escrito de 23 de diciembre de 2024 que GDS opera por PNR y no por viajero. Las
cifras de viajeros en tanto que distintos PNRs se pueden (y, de hecho, es habitual)
referir a el mismo sujeto o, en algunos casos, a ninguno. Lo mismo ocurre con los
datos relativos a menores, con el matiz adicional de que, en muchos casos, que el
viajero es un menor se deduce de la información adicional de los SSR.

En su escrito de 23 de diciembre de 2024, AMADEUS ha indicado:

Número de clientes de ***EMPRESA.2 cuyos datos fueron utilizados para la
realización del piloto ***PLATAFORMA.1.
***CANTIDAD.1 clientes de ***EMPRESA.2.

Número de clientes de ***EMPRESA.3 cuyos datos fueron utilizados para la
realización del piloto ***PLATAFORMA.1.
***CANTIDAD.2 clientes de ***EMPRESA.3.

TRIGÉSIMO SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR
el 20 de febrero de 2024, la entidad AMADEUS IT GROUP, S.A. es una gran empresa
constituida en el año 2005, y con un volumen de negocios de 4.467.600.000 € euros
en el año 2023.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/53

II
Cuestiones previas

1. Tratamiento de datos personales

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

AMADEUS es uno de los Sistemas de Distribución Global (GDS) más importantes a
nivel mundial. Un GDS es un sistema de red que permite transacciones entre
proveedores de servicios de la industria de viajes, y utiliza principalmente el inventario
en tiempo real (por ejemplo, el número de habitaciones de hotel disponibles, el número
de asientos de vuelo disponibles o el número de automóviles disponibles) de los
proveedores de estos servicios.

(…)

Al respecto, en la política de privacidad de AMADEUS disponible en el enlace
https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds, a 30 de abril de
2024 se especificaban las siguientes finalidades de tratamiento con sus bases
jurídicas: a) gestionar el GDS de AMADEUS (basado en la ejecución de un contrato);
b) realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos productos,
mejorar nuestros servicios e identificar tendencias de uso (basado en el interés
legítimo de AMADEUS); y c) anonimizar y agregar datos con el fin de utilizar los datos
con fines analíticos (también basado en el interés legítimo de AMADEUS).

(…)

En cuanto a los tipos y categorías de datos que intervinieron en el proyecto
***PLATAFORMA.1, provenientes de “Amadeus GDS PNRs”, AMADEUS indicó que se
trataron los siguientes datos: (…)

Por tanto, en el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2
del RGPD, consta la realización de un tratamiento de datos personales, toda vez que
AMADEUS realizaba, entre otros tratamientos, la recogida y conservación de, al
menos, los siguientes datos personales de personas físicas: (…)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/53

2. Rol de AMADEUS

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.

En el Anexo 2.4 de su escrito de 10 de abril de 2024, AMADEUS explicaba que (…)

Por su parte, la distribución de contenido de aerolíneas a través de GDS está regulada
en Europa por el Reglamento (CE) n.º 80/2009 del Parlamento Europeo y del Consejo,
de 14 de enero de 2009, por el que se establece un código de conducta para los
sistemas informatizados de reserva y por el que se deroga el Reglamento (CEE) n.º
2299/89 del Consejo («Reglamento»), publicado en el Diario Oficial L 36/48 y que
entró en vigor el 29 de marzo de 2009, el cual en su artículo 11.1 establece: “1. Los
datos personales recogidos en el transcurso de las actividades de un SIR para la
realización de reservas o la emisión de billetes relacionados con productos de
transporte solo se tratarán de manera compatible con dichos fines. En el tratamiento
de dichos datos, el vendedor de sistemas será considerado el responsable del
tratamiento de datos, según la definición del artículo 2, letra d), de la Directiva
95/46/CE.”

No obstante, tal como explicó AMADEUS en su escrito de 6 de junio de 2024, cuando
se trata de distribución directa por parte de las aerolíneas, AMADEUS ejerce como
encargado del tratamiento, recibiendo instrucciones de la aerolínea, que actúa como
responsable del tratamiento.

En cuanto a los datos utilizados para la realización del piloto ***PLATAFORMA.1,
respecto de aquellos datos personales provenientes del GDS de AMADEUS,
AMADEUS realizaba esta actividad en su condición de responsable del tratamiento,
dado que era quien determinaba los fines y medios de tal actividad, en virtud del
artículo 4.7 del RGPD.

3. Tratamiento de datos personales transfronterizo

Además, se trata de un tratamiento transfronterizo, dado que AMADEUS está
establecida en España, si bien presta servicio a otros países de la Unión Europea y, en
el presente caso, tal y como consta en antecedentes, se han visto afectados datos de
ciudadanos de otros países de la Unión Europea.

El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,
previstos en su artículo 4.23), en relación con la competencia de la autoridad de
control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de
control del establecimiento principal o del único establecimiento del responsable o del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/53

encargado del tratamiento será competente para actuar como autoridad de control
principal para el tratamiento transfronterizo realizado por parte de dicho responsable o
encargado con arreglo al procedimiento establecido en el artículo 60. En el caso
examinado, como se ha expuesto, AMADEUS tiene su establecimiento principal en
España, por lo que la Agencia Española de Protección de Datos es la competente para
actuar como autoridad de control principal.
III
Obligación incumplida. Información que deberá facilitarse cuando los datos
personales no se hayan obtenido del interesado

El artículo 14 del RGPD establece la información que deberá facilitarse cuando los
datos personales no se hayan obtenido del interesado, en virtud del cual:

“1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de estas o al lugar en que se hayan puesto a disposición.

2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/53

significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de naturaleza legal.”

La obligación prevista en el mencionado artículo 14 del RGPD desempeña un papel
fundamental en el marco de la protección de datos personales en aquellos contextos
donde los datos personales no se obtienen directamente de los interesados. Esta
disposición garantiza la transparencia y el respeto por los derechos en dicho ámbito,
dos pilares esenciales sobre los que se construye la confianza entre los titulares de los
datos y las entidades que los tratan.

El mandato previsto en el artículo implica que el responsable del tratamiento debe
proporcionar a los interesados una serie de información relacionada con el tratamiento
de sus datos personales La importancia de cumplir con la obligación prevista en dicho
artículo radica en varios aspectos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/53

- Proporciona a los interesados una comprensión clara y completa de cómo se
están utilizando sus datos personales, lo cual resulta esencial para la
construcción de una relación basada en la confianza con las entidades que
manejan sus datos.

- Facilita y garantiza a sus titulares el ejercicio de sus derechos de protección
de datos, incluido el derecho a la objeción del tratamiento, acceso, rectificación,
y supresión de sus datos personales, entre otros.

- Refuerza la legitimidad del tratamiento de datos personales al asegurar que
se realice dentro del marco legal establecido y de acuerdo con los principios del
RGPD.

- Ayuda a proteger a los individuos contra el uso indebido de sus datos
personales, asegurando que solo se utilicen para fines específicos, legítimos y
explícitamente informados.

- Ayuda a los responsables del tratamiento con el cumplimiento de la normativa
de protección de datos, evitando sanciones, así como daños a su reputación
que podrían derivarse del incumplimiento.

En el presente caso, en su escrito de 10 de abril de 2024, AMADEUS explicaba que:
(…).

En el Anexo 4.4. de su escrito de 10 de abril de 2024 AMADEUS explicó cómo informa
a los pasajeros sobre el tratamiento de los datos personales de los viajeros de GDS
para la reserva y emisión de billetes: (…).

Según lo especificado en el Anexo 4.4 de su escrito de 10 de abril de 2024, AMADEUS
indica que cumple con el deber de información:

o (…)

A fecha 14 de febrero de 2024 en el enlace http://www.iatatravelcenter.com/privacy,
podía verse:

(Traducción no oficial:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/53

“Protección de datos e información sobre privacidad
Le recomendamos que lea las políticas de privacidad de las compañías de marketing y
operadoras para su reserva. Tenga en cuenta que más de una política de privacidad
puede aplicarse a usted. Estos documentos especifican cómo se recopilan,
almacenan, utilizan, divulgan y transfieren sus datos personales. Un índice de las
políticas de privacidad del operador está disponible aquí.
Su agente de viajes también puede procesar su información personal para
proporcionarle servicios. Debe ponerse en contacto con su agente de viajes para
obtener más información y una copia de su política de privacidad.
Los proveedores de sistemas de reservas (a veces conocidos como Sistema de
Distribución Global o GDS) facilitan la transmisión de información de reservas de su
agente de viajes al transportista. Sus políticas de privacidad pueden aplicarse y
regular cómo se utiliza la información de su reserva. Un índice de las políticas de
privacidad de GDS está disponible aquí (archivo PDF).”)

A continuación, aparecía un extenso listado de aerolíneas diferentes con enlaces a sus
políticas de privacidad.

Consultado el enlace https://www.iatatravelcentre.com/privacy-content/2.htm, aparecía
la siguiente información:

En el documento que se descargaba al acceder al enlace
https://www.iatatravelcentre.com/uploads/pdfs/privacy/ReservationSystemProvider.pdf,
podía verse:

“Data Protection and Privacy – Reference Index for Reservation System Provider
Privacy Policies/Statements

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/53

Travelport https://www.travelport.com/privacy
TravelSky Please contact provider directly
Unisys https://www.unisys.com/unisys-legal/privacy

Revision date: 9 July 2019”

Por su parte, en el contrato genérico con los Suscriptores (agencias de viaje), aportado
como Anexo 2.6 del escrito de AMADEUS de 10 de abril de 2024, figuraba: “(…)

Respecto a la información facilitada a los interesados sobre el piloto
***PLATAFORMA.1, en el Anexo 4.1 de su escrito de 6 de junio de 2024 AMADEUS
manifestó:

(…)

En su política de privacidad, a 24 de noviembre de 2023 se indicaba en el enlace
https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds:

“Amadeus también puede utilizar los datos personales con fines investigativos,
analíticos y estadísticos, y para identificar preferencias, intereses, tendencias y
otras actividades en la industria del turismo, así como productos y servicios
que puedan ser de interés particular para las personas. Los datos personales
utilizados con fines analíticos derivan de datos personales, pero se tratan de
forma anónima y agregada.
El fundamento jurídico para procesar los datos personales con fines
investigativos, analíticos y estadísticos y para identificar productos y servicios
que puedan ser de interés particular para las personas está basado en el
legítimo interés empresarial de Amadeus. Siempre que se procese información
personal con estos fines, se considerará el impacto sobre la privacidad de la
persona cuyos datos se están procesando.”

En su política de privacidad, a 30 de abril de 2024, entre otros propósitos, se
especificaba la siguiente finalidad de tratamiento con su base jurídica:

“• • Propósito:
Realizar análisis de datos, auditorías, estadísticas, desarrollar nuevos
productos, mejorar nuestros servicios e identificar tendencias de uso.
Base Jurídica:
El interés legítimo de Amadeus en comprender mejor nuestros servicios y
mejorarlos, identificar tendencias de uso y desarrollar nuevos productos.”

Con fecha 2 de diciembre de 2024 se comprobó que el enlace
https://amadeus.com/es/politicas/declaracionde-privacidad-del-gds había cambiado a
https://amadeus.com/es/politicas/gds-privacy-statement.

Como se ha explicado, AMADEUS no obtiene los datos personales de los viajeros
directamente de los interesados, por lo que le resulta de aplicación el artículo 14 del
RGPD. Dado que no tiene lugar ninguna de las excepciones indicadas en el apartado
5 del citado artículo, es obligación de AMADEUS proporcionar a los interesados toda la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/53

información detallada en los apartados 1 y 2 sobre el tratamiento de datos personales
que realizara en su condición de responsable.

Respecto a la utilización de datos personales de viajeros para la realización del piloto
***PLATAFORMA.1, dado que se trataba de un tratamiento ulterior de los datos para
un fin distinto para el que se obtuvieron (o sea, la realización de una reserva de un
servicio de viaje), era obligación de AMADEUS proporcionar a los interesados, antes
de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información
pertinente, de acuerdo con lo establecido en el apartado 4 del artículo 14 del RGPD.

Al respecto, indica AMADEUS que proporcionó tal información a través de su política
de privacidad. No obstante, esta Agencia considera que simplemente una referencia
genérica en su política de privacidad publicada en su página web es insuficiente a los
fines del citado artículo del RGPD.

En especial, si se tiene en cuenta que los servicios GDS son servicios B2B y
AMADEUS no tuvo relación directa con los usuarios finales cuyos datos se trataban a
través del GDS, por lo que no todos los interesados son conscientes de que
AMADEUS trata sus datos cuando realizan una reserva, y mucho menos que sus
datos serían tratados por parte de AMADEUS, con posterioridad a la realización de
una reserva determinada, con el fin de desarrollar nuevos productos de los que
pudiera beneficiarse.

A mayor abundamiento, en su escrito de 25 de octubre de 2024 AMADEUS misma
indicó que “(…)”. Es decir, se trataron datos tres años después de que los interesados
hubieran realizado una reserva de algún servicio de viaje, para la realización de un
piloto por parte de una empresa con la cual ellos no tuvieron relación directa alguna, a
fin de analizar la posibilidad de implementar un producto nuevo. Lo cual, a juicio de
esta Agencia, no sería una expectativa razonable por su parte.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos probados
son constitutivos de una infracción, imputable a AMADEUS, por vulneración del
artículo 14 del RGPD.

IV
Tipificación de la infracción del artículo 14 del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"(…) b) los derechos de los interesados a tenor de los artículos 12 a 22;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/53

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica."

V
Sanción por la infracción del artículo 14 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/53

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, corresponde la imposición de multa.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con los hechos probados de que se dispone en el presente momento de
proyecto de acuerdo de resolución de procedimiento sancionador, se considera que
procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes,
contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/53

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD): por no proporcionar a los
interesados la información exigida por el artículo 14 del RGPD relativa a la
realización del piloto ***PLATAFORMA.1, lo que afectó a millones de
interesados, del 15 de marzo de 2022 al 15 de junio de 2022 (contrato firmado
con ***EMPRESA.3).

En este sentido, resulta muy significativo que los datos personales, que no eran
recogidos directamente de los interesados (no todas las personas eran
conscientes de que AMADEUS estaba tratando sus datos al realizar una reserva,
toda vez que los servicios GDS son servicios B2B) fueran utilizados para un
tratamiento ulterior de AMADEUS (un determinado proyecto piloto) que no era
razonablemente previsible en el momento y en el contexto de la recogida de los
datos personales de los interesados para un fin particular.

El poder de disposición y control de los titulares del derecho fundamental a la
protección de datos personales respecto de los datos personales que les
conciernen queda totalmente desdibujado si los interesados desconocen que sus
datos personales, recogidos para una finalidad concreta y en un contexto
determinado están siendo tratados posteriormente para otra finalidad distinta y en
otro contexto diferente. La posibilidad de ejercitar los derechos que le confiere el
RGPD también se ve limitada consecuentemente, así como la posibilidad de
reaccionar frente a una vulneración de sus derechos.

No suministrar la información a los interesados en tiempo y en forma y con el
contenido previsto en el RGPD, respecto de los tratamientos concretos de datos
personales a los que estén sometidos los interesados, constituye un riesgo claro
en los derechos y libertades de los interesados. Riesgo que tiene que ser
identificado, valorado y evaluado por el responsable del tratamiento para evitar
que se materialice, produciendo daños en los interesados.

Y mucho más aun cuando, para el ***PLATAFORMA.1, según asevera
AMADEUS la base jurídica que les legitimaba para realizar ese tratamiento
ulterior de dichos datos personales era el interés legítimo, que requiere, por sus
especiales características (ponderación de intereses y derechos) un especial
cuidado de transparencia, explicitando cuáles son los concretos intereses
legítimos del responsable que prevalecen sobre los de los interesados para un
tratamiento de datos concreto.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

• Toda infracción anterior cometida por el responsable o el encargado del
tratamiento (artículo 83.2, letra e), del RGPD): El 10 de junio de 2022 la Directora
de la Agencia Española de Protección de Datos dictó resolución en la que se
impuso a AMADEUS, por una infracción del Artículo 12 del RGPD, tipificada en el
Artículo 83.5 del RGPD, una multa de 5.000 euros.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/53

• La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): AMADEUS es uno de
los Sistemas de Distribución Global (GDS) más importantes a nivel mundial, lo
que implica tratar datos personales de millones de viajeros para la realización de
reservas de servicios de la industria de viajes, por lo cual se trata de una entidad
habituada a la realización de tratamientos de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 14 del RGPD, permite imponer una sanción de multa administrativa de
9.000.000,00 euros (NUEVE MILLONES DE EUROS).

VI
Obligación incumplida. Licitud del tratamiento

El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente:

"1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/53

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento, incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización."

El principio de licitud representa uno de los pilares fundamentales sobre los que se
asienta el Reglamento General de Protección de Datos (RGPD). La relevancia de este
principio radica, entre otros aspectos, en el papel esencial en la construcción de una
relación de confianza entre las distintas personas y entidades que tratan datos
personales y los individuos titulares de dichos datos.

La licitud en el tratamiento de los datos personales garantiza que toda actividad de
tratamiento se realice dentro del marco legal establecido, respetando los derechos de
sus titulares de datos y cumpliendo con las obligaciones legales. Este principio actúa,
por tanto, como un escudo protector de los derechos fundamentales de las personas,
garantizando que sus datos personales no sean utilizados de manera indebida o para
fines que no hayan sido explícitamente autorizados o que no estén claramente
definidos por la ley.

En la práctica, el principio de licitud obliga a los responsables y encargados del
tratamiento de datos a identificar una base legal válida antes de proceder con
cualquier actividad de tratamiento. Esta base legal se determina por el citado artículo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/53

6.1 que establece de forma concreta las condiciones para considerar un determinado
tratamiento lícito. Estas condiciones incluyen el consentimiento del interesado, la
necesidad del tratamiento para la ejecución de un contrato en el que el interesado es
parte, el cumplimiento de una obligación legal, la protección de intereses vitales, la
ejecución de una misión realizada en interés público o el ejercicio de poderes públicos,
y la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento
o por un tercero, siempre que sobre estos intereses no prevalezcan los intereses o los
derechos y libertades fundamentales del interesado que requieran la protección de
datos personales.

Por tanto, para que un tratamiento de datos se considere lícito, de acuerdo con lo
dispuesto en el mencionado artículo, requiere la existencia de una base legal que lo
legitime.

En el presente caso, AMADEUS llevó a cabo un piloto denominado
***PLATAFORMA.1 (***PLATAFORMA.1).

A tal fin, (…).

Respecto a los PNR, en su escrito de 10 de abril de 2024 AMADEUS explicaba que:
(…)

Y en el Anexo 4.5 de dicho escrito se detallaba que había dos tipos de PNR:
 (…)

En cuanto a los tipos y categorías de datos que intervinieron en el proyecto
***PLATAFORMA.1, provenientes de “Amadeus GDS PNRs”, AMADEUS indicó que se
trataron los siguientes datos: (…).

(…) en el Anexo 4.5 del escrito de AMADEUS de 10 de abril de 2024 que (…).

No obstante, en el presente caso AMADEUS ha utilizado los datos de los PNR en su
poder para la realización del piloto ***PLATAFORMA.1.

Como anexo a su EIPD de ***PLATAFORMA.1, documento Anexo 6.1 de su escrito de
6 de junio de 2024, AMADEUS proporciona un documento denominado evaluación de
impacto sobre Interés Legítimo para el piloto ***PLATAFORMA.1, con fecha del
documento 5 de noviembre de 2021. En el documento Anexo a la EIPD, AMADEUS

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/53

indica que evalúa el impacto del interés legítimo para la realización del piloto
***PLATAFORMA.1.

(…)

Sin embargo, en la copia de la presentación realizada para promocionar la semana de
la privacidad 2022, titulada “ ***PRESENTACIÓN.1”, documento Anexo 4.9 del escrito
de AMADEUS de 6 de junio de 2024, indicaba en la Página 719 las razones por las
que el interés legítimo no se debía usar para tratar datos en ***PLATAFORMA.1:
“• (…)

En dicha presentación AMADEUS incluía información sobre la base jurídica para
compartir los datos, y no era el interés legítimo:

(…)

Al respecto, esta Agencia no puede menos que coincidir con el análisis realizado por la
propia AMADEUS para la realización de su presentación “ ***PRESENTACIÓN.1”.

Dado que AMADEUS no tenía relación directa con los usuarios finales cuyos datos se
trataban a través del GDS y que no todas las personas eran conscientes de que
AMADEUS estaba tratando sus datos al realizar una reserva (toda vez que los
servicios GDS son servicios B2B), no constituía una expectativa razonable para los
interesados que sus datos fueran a ser tratados por parte de AMADEUS, con
posterioridad a la realización de una reserva determinada, con el fin de desarrollar
nuevos productos de los que pudiera beneficiarse.

Por más que en la EIPD de ***PLATAFORMA.1 AMADEUS cite una encuesta en la
que se afirma que el 49% de clientes están preparados para dar sus datos a marcas
en las que confían y que el 69% de clientes se mostró satisfecho de que las marcas
utilicen sus datos para enviarles descuentos en productos y servicios que realmente
desean, ello no significa que los usuarios que realizaron una reserva de un servicio de
viaje a través de una determinada empresa tuvieran siquiera la expectativa de que una
tercera empresa de la que muy posiblemente no tenían conocimiento utilizaría sus
datos años después para la realización de un piloto para probar la posibilidad de
desarrollar un producto nuevo.

Aunque se afirme en la tal EIPD que se explicaría claramente el citado tratamiento de
datos a través del aviso de privacidad de AMADEUS, lo cierto es que tal información
no ha sido proporcionada de forma específica y no ha quedado acreditado en el
presente procedimiento que los interesados tuvieran conocimiento de tal situación. Lo
cual convierte en completamente inútil que AMADEUS hubiera implementado un
mecanismo de exclusión voluntaria para permitir que los interesados se opongan al
procesamiento de sus datos personales basado en el interés legítimo, dado que ni
siquiera tenían conocimiento de que tal tratamiento tendría lugar.

(…)

A mayor abundamiento, el ya citado artículo 11.4 del Reglamento (CE) nº 80/2009 del
Parlamento Europeo y del Consejo, de 14 de enero de 2009, por el que se establece

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/53

un código de conducta para los sistemas informatizados de reserva y por el que se
deroga el Reglamento (CEE) nº 2299/89 del Consejo establece (el subrayado es
nuestro):

Pese a lo cual, en el presente caso, AMADEUS ha reconocido que ha utilizado los
datos de los PNR en su poder para la realización del piloto ***PLATAFORMA.1, tanto
PNR activos como inactivos del año 2019, tres años más tarde.

Tal y como se ha afirmado anteriormente, no haber suministrado la información a los
interesados en tiempo y en forma y con el contenido previsto en el RGPD, respecto de
los tratamientos concretos de datos personales a los que estén sometidos los
interesados, constituye un riesgo claro en los derechos y libertades de los interesados,
que cobra mayor relevancia cuando, para la realización del proyecto piloto
***PLATAFORMA.1, la base jurídica en la que AMADEUS legitimaba ese tratamiento
ulterior de dichos datos personales era el interés legítimo, que requiere, por sus
especiales características (ponderación de intereses y derechos) un especial cuidado
de transparencia.

Esta Agencia considera que no existía para los interesados una expectativa razonable
de que sus datos personales recogidos para los fines de reserva fueran utilizados
tanto tiempo más tarde para la realización de un proyecto piloto para probar la
posibilidad de desarrollar un producto nuevo por un tercero, de lo cual ni siquiera
tenían conocimiento.

Por todo lo expuesto, esta Agencia considera que no era de aplicación el interés
legítimo de AMADEUS para la realización del tratamiento de datos personales en lo
relativo al piloto ***PLATAFORMA.1.

Tampoco ha quedado acreditado en el presente procedimiento que los interesados
hubieran proporcionado su consentimiento específico para dicho tratamiento, ni que el
tratamiento fuera necesario para la ejecución de un contrato en que el interesado fuera
parte, ni necesario para el cumplimiento de una obligación legal aplicable a
AMADEUS, ni necesario para proteger intereses vitales de los interesados u otra
persona física, ni que se trate de un tratamiento realizado para el cumplimiento de una
misión realizada en interés público o en el ejercicio de poderes públicos conferidos a
AMADEUS.

Pero es que, a mayor abundamiento, el apartado 4 del artículo 6 del RGPD estipula
que cuando se trate de la realización de un tratamiento para otro fin distinto de aquel
para el que se recogieron los datos personales y no esté basado en el consentimiento
del interesado o en el Derecho de la Unión o de los Estados miembros- o sea, como
en el presente caso- el responsable del tratamiento (AMADEUS) debía determinar si el
tratamiento con otro fin (la realización del piloto ***PLATAFORMA.1) era compatible

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/53

con el fin para el cual se recogieron inicialmente los datos personales (la realización de
una reserva de servicios de viaje), lo cual no consta que se hubiera realizado en el
presente procedimiento.

Es decir, en el caso que nos ocupa, de la documentación obrante en el expediente no
se desprende la existencia de alguna causa que legitimara el tratamiento de los datos
personales de los viajeros para la realización del piloto ***PLATAFORMA.1.

Por tanto, de conformidad con los hechos probados de los que se dispone en este
momento de resolución de procedimiento sancionador, se considera que los hechos
conocidos son constitutivos de una infracción, imputable a AMADEUS, por vulneración
del artículo 6 del RGPD.

VII
Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de
prescripción

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679."

VIII
Sanción por la infracción del artículo 6 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/53

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/53

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de
AMADEUS (4.467.600.000 euros en el año 2023).
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con los hechos probados de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que procede graduar la
sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los
preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD): por tratar los datos del GDS de
AMADEUS para la realización del piloto ***PLATAFORMA.1 sin contar con base
jurídica que legitime tal tratamiento, lo que afectó a millones de interesados, del
15 de marzo de 2022 al 15 de junio de 2022 (contrato firmado con
***EMPRESA.3).

Además, de que las manifiestas contradicciones internas debería de haber
llevado a AMADEUS a replantearse antes de llevar a término el tratamiento, al
menos, si la base jurídica era la adecuada, el interés legítimo es una base
jurídica que requiere un especial cuidado en su consideración, en atención a la
ponderación que hay que realizar entre intereses del responsable del tratamiento
e intereses y derechos de los interesados, partiendo de la “necesidad”, en el
sentido del RGPD, del tratamiento para la satisfacción del interés legítimo del
responsable del tratamiento.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/53

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6 del RGPD, permite imponer una sanción de multa administrativa de
9.000.000,00 euros (NUEVE MILLONES DE EUROS).

IX
Terminación del procedimiento por pago voluntario

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer
una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio se le permitía llevar a cabo el pago voluntario de la sanción propuesta. Así,
AMADEUS ha hecho uso de la facultad contemplada en el artículo 85.2 LPACAP, pero
sin reconocimiento de responsabilidad, lo que supone la reducción de un 20% de su
importe. Con la aplicación de esta reducción, la sanción queda establecida en
14.400.000,00 euros y su pago implica la terminación del procedimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/53

Al respecto, ha de señalarse que, de acuerdo con el apartado 3 del artículo 85
LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción.

Por otro lado, debe tenerse en cuenta que, de acuerdo con los preceptos de la
LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el pago
voluntario por el presunto responsable no exime a la Administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR que AMADEUS IT GROUP, S.A., con NIF A84236934, ha
infringido lo dispuesto en el Artículo 14 del RGPD y Artículo 6 del RGPD, infracciones
tipificadas en el Artículo 83.5 del RGPD y CONFIRMAR a los efectos previstos en el
artículo 64.2 b) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), las sanciones indicadas en el
acuerdo de inicio del presente procedimiento sancionador por la comisión de cada una
de las citadas infracciones: 9.000.000,00 euros. Lo que arroja un total de
18.000.000,00 euros.

SEGUNDO: DECLARAR la terminación del procedimiento por el pago voluntario
realizado por AMADEUS IT GROUP, S.A., con NIF A84236934 en virtud de lo
dispuesto en el artículo 85 de la LPACAP.

TERCERO: NOTIFICAR la presente resolución a AMADEUS IT GROUP, S.A.

CUARTO:De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, por parte de la presente autoridad se acepta la renuncia
expresamente manifestada por AMADEUS, no cabiendo en consecuencia la
interposición de recurso potestativo de reposición frente a la presente resolución, todo
ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-
administrativa con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la
disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP,
dado que no cabe ningún recurso en vía administrativa al haber renunciado
expresamente, la presente resolución será plenamente ejecutiva a partir de la
notificación de la misma.

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/53

manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
resolución se hará pública una vez haya sido notificada a los interesados.

1567-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Amadeus'un Hukuki Dayanak ve Aydınlatma İhlalleri

Türkçe özet

Hukuki mesele

Sonuç

Karar metni