El Tribunal de Justicia de la UE determina cómo se ejercen los derechos sobre los datos personales en los tratamientos automatizados
22-04-2025 — AR/2025/056
El fallo de este tribunal refuerza la transparencia y el grado de protección de los derechos sobre los datos personales cuando se usan en procesos automatizados, como la elaboración de perfiles y las asignaciones de puntuación de solvencia (scores).
- Compartir
- Correo electrónico
El Tribunal de Justicia de la Unión Europea (TJUE) ha emitido una sentencia importante en el asunto C-203/22, que afecta a cómo se han de ejercer los derechos sobre la protección de los datos personales en los tratamientos automatizados.
La sentencia analiza la aplicación del Reglamento (UE) 2016/679,1 el reglamento general de protección de datos, en particular el artículo 15, apartado 1, letra h, que regula el derecho de acceso a la información utilizada en procesos automatizados de elaboración de perfiles.
Resumimos los aspectos principales de la sentencia.
Cuestión principal sentenciada
El aspecto principal que resaltamos es que la sentencia aborda la cuestión de qué información debe proporcionarse a los interesados cuando sus datos son utilizados en procesos automatizados de evaluación o puntuación (scorings).
Así, determina que las personas afectadas «deben tener derecho a recibir una explicación», es decir, a obtener «información significativa sobre la lógica aplicada a la decisión, no necesariamente una compleja explicación de los algoritmos utilizados o la revelación de todo el algoritmo».
La sentencia declara:
El fallo del TJUE tiene, pues, un efecto directo en entidades financieras, en empresas de evaluación crediticia y en cualquier organización que use modelos automatizados para tomar decisiones sobre personas físicas.
Aspectos principales que trata la sentencia
La sentencia trata los aspectos de interés siguientes:
- Derecho a la transparencia:
- La información proporcionada debe ser concisa, transparente, inteligible y de fácil acceso para el interesado.
- Alcance del derecho de acceso:
- Reconoce el derecho del interesado a conocer los datos personales utilizados, los parámetros y variables clave en la evaluación, y la relación entre los datos y la valoración obtenida.
- Límites del secreto comercial:
- La protección de secretos comerciales no puede utilizarse como justificación para denegar el acceso a información esencial para que el interesado pueda comprender y cuestionar una decisión automatizada.
- Verificación de la exactitud de la información:
- Los interesados han de poder comprobar si la información utilizada en su evaluación es precisa y acorde a los hechos.
- Oposición a decisiones automatizadas:
- Recogida en el artículo 22 del reglamento general.
- La decisión automatizada basada en perfiles debe permitir a los interesados expresar su punto de vista y oponerse a una decisión que les afecte significativamente.
- Evaluación de los factores utilizados en la toma de decisiones:
- Se deben revelar los parámetros y variables empleados para calcular la solvencia, en especial los datos específicos tratados y cómo influyeron en la decisión.
Implicaciones prácticas
Esta sentencia refuerza las obligaciones de transparencia y explicación del resultado de decisiones automatizadas.
En nuestra opinión, esta sentencia va a forzar a que las empresas que usan estos procesos:
- revisen sus procedimientos de scoring para verificar que cumplen con los criterios de información;
- aseguren que los interesados puedan ejercer, con la amplitud definida, los derechos de acceso, rectificación y oposición sobre los datos tratados;
- evalúen el efecto en sus sistemas de evaluación crediticia y otras aplicaciones de inteligencia artificial;
- actualicen las políticas de privacidad y de protección de los datos personales para contemplar con mayor claridad los tratamientos automatizados y cómo se ejercen los derechos por ellos, e
- implementen mecanismos internos de supervisión para comprobar que se cumple con estos criterios y minimizar riesgos legales.