Volver a Publicaciones
PUBLICACIÓN
El «scoring» como decisión individual automatizada
9 de enero, 2024
El Tribunal de Justicia de la Unión Europea (TJUE) resuelve en una reciente sentencia la cuestión prejudicial planteada por Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania en el que pregunta, en esencia, si el artículo 22, apartado 1, del Reglamento General de Protección de Datos (RGPD) debe interpretarse en el sentido de que constituye una «decisión individual automatizada», con arreglo a dicha disposición, la generación automatizada, por una agencia de información comercial, de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de la capacidad de esta para hacer frente a sus compromisos de pago en el futuro, cuando depende de manera determinante de ese valor de probabilidad que un tercero al que le es comunicado establezca, ejecute o ponga fin a una relación contractual con esa persona.
Para responder a la cuestión prejudicial planteada, el Tribunal señala que la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también el contexto en el que se inscribe, así como los objetivos y la finalidad que persigue el acto del que forma parte.
El artículo 22, apartado 1, del RGPD, establece que todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o lo afecte significativamente de modo similar.
Para el Tribunal Europeo la aplicabilidad de esta disposición está sujeta a tres requisitos acumulativos: (i) debe existir una «decisión»; (ii) dicha decisión debe estar «basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles», y, (iii) debe producir «efectos jurídicos [que afecten al interesado]» o que lo afecten «significativamente de modo similar».
Sobre el primero de los requisitos cabe señalar que el artículo 22.1 del RGPD no incluye una definición de «decisión». Sin embargo, del propio tenor del referido artículo se desprende que tal concepto no se refiere solo a actos que produzcan efectos jurídicos que afecten al interesado de que se trate, sino también a actos que lo afecten significativamente de modo similar.
El amplio alcance que reviste el concepto de «decisión» se ve confirmado por el considerando 71 del RGPD, a tenor del cual una decisión que implique la evaluación de aspectos personales relativos a un interesado, de la que este debe tener derecho a no ser objeto, «puede incluir una medida» que bien produzca «efectos jurídicos en él» o bien «le afecte significativamente de modo similar». Según este considerando, se incluyen en el término «decisión», a modo de ejemplo, la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna.
Por tanto, dada la amplitud del término «decisión» se puede entender que el mismo puede incluir diversos actos con potencial para afectar al interesado de múltiples maneras, ya que es lo suficientemente amplio para englobar el resultado del cálculo de la solvencia de una persona en forma de un valor de probabilidad relativo a su capacidad para hacer frente a sus compromisos de pago en el futuro.
En segundo término, sobre el requisito de que la decisión debe estar «basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles», el Tribunal considera que no cabe discutir que una actividad como la que realiza una agencia que ofrece información sobre la solvencia de terceros, en particular de consumidores, responde a la definición de «elaboración de perfiles» que figura en el artículo 4, punto 4, del RGPD y, por tanto, que en el asunto analizado se cumple este requisito, habida cuenta de que el tenor de la cuestión prejudicial se refiere expresamente a la generación automatizada de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de su capacidad para satisfacer un préstamo en el futuro.
Por lo que respecta, en tercer término, al requisito de que la decisión debe producir «efectos jurídicos» en el interesado o «[afectarlo] significativamente de modo similar», se desprende que la acción del tercero al que se transmite el valor de probabilidad está basada «de un modo determinante» en dicho valor. Así pues, en el caso de que un consumidor solicite un préstamo a un banco, un valor de probabilidad insuficiente dará lugar, en la práctica totalidad de los casos, a que el banco deniegue la concesión del préstamo solicitado.
Sentencia el TJUE que el artículo 22, apartado 1, del RGPD debe interpretarse en el sentido de que la generación automatizada, por una agencia de información comercial, de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de la capacidad de ésta para hacer frente a compromisos de pago en el futuro constituye una «decisión individual automatizada», en el sentido de la mencionada disposición, cuando de ese valor de probabilidad dependa de manera determinante que un tercero, al que se comunica dicho valor, establezca, ejecute o ponga fin a una relación contractual con esa persona.
Para responder a la cuestión prejudicial planteada, el Tribunal señala que la interpretación de una disposición del Derecho de la Unión requiere tener en cuenta no solo su tenor, sino también el contexto en el que se inscribe, así como los objetivos y la finalidad que persigue el acto del que forma parte.
El artículo 22, apartado 1, del RGPD, establece que todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o lo afecte significativamente de modo similar.
Para el Tribunal Europeo la aplicabilidad de esta disposición está sujeta a tres requisitos acumulativos: (i) debe existir una «decisión»; (ii) dicha decisión debe estar «basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles», y, (iii) debe producir «efectos jurídicos [que afecten al interesado]» o que lo afecten «significativamente de modo similar».
Sobre el primero de los requisitos cabe señalar que el artículo 22.1 del RGPD no incluye una definición de «decisión». Sin embargo, del propio tenor del referido artículo se desprende que tal concepto no se refiere solo a actos que produzcan efectos jurídicos que afecten al interesado de que se trate, sino también a actos que lo afecten significativamente de modo similar.
El amplio alcance que reviste el concepto de «decisión» se ve confirmado por el considerando 71 del RGPD, a tenor del cual una decisión que implique la evaluación de aspectos personales relativos a un interesado, de la que este debe tener derecho a no ser objeto, «puede incluir una medida» que bien produzca «efectos jurídicos en él» o bien «le afecte significativamente de modo similar». Según este considerando, se incluyen en el término «decisión», a modo de ejemplo, la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna.
Por tanto, dada la amplitud del término «decisión» se puede entender que el mismo puede incluir diversos actos con potencial para afectar al interesado de múltiples maneras, ya que es lo suficientemente amplio para englobar el resultado del cálculo de la solvencia de una persona en forma de un valor de probabilidad relativo a su capacidad para hacer frente a sus compromisos de pago en el futuro.
En segundo término, sobre el requisito de que la decisión debe estar «basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles», el Tribunal considera que no cabe discutir que una actividad como la que realiza una agencia que ofrece información sobre la solvencia de terceros, en particular de consumidores, responde a la definición de «elaboración de perfiles» que figura en el artículo 4, punto 4, del RGPD y, por tanto, que en el asunto analizado se cumple este requisito, habida cuenta de que el tenor de la cuestión prejudicial se refiere expresamente a la generación automatizada de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de su capacidad para satisfacer un préstamo en el futuro.
Por lo que respecta, en tercer término, al requisito de que la decisión debe producir «efectos jurídicos» en el interesado o «[afectarlo] significativamente de modo similar», se desprende que la acción del tercero al que se transmite el valor de probabilidad está basada «de un modo determinante» en dicho valor. Así pues, en el caso de que un consumidor solicite un préstamo a un banco, un valor de probabilidad insuficiente dará lugar, en la práctica totalidad de los casos, a que el banco deniegue la concesión del préstamo solicitado.
Sentencia el TJUE que el artículo 22, apartado 1, del RGPD debe interpretarse en el sentido de que la generación automatizada, por una agencia de información comercial, de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de la capacidad de ésta para hacer frente a compromisos de pago en el futuro constituye una «decisión individual automatizada», en el sentido de la mencionada disposición, cuando de ese valor de probabilidad dependa de manera determinante que un tercero, al que se comunica dicho valor, establezca, ejecute o ponga fin a una relación contractual con esa persona.
