Se rechaza la solicitud de crédito o el contrato de telefonía móvil y nadie sabe explicar por qué. En febrero de 2025, el Tribunal de Justicia de la Unión Europea resolvió que las empresas no pueden negarse a explicarlo alegando secretos empresariales.
En el asunto C-203/22 (Dun & Bradstreet Austria), un operador de telefonía móvil austríaco había denegado a una clienta la prórroga de su contrato porque una evaluación automatizada de solvencia realizada por una agencia de información crediticia había resultado negativa. La clienta solicitó, a través de la autoridad austríaca de protección de datos, saber cómo se había llegado a esa evaluación, y obtuvo inicialmente la razón ante el Tribunal Federal Contencioso-Administrativo de Austria. Sin embargo, como la agencia de información crediticia siguió sin facilitarle información suficiente, tuvo que instar la ejecución de la resolución ante el Tribunal Contencioso-Administrativo de Viena. Fue en este procedimiento de ejecución cuando el tribunal planteó al Tribunal de Justicia de la Unión Europea las cuestiones decisivas.
El Tribunal de Justicia de la Unión Europea (TJUE) resolvió mediante sentencia de 27.2.2025 que, conforme al art. 15, apartado 1, letra h, del RGPD, los interesados tienen derecho a información significativa sobre la lógica aplicada. La empresa debe explicar de forma precisa, transparente, inteligible y de fácil acceso los procedimientos y principios efectivamente aplicados en el tratamiento automatizado de los datos. El Tribunal no exige la entrega del algoritmo completo. Pero tampoco basta una mera fórmula matemática o una descripción puramente técnica y general, ya que ninguna de las dos resulta, por regla general, comprensible para el interesado.
El propio Tribunal apunta cómo puede ser concretamente una explicación suficiente: puede bastar con comunicar al interesado en qué medida una variación en los datos tenidos en cuenta habría conducido a un resultado distinto, es decir, por ejemplo, cuánto habría cambiado el resultado con unos ingresos más altos o una duración contractual más corta. Una explicación de este tipo hace comprensible la decisión sin revelar todo el modelo de evaluación.
La empresa no puede invocar de forma genérica secretos empresariales o datos de terceros para denegar la información. Si los invoca, debe presentar la información supuestamente protegida a la autoridad de control competente o al tribunal, que ponderarán entonces los intereses en conflicto y determinarán el alcance del derecho de acceso.
El caso muestra al mismo tiempo que un derecho de acceso, por claro que esté sobre el papel, puede costar mucho de conseguir en la práctica: en este caso fueron necesarios una sentencia firme, un procedimiento de ejecución propio y, al final, incluso un perito designado judicialmente para revelar los detalles de la puntuación. Por ello, quien haya sido rechazado a causa de una puntuación de solvencia debería solicitar por escrito el acceso conforme al art. 15 del RGPD, también sobre la lógica de la decisión, y, si no recibe respuesta o esta es insuficiente, no dudar en acudir a la autoridad de control de protección de datos. Para la respuesta rige el plazo de un mes del art. 12, apartado 3, del RGPD.
La SCHUFA seguiría tratando datos supuestamente suprimidos. Qué se sabe, qué exigen los arts. 15 y 17 del RGPD y qué pueden hacer los afectados.
Leer el artículo
El art. 13 del Data Act controla las cláusulas sobre datos impuestas unilateralmente entre empresas: ámbito de aplicación, lista negra y lista gris, consecuencias jurídicas.
Leer el artículoEl BGH establece de qué depende la cuantía de la indemnización conforme al RGPD: el carácter punitivo o la disuasión no son criterios.
Leer el artículo