62021CJ0634_RES
Asunto C‑634/21
OQ
contra
Land Hessen
(Petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden)
Sentencia del Tribunal de Justicia (Sala Primera) de 7 de diciembre de 2023
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 22 — Decisión individual automatizada — Agencias privadas de información comercial — Generación automatizada de un valor de probabilidad relativo a la capacidad de una persona para hacer frente a sus obligaciones de pago en el futuro (scoring) — Uso de dicho valor de probabilidad por terceros»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Medios de impugnación judicial — Recurso jurisdiccional contra una decisión sobre una reclamación adoptada por una autoridad de control — Control jurisdiccional — Alcance — Límites — Inexistencia
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 78, ap. 1]
(véase el apartado 34)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho del interesado a no ser objeto de una decisión basada únicamente en un tratamiento automatizado — Decisión individual automatizada — Concepto — Generación automatizada, por una agencia de información comercial, de un valor de probabilidad de la solvencia de una persona, utilizado por terceros — Inclusión — Requisitos
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 71 y arts. 4, punto 4, y 22, ap. 1]
(véanse los apartados 43, 46 a 50, 60 a 63 y 73 y el fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho del interesado a no ser objeto de una decisión basada únicamente en un tratamiento automatizado — Excepciones — Adopción de una decisión basada únicamente en un tratamiento automatizado, autorizada por el Derecho de un Estado miembro — Obligación de cumplir los requisitos y exigencias que establece dicho Reglamento — Comprobación que incumbe al órgano jurisdiccional nacional
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 71 y arts. 5, 6, y 22, aps. 2 a 4]
(véanse los apartados 53 a 55, 64, 67 a 70 y 72)
Resumen
Schufa Holding AG, sociedad de Derecho privado alemán, proporciona a sus socios contractuales información sobre la solvencia de personas. A tal fin, atribuye a cada interesado un valor («score o calificación») que establece a partir de determinadas características de dicho interesado, sobre la base de procedimientos matemáticos y estadísticos. La generación de scores sirve para predecir el comportamiento futuro de una persona, como el reembolso de un préstamo, en función de la clasificación de esa persona en una categoría de personas con características comparables.
Una entidad de crédito denegó a OQ un préstamo después de que SCHUFA generara y facilitara a esa entidad información negativa sobre ella. OQ solicitó a SCHUFA que le diera acceso a los datos personales registrados y que suprimiera los supuestamente erróneos. Sin embargo, SCHUFA solo le comunicó su score, expuso a grandes rasgos los métodos para su cálculo e invocó por lo demás, el secreto comercial.
A continuación, OQ presentó una reclamación contra SCHUFA ante el HBDI, (
1
) autoridad de control alemana, que esta desestimó alegando que la actividad de SCHUFA era conforme con la normativa alemana que regula el uso de valores de probabilidad sobre solvencia. (
2
)
El Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania), ante el que OQ interpuso un recurso contra la decisión del HBDI, ha preguntado al Tribunal de Justicia cómo deben interpretarse las disposiciones del RGPD (
3
) relativas al derecho del interesado a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles. (
4
)
En su sentencia, el Tribunal de Justicia interpreta, por primera vez, las disposiciones del RGPD relativas al ámbito sensible de las decisiones basadas únicamente en un tratamiento automatizado de datos. En este contexto, se pronuncia sobre la cuestión relativa a si la generación automatizada, por parte de una agencia de información comercial, de un valor de probabilidad sobre la solvencia de una persona constituye una decisión individual automatizada y, por tanto, está comprendida en el ámbito de aplicación de dichas disposiciones.
Apreciación del Tribunal de Justicia
En primer lugar, el Tribunal de Justicia observa que en el presente asunto concurren los tres requisitos acumulativos para que se apliquen las disposiciones del RGPD que regulan el derecho de una persona a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles.
Por lo que respecta al primer requisito, según el cual debe existir una decisión, el Tribunal de Justicia señala que el concepto de «decisión» tiene un alcance amplio y puede englobar el resultado del cálculo de la solvencia de una persona en forma de un valor de probabilidad relativo a su capacidad para hacer frente a sus compromisos de pago en el futuro.
Por lo que se refiere al segundo requisito, según el cual la decisión debe estar «basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles», no se discute, según el Tribunal de Justicia, que la actividad de la agencia en cuestión responde a la definición de «elaboración de perfiles» (
5
) y, por tanto, que en el presente asunto se cumple este requisito. Además, el órgano jurisdiccional remitente menciona expresamente que se trata concretamente de la generación automatizada de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de su capacidad para satisfacer un préstamo en el futuro.
En cuanto al tercer requisito, según el cual la decisión debe producir «efectos jurídicos» en el interesado o «[afectarlo] significativamente de modo similar», el Tribunal de Justicia señala que, en el presente asunto, la acción del tercero al que se transmite el valor de probabilidad está basada «de un modo determinante» en dicho valor. En efecto, un valor de probabilidad insuficiente da lugar, en la práctica totalidad de los casos, a que se deniegue la concesión de un préstamo. Así pues, dicho valor, cuanto menos, afecta al interesado significativamente.
El Tribunal de Justicia concluye que, cuando el valor de probabilidad generado por una agencia de información comercial y comunicado a un banco desempeña un papel determinante en la concesión de un crédito, la generación propiamente dicha de ese valor debe calificarse de decisión que produce «efectos jurídicos» en un interesado o que «[lo afecta] significativamente de modo similar». (
6
)
A continuación, el Tribunal de Justicia subraya que esta interpretación, y sobre todo el amplio alcance del concepto de «decisión», refuerza la protección efectiva establecida por el RGPD. Por el contrario, una interpretación restrictiva de esta disposición según la cual la generación del valor de probabilidad debiera considerarse un mero acto preparatorio y solo el acto adoptado por el tercero pudiera, en su caso, calificarse de «decisión» implicaría una laguna en la protección jurídica. En efecto, en ese supuesto, la generación del valor de probabilidad eludiría los requisitos específicos establecidos en el RGPD, (
7
) aun cuando el procedimiento se base en un tratamiento automatizado y produzca efectos que afecten significativamente al interesado porque la acción del tercero al que se transmite ese valor de probabilidad se base de manera determinante en tal valor.
Además, por un lado, el interesado no podría invocar, ante la agencia de información comercial que genera el valor de probabilidad que le concierne, su derecho de acceso a la información específica, (
8
) ante la falta de una decisión automatizada de dicha agencia. Por otro lado, aun suponiendo que el acto adoptado por el tercero esté por su parte comprendido en el ámbito de aplicación del RGPD, que establece el derecho de la persona a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, ese tercero no podría facilitar tal información específica, ya que generalmente no dispone de ella.
Por último, el Tribunal de Justicia señala que el hecho de que la generación de un valor de probabilidad quede comprendida en el ámbito de aplicación del RGPD, que regula el derecho de la persona a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, tiene como consecuencia que esté prohibida, salvo que sea de aplicación alguna de las excepciones previstas y salvo que se cumplan los requisitos específicos establecidos en el RGPD.
Además, todo tratamiento de datos personales debe, por un lado, adecuarse a los principios relativos al tratamiento que se establecen en el RGPD, y, por otro, atendiendo al principio de licitud, cumplir con alguno de los requisitos de licitud del tratamiento.
En este contexto, el Tribunal de Justicia señala que el órgano jurisdiccional remitente hace referencia a la excepción según la cual puede autorizarse la adopción de una decisión basada únicamente en un tratamiento automatizado cuando así lo prevea el Derecho del Estado miembro. A este respecto, el Tribunal de Justicia aclara que incumbe a dicho órgano jurisdiccional comprobar si la legislación nacional que regula los requisitos para el uso de un valor de probabilidad sobre solvencia puede calificarse de base jurídica para autorizar la adopción de tal decisión y, en caso afirmativo, si en el presente asunto se cumplen los requisitos para esta excepción y los relativos a los principios aplicables al tratamiento, establecidos en el RGPD.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Delegado de Protección de Datos y de Libertad de Información del Estado Federado de Hesse, Alemania).
(
2
)	Artículo 31 de la Bundesdatenschutzgesetz (Ley Federal de Protección de Datos), de 30 de junio de 2017 (BGBl I, p. 2097).
(
3
)	Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) (DO 2016, L 119, p. 1, corrección de errores en DO 2018, L 127, p. 3, en lo sucesivo «RGPD»).
(
4
)	Artículo 22 de RGPD.
(
5
)	Con arreglo al artículo 4, punto 4, del RGPD.
(
6
)	En el sentido del artículo 22, apartado 1, del RGPD.
(
7
)	Establecidos en el artículo 22, apartado 2 a 4, del RGPD. De estas disposiciones se desprende que la prohibición de una decisión individual basada únicamente en un tratamiento automatizado está sujeta a tres excepciones, acompañadas de garantías adicionales. Así pues, tal decisión se autoriza cuando es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento, cuando está autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o cuando se basa en el consentimiento explícito del interesado siempre que se establezcan medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado.
(
8
)	A que se refiere el artículo 15, apartado 1, letra h), del RGPD, que, en el caso de una decisión automatizada, concede al interesado un amplio derecho de acceso.