L'amende a été précédée de l'accès d'un salarié aux données de santé d'une personne concernée. Au cours de ses enquêtes, l'Autorité de protection des données a constaté que Global Business Travel Spain, en tant que responsable du traitement, avait enfreint l'article 32, paragraphes 2 et 4, du RGPD en ne prenant pas les mesures techniques et organisationnelles adéquates pour protéger les données contre divulgation non autorisée.