Source: https://diariolaley.laleynext.es/Content/Documento.aspx?params=H4sIAAAAAAAEAMtMSbH1czUwMDAyNDa3NDJUK0stKs7Mz7M1MjACC6rl5aekhrg425bmpaSmZealpoCUZKZVuuQnh1QWpNqmJeYUp6qlJuXnZ6OYFA8zAQCfSdkrYwAAAA==WKE
Timestamp: 2020-04-01 20:02:31+00:00

Document:
diariolaley - Documento Primera sentencia europea que declara ilegal un algoritmo de evaluación de características personales de los ciudadanos
Primera sentencia europea que declara...
- Documentos visitados -La condición de monje no impide ejercer como abogado en la...La Administración el Estado debe dar de alta a los Jueces ...Permutaciones del deber de concursarQué es la garantía de indemnidad y cuándo su lesión provoc...Condenada Idental a pagar más de 26.000 euros por los daño...S JI 15/5/2019La Administración desleal y la excusa absolutoria de paren...Sobre la previsible incidencia de la cuestión prejudicial ...La Ley de protección de datos de California supera tres pr...La CNMV publica el informe de supervisión de las cuentas a...
13-2-2020 | Wolters Kluwer
El tribunal distrito de La Haya declara que el sistema establecido por el gobierno holandés para valorar el nivel de riesgo de defraudación de los ciudadanos, no cumple las exigencias de proporcionalidad, carece de transparencia y vulnera las previsiones sobre respeto a la vida privada que reconoce el artículo 8 del Convenio Europeo de Derechos Humanos.
Carlos B Fernández. El tribunal distrito de La Haya (Rechtbank Den Haag), ha dictado una sentencia, de fecha 5 de febrero de 2020, por la que establece que un sistema algorítmico utilizado por el Gobierno de los Países Bajos para evaluar el riesgo de fraude a la seguridad social o a hacienda, no cumple las exigencias de proporcionalidad y transparencia necesarias y vulnera las previsiones sobre respeto a la vida privada que reconoce el artículo 8 del Convenio Europeo de Derechos Humanos (LA LEY 16/1950), por lo que es contrario a la ley.
Se trata de la primera sentencia conocida en Europa por la se declara ilegal un algoritmo sobre evaluación de características personales de los ciudadanos. Su difusión ha coincidido, además, con el anuncio de la Comisión de que en breves fechas va a presentar una propuesta de regulación de la IA en la Unión, y con una recientísima decisión del Parlamento Europeo por la que solicita a la Comisión que apruebe una normativa sobre los procesos automatizados de toma de decisiones, a fin de garantizar la protección de los consumidores y la libre circulación de bienes y servicios. Y, a nivel nacional, con el anuncio de la publicación por la AEPD de la Guía de Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial.
Según la sentencia, cuyo texto está disponible en neerlandés, el denominado Sistema de Indicación de Riesgos (Systeem Risico Indicatie, SyRI, nada que ver con el asistente de voz de Apple) es un instrumento legal que el gobierno neerlandés utiliza para prevenir y combatir el fraude en el campo de la seguridad social y los esquemas relacionados con los ingresos, las contribuciones fiscales y de la seguridad social y las leyes laborales.
El sistema se basa en la asignación del nivel de riesgo de que una determinada persona cometa fraude a los ingresos públicos, en función de una serie de parámetros analizados y relacionados entre sí.
Esta medida, instaurada a solicitud de determinadas agencias y organismos públicos, a la vista del elevado volumen de fraude detectado en el país, se basa en la denominada Ley de Organización de Implementación y Estructura de Ingresos (Wet structuur uitvoeringsorganisatie en inkomen, SUWI), cuyo artículo 65.2 permite la elaboración de informes de riesgos para evaluar el riesgo de que una persona física o jurídica haga un uso ilegal de fondos gubernamentales en el campo de la seguridad social y los esquemas relacionados con los ingresos públicos.
En su evaluación, el tribunal ha tenido en cuenta los principios fundamentales en los que se basa la protección de datos en virtud del Derecho de la Unión (la CEDH (LA LEY 16/1950) y el RGPD), en particular en los principios de transparencia, de limitación del tratamiento de minimización de datos, y concluye que la normativa que regula el uso de SyRI es insuficientemente clara y verificable, por lo que la declara contraria a la ley.
A continuación presentamos los distintos argumentos que sustentan esta decisión.
El alcance del derecho al respeto a la vida privada de los ciudadanos en el CEDH (LA LEY 16/1950) y en el RGPD
El artículo 8 del Convenio Europeo sobre Derechos Humanos (Derecho al respeto a la vida privada y familiar) establece:
2. No podrá haber injerencia de la autoridad pública en el ejercicio de este derecho sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención de las infracciones penales, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás."
A este respecto, el tribunal aprecia, en primer lugar, que los derechos garantizados por el CEDH (LA LEY 16/1950) forman parte del derecho de la UE como principios generales de la misma (artículo 6.3 del Tratado de la UE). En segundo lugar, que el CEDH (LA LEY 16/1950) establece una protección mínima del derecho fundamental a la privacidad, por lo que la protección del derecho del ciudadano de la UE a la protección de datos personales se ha determinado con mayor detalle de acuerdo con la Carta y el RGPD, yendo en algunos aspectos más allá en algunos aspectos que bajo el CEDH (LA LEY 16/1950).
Efectos del informe de riesgos sobre la vida privada de las personas
El tribunal también deriva esa conclusión de las directrices del Grupo de Trabajo del artículo 29 del de Protección de Datos de 4 de diciembre de 2008, según las cuales debe entenderse que el procesamiento de datos afecta significativamente a una persona cuando sus efectos sean lo suficientemente grandes o importantes como para afectar significativamente al comportamiento o a las decisiones de las personas involucradas; tener un efecto a largo plazo o duradero en la persona interesada; o en el caso más extremo, conducir a su exclusión o discriminación.
Una finalidad legítima, perseguida por unos medios desproporcionados
Por lo tanto, el legislador también tiene una responsabilidad especial en el caso del uso de un instrumento como SyRI. Y en este sentido, el tribunal aprecia también que el método aplicado en este caso, no respeta el principio de "equilibrio justo" que debe existir entre los objetivos perseguidos y la violación de la vida privada de las personas que provoca, pues no resulta necesario y proporcional para los propósitos que persigue.
En concreto, las garantías previstas en la legislación con miras a proteger la privacidad de aquellos cuyos datos pueden procesarse con el sistema SyRI resultan insuficientes teniendo en cuenta los principios de transparencia, limitación del tratamiento y minimización de datos, que son principios fundamentales de la protección de datos.
Falta de transparencia del algoritmo
El principio de transparencia es el principio rector de la protección de datos que subyace y está consagrado en la CEDH (LA LEY 16/1950) y en el RGPD (arts. 5.1 a) y 12).
Po otra parte, sólo existe la obligación legal de publicar por adelantado el inicio de un proyecto de SyRI mediante su publicación en el Staatscourant (Boletín Oficial del Estado) y de dar acceso al registro de notificaciones de riesgo previa solicitud.
A juicio del tribunal, este principio no se ha observado suficientemente en la legislación SyRI a la luz del artículo 8, apartado 2, del CEDH (LA LEY 16/1950). El tribunal considera que la legislación SyRI de ninguna manera proporciona información sobre los datos fácticos que pueden justificar la presencia de una circunstancia en particular, o qué datos objetivos objetivos pueden justificar la conclusión de que existe un mayor riesgo. En la documentación aportada, se añade, solo se dan algunos ejemplos de indicadores que pueden indicar un mayor riesgo y un posible impacto.
Relevancia de la falta de transparencia
Es igualmente difícil saber cómo el titular de unos datos que se hayan procesado con SyRI, pero que no han llevado a un informe de riesgos, puede ser consciente de que sus datos se han procesado en de forma correcta. El hecho de que en esta última situación los datos no condujeran a un informe de riesgos y, además, que fuesen a destruidos a más tardar cuatro semanas después del análisis, no altera falta de transparencia requerida con respecto a ese tratamiento.
Esa falta de transparencia también plantea problemas de verificabilidad en relación con posibles efectos discriminatorios (no intencionados), máxime teniendo en cuenta que el estudio se realiza sobre determinadas poblaciones consideradas sensibles. Dada la gran cantidad de datos utilizados por el algoritmo, incluidos datos personales de categoría especial, y el hecho de que se utilizan perfiles de riesgo, existe el riesgo de que se realicen conexiones involuntarias basadas en sesgos. Y sobre la base de la legislación aplicable no es posible evaluar si este riesgo se ha abordado adecuadamente.

References: artículo 8
 artículo 8
 artículo 65
 artículo 8
 artículo 29
 artículo 8