Amende record contre Amadeus pour profilage illégal de voyageurs

27 mai 2026   Rédaction   Aucun commentaire   À la une    AEPD, Amadeus, amende, Espagne, RGPD    3913 vues

L’Agence espagnole de protection des données (AEPD) a eu la main plutôt lourde dans le secteur technologique mondial en infligeant à Amadeus IT Group l’amende la plus élevée de toute son histoire institutionnelle.

Le régulateur ibérique a officiellement condamné le géant des systèmes de réservation à une sanction financière de 18 millions d’euros pour avoir exploité de manière illicite les données personnelles de millions de voyageurs internationaux dans le cadre d’un projet pilote interne mené sans base légale valable et sans en informer à aucun moment les personnes concernées.

Le jugement rendu par l’autorité de contrôle conclut de manière stricte que l’entreprise a enfreint deux articles clés du Règlement général sur la protection des données (RGPD) en détournant les informations confidentielles stockées dans son système central de réservation (GDS) pour alimenter un programme expérimental secret destiné à développer de nouveaux produits prédictifs pour les compagnies aériennes, les établissements hôteliers et les agences de voyages.

L’objectif commercial sous-jacent d’Amadeus était d’établir des profils de voyageurs extrêmement détaillés en analysant leurs historiques de vols, leurs destinations de prédilection, leur fréquence de déplacement ainsi que leurs habitudes précises de dépenses.

Selon les documents confidentiels saisis au cours de l’enquête par l’AEPD, ce projet technologique visait à proposer aux acteurs du tourisme des fonctionnalités de recherche « ciblées et hyper-personnalisées » grâce à une « connaissance approfondie du client final ».

Cette amende historique de 18 millions d’euros est divisée en deux sanctions distinctes de 9 millions d’euros chacune : la première punit sévèrement l’absence totale de base légale pour légitimer un tel traitement de données de masse, tandis que la seconde résulte directement du manquement flagrant à l’obligation d’information des utilisateurs, qui n’ont jamais été avertis que leurs données de transport privées allaient être réutilisées des années plus tard à des fins purement marketing et radicalement différentes de la réservation initiale.

L’historique du projet pilote révèle qu’il a débuté dès l’année 2021 en collaboration étroite avec deux chaînes hôtelières d’envergure, dont les noms de marque ont été volontairement masqués dans la résolution officielle ; durant ces essais techniques, Amadeus a croisé les fichiers clients de ces hôtels avec les dossiers des passagers aériens (PNR) afin de reconstituer des historiques de voyage complets et prédictifs.

L’AEPD souligne avec gravité que des bases de données historiques datant de 2019 ont été siphonnées pour l’occasion, ce qui s’avère particulièrement problématique au regard du droit européen qui limite strictement la durée de conservation des données personnelles et restreint leur accès à des situations d’urgence très spécifiques.

Cette vaste enquête réglementaire avait été ouverte à la suite d’une plainte anonyme déposée en 2023, alertant les autorités sur la portée mondiale de ce système de profilage et sur son impact potentiel sur des milliards de dossiers de passagers, dont ceux de millions de citoyens espagnols.

Bien qu’Amadeus ait finalement pris la décision d’abandonner le projet après avoir identifié en interne des risques critiques pour la vie privée de ses clients, l’autorité de régulation considère que le simple fait d’avoir développé et testé un tel système constitue une infraction caractérisée passible de sanctions financières lourdes.

En vertu des mécanismes juridiques espagnols, si la décision est ratifiée, l’entreprise technologique pourra bénéficier d’une réduction de 20 % grâce au dispositif de paiement anticipé, abaissant la facture à 14,4 millions d’euros.

Amadeus maintient toutefois son rejet catégorique des conclusions de l’AEPD et a fait savoir dans un communiqué officiel qu’elle contestait « respectueusement » l’interprétation de l’organisme de réglementation, annonçant son intention ferme de faire appel de la décision devant les tribunaux compétents en affirmant que ce programme pilote n’était qu’une initiative statistique de trois mois visant à générer des données purement agrégées et anonymes, sans aucun partage de données personnelles identifiables.