El artículo 22, apartado 1, del RGPD establece: «Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar», aunque prevé una serie de excepciones en su apartado 2 (consentimiento, ejecución de contrato o autorización legal).
El Tribunal de Justicia de la Unión Europea dictó, el 27 de febrero de 2025, una sentencia relevante, en el contexto de un litigio entre CK y el Magistrat der Stadt Wien (Administración Municipal de Viena, Austria) en relación con la ejecución forzosa de una resolución judicial por la que se ordena a Bisnode Austria GmbH (actualmente, Dun & Bradstreet Austria GmbH), empresa especializada en la realización de evaluaciones crediticias, que facilite a CK información significativa sobre la lógica aplicada a la elaboración de un perfil relativo a sus datos personales.
El TJUE resuelve que, en caso de adoptarse una decisión automatizada —incluida la elaboración de perfiles— en el sentido del artículo 22, apartado 1, del RGPD, el interesado puede exigir al responsable del tratamiento que, como «información significativa sobre la lógica aplicada», le explique, de forma concisa, transparente, inteligible y fácilmente accesible, el procedimiento y los principios concretos aplicados para tratar de manera automatizada sus datos personales, con el fin de obtener un resultado determinado, como, por ejemplo, un perfil de solvencia.
No se exige revelar el código fuente, los detalles matemáticos precisos del algoritmo ni datos protegidos de terceros, pero sí una explicación suficiente para que el interesado comprenda el funcionamiento general y pueda ejercer sus derechos (impugnación, rectificación, etc.).
Si el responsable considera que parte de la información solicitada incluye datos personales de terceros protegidos por el RGPD o secretos comerciales o derechos de propiedad intelectual, debe comunicar esa parte protegida a la autoridad de control competente o al órgano jurisdiccional correspondiente. Estos evaluarán y ponderarán los derechos e intereses en conflicto, pudiendo ordenar la divulgación parcial o total si prevalece el interés del interesado.
Esta sentencia refuerza el precedente establecido en el asunto SCHUFA, donde el TJUE ya aclaró que los sistemas de scoring crediticio automatizados pueden constituir decisiones automatizadas sujetas al artículo 22 del RGPD cuando tengan efectos significativos (por ejemplo, denegación de crédito o contrato), y que el derecho de acceso (artículo 15 RGPD) incluye explicación de la lógica.
Conclusión
La sentencia que nos ocupa consolida el derecho a explicación en el ámbito de la IA y el scoring, alineándose con las obligaciones de transparencia del Reglamento de Inteligencia Artificial para sistemas de alto riesgo.
Empresas de crédito, Fintech, aseguradoras y cualquier responsable que use decisiones automatizadas con efectos relevantes deben revisar sus políticas de respuesta a solicitudes de acceso para incluir explicaciones claras y ponderadas.
No se pierda nuestro podcast sobre el artículo
