Índice de contenidos
Artículo 22 del Reglamento General de Protección de Datos (RGPD)
«1. Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.
2. El apartado 1 no se aplicará si la decisión:
a. Es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento;
b. Está autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado,
c. Se basa en el consentimiento explícito del interesado.
3.En los casos a que se refiere el apartado 2, letras a) y c), el responsable del tratamiento adoptará las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnarla decisión.
4. Las decisiones a que se refiere el apartado 2 no se basarán en las categorías especiales de datos personales contempladas en el artículo 9, apartado 1, salvo que se aplique el artículo 9, apartado 2, letra a) o g), y se hayan tomado medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado. En estos términos se expresa el RGPD en su artículo 22 cuando aborda la regulación de las decisiones automatizadas y la elaboración de perfiles. La regla general es que este tipo de tratamiento no está autorizado ni no concurren las excepciones de su apartado número 2.»
Concepto
Lo primero que tenemos que hacer al estudiar esta materia es saber qué son las decisiones individuales automatizadas y que es la elaboración de perfiles.
En el RGPD se abordan eses potenciales problemas y establece la normativa de aplicación y en esta publicación analizaremos someramente dicha regulación.El Reglamento define la elaboración de perfiles en su artículo 4.4 estableciendo que es toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad,comportamiento, ubicación o movimientos de dicha persona física.
Por otro lado, las decisiones automatizadas pueden llevarse a cabo con o sin elaboración de perfiles. Las decisiones basadas en el tratamiento automatizado representan la posibilidad de tomar decisiones sin que intervenga el ser humano, como por ejemplo conceder o denegar un préstamo, conceder o denegar una subvención o ayuda pública, admitir o no a un estudiante en un determinado curso o formación.
Regulación en el RGPD: Principios de protección de datos
Al igual que a cualquier otro tratamiento de datos personales, en la elaboración de perfiles y en las decisiones automatizadas se tienen que respetar los principios que determinan las líneas esenciales para que todo tratamiento de datos personales se considere ajustado a la normativa; por tanto, se tienen que respetar las disposiciones del artículo 5 del RGPD. En el artículo 5 del RGPD se dice que los datos personales serán:
Tratados de manera lícita, leal y transparente
Recogidos con fines determinados, explícitos y legítimos, y no serántratados ulteriormente de manera incompatible con dichos fines
Adecuados, pertinentes y limitados a lo necesario
Exactos y actualizados
Conservados el tiempo estrictamente necesario
Tratados de manera que se garantice una seguridad adecuada (integridad y confidencialidad)
Si trasladamos esos principios a los tratamientos objeto de análisis es necesario que:
La elaboración de perfiles no se haga sin el conocimiento del interesado y cuando se le solicite su consentimiento el interesado tiene que comprender todos los tratamientos a los que se van a someter sus datos personales, por tanto, la información se le tiene que proporcionar de manera que alcance dicho conocimiento, evitando usar un lenguaje ininteligible para un profano en la materia.
La elaboración de perfiles tiene que ser leal y transparente evitando caer en sesgos discriminatorios.
Si los datos se van a emplear en otros tratamientos afines pero distintos del originario para el que se obtuvo el consentimiento, cuando éste fue recabado tuvo que informar al interesado de esta circunstancia con toda la información necesaria.
Artículo 22 RGPD (Análisis)
De manera específica el RGPD dedica a esta materia el artículo 22 con cuyotexto iniciamos el presente escrito. Este artículo cuenta con 4 apartados queanalizaremos someramente.
El apartado número 1 dice que todo ciudadano tiene derecho a no ser objeto de una decisión automatizada basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afectase significativamente de modo similar
….basada únicamente en el tratamiento automatizado…
Es necesario que intervenga un ser humano, el responsable debe garantizar que cualquier supervisión de la decisión sea llevaba a cabo por un ser humano con capacidad para decidir y modificar la decisión….que produzca efectos jurídicos en él o le afectase significativamente de modo similar…
El RGPD cuando hace referencia a un “efecto jurídico” está introduciendo un concepto jurídicamente indeterminado que nos obliga a realizar una interpretación para saber a qué se está refiriendo exactamente. Así, el GT29 en sus Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 dice que: “…un efecto jurídico puede ser algo que afecte al estatuto jurídico de una persona o a sus derechos en virtud de un contrato». Entre los ejemplos de este tipo de efecto se encuentran las decisiones automatizadas sobre una persona que puedan provocar:
la cancelación de un contrato;
el derecho o la denegación de una prestación concedida por la ley, como la prestación por hijos o la ayuda a la vivienda;
la denegación de admisión en un país o la denegación de ciudadanía ”En el apartado número 2 del artículo 22 se establecen las excepciones aesta regla general de prohibición de este tipo de tratamiento. Las excepciones se basan en:
es necesario para la ejecución de un contrato
está autorizado por el derecho de la UE o del Estado miembro (en nuestro caso LOPDGDD)
se ha obtenido el consentimiento explícito del interesado.
Aunque se mencione en tercer lugar con carácter general la base jurídica empleada para la mayoría de los tratamientos de datos de carácter personales el consentimiento del interesado. Los responsables que quieran utilizar el consentimiento como base al tratamiento deben de proporcionar al interesado la información necesaria para que el consentimiento sea informado.
El considerando 60 establece que facilitar información acerca de la elaboración de perfiles forma parte de las obligaciones de transparencia del responsable del tratamiento según el artículo 5, apartado 1, letra a).A esta base de legitimación del tratamiento, el consentimiento, se le aplican las limitaciones del artículo 9 del RGPD y de la LOPDGDD, ya que en determinadas circunstancias el consentimiento por sí sólo no es suficiente para la legalidad del tratamiento.
La base de legitimación de es necesario para la ejecución de un contrato, es sin duda, en esta materia la que mayores problemas puede plantear. Pensemos en el caso de que una entidad financiera incluye este tratamiento en sus condiciones generales para poder ser cliente suyo; sin duda, el resultado de ese tratamiento nos afectará jurídicamente (concesióno no de un préstamo…).
Conclusión
En la actualidad vivimos rodeados de tecnología que constantemente están analizando datos y evaluando situaciones cuyas conclusiones pueden afectarnos a la hora de contratar o renovar un servicio, como por ejemplo al determinar si se nos concede un préstamo hipotecario o no o si para renovar nuestra póliza de seguros tendremos que pagar una cuota superior. La elaboración de perfiles y las decisiones automatizadas pueden plantear riesgos en importantes para los derechos y libertades, pueden ser opacos y se pueden estar realizando sin que el sujeto objeto sea consciente de ello, debemos, por tanto, conocer la normativa que regula esta actividad para evitar abusos.
José Sendín
Abogado
SISTEMIUS
