Source: EURLEX
Language: es
Format: md

CONCLUSIONES DEL ABOGADO GENERAL

SR. JEAN RICHARD DE LA TOUR

presentadas el 12 de septiembre de 2024 (
[1](#t-ECR_62022CC0203_ES_01-E0001)
)

Asunto C‑203/22

CK,

con intervención de:

Dun & Bradstreet Austria GmbH,

Magistrat der Stadt Wien

[Petición de decisión prejudicial planteada por el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena, Austria)]

«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 15, apartado 1, letra h) — Artículo 22 — Decisiones automatizadas, incluida la elaboración de perfiles — Apreciación de la solvencia de una persona física — Acceso a la información significativa sobre la lógica aplicada en la adopción de una decisión automatizada — Verificación de la exactitud de la información facilitada y de su coherencia con la decisión de calificación en cuestión — Protección de los derechos y libertades de terceros — Directiva (UE) 2016/943 — Secreto comercial»

I. Introducción

| 1. | La presente petición de decisión prejudicial tiene por objeto la interpretación, por una parte, del artículo 15, apartados 1, letra h), y 4, y del artículo 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) ( [2](#t-ECR_62022CC0203_ES_01-E0002) ) (en lo sucesivo, «RGPD»), y, por otra, del artículo 2, punto 1, de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas. ( [3](#t-ECR_62022CC0203_ES_01-E0003) ) |

| 2. | Dicha petición se ha planteado en el contexto de un litigio entre CK y la Magistrat der Stadt Wien (Administración Municipal de Viena, Austria) relativo a la solicitud de ejecución forzosa de una decisión judicial que obligaba a una empresa de evaluación de solvencia a facilitar a CK información significativa sobre la lógica aplicada en una elaboración de un perfil relativo a sus datos personales. |

| 3. | A continuación, explicaré qué se entiende, en mi opinión, por «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, y el modo en que deben ponderarse, por un lado, el derecho de acceso a dicha información y, por otro, la protección de los derechos y libertades de terceros, como el secreto comercial. |

II. Hechos del litigio principal y cuestiones prejudiciales

| 4. | Un operador de telefonía móvil denegó a CK la celebración o prórroga de un contrato de telefonía móvil que suponía un pago mensual de 10 euros, alegando que CK no presentaba una solvencia económica suficiente. La solvencia supuestamente insuficiente de CK se justificó mediante una evaluación de solvencia que Bisnode Austria GmbH (actualmente Dun & Bradstreet Austria GmbH; en lo sucesivo «D & B»), una empresa especializada en la realización de evaluaciones crediticias, había realizado de forma automatizada. |

| 5. | CK presentó una solicitud a la autoridad austriaca de protección de datos para obtener información pertinente sobre la lógica aplicada en la adopción de la decisión automatizada por D & B. La autoridad austriaca de protección de datos accedió a esta solicitud. |

| 6. | D & B impugnó ante el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria) la decisión de la autoridad austriaca de protección de datos que le obligaba a facilitar la información solicitada por CK. |

| 7. | Mediante resolución de 23 de octubre de 2019, este órgano jurisdiccional confirmó parcialmente dicha decisión de la autoridad austriaca de protección de datos. Consideró que D & B había vulnerado el derecho de acceso de CK contemplado en el artículo 15, apartado 1, letra h), del RGPD al no proporcionar a CK información significativa sobre la lógica aplicada en la adopción de una decisión automatizada relativa a los datos personales de CK o, al menos, al no dar razones suficientes por las que no había podido proporcionar dicha información. |

| 8. | Esta resolución del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) ha adquirido firmeza y es ejecutiva con arreglo a la legislación austriaca. |

| 9. | Sin embargo, la autoridad de ejecución, la Administración Municipal de Viena, denegó la solicitud de CK de que se ejecutara dicha decisión debido a que D & B ya había cumplido suficientemente su obligación de facilitar información. |

| 10. | CK recurrió esta decisión ante el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena, Austria), el órgano jurisdiccional remitente. Dicho órgano jurisdiccional señala que, en el marco de este recurso, debe adoptar, en lugar de la autoridad de ejecución, una decisión sobre la ejecución de la resolución del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo). En consecuencia, el órgano jurisdiccional remitente debe determinar concretamente qué información está obligada D & B a comunicar a CK. ( [4](#t-ECR_62022CC0203_ES_01-E0004) ) |

| 11. | A este respecto, dicho órgano jurisdiccional considera que el artículo 15, apartado 1, letra h), del RGPD confiere al interesado un derecho de acceso a una información exacta. En este sentido, el referido órgano jurisdiccional señala que existen indicios claros de que la información —que no es mucha— facilitada hasta la fecha por D & B es contraria a los hechos. De hecho, mientras que la información facilitada a CK le otorga una calificación crediticia especialmente alta, el perfil real de CK le ha negado de facto toda solvencia, incluida la capacidad financiera de pagar un importe de 10 euros cada mes. Existe, por tanto, a su juicio, una clara contradicción entre, por una parte, la información facilitada a CK sobre sus datos personales tratados y la lógica aplicada en la evaluación efectuada de forma automatizada y, por otra, la conclusión que el operador de telefonía móvil extrajo de la calificación efectivamente establecida. En opinión del órgano jurisdiccional remitente, esta contradicción lleva a albergar dudas sobre la exactitud de la información facilitada a CK hasta la fecha. |

| 12. | Sobre la base de esta constatación, el órgano jurisdiccional remitente señala que, cuando es objeto de la elaboración de un perfil, el interesado solo puede invocar un derecho de acceso a la información exacta si el artículo 15, apartado 1, letra h), del RGPD le concede un derecho de acceso lo suficientemente amplio como para permitirle verificar la coherencia y la inteligibilidad de la evaluación facilitada y discernir si la lógica interna que se le comunicó en el marco de su derecho de acceso ha servido efectivamente de base para la elaboración del perfil a que ha sido sometido. En resumen, el interesado debe poder obtener información suficientemente detallada sobre los datos personales tratados y sobre la lógica interna aplicada en la adopción de la decisión automatizada, de modo que pueda comprender esta última y verificar su exactitud. |

| 13. | Según dicho órgano jurisdiccional, esta interpretación del artículo 15, apartado 1, letra h), del RGPD permite garantizar la efectividad de esta disposición, al impedir la transmisión de información incorrecta por parte del responsable del tratamiento. Además, a su juicio, dicha interpretación permite al interesado ejercer los derechos que le confiere el artículo 22, apartado 3, de dicho Reglamento, a saber, en particular, el derecho a expresar su punto de vista sobre una decisión individual automatizada y a impugnar la coherencia y exactitud de la misma. |

| 14. | El referido órgano jurisdiccional señala que la exigencia de que el interesado pueda verificar la coherencia y la exactitud de la información facilitada en virtud del artículo 15, apartado 1, letra h), del RGPD tiene importantes consecuencias en cuanto atañe a la cuestión del alcance y el nivel de detalle con que el responsable del tratamiento debe comunicar la información en virtud de dicha disposición. |

| 15. | En el marco del procedimiento principal, el órgano jurisdiccional remitente designó a un experto para determinar qué información debe comunicar D & B a CK en virtud de la decisión del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo). |

| 16. | Según el experto designado, para hacer posible una concreción que pueda dar lugar a una ejecución forzosa, garantizar el carácter inteligible de la decisión automatizada y verificar la exactitud y la coherencia de la información proporcionada, el interesado debe recibir, en virtud del derecho de acceso que le confiere el artículo 15, apartado 1, letra h) del RGPD, de forma suficientemente detallada y circunstanciada, la siguiente información mínima:   | – | en primer lugar, los datos personales del interesado tratados para determinar los factores, las modalidades con arreglo a las que se han determinado y la indicación de si estos datos han sido ponderados; |  | – | en segundo lugar, las partes esenciales del algoritmo en el que se basa la toma de decisiones automatizada, que incluirá en cualquier caso: la fórmula matemática en la que se puede introducir, en forma de valores numéricos, toda la información pertinente para el cálculo de la calificación crediticia, de manera que la fórmula arroje como resultado la propia calificación, y una explicación inteligible de todos los valores utilizados en dicha fórmula, en particular los que no se deriven directamente de la información almacenada sobre el interesado, así como |  | – | en tercer lugar, la información pertinente que permita establecer el vínculo entre la información tratada y la valoración realizada, lo cual comprende en particular la indicación y la descripción adecuada de las funciones valorativas de todos los datos utilizados en esta fórmula, y la presentación de la información necesaria para establecer el vínculo entre la información y la valoración en el caso de las valoraciones por intervalos, así como la presentación de los valores catastrales o de índices utilizados. | |

| 17. | Del informe pericial se desprende que la comunicación de la fórmula matemática y de las funciones valorativas de todos los valores utilizados en dicha fórmula es lo único que permite a CK comprender la elaboración del perfil de que ha sido objeto, de modo que solo sobre la base de esa información puede ejercer los derechos que le confiere el artículo 22, apartado 3, del RGPD para expresar su punto de vista e impugnar la decisión basada en un tratamiento automatizado. |

| 18. | Según ese informe, para verificar la exactitud de la información mínima comunicada, D & B también debe elaborar y presentar, de forma relativamente completa y detallada y, para que sirva de base de comparación, una lista de toda la información sobre al menos veinticinco perfiles comparables y no anonimizados, contemporáneos a la elaboración del perfil de la que ha sido objeto CK y que se hayan elaborado utilizando la misma regla de cálculo. |

| 19. | En cuanto a este último aspecto, el órgano jurisdiccional remitente señala que la comunicación de dicha información puede afectar a los derechos a la protección de datos personales evaluados en los casos de elaboración de perfiles que sirven de base para la comparación. |

| 20. | Por ello, dicho órgano jurisdiccional se pregunta, teniendo en cuenta en particular lo dispuesto en el artículo 9 de la Directiva 2016/943, si el conflicto entre los distintos intereses en juego podría resolverse si los datos personales de terceros necesarios para verificar la exactitud de la información mínima transmitida se comunicaran únicamente a la autoridad o al órgano jurisdiccional competente, que examinarían entonces de forma independiente si esos datos de terceros se ajustan a los hechos. |

| 21. | El órgano jurisdiccional remitente señala asimismo que, según la jurisprudencia del Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria) y la doctrina dominante, el algoritmo utilizado en la elaboración de perfiles es un secreto comercial en el sentido de la Directiva 2016/943. A este respecto, el órgano jurisdiccional remitente señala que D & B invocó la existencia de un secreto comercial digno de protección en relación con el algoritmo en el que se basa el tratamiento para negarse a comunicar información suficiente sobre la lógica aplicada en la adopción de decisiones automatizadas. Una vez más, este órgano jurisdiccional se pregunta si el conflicto entre los intereses del interesado y los del responsable del tratamiento podría resolverse si la información clasificada como «secreto comercial», en el sentido del artículo 2, punto 1, de la Directiva 2016/943, se comunicara únicamente a la autoridad o al órgano jurisdiccional competentes, que verificarían de forma independiente si dicha clasificación puede mantenerse y si la información facilitada por el responsable del tratamiento con arreglo al artículo 15, apartado 1, letra h), del RGPD se corresponde con la realidad. |

| 22. | El órgano jurisdiccional remitente señala, no obstante, que este método de resolver los conflictos entre los distintos intereses en juego tiene el inconveniente de que el interesado se ve privado de información detallada, lo que limita, o incluso hace imposible, el derecho de acceso garantizado por esta última disposición. Esto podría tener como efecto impedir que el interesado compruebe si la información facilitada por el responsable del tratamiento es inteligible y exacta y que ejerza los derechos que le garantizan el artículo 22, apartado 3, del RGPD y el artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea. ( [5](#t-ECR_62022CC0203_ES_01-E0005) ) |

| 23. | En el contexto de la ponderación entre los intereses de la persona que solicita el acceso y los del responsable del tratamiento, este órgano jurisdiccional también solicita, en particular a la luz del artículo 4, apartado 6, de la Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Ley Federal de Protección de las Personas Físicas en el Tratamiento de los Datos Personales), de 17 de agosto de 1999, ( [6](#t-ECR_62022CC0203_ES_01-E0006) ) en su versión aplicable al litigio principal ( [7](#t-ECR_62022CC0203_ES_01-E0007) )(en lo sucesivo, «DSG»), que se interpreten los artículos 15, apartado 4, y 23, apartado 1, letra i), del RGPD, a la luz del considerando 63 de dicho Reglamento. |

| 24. | En estas circunstancias, el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena) decidió suspender el procedimiento y plantear al Tribunal las siguientes cuestiones prejudiciales:   | «1) | ¿Qué requisitos de contenido ha de satisfacer la información facilitada para que se considere suficientemente “significativa” en el sentido del artículo 15, apartado 1, letra h), del [RGPD]?  En caso de elaboración de perfiles por el responsable del tratamiento, cuando se informa sobre la “lógica aplicada”, ¿debe facilitarse también, en principio (respetando, en su caso, el secreto comercial), la información que en el caso concreto permita comprender el resultado de la decisión automatizada, en particular: […] la comunicación de los datos del interesado que son objeto del tratamiento; […] la comunicación de las partes del algoritmo utilizado en la elaboración de perfiles que sean necesarias para la coherencia, y […] la información relevante para establecer la relación entre los datos objeto del tratamiento y la valoración realizada?  En caso de elaboración de perfiles, ¿debe facilitarse al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD, incluso en caso de objetarse la existencia de un secreto comercial, al menos, la siguiente información sobre el tratamiento concreto que le afecte, para que pueda ejercer sus derechos reconocidos por el artículo 22, apartado 3, del RGPD:   | a) | [la] transmisión de toda la información, anonimizada si es preciso, en particular sobre la forma del tratamiento de los datos del interesado, que permita verificar la observancia del RGPD; |  | b) | [la] facilitación de los datos utilizados en la elaboración de perfiles; |  | c) | los parámetros y variables de entrada utilizados para efectuar la valoración; |  | d) | la influencia de estos parámetros y variables de entrada en la valoración obtenida; |  | e) | información sobre la obtención de los parámetros o variables de entrada; |  | f) | [la] explicación de por qué se ha atribuido al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD un determinado resultado de la valoración, y [la] aclaración de la afirmación asociada a dicha valoración; [así como] |  | g) | [la] enumeración de las categorías de perfil y [la] explicación de las afirmaciones valorativas asociadas a cada categoría de perfil? | |  | 2) | ¿Está relacionado el derecho de acceso que reconoce el artículo 15, apartado 1, letra h), del RGPD con los derechos que garantiza el artículo 22, apartado 3, del RGPD, a expresar el propio punto de vista y a impugnar la decisión automatizada a que se refiere el mismo artículo 22 del RGPD, en la medida en que la amplitud de la información que se ha de facilitar ante una solicitud presentada con arreglo al artículo 15, apartado 1, letra h), del RGPD solo es suficientemente “significativa” si permite al solicitante de la información e interesado en el sentido de esta disposición ejercer de forma efectiva, exhaustiva y con posibilidades de éxito los derechos que le reconoce el artículo 22, apartado 3, del RGPD a expresar su punto de vista y a impugnar la decisión automatizada a que se refiere el mismo artículo 22 del RGPD? |  | 3) | | a) | ¿Debe interpretarse el artículo 15, apartado 1, letra h), del RGPD en el sentido de que solo cabe hablar de una “información significativa” a efectos de dicha disposición cuando la información es lo suficientemente amplia como para que el titular del derecho de acceso que allí se contempla pueda conocer si esta información facilitada se corresponde también con los hechos, es decir, si la decisión automatizada objeto de la consulta se basa efectivamente en la información facilitada? |  | b) | En caso de respuesta afirmativa: ¿Cómo se ha de proceder si la veracidad de la información facilitada por un responsable del tratamiento solo se puede verificar si se permite al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD conocer también los datos de terceros protegidos por el RGPD (“caja negra”)?  ¿Es posible resolver esta tensión entre el derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD y el derecho de protección de datos de terceros revelando exclusivamente a la autoridad administrativa o judicial los datos de terceros que sean necesarios para verificar la veracidad y que se hayan sometido a la misma elaboración de perfiles, de manera que dicha autoridad administrativa o judicial haya de comprobar por sí misma si los datos facilitados de esos terceros se corresponden con los hechos? |  | c) | En caso de respuesta afirmativa: ¿Qué derechos se han de reconocer, en todo caso, al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD cuando se haya de garantizar la protección de los derechos de otros en el sentido del artículo 15, apartado 4, del RGPD mediante la creación de la “caja negra” mencionada en la cuestión 3b?  ¿Deben facilitarse en ese caso al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD, al menos, los datos de otras personas de forma anonimizada que sean necesarios para verificar la corrección de la toma de decisiones por el responsable del tratamiento con arreglo al artículo 15, apartado 1, del RGPD? | |  | 4) | | a) | ¿Cómo se ha de proceder cuando la información que se debe facilitar con arreglo al artículo 15, apartado 1, letra h), del RGPD también cumple los requisitos de un secreto comercial a efectos del artículo 2, punto 1, de la Directiva [2016/943]?  ¿Es posible resolver la tensión entre el derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD y el derecho a que no sea revelado un secreto comercial, garantizado por la Directiva 2016/943, revelando exclusivamente a la autoridad administrativa o judicial la información considerada secreto comercial con arreglo al artículo 2, punto 1, de la Directiva 2016/943, de manera que dicha autoridad administrativa o judicial haya de comprobar por sí misma si efectivamente se trata de un secreto comercial a efectos del artículo 2, punto 1, de la Directiva 2016/943 y si la información facilitada por el responsable del tratamiento en virtud del artículo 15, apartado 1, letra h), del RGPD se corresponde con los hechos? |  | b) | En caso de respuesta afirmativa: ¿Qué derechos se han de reconocer, en todo caso, al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD cuando se haya de garantizar la protección de los derechos de otros en el sentido del artículo 15, apartado 4, del RGPD mediante la creación de la “caja negra” mencionada en la cuestión 4a?  (También) cuando se lleva a cabo tal segregación de la información que se ha de facilitar a la autoridad administrativa o judicial y la que se debe transmitir al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD en caso de elaboración de perfiles, ¿debe facilitársele a este, al menos, la siguiente información sobre el tratamiento concreto que le afecte, para que pueda ejercer sus derechos reconocidos por el artículo 22, apartado 3, del RGPD:   | i) | [la] transmisión de toda la información, anonimizada si es preciso, en particular sobre la forma del tratamiento de los datos del interesado, que permita verificar la observancia del RGPD; |  | ii) | [la] facilitación de los datos utilizados en la elaboración de perfiles; |  | iii) | los parámetros y variables de entrada utilizados en la consulta de valoración; |  | iv) | la influencia de estos parámetros y variables de entrada en la valoración obtenida; |  | v) | información sobre la obtención de los parámetros o variables de entrada; |  | vi) | [la] explicación de por qué se ha atribuido al titular del derecho de acceso contemplado en el artículo 15, apartado 1, letra h), del RGPD un determinado resultado de la valoración, y [la] aclaración de la afirmación asociada a dicha valoración; [así como] |  | vii) | [la] enumeración de las categorías de perfil y [la] explicación de las afirmaciones valorativas asociadas a cada categoría de perfil? | | |  | 5) | ¿Limita de alguna manera el artículo 15, apartado 4, del RGPD la amplitud de la información que se ha de facilitar en virtud del artículo 15, apartado 1, letra h), del RGPD?  En caso de respuesta afirmativa, ¿en qué sentido limita el artículo 15, apartado 4, del RGPD dicho derecho de acceso, y cómo se ha de determinar en cada caso el alcance de la limitación? |  | 6) | ¿Es compatible con las exigencias del artículo 15, apartado 1, en relación con el artículo 22, apartado 3, del RGPD el artículo 4, apartado 6, de la [DSG], con arreglo al cual “sin perjuicio de otras limitaciones legales, el derecho de acceso que asiste al interesado en virtud del artículo 15 del RGPD frente al responsable del tratamiento decaerá, en principio, cuando la revelación de la información ponga en peligro un secreto comercial del responsable del tratamiento o de terceros”? En caso de respuesta afirmativa, ¿qué condiciones se imponen a tal compatibilidad?» | |

| 25. | Han presentado observaciones escritas CK, D & B, los Gobiernos español, neerlandés y polaco y la Comisión Europea. |

III. Análisis

A.
 
Observaciones preliminares

| 26. | A tenor del artículo 22, apartado 1, del RGPD, «todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar». ( [8](#t-ECR_62022CC0203_ES_01-E0008) ) Sin embargo, la prohibición así establecida no se aplica en los supuestos enumerados en el artículo 22, apartado 2, de dicho Reglamento, sobre los que volveré en las consideraciones que siguen. |

| 27. | En su sentencia de 7 de diciembre de 2023, SCHUFA Holding y otros (Scoring), ( [9](#t-ECR_62022CC0203_ES_01-E0009) ) el Tribunal de Justicia declaró que el artículo 22, apartado 1, del RGPD debe interpretarse en el sentido de que la generación automatizada, por una agencia de información comercial, de un valor de probabilidad a partir de datos personales relativos a una persona y acerca de la capacidad de esta para hacer frente a compromisos de pago en el futuro constituye una «decisión individual automatizada», en el sentido de la mencionada disposición, cuando de ese valor de probabilidad dependa de manera determinante que un tercero, al que se comunica dicho valor, establezca, ejecute o ponga fin a una relación contractual con esa persona. ( [10](#t-ECR_62022CC0203_ES_01-E0010) ) |

| 28. | A raíz de esta sentencia, el Tribunal de Justicia exhortó al órgano jurisdiccional remitente a que indicase si deseaba mantener su petición de decisión prejudicial, a lo que este último respondió afirmativamente. En efecto, consideró, en esencia, que dicha sentencia no respondía a sus preguntas relativas, en particular, a la forma de resolver la tensión entre los derechos del interesado a la protección de sus datos personales y los intereses del responsable del tratamiento relativos a la protección de los secretos comerciales. Además, esa sentencia no responde, a su juicio, a la cuestión relativa al nivel de detalle exigido a la «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD. |

| 29. | Por lo tanto, el presente caso llevará al Tribunal de Justicia a completar su sentencia en el asunto SCHUFA Holding y otros (Scoring), ( [11](#t-ECR_62022CC0203_ES_01-E0011) ) precisando el alcance del derecho de acceso garantizado por esta disposición. |

| 30. | El órgano jurisdiccional remitente debe determinar la amplitud y el grado de detalle de la información que D & B debe facilitar para cumplir los requisitos de dicha disposición. |

| 31. | Desde esta perspectiva, el órgano jurisdiccional remitente solicita la ayuda del Tribunal de Justicia en las cuestiones jurídicas siguientes. |

| 32. | En primer lugar, ¿qué se entiende por «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD? ¿Incluye dicha información el algoritmo utilizado para tomar la decisión? ¿En qué medida y con qué grado de concreción es posible exigir al responsable del tratamiento que facilite información suficiente para que el interesado pueda verificar la exactitud de la información y su coherencia con la decisión de calificación crediticia en cuestión? |

| 33. | En segundo lugar, ¿en qué medida la protección de los derechos y libertades de terceros, en particular la protección del secreto comercial, puede afectar a la obligación del responsable del tratamiento de proporcionar «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD? ¿Qué mecanismos, en su caso, podrían resolver la tensión entre los derechos del interesado y los intereses del responsable del tratamiento? |

| 34. | En sus conclusiones presentadas en el asunto en que recayó la sentencia SCHUFA Holding y otros (Scoring), ( [12](#t-ECR_62022CC0203_ES_01-E0012) ) el Abogado General Pikamäe se pronunció sobre los principales aspectos de estas cuestiones. Así, consideró que el artículo 15, apartado 1, letra h), del RGPD, en relación con el considerando 63 de dicho Reglamento, debe interpretarse en el sentido de que, «en principio, abarca también el método de cálculo utilizado por una agencia de información comercial para generar un score, a condición de que no existan intereses en conflicto dignos de protección». ( [13](#t-ECR_62022CC0203_ES_01-E0013) ) |

| 35. | Al tiempo que deseaba garantizar un justo equilibrio entre los derechos e intereses divergentes en juego, el legislador de la Unión quiso asegurarse de que «en todo caso [se proporcione] un mínimo de información para no comprometer el contenido esencial del derecho a la protección de los datos de carácter personal». ( [14](#t-ECR_62022CC0203_ES_01-E0014) ) Por consiguiente, según el Abogado General Pikamäe, «si bien la protección del secreto comercial o de la propiedad intelectual constituye, en principio, para una agencia de información comercial, un motivo legítimo para negarse a revelar el algoritmo utilizado para calcular el score del interesado, no puede, en cambio, justificar en modo alguno la denegación total de la información». ( [15](#t-ECR_62022CC0203_ES_01-E0015) ) |

| 36. | A la luz del artículo 12, apartado 1, del RGPD, en virtud del cual «el responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información […] con arreglo [al artículo 15] relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo», ( [16](#t-ECR_62022CC0203_ES_01-E0016) ) así como del considerando 58 de dicho Reglamento, el Abogado General Pikamäe consideró que «el objetivo real del artículo 15, apartado 1, letra h), del RGPD consiste en garantizar que el interesado obtenga información de una forma comprensible y accesible, según sus necesidades». ( [17](#t-ECR_62022CC0203_ES_01-E0017) ) En su opinión, «estas exigencias excluyen ya la posibilidad de una obligación de divulgar el algoritmo, habida cuenta de su complejidad. En efecto, la utilidad de comunicar una fórmula particularmente compleja sería dudosa si no se proporcionan las explicaciones necesarias al respecto». ( [18](#t-ECR_62022CC0203_ES_01-E0018) ) |

| 37. | A la luz de estos elementos, el Abogado General Pikamäe concluyó, por tanto, que «la obligación de proporcionar “información significativa sobre la lógica aplicada” debe entenderse en el sentido de que incluye explicaciones suficientemente detalladas sobre el método utilizado para el cálculo del score y sobre las razones que han conducido a un resultado determinado. En general, el responsable del tratamiento debería proporcionar al interesado información general, en particular sobre los factores que se han tenido en cuenta en el proceso de toma de decisiones y sobre su importancia relativa desde el punto de vista agregado, que también le resulte útil para impugnar cualquier “decisión” en el sentido del artículo 22, apartado 1, del RGPD». ( [19](#t-ECR_62022CC0203_ES_01-E0019) ) |

| 38. | Coincido, en esencia, con la interpretación propuesta por el Abogado General Pikamäe, como expondré con más detalle en los puntos siguientes. ( [20](#t-ECR_62022CC0203_ES_01-E0020) ) |

B.
 
Sobre las cuestiones prejudiciales

| 39. | Mediante sus cuestiones prejudiciales, que propongo examinar conjuntamente, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia, en esencia, si, por una parte, el artículo 15, apartado 1, letra h), del RGPD debe interpretarse en el sentido de que la «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada incluye información suficientemente completa que permita al interesado verificar la exactitud de dicha información y su coherencia con la decisión de calificación de que se trata, incluido el algoritmo utilizado a efectos de dicha toma de decisiones automatizada. Por otra parte, este órgano jurisdiccional desea saber si y, en su caso, en qué medida la protección de los derechos y libertades de otros, tales como la protección de los secretos comerciales invocada por el responsable del tratamiento, puede limitar el alcance del derecho de acceso del interesado contemplado en esta disposición. |

1. Sobre el concepto de «información significativa sobre la lógica aplicada» en la toma de decisiones automatizada

| 40. | De entrada, ha de señalarse que el Tribunal de Justicia ha destacado recientemente varias características del derecho de acceso previsto en el artículo 15 del RGPD al pronunciarse sobre el alcance del derecho a obtener una copia de los datos personales objeto de tratamiento, derecho previsto en el apartado 3, primera frase, de dicho artículo. Me parece que estos elementos son útiles para responder a las cuestiones planteadas por el órgano jurisdiccional remitente. |

| 41. | El artículo 15 del RGPD, titulado «Derecho de acceso del interesado», define en su apartado 1 el objeto y el ámbito de aplicación del derecho de acceso del interesado, y establece en el mismo el derecho del interesado a obtener del responsable del tratamiento acceso a sus datos personales y a la información mencionada en las letras a) a h) de este apartado. |

| 42. | Al garantizarse ese derecho se pretende alcanzar los objetivos perseguidos por el RGPD, que son, como se indica en los considerandos 10 y 11, garantizar un nivel uniforme y elevado de protección de las personas físicas dentro de la Unión y reforzar y especificar los derechos de los interesados. ( [21](#t-ECR_62022CC0203_ES_01-E0021) ) |

| 43. | Más concretamente, el artículo 15, apartado 1, letra h), del RGPD establece que el interesado tiene derecho a ser informado por el responsable del tratamiento de la existencia de la toma de decisiones automatizada, incluida la elaboración de perfiles, ( [22](#t-ECR_62022CC0203_ES_01-E0022) ) a que se refieren los artículos 22, apartados 1 y 4, de dicho Reglamento, y, al menos en tales casos, a obtener información significativa sobre la lógica aplicada, ( [23](#t-ECR_62022CC0203_ES_01-E0023) ) así como sobre la importancia y las consecuencias previstas de dicho tratamiento para el interesado. ( [24](#t-ECR_62022CC0203_ES_01-E0024) ) |

| 44. | Con carácter general, de la jurisprudencia del Tribunal de Justicia se desprende que el derecho de acceso previsto en el artículo 15 del RGPD debe permitir al interesado cerciorarse de que los datos personales que le conciernen son exactos y de que son tratados lícitamente. ( [25](#t-ECR_62022CC0203_ES_01-E0025) ) |

| 45. | Además, la copia de los datos personales objeto de tratamiento, que el responsable del tratamiento debe proporcionar en virtud del artículo 15, apartado 3, primera frase, del RGPD, debe presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de este Reglamento y, por consiguiente, debe reproducir de forma íntegra y fiel esos datos. ( [26](#t-ECR_62022CC0203_ES_01-E0026) ) |

| 46. | En particular, este derecho de acceso es necesario para permitir al interesado ejercer, en su caso, su derecho de rectificación, su derecho de supresión («derecho al olvido») y su derecho a la limitación del tratamiento, reconocidos, respectivamente, en los artículos 16, 17 y 18 del RGPD, su derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 21 del RGPD, así como su derecho a recurrir por los daños sufridos, previsto en los artículos 79 y 82 del RGPD. ( [27](#t-ECR_62022CC0203_ES_01-E0027) ) |

| 47. | En cuanto al derecho del interesado a obtener la información prevista en el artículo 15, apartado 1, letra h), he de añadir que este derecho de acceso debe permitirle ejercer los derechos que le confiere el artículo 22 del RGPD, que versa específicamente sobre la situación en la que el interesado es objeto de una decisión basada en un tratamiento automatizado. |

| 48. | Así, como he mencionado anteriormente, el artículo 22, apartado 1, de dicho Reglamento establece el derecho de todo interesado a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o lo afecte significativamente de modo similar. ( [28](#t-ECR_62022CC0203_ES_01-E0028) ) No obstante, la prohibición así establecida no se aplicará en los casos contemplados en el artículo 22, apartado 2, de dicho Reglamento, a saber, si la decisión es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento [letra a)], si estaba autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento [letra b)], o si se basa en el consentimiento explícito del interesado [letra c)]. |

| 49. | Además, el artículo 22 del RGPD dispone, en su apartado 2, letra b), y en su apartado 3, que deben establecerse las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado. En los casos a que se refiere el artículo 22, apartado 2, letras a) y c), del Reglamento, el responsable del tratamiento adoptará como mínimo medidas en relación con el derecho del interesado a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. ( [29](#t-ECR_62022CC0203_ES_01-E0029) ) En el contexto del presente asunto, el órgano jurisdiccional remitente subraya el vínculo existente entre el derecho de acceso previsto en el artículo 15, apartado 1, letra h), del Reglamento y esos derechos del interesado a expresar su punto de vista y a impugnar la decisión automatizada. |

| 50. | Según el Tribunal de Justicia, estos requisitos más estrictos establecidos en el RGPD para la licitud de una toma de decisiones automatizada, así como las obligaciones adicionales de información del responsable del tratamiento y los derechos de acceso adicionales del interesado correspondientes se explican por la finalidad que persigue el artículo 22 del RGPD, que consiste en proteger a las personas contra los riesgos específicos para sus derechos y libertades que supone el tratamiento automatizado de datos personales, incluida la elaboración de perfiles. ( [30](#t-ECR_62022CC0203_ES_01-E0030) ) |

| 51. | De ello se desprende que, para determinar lo que abarca la «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, debe tenerse en cuenta la finalidad perseguida por el artículo 22 de dicho Reglamento, de modo que el interesado pueda ejercer efectivamente, sobre la base de esa información, los derechos que le confiere este último artículo. |

| 52. | Desde esta perspectiva, cabe señalar que, de conformidad con el principio de transparencia, al que hace referencia el considerando 58 del RGPD y que consagra expresamente el artículo 12, apartado 1, de ese Reglamento, toda información dirigida al interesado debe ser concisa, fácilmente accesible y fácil de entender, y debe utilizarse un lenguaje claro y sencillo. ( [31](#t-ECR_62022CC0203_ES_01-E0031) ) |

| 53. | Así, el Tribunal de Justicia ha deducido de dicha disposición que el responsable del tratamiento deberá tomar las medidas oportunas para facilitar al interesado toda información indicada, en particular, en el artículo 15 del RGPD, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. La citada disposición, expresión del principio de transparencia, tiene como objetivo garantizar que el interesado esté en condiciones de comprender plenamente la información que se le envíe. ( [32](#t-ECR_62022CC0203_ES_01-E0032) ) |

| 54. | De estos elementos se desprende, según el Tribunal de Justicia, que la copia de los datos personales objeto de tratamiento, que el responsable del tratamiento debe facilitar en virtud del artículo 15, apartado 3, primera frase, del RGPD, debe presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de ese Reglamento y, por consiguiente, debe reproducir de forma íntegra y auténtica esos datos. ( [33](#t-ECR_62022CC0203_ES_01-E0033) ) |

| 55. | El Tribunal de Justicia también ha precisado que puede resultar necesario contextualizar los datos personales tratados para garantizar su inteligibilidad. Por ello, para que la información así facilitada sea fácil de entender, como exige el artículo 12, apartado 1, del RGPD, en relación con el considerando 58 de ese Reglamento, la reproducción de extractos de documentos, o incluso de documentos enteros, que contengan, entre otros, los datos personales objeto de tratamiento puede resultar indispensable. ( [34](#t-ECR_62022CC0203_ES_01-E0034) ) |

| 56. | En particular, según el Tribunal de Justicia, cuando se generan datos personales a partir de otros datos o cuando tales datos se derivan de campos libres, a saber, una falta de indicación que revele una información sobre el interesado, el contexto en el que esos datos son objeto de tratamiento es un elemento indispensable para permitir al interesado disponer de un acceso transparente y una presentación inteligible de esos datos. ( [35](#t-ECR_62022CC0203_ES_01-E0035) ) |

| 57. | En consecuencia, el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. ( [36](#t-ECR_62022CC0203_ES_01-E0036) ) |

| 58. | La jurisprudencia del Tribunal de Justicia relativa a los requisitos que debe cumplir el responsable del tratamiento al facilitar, en aplicación del artículo 15, apartado 3, primera frase, del RGPD, una copia de los datos personales objeto de tratamiento ofrece, en mi opinión, indicios valiosos para determinar las características que debe tener la «información significativa sobre la lógica aplicada» en la toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), de dicho Reglamento. |

| 59. | Ciertamente, de dicha jurisprudencia también se desprende que los datos personales de los que el responsable del tratamiento debe proporcionar una copia en virtud del artículo 15, apartado 3, primera frase, del referido Reglamento no deben confundirse con la información a la que el interesado tiene derecho a acceder en virtud del artículo 15, apartado 1, letras a) a h), del mismo Reglamento. ( [37](#t-ECR_62022CC0203_ES_01-E0037) ) |

| 60. | Sin embargo, en mi opinión, no cabe duda alguna de que la exigencia de transparencia de la información comunicada que establece el artículo 12, apartado 1, del RGPD y en la que se basa dicha jurisprudencia se aplica, a la vista del propio tenor de esta disposición, al conjunto de sus datos e información, incluidos los que están vinculados a la adopción de una decisión automatizada. |

| 61. | Por consiguiente, en el marco de la adopción de una decisión automatizada como la controvertida en el litigio principal, debe proporcionarse al interesado una copia de sus datos personales que hayan sido objeto de tratamiento que reproduzca de forma íntegra y auténtica dichos datos, de conformidad con lo previsto en el artículo 15, apartado 3, primera frase, del RGPD. |

| 62. | Además, parece esencial que el interesado conozca el contexto en el que sus datos personales se tratan de forma automatizada, para que pueda ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla. |

| 63. | De hecho, este es el propósito mismo del artículo 15, apartado 1, letra h), del RGPD, que, en esencia, exige que el interesado sea informado del contexto en el que se ha tomado una decisión automatizada, en particular de la lógica aplicada en la adopción de la decisión. |

| 64. | El conocimiento de este contexto por parte del interesado debe permitirle comprender el resultado al que se ha llegado mediante la decisión automatizada, al conocer los elementos esenciales del método y de los criterios utilizados. En resumen, el proceso, de carácter técnico, que ha conducido a esta decisión debe hacerse inteligible. Solo de este modo podrá el interesado ejercer los derechos que le confiere el RGPD, incluido el derecho a expresar su punto de vista sobre una decisión automatizada y a impugnarla. Por lo tanto, el concepto de «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada debe entenderse de manera funcional. ( [38](#t-ECR_62022CC0203_ES_01-E0038) ) |

| 65. | A este respecto, el énfasis puesto por el legislador de la Unión en la necesidad de una información significativa está directamente relacionado con la naturaleza técnica del ámbito en cuestión, que hace necesario garantizar que dicha información sea inteligible y significativa para el interesado. Se trata de una condición necesaria para garantizar que la información le sea útil al interesado para que pueda ejercer efectivamente los derechos que le confiere el RGPD. Según las versiones lingüísticas del artículo 15, apartado 1, letra h), del RGPD, se hace hincapié en grados distintos en el carácter «inteligible» o «significativo» de la información, expresándose este doble sentido mediante el término «meaningful» en la versión lingüística inglesa. ( [39](#t-ECR_62022CC0203_ES_01-E0039) ) Por lo tanto, en mi opinión, conviene adoptar una interpretación del concepto de «información significativa», en el sentido de esta última disposición, que permita, en el marco de un enfoque funcional, tener en cuenta estos significados, que son complementarios. |

| 66. | Por lo tanto, el carácter significativo de la información para el interesado presupone —al igual que en el caso de la copia de los datos personales objeto de tratamiento que debe facilitarse en virtud del artículo 15, apartado 3, primera frase, del RGPD— que esta información sea concisa, fácilmente accesible y fácil de entender, con un lenguaje claro y sencillo. Por lo tanto, el interesado al que se comunique esta información debe poder comprender plenamente la información que se le envía. Desde esta perspectiva, puede resultar necesario contextualizar la información comunicada para garantizar que sea inteligible. |

| 67. | En resumen, la «información significativa», tal y como exige el artículo 15, apartado 1, letra h), del RGPD, no solo debe ser clara y accesible, sino que también debe ir acompañada de explicaciones que garanticen su correcta comprensión. Ello es tanto más cierto cuando se trata facilitar al interesado información en un ámbito técnico. En este sentido, esta disposición ofrece al interesado un genuino derecho a una explicación del funcionamiento del mecanismo aplicado en la adopción de una decisión automatizada de que ha sido objeto dicho interesado y del resultado al que ha conducido dicha decisión. ( [40](#t-ECR_62022CC0203_ES_01-E0040) ) A este respecto, ha de observarse que, de conformidad con el considerando 71 del RGPD, el interesado debe poder «recibir una explicación de la decisión tomada después de tal evaluación». |

| 68. | A estos requisitos ha de añadirse que el interesado debe poder verificar la exactitud de los datos personales que le conciernen y de la información relativa a la lógica aplicada en la toma de decisiones automatizada. Por lo tanto, debe poder asegurarse de que existen una coherencia y un nexo de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que se ha llegado mediante la decisión automatizada. En otras palabras, la información comunicada debe permitir a tal interesado comprobar si esta se corresponde con los hechos y, por tanto, si la decisión automatizada en cuestión se basa efectivamente en información exacta. ( [41](#t-ECR_62022CC0203_ES_01-E0041) ) |

| 69. | A este respecto, ha de recordarse que, como se desprende de la resolución de remisión, la información facilitada a CK por D & B no parece ajustarse a la realidad, ya que no revelaba la elaboración efectiva de un perfil de aquella. No obstante, el Tribunal de Justicia ya ha subrayado que, habida cuenta de los riesgos específicos que entraña para sus derechos y libertades el tratamiento automatizado de datos personales, incluida la elaboración de perfiles, es importante, según el considerando 71 del RGPD, establecer garantías adecuadas y garantizar un tratamiento leal y transparente respecto del interesado, en particular mediante la utilización de procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles y la aplicación de medidas técnicas y organizativas apropiadas para garantizar que se reduce al máximo el riesgo de error. ( [42](#t-ECR_62022CC0203_ES_01-E0042) ) |

| 70. | Esta exigencia de exactitud se ve reforzada, en mi opinión, si se considera, tal como declaró el Tribunal de Justicia en su sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho), ( [43](#t-ECR_62022CC0203_ES_01-E0043) ) a propósito del tratamiento de datos personales relacionados con la concesión de una exoneración del pasivo insatisfecho, que un tratamiento automatizado como el controvertido en el litigio principal constituye una injerencia grave en los derechos fundamentales del interesado, consagrados en los artículos 7 y 8 de la Carta. En efecto, los datos personales del interesado se tratan con el fin de evaluar su solvencia y, por tanto, constituyen información sensible sobre su vida privada. Su tratamiento puede perjudicar considerablemente los intereses del interesado, al impedirle entablar relaciones contractuales dirigidas a cubrir necesidades habituales. ( [44](#t-ECR_62022CC0203_ES_01-E0044) ) |

| 71. | Por consiguiente, considero que una «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada debe permitir al interesado ejercer los derechos que le garantiza el RGPD y, en particular, el artículo 22 de dicho Reglamento. Ello supone, en primer lugar, que el interesado pueda obtener información concisa, fácilmente accesible y fácil de entender, con un lenguaje claro y sencillo, sobre el método y los criterios utilizados para esta decisión. En segundo lugar, esta información debe ser suficientemente completa y estar suficientemente contextualizada para permitir al interesado verificar su exactitud y si existen una coherencia y una relación de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que ha llegado la decisión automatizada. |

| 72. | A la luz de estos elementos, no creo que el artículo 15, apartado 1, letra h), del RGPD deba interpretarse en el sentido de que impone al responsable del tratamiento la obligación de revelar al interesado información que, por su carácter técnico, es de una complejidad tal que no puede ser comprendida por personas que no tengan conocimientos técnicos particulares. ( [45](#t-ECR_62022CC0203_ES_01-E0045) ) Tal es el caso, a mi juicio, de los algoritmos utilizados en la toma de decisiones automatizada. |

| 73. | Es cierto que cabría sostener, en aras de una interpretación amplia de la obligación de transparencia, que el control de la forma en que un algoritmo trata los datos personales exige que dicho algoritmo se comunique al interesado. ( [46](#t-ECR_62022CC0203_ES_01-E0046) ) Sin embargo, soy de la opinión de que la razón de ser de esta obligación consiste en permitir que este comprenda la información que se le comunica para que pueda ejercer los derechos que le confiere el RGPD. Desde esta perspectiva, las explicaciones accesibles sin necesidad de conocimientos técnicos particulares serán sin duda más «significativas» que una fórmula matemática compleja. |

| 74. | En este mismo sentido, ha de señalarse que, como se desprende de las Directrices, puede que «resulte difícil entender cómo funciona un proceso de decisiones automatizadas o de elaboración de perfiles». Por lo tanto, «el responsable del tratamiento debe hallar formas sencillas de informar al interesado acerca de la lógica subyacente a los criterios utilizados para llegar a la decisión. El RGPD exige que el responsable del tratamiento ofrezca información significativa sobre la lógica aplicada, no necesariamente una compleja explicación de los algoritmos utilizados o la revelación de todo el algoritmo […]. No obstante, la información facilitada debe ser suficientemente exhaustiva para que el interesado entienda los motivos de la decisión». ( [47](#t-ECR_62022CC0203_ES_01-E0047) ) Así pues, «el responsable del tratamiento debe ofrecer al interesado información general (a saber, sobre los factores que se han tenido en cuenta para el proceso de toma de decisiones y sobre su “peso” respectivo a nivel global) que le pueda servir para impugnar la decisión». ( [48](#t-ECR_62022CC0203_ES_01-E0048) ) |

| 75. | Sin embargo, como señaló el Grupo de Trabajo sobre protección de datos del artículo 29 en sus Directrices, «la complejidad no es una excusa para no ofrecer información al interesado». ( [49](#t-ECR_62022CC0203_ES_01-E0049) ) De ello se deduce que el responsable del tratamiento no puede invocar el carácter complejo de la información para negarse a cumplir la obligación que le incumbe en virtud del artículo 15, apartado 1, letra h), del RGPD. Le corresponde asegurarse de que facilita información, a la vez, accesible y completa para que el interesado pueda comprender el proceso que ha desembocado en la decisión automatizada de que ha sido objeto. |

| 76. | Deduzco de estos elementos que el responsable del tratamiento no está obligado, en virtud del artículo 15, apartado 1, letra h), del RGPD, a facilitar al interesado información de carácter técnico que este no podría comprender, como los detalles de los algoritmos utilizados. ( [50](#t-ECR_62022CC0203_ES_01-E0050) ) Por otro lado, el responsable del tratamiento debe cumplir su obligación de facilitar al interesado, en cada caso, información, a la vez, accesible y suficientemente completa sobre el proceso que condujo a la decisión automatizada en cuestión y sobre las razones que explican el resultado al que se llegó en dicha decisión. Así definida, la «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada debe describir, en particular, el método utilizado y los criterios tenidos en cuenta, así como su ponderación. ( [51](#t-ECR_62022CC0203_ES_01-E0051) ) Por tanto, el interesado debe poder comprender qué información se ha utilizado en la toma de decisión automatizada y cómo se ha tenido en cuenta y ponderado. |

| 77. | Ha de señalarse también que esta disposición no impide, en mi opinión, que el responsable del tratamiento decida, de forma voluntaria, proporcionar al interesado información de carácter técnico, como detalles de los algoritmos utilizados, siempre que vaya acompañada de información que permita al interesado comprender el proceso que ha conducido a la decisión automatizada y el resultado que ha arrojado dicha decisión. |

| 78. | Ha de añadirse que el artículo 15, apartado 1, letra h), del RGPD no debe interpretarse, en mi opinión, en el sentido de que obliga al responsable del tratamiento a facilitar al interesado datos personales relativos a terceros, pues en caso contrario los derechos de esos terceros se verían indirectamente afectados de forma negativa. Por otra parte, los ejemplos de operaciones de tratamiento similares facilitados de forma anonimizada, a efectos de su comparación, podrían permitir al interesado comprender mejor la decisión automatizada de que ha sido objeto. |

| 79. | Corresponde al órgano jurisdiccional remitente, sobre la base de las indicaciones anteriores, determinar qué información debe ponerse a disposición del interesado en el procedimiento principal. A este respecto, dudo que, en su función de intérprete del Derecho de la Unión en virtud del artículo 267 TFUE, que debe distinguirse de la función de aplicación de dicho Derecho, que incumbe al órgano jurisdiccional nacional, el Tribunal de Justicia pueda ir tan lejos como desearía el órgano jurisdiccional nacional a la hora de determinar tal información en concreto. |

| 80. | Además, procede precisar que la interpretación del concepto de «información significativa sobre la lógica aplicada» en la adopción de una decisión automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, que propongo al Tribunal de Justicia, permite considerar que el legislador de la Unión ya ha garantizado, en gran medida, el equilibrio entre, por una parte, la exigencia de transparencia en la que se basa dicha disposición y, por otra, la protección de los derechos y libertades de otros, que incluye la protección del secreto comercial. En efecto, en la medida en que, en mi opinión, este concepto no debería extenderse a la información de carácter técnico, como un algoritmo, que un interesado no está en condiciones de comprender sin poseer conocimientos especiales, el derecho de acceso garantizado por dicha disposición no debería dar lugar, en la mayoría de los casos, a una violación del secreto comercial que puede invocar legítimamente el responsable del tratamiento. Lo mismo cabe afirmar respecto a la protección de los datos personales de terceros, en la medida en que el referido concepto no debería, en principio, abarcar esos datos. |

| 81. | Sin embargo, no puede descartarse que, en determinados casos, el derecho de acceso garantizado por el artículo 15, apartado 1, letra h) del RGPD pueda dar lugar a una vulneración de los derechos y libertades de otros. Tal infracción puede ser invocada por el responsable del tratamiento para justificar la negativa a comunicar información al interesado. Por otra parte, es posible que la información comunicada sea insuficiente para permitir verificar su exactitud y coherencia con el resultado a que llegó la decisión automatizada en cuestión, y que la transmisión de información adicional a efectos de esta verificación pueda vulnerar los derechos y libertades de otros. Por ello, es necesario determinar, como solicita el órgano jurisdiccional remitente, mediante qué mecanismos pueden conciliarse entonces los derechos e intereses en juego. |

2. Sobre el equilibrio entre los derechos del interesado y los derechos y libertades de otros

| 82. | Ha de recordarse que el órgano jurisdiccional remitente desea saber en esencia si y, en su caso, en qué medida la protección de los derechos y libertades de otros, como la protección de los secretos comerciales invocados por el responsable del tratamiento, puede limitar el alcance del derecho de acceso que le asiste en virtud del artículo 15, apartado 1, letra h), del RGPD. |

| 83. | A este respecto, ha de señalarse de entrada que, en virtud del considerando 4 del RGPD, el derecho a la protección de los datos personales no es un derecho absoluto, sino que debe mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. Por ello, el RGPD respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta de los Derechos Fundamentales conforme se consagran en los Tratados. ( [52](#t-ECR_62022CC0203_ES_01-E0052) ) |

| 84. | Además, el considerando 63 del Reglamento establece que el derecho de todo interesado de acceder a los datos personales recogidos que le conciernan «no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado». |

| 85. | Así, el artículo 15, apartado 4, del RGPD establece que «el derecho a obtener copia [de los datos personales objeto de tratamiento] no afectará negativamente a los derechos y libertades de otros». |

| 86. | Asimismo, el artículo 23, apartado 1, letra i), del RGPD recuerda que el alcance de las obligaciones y derechos establecidos, en particular, en el artículo 15 del RGPD puede limitarse «cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar […] la protección […] de los derechos y libertades de otros». ( [53](#t-ECR_62022CC0203_ES_01-E0053) ) |

| 87. | El Tribunal de Justicia ha deducido de estas disposiciones que el derecho, reconocido al interesado, a obtener una primera copia a título gratuito de sus datos personales objeto de tratamiento no es absoluto. ( [54](#t-ECR_62022CC0203_ES_01-E0054) ) En particular, de conformidad con el artículo 15, apartado 4, del RGPD, en relación con el considerando 63 de ese Reglamento, el derecho a obtener copia mencionado en el apartado 3 no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. ( [55](#t-ECR_62022CC0203_ES_01-E0055) ) |

| 88. | De estos elementos se desprende que cabe justificar una limitación del derecho de acceso previsto en el artículo 15, apartado 1, letra h), del RGPD, por consideraciones relativas, en particular, a la protección de los derechos y libertades de otros, siempre y cuando tal limitación respete en lo esencial el referido derecho y sea una medida necesaria y proporcionada para salvaguardar dicha protección, como establece el artículo 23, apartado 1, letra i), del RGPD. ( [56](#t-ECR_62022CC0203_ES_01-E0056) ) |

| 89. | Ahora bien, las consideraciones relativas a la protección del secreto comercial en el sentido del artículo 2, párrafo primero, punto 1, de la Directiva 2016/943 ( [57](#t-ECR_62022CC0203_ES_01-E0057) ) pueden justificar una limitación del derecho de acceso previsto en el artículo 15, apartado 1, letra h), del RGPD. |

| 90. | Ciertamente, el considerando 35 de la Directiva 2016/943 establece que «no debe afectar a los derechos y obligaciones previstos en la Directiva 95/46/CE [del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos ( [58](#t-ECR_62022CC0203_ES_01-E0058) )], en particular los derechos del interesado de acceder a aquellos de sus datos personales que sean objeto de tratamiento y de obtener la rectificación, supresión o bloqueo de los datos debido a su carácter incompleto o inexacto». Dicho esto, me parece que las disposiciones del RGPD que he citado anteriormente, en caso de conflicto entre, por un lado, el ejercicio del derecho de acceso previsto en el artículo 15, apartado 1, letra h), de dicho Reglamento y, por otro, los derechos o libertades de otros, abogan por la posibilidad de efectuar una ponderación entre los derechos y libertades en cuestión. ( [59](#t-ECR_62022CC0203_ES_01-E0059) ) |

| 91. | Así pues, como ya ha declarado el Tribunal de Justicia, siempre que sea posible, ha de optarse por modalidades de comunicación de datos personales que no vulneren los derechos o libertades de otros, teniendo en cuenta que, como se desprende del considerando 63 del RGPD, esas consideraciones no deben «tener como resultado la negativa a prestar toda la información al interesado». ( [60](#t-ECR_62022CC0203_ES_01-E0060) ) |

| 92. | En esencia, el órgano jurisdiccional remitente desea saber qué formas podrían adoptar esos métodos de comunicación respetuosos con los derechos y libertades de otros en el contexto específico del artículo 15, apartado 1, letra h), del RGPD. |

| 93. | A este respecto, ha de observarse que el Tribunal de Justicia ya ha declarado que un órgano jurisdiccional nacional puede considerar que se le deben comunicar datos personales de las partes o de terceros para poder ponderar los intereses en juego con pleno conocimiento de causa y respetando el principio de proporcionalidad. Esta apreciación puede llevarle, en su caso, a autorizar la divulgación total o parcial a la parte contraria de los datos personales que le hayan sido comunicados, si considera que tal divulgación no va más allá de lo necesario para garantizar el disfrute efectivo de los derechos que el artículo 47 de la Carta confiere a los justiciables. ( [61](#t-ECR_62022CC0203_ES_01-E0061) ) |

| 94. | A mi juicio, esta jurisprudencia puede aplicarse a la información a que se refiere el artículo 15, apartado 1, letra h), del RGPD. A la luz de la citada jurisprudencia, considero que esta disposición, en relación con el considerando 63 y el artículo 23, apartado 1, letra i), del mismo Reglamento, ha de interpretarse en el sentido de que, cuando la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por la primera de estas disposiciones pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por el RGPD o bien un secreto comercial, en el sentido del artículo 2, párrafo primero, punto 1, de la Directiva 2016/943, dicha información debe comunicarse a la autoridad de control o al órgano jurisdiccional competentes para que, con pleno conocimiento de causa y respetando el principio de proporcionalidad, así como la confidencialidad de la referida información, puedan efectuar una ponderación entre los intereses en juego y determinar el alcance del derecho de acceso que debe concederse a esa persona. |

| 95. | Según la información facilitada por el órgano jurisdiccional remitente en su petición de decisión prejudicial, el artículo 4, apartado 6, de la DSG excluye, en principio, el derecho de acceso del interesado, previsto en el artículo 15 del RGPD, si dicho acceso pone en peligro un secreto comercial o empresarial del responsable del tratamiento o de terceros. A este respecto, considero que tal disposición no puede sustituir la ponderación que deben realizar caso por caso la autoridad o el órgano jurisdiccional competentes. En efecto, me parece que de la jurisprudencia del Tribunal de Justicia se desprende que, cuando debe llevarse a cabo una ponderación de los derechos e intereses en conflicto, un Estado miembro no puede establecer con carácter definitivo el resultado de dicha ponderación, ( [62](#t-ECR_62022CC0203_ES_01-E0062) ) sin que se permita llegar a un resultado diferente en razón de las circunstancias concretas del caso particular. ( [63](#t-ECR_62022CC0203_ES_01-E0063) ) |

IV. Conclusión

| 96. | Habida cuenta de todas las consideraciones que preceden, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena, Austria) del modo siguiente:  «El artículo 15, apartado 1, letra h), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en relación con el considerando 63 y el artículo 23, apartado 1, letra i), de dicho Reglamento,  debe interpretarse en el sentido de que:   | – | cuando un interesado sea objeto de una toma de decisiones automatizada, incluida la elaboración de perfiles, a que se refiere el artículo 22 del Reglamento 2016/679, la “información significativa sobre la lógica aplicada” en esa toma de decisiones automatizada a la que dicho interesado tenga derecho de acceso se referirá al método y a los criterios utilizados por el responsable del tratamiento a tal fin; |  | – | esta información debe permitir al interesado ejercer los derechos que le garantiza el Reglamento 2016/679 y, en particular, el artículo 22. Por lo tanto, debe ser concisa, fácilmente accesible y fácil de entender, con un lenguaje claro y sencillo. Además, esta información debe ser suficientemente completa y estar suficientemente contextualizada para permitir al interesado verificar su exactitud y si existen una coherencia y una relación de causalidad objetivamente verificables entre, por una parte, el método y los criterios utilizados y, por otra, el resultado al que ha llegado la decisión automatizada en cuestión; |  | – | por el contrario, el responsable del tratamiento no está obligado a revelar al interesado información que, por su carácter técnico, es de una complejidad tal que no puede ser comprendida por personas que no tengan conocimientos técnicos particulares, lo que permite excluir los algoritmos utilizados en la toma de decisiones automatizada; |  | – | cuando la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por el artículo 15, apartado 1, letra h), del Reglamento 2016/679 pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por ese Reglamento o bien un secreto comercial, en el sentido del artículo 2, párrafo primero, punto 1, de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas, dicha información debe comunicarse a la autoridad de control o al órgano jurisdiccional competentes para que, con pleno conocimiento de causa y respetando el principio de proporcionalidad, así como la confidencialidad de la referida información, puedan efectuar una ponderación entre los intereses en juego y determinar el alcance del derecho de acceso que debe concederse a esa persona.» | |

---

(
[1](#c-ECR_62022CC0203_ES_01-E0001)
) Lengua original: francés.

(
[2](#c-ECR_62022CC0203_ES_01-E0002)
) [DO 2016, L 119, p. 1](./../../../legal-content/ES/AUTO/?uri=OJ:L:2016:119:TOC); correcciones de errores en [DO 2018, L 127, p. 3](./../../../legal-content/ES/AUTO/?uri=OJ:L:2018:127:TOC), y [DO 2021, L 74, p. 35](./../../../legal-content/ES/AUTO/?uri=OJ:L:2021:074:TOC)).

(
[3](#c-ECR_62022CC0203_ES_01-E0003)
) [DO 2016, L 157, p. 1](./../../../legal-content/ES/AUTO/?uri=OJ:L:2016:157:TOC).

(
[4](#c-ECR_62022CC0203_ES_01-E0004)
) A este respecto, el órgano jurisdiccional remitente subraya que el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) no precisó en su resolución el alcance de los datos personales tratados que debían facilitarse ni el grado de detalle de la lógica aplicada que debía comunicarse.

(
[5](#c-ECR_62022CC0203_ES_01-E0005)
) En lo sucesivo, «Carta».

(
[6](#c-ECR_62022CC0203_ES_01-E0006)
) BGBl. I, 165/1999.

(
[7](#c-ECR_62022CC0203_ES_01-E0007)
) BGBl. I, 14/2019. Esta disposición excluye, en principio, el derecho de acceso del interesado, previsto en el artículo 15 del RGPD, cuando dicho acceso comprometa un secreto comercial o empresarial del responsable del tratamiento o de un tercero.

(
[8](#c-ECR_62022CC0203_ES_01-E0008)
) Véase, a este respecto, el considerando 71 del RGPD, que establece que «el interesado debe tener derecho a no ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos personales relativos a él, y que se base únicamente en el tratamiento automatizado y produzca efectos jurídicos en él o le afecte significativamente de modo similar, como la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna. Este tipo de tratamiento incluye la elaboración de perfiles […] en la medida en que produzca efectos jurídicos en él o le afecte significativamente de modo similar».

(
[9](#c-ECR_62022CC0203_ES_01-E0009)
) [C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A957&locale=es), en lo sucesivo, sentencia SCHUFA Holding y otros (Scoring), [EU:C:2023:957](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A957).

(
[10](#c-ECR_62022CC0203_ES_01-E0010)
) Véase la sentencia SCHUFA Holding y otros (Scoring), apartado 73.

(
[11](#c-ECR_62022CC0203_ES_01-E0011)
) El día en que el Tribunal de Justicia dictó esa sentencia, dictó también la sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) ([C‑26/22 y C‑64/22](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958&locale=es), [EU:C:2023:958](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958)), en la que interpretó los siguientes artículos del RGPD: artículo 5, apartado 1, letra a), en relación con el artículo 6, apartado 1, párrafo primero, letra f); artículo 17, apartado 1, letras c) y d), y artículo 78, apartado 1.

(
[12](#c-ECR_62022CC0203_ES_01-E0012)
) [C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220).

(
[13](#c-ECR_62022CC0203_ES_01-E0013)
) Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) ([C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220)), punto [54](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&anchor=#point54).

(
[14](#c-ECR_62022CC0203_ES_01-E0014)
) Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) ([C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220)), punto [56](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&anchor=#point56).

(
[15](#c-ECR_62022CC0203_ES_01-E0015)
) Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) ([C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220)), punto [56](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&anchor=#point56).

(
[16](#c-ECR_62022CC0203_ES_01-E0016)
) El subrayado es mío.

(
[17](#c-ECR_62022CC0203_ES_01-E0017)
) Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) ([C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220)), punto [57](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&anchor=#point57).

(
[18](#c-ECR_62022CC0203_ES_01-E0018)
) Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) ([C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220)), punto [57](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&anchor=#point57).

(
[19](#c-ECR_62022CC0203_ES_01-E0019)
) Véanse las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) ([C‑634/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&locale=es), [EU:C:2023:220](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220)), punto [58](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A220&anchor=#point58). A este respecto, el Abogado General Pikamäe se basó en las «Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679», adoptadas el 3 de octubre de 2017 por el Grupo de Trabajo sobre protección de datos del artículo 29, versión revisada y adoptada el 6 de febrero de 2018 (en lo sucesivo, «Directrices»), pp. 28 y 30.

(
[20](#c-ECR_62022CC0203_ES_01-E0020)
) Asimismo, ha de señalarse que el concepto de «información significativa sobre la lógica aplicada» en una toma de decisiones automatizada, en el sentido del artículo 15, apartado 1, letra h), del RGPD, ha dado lugar a numerosas publicaciones que, por la diversidad de sus posiciones, permiten enriquecer la reflexión sobre el sentido que debe darse a este concepto. Entre estas publicaciones citaría las siguientes: Goodman, B., y Flaxman, S., «European Union Regulations on Algorithmic Decision Making and a “Right to Explanation”», AI Magazine, vol. 38, n.o 3, Wiley, Berlín, 2017, pp. 50 a 57; Wachter, S., Mittelstadt, B., y Floridi, L., «Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation», International Data Privacy Law, vol. 7, n.o 2, Oxford University Press, Oxford, 2017, pp. 76 a 99; Selbst, A. D., y Powles, J., «Meaningful information and the right to explanation», International Data Privacy Law, vol. 7, n.o 4, Oxford University Press, Oxford, 2017, pp. 233 a 242; Cabral, T. S., «AI and the Right to Explanation: Three Legal Bases under the GDPR», en Hallinan, D., Leenes, R., y De Hert, P., Data Protection and Privacy: Data Protection and Artificial Intelligence, Hart Publishing, Oxford, 2021, pp. 29 a 56; Edwards, L., y Veale, M., «Slave to the Algorithm? Why a “Right to an Explanation” Is Probably Not the Remedy You Are Looking For», Duke Law & Technology Review, vol. 16, Duke Law School, Durham, 2017, pp. 18 a 84; Brkan, M., «Do algorithms rule the world? Algorithmic decision-making and data protection in the framework of the GDPR and beyond», International Journal of Law and Information Technology, vol. 27, n.o 2, Oxford University Press, Oxford, 2019, pp. 91 a 121; Kaminski, M. E., y Malgieri, G., «Algorithmic impact assessments under the GDPR: producing multi-layered explanations», International Data Privacy Law, vol. 11, n.o 2, Oxford University Press, Oxford, 2021, pp. 125 a 144; Custers, B., y Heijne, A.‑S., «The right of access in automated decision-making: The scope of article 15(1)(h) GDPR in theory and practice», Computer Law & Security Review, vol. 46, Elsevier, Ámsterdam, 2022, y Naudts, L., Dewitte, P., y Ausloos, J., «Meaningful transparency through data rights: A multidimensional analysis», Research Handbook on EU Data Protection Law, Elgar, Cheltenham, 2022, pp. 530 a 571.

(
[21](#c-ECR_62022CC0203_ES_01-E0021)
) Véase, en particular, la sentencia de 26 de octubre de 2023 en el asunto FT (Copias de la historia clínica) [[C‑307/22](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A811&locale=es), en lo sucesivo, sentencia FT (Copias de la historia clínica), [EU:C:2023:811](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A811)], apartados [47](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A811&anchor=#point47) y [48](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A811&anchor=#point48) y jurisprudencia citada.

(
[22](#c-ECR_62022CC0203_ES_01-E0022)
) A tenor del artículo 4, punto 4, del RGPD, por «elaboración de perfiles» se entenderá «toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física».

(
[23](#c-ECR_62022CC0203_ES_01-E0023)
) Este concepto también figura en artículo 13, apartado 2, letra f), y en el artículo 14, apartado 2, letra g), del RGPD. Véase también el considerando 63 del Reglamento, que establece que «todo interesado debe […] tener el derecho a conocer y a que se le comuniquen […] la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en la elaboración de perfiles, las consecuencias de dicho tratamiento».

(
[24](#c-ECR_62022CC0203_ES_01-E0024)
) Aunque esta petición de decisión prejudicial se centra en el concepto de «información significativa sobre la lógica aplicada» en el sentido del artículo 15, apartado 1, letra h) del RGPD, no debe subestimarse que el interesado también debe ser informado de la importancia y las consecuencias previstas del tratamiento en cuestión. Según el Grupo de Trabajo sobre protección de datos del artículo 29, «este término sugiere que debe facilitarse información sobre el tratamiento previsto o futuro, y sobre cómo puede afectar la decisión automatizada al interesado […]. A fin de que esta información sea significativa y comprensible, deben ofrecerse ejemplos reales y tangibles del tipo de efectos posibles»: véanse las Directrices, p. 29.

(
[25](#c-ECR_62022CC0203_ES_01-E0025)
) Véanse, en particular, la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF ([C‑487/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A369&locale=es), en lo sucesivo, sentencia Österreichische Datenschutzbehörde y CRIF, [EU:C:2023:369](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A369)), apartado [34](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A369&anchor=#point34) y jurisprudencia citada, y la sentencia FT (Copias de la historia clínica), apartado 73 y jurisprudencia citada.

(
[26](#c-ECR_62022CC0203_ES_01-E0026)
) Véase, en particular, la sentencia FT (Copias de la historia clínica), apartado 73 y jurisprudencia citada.

(
[27](#c-ECR_62022CC0203_ES_01-E0027)
) Véase, en particular, la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 35 y jurisprudencia citada.

(
[28](#c-ECR_62022CC0203_ES_01-E0028)
) Como ha precisado el Tribunal de Justicia en su sentencia SCHUFA Holding y otros (Scoring), apartado 52, dicha disposición establece una prohibición de principio cuya inobservancia no necesita ser invocada proactivamente por el interesado.

(
[29](#c-ECR_62022CC0203_ES_01-E0029)
) Véase la sentencia SCHUFA Holding y otros (Scoring), apartado 54.

(
[30](#c-ECR_62022CC0203_ES_01-E0030)
) Véase la sentencia SCHUFA Holding y otros (Scoring), apartado 57. En efecto, según el Tribunal de Justicia, este tratamiento implica, como se desprende del considerando 71 del RGPD, la evaluación de aspectos personales relativos a una persona física a la que afecte dicho tratamiento, en particular para analizar o predecir aspectos relacionados con el rendimiento en el trabajo, la situación económica, la salud, las preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o los movimientos del interesado (apartado 58). Según el citado considerando, estos riesgos específicos pueden incidir en los intereses legítimos y derechos del interesado, habida cuenta, en particular, de los potenciales efectos discriminatorios en las personas físicas (apartado 59).

(
[31](#c-ECR_62022CC0203_ES_01-E0031)
) Véase la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 37.

(
[32](#c-ECR_62022CC0203_ES_01-E0032)
) Véase la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 38.

(
[33](#c-ECR_62022CC0203_ES_01-E0033)
) Véanse las sentencias Österreichische Datenschutzbehörde y CRIF, apartado 39, y FT (Copias de la historia clínica), apartado 73.

(
[34](#c-ECR_62022CC0203_ES_01-E0034)
) Véanse las sentencias Österreichische Datenschutzbehörde y CRIF, apartado 41, y FT (Copias de la historia clínica), apartado 74.

(
[35](#c-ECR_62022CC0203_ES_01-E0035)
) Véase la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 42.

(
[36](#c-ECR_62022CC0203_ES_01-E0036)
) Véanse las sentencias Österreichische Datenschutzbehörde y CRIF, apartado 45, y FT (Copias de la historia clínica), apartado 75.

(
[37](#c-ECR_62022CC0203_ES_01-E0037)
) Sobre la interpretación que realiza el Tribunal de Justicia del concepto de «información» en el sentido del artículo 15, apartado 3, párrafo tercero, del RGPD, véase la sentencia Österreichische Datenschutzbehörde y CRIF, apartados 46 a 53.

(
[38](#c-ECR_62022CC0203_ES_01-E0038)
) Véase Selbst, A. D., y Powles, J., op. cit., p. 236.

(
[39](#c-ECR_62022CC0203_ES_01-E0039)
) Véase, a este respecto, Malgieri, G., y Comandé, G., «Why a Right to Legibility of Automated Decision-Making Exists in the General Data Protection Regulation», International Data Privacy Law, Oxford University Press, Oxford, 2017, vol. 7, n.o 4, pp. 243 a 265, en particular p. 257.

(
[40](#c-ECR_62022CC0203_ES_01-E0040)
) Véase, en particular, Cabral, T. S., op. cit. Véase también Brkan, M., op. cit., pp. 110 y ss., sobre el debate acerca de si existe un derecho a la explicación.

(
[41](#c-ECR_62022CC0203_ES_01-E0041)
) Véase Foss-Solbrekk, K., y Glenster, A. K., «The intersection of data protection rights and trade secrets privileges in “algorithmic transparency”», Research Handbook on EU Data Protection Law, op. cit., pp. 163 a 183. Los autores señalan, entre las preocupaciones que suscita el uso de algoritmos, «la posibilidad de que los algoritmos […] estén basados en datos inexactos, proporcionando así resultados que no reflejen la situación del interesado» (p. 166) (traducción libre).

(
[42](#c-ECR_62022CC0203_ES_01-E0042)
) Véase la sentencia SCHUFA Holding y otros (Scoring), apartado 59.

(
[43](#c-ECR_62022CC0203_ES_01-E0043)
) [C‑26/22 y C‑64/22](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958&locale=es), [EU:C:2023:958](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958).

(
[44](#c-ECR_62022CC0203_ES_01-E0044)
) Véase la sentencia de 7 de diciembre de 2023, SCHUFA Holding (Exoneración del pasivo insatisfecho) ([C‑26/22 y C‑64/22](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958&locale=es), [EU:C:2023:958](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958)), apartado [94](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A958&anchor=#point94) y jurisprudencia citada.

(
[45](#c-ECR_62022CC0203_ES_01-E0045)
) Véase Selbst, A. D., y Powles, J., op. cit., p. 236.

(
[46](#c-ECR_62022CC0203_ES_01-E0046)
) Véase, en particular, Foss-Solbrekk, K., y Glenster, A. K., op. cit., p. 167, sobre el encendido debate al que ha dado lugar esta cuestión.

(
[47](#c-ECR_62022CC0203_ES_01-E0047)
) Véanse las Directrices, p. 28. El subrayado es mío.

(
[48](#c-ECR_62022CC0203_ES_01-E0048)
) Véanse las Directrices, p. 30.

(
[49](#c-ECR_62022CC0203_ES_01-E0049)
) Véanse las Directrices, p. 28. Como señala este Grupo de Trabajo, del considerando 58 del RGPD se desprende que «el principio de transparencia “es especialmente pertinente en situaciones en las que la proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea difícil para el interesado saber y comprender si se están recogiendo, por quién y con qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad en línea”».

(
[50](#c-ECR_62022CC0203_ES_01-E0050)
) Véase Malgieri, G., y Comandé, G., op. cit., quienes señalan que «a menudo los algoritmos no solo son desconocidos, sino también ininteligibles para las personas» (traducción libre), p. 243.

(
[51](#c-ECR_62022CC0203_ES_01-E0051)
) Véase Poullet, Y., Le RGPD face aux défis de l’intelligence artificielle, Larcier, Bruselas, 2021, quien señala que el «concepto de “información significativa” se refiere a los tipos de datos anonimizados o no procesados, a sus fuentes, al modo de funcionamiento del algoritmo y, sin duda y sin tener que dar los detalles, a las ponderaciones que se dan a cada tipo de datos en el algoritmo de base», p. 115.

(
[52](#c-ECR_62022CC0203_ES_01-E0052)
) Véase, en particular, la sentencia FT (Copias de la historia clínica), apartado 59 y jurisprudencia citada.

(
[53](#c-ECR_62022CC0203_ES_01-E0053)
) Véase la sentencia FT (Copias de la historia clínica), apartado 61.

(
[54](#c-ECR_62022CC0203_ES_01-E0054)
) Véase la sentencia FT (Copias de la historia clínica), apartado 62.

(
[55](#c-ECR_62022CC0203_ES_01-E0055)
) Véase la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 43.

(
[56](#c-ECR_62022CC0203_ES_01-E0056)
) Véase, por analogía, la sentencia FT (Copias de la historia clínica), apartado 63.

(
[57](#c-ECR_62022CC0203_ES_01-E0057)
) A tenor de esta disposición, por «secreto comercial» se entenderá a efectos de dicha Directiva «la información que reúna todos los requisitos siguientes: a) ser secreta en el sentido de no ser, en su conjunto o en la configuración y reunión precisas de sus componentes, generalmente conocida por las personas pertenecientes a los círculos en que normalmente se utilice el tipo de información en cuestión, ni fácilmente accesible para estas; b) tener un valor comercial por su carácter secreto; c) haber sido objeto de medidas razonables, en las circunstancias del caso, para mantenerla secreta, tomadas por la persona que legítimamente ejerza su control».

(
[58](#c-ECR_62022CC0203_ES_01-E0058)
) [DO 1995, L 281, p. 31](./../../../legal-content/ES/AUTO/?uri=OJ:L:1995:281:TOC).

(
[59](#c-ECR_62022CC0203_ES_01-E0059)
) Véase, en este sentido, a propósito del artículo 15, apartado 4, del RGPD, que permite limitar el derecho a obtener una copia de los datos personales mencionados en el apartado 3 de dicho artículo, la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 44.

(
[60](#c-ECR_62022CC0203_ES_01-E0060)
) Véase la sentencia Österreichische Datenschutzbehörde y CRIF, apartado 44.

(
[61](#c-ECR_62022CC0203_ES_01-E0061)
) Véase la sentencia de 2 de marzo de 2023, Norra Stockholm Bygg ([C‑268/21](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A145&locale=es), [EU:C:2023:145](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A145)), apartado [58](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2023%3A145&anchor=#point58).

(
[62](#c-ECR_62022CC0203_ES_01-E0062)
) Véase, en particular, la sentencia SCHUFA Holding y otros (Scoring), apartado 70 y jurisprudencia citada.

(
[63](#c-ECR_62022CC0203_ES_01-E0063)
) Véase, en particular, la sentencia de 17 de junio de 2021, M.I.C.M. ([C‑597/19](./../../../legal-content/ES/AUTO/?uri=ecli:ECLI%3AEU%3AC%3A2021%3A492&locale=es), [EU:C:2021:492](./../../../legal-content/ES/TXT/PDF/?uri=ecli:ECLI%3AEU%3AC%3A2021%3A492)), apartado [111](./../../../legal-content/ES/TXT/HTML/?uri=ecli:ECLI%3AEU%3AC%3A2021%3A492&anchor=#point111) y jurisprudencia citada.

[Top](#document1)