Multa Recorde de €18 Milhões contra Amadeus por Reutilização Indevida de Dados de Viajantes

A Agência Espanhola de Proteção de Dados (AEPD) aplicou uma multa de €18 milhões à Amadeus IT Group, uma das maiores redes de reservas de viagens do mundo, por violações do RGPD relacionadas a um projeto-piloto de perfilamento de viajantes chamado 'PLATAFORMA.1'. O projeto utilizou dados pessoais coletados em reservas de voos e viagens — incluindo dados de Passenger Name Record (PNR) — para criar perfis de viajantes que seriam compartilhados com hotéis e outras empresas do setor. A AEPD identificou duas infrações principais: o descumprimento do Artigo 14 do RGPD, que exige que os titulares dos dados sejam informados sobre novos tratamentos de seus dados, e a violação do Artigo 6, pela ausência de base jurídica válida para o tratamento. A Amadeus tentou justificar o tratamento com base em linguagem genérica em sua política de privacidade e no interesse legítimo, mas ambos os argumentos foram rejeitados pela autoridade reguladora espanhola. A AEPD considerou que os viajantes não poderiam razoavelmente esperar que seus dados de reserva fossem reutilizados para fins de perfilamento comercial, especialmente sem qualquer relação direta entre eles e a Amadeus. Fatores agravantes incluíram a escala massiva do tratamento, afetando milhões de titulares, uma infração anterior por violação do Artigo 12 do RGPD em 2022, e o fato de a Amadeus ser uma processadora rotineira de dados em larga escala. A empresa optou pelo pagamento voluntário da multa, obtendo um desconto de 20% e reduzindo o valor para €14,4 milhões, mas anunciou que pretende recorrer da decisão na justiça espanhola. O caso reforça que fornecedores de serviços que reutilizam dados de clientes para desenvolver produtos ou insights próprios atuam como controladores de dados e devem cumprir todas as obrigações correspondentes. A decisão também destaca a importância de realizar avaliações de compatibilidade de finalidade, avaliações de interesse legítimo e relatórios de impacto à proteção de dados antes de iniciar qualquer projeto-piloto com dados reais. Por fim, o caso serve como alerta para organizações de todos os setores: avisos de privacidade genéricos são insuficientes, e a conformidade com a proteção de dados deve ser garantida integralmente antes do início de qualquer novo tratamento, mesmo em fases experimentais.