El TJUE interpreta el alcance del derecho de acceso en el marco de decisiones automatizadas y elaboración de perfiles
El Tribunal de Justicia dela Unión Europea (TJUE) ha dictado recientemente una sentencia que analiza el alcance del derecho de acceso en el marco de decisiones automatizadas y la elaboración de perfiles.Concretamente, el objeto de la sentencia era determinar si el derecho de acceso contemplado por el Reglamento General de Protección de Datos (RGPD) debe prevalecer sobre la existencia de un secreto comercial que protege al algoritmo con el que se lleva a cabo la elaboración de un perfil a través del tratamiento de datos personales.
Se trata del caso C-203/22, una cuestión prejudicial interpuesta en el marco de un litigio en Austria en relación con la ejecución forzosa de una resolución judicial mediante la que se ordenaba a la empresa Bisnode Austria GmbH (actualmente Dun & Bradstreet Austria GmbH – D&B) a facilitar información sobre la lógica aplicada en la elaboración de un perfil de un ciudadano austriaco. En concreto, D&B realizó una evaluación crediticia de un cliente que tenía contratado un servicio con un operador de telefonía móvil, siendo que la operadora de telefonía denegó la prórroga del contrato en atención a la evaluación crediticia realizada por D&B. Ante esta situación, el cliente ejerció su derecho de acceso para saber los criterios que fundamentaron su perfilado como insolvente.
Al igual que el resto delos derechos fundamentales, el derecho a la protección de datos no dispone de carácter absoluto y en ocasiones puede ceder ante otros derechos fundamental eso intereses, como podría ser el secreto empresarial, a juicio de D&B. En ese sentido, el RGPD ya señala en su artículo 15, que regula el derecho de acceso, que éste “no afectará negativamente a los derechos y libertades de otros”. En ese sentido, el órgano judicial austriaco plantea al TJUE una cuestión prejudicial para que este último determine si el contenido del derecho de acceso abarca información sobre la lógica aplicada para realizar la elaboración del perfil y qué hacer en caso de que dicha lógica tenga consideración de secreto empresarial en los términos del artículo 2, punto 1,de la Directiva 2016/943.
En primer lugar, el TJUE ha considerado que el término “información significativa” al que hace referencia el artículo 15.1.h del RGPD, relativo a la existencia de decisiones automatizadas, varía en función de las distintas traducciones del Reglamento, haciendo referencia a cualidades como la funcionalidad, la pertinencia, la importancia o la inteligibilidad de la información aportada, por lo que ha de entenderse que todas estas cualidades son complementarias y que el citado artículo 15contempla “toda la información pertinente relativa al procedimiento y los principios de explotación automatizada delos datos personales con el fin de obtener un resultado determinado”.
Asimismo, ha considerado que la realización de decisiones automatizadas conlleva obligaciones adicionales de información hacia los interesados, con la finalidad de que estos últimos estén en condiciones reales de comprender plenamente la información facilitada por el responsable del tratamiento, ya que de lo contrario no se podría comprender las razones que llevaron a la decisión automatizada ni los riesgos específicos que supone el tratamiento automatizado de los datos personales tratados. Dicho de otro modo, los interesados sujetos a una decisión automatizada basada en el tratamiento de sus datos tienen derecho a recibir una explicación sobre el procedimiento y los principios concretamente aplicados para tomar dicha decisión; por el contrario, “la mera comunicación de una fórmula matemática compleja, como un algoritmo, ni la descripción detallada de todas las etapas de la adopción de una decisión automatizada” satisfacerla el derecho de acceso, ya que la información debe ser brindada de manera concisa, transparente, inteligible y de fácil acceso.
Una vez aclarado el contenido del derecho de acceso en el marco de las decisiones automatizadas, elTJUE procede a dilucidar cómo deben afrontarse los conflictos que pudiese provocar el derecho de acceso con los derechos y libertades de terceros, específicamente, los perjuicios que supondría el acceso a una información con consideración de secreto empresarial. En ese sentido, reitera su doctrina sobre la procedencia de realizar una ponderación entre los derechos y libertades en cuestión y destaca que en caso de conflicto el resultado final no debería ser, en términos generales, la negativa a facilitar la información al interesado.
Así, si el responsable del tratamiento considera que la información solicitada está protegida por el secreto empresarial, tendrá que facilitar dicha información al órgano jurisdiccional o autoridad de control competente, a quien corresponderá ponderar los derechos y libertades en cuestión para determinar el alcance del derecho de acceso del interesado, lo que puede conllevar que se autorice la divulgación parcial (y no total) de la información abarcada por el derecho de acceso. Por último, el TJUE procede a recordar que los Estados miembros no podrán establecer con carácter definitivo el resultado de la ponderación en caso de derechos o intereses en conflicto, sino que su análisis deberá realizarse caso por caso.