El día 27 de febrero de 2025 la Sala Primera del TJUE dicto su Sentencia en el asunto C-203/22 (Dun & Bradstreet Austria) que trata temas esenciales para la aplicación presente y futura de la regulación del mercado, de la protección del consumidor ante la utilización abusiva de la inteligencia artificial y, en particular, su aplicación en el mercado bancario. Entre ellos, podemos mencionar la protección de datos personales, las decisiones automatizadas (incluida la elaboración de perfiles para la apreciación de la solvencia de un consumidor), el acceso a la información significativa sobre la lógica aplicada a la elaboración de perfiles, la verificación de la exactitud de la información facilitada y del resultado obtenido, etc.
Desde el punto de vista mercantil, destaca la aproximación jurisprudencial del TJUE a la cuestión compleja del muy difícil equilibrio entre la transparencia protectora del ciudadano calificado y el derecho de los creadores y empresarios a mantener sus secretos comerciales. Por todo lo anterior, nos parece que puede resultar útil e interesante para los lectores de este blog dar cuenta sintética del contenido de esta Sentencia del TJUE, utilizando nuestro método habitual.
A) Identificación de la Sentencia
La Sentencia del TJUE de 27 de febrero de 2025 (asunto C-203/22) resolvió una petición de decisión prejudicial que tuvo por objeto la interpretación:
a) De los artículos 15.1. h), y 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016,relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGPD) (DO 2016, L 119, p. 1; corrección de errores en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).
b) Del artículo 2.1, de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (Directiva de secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO 2016, L 157, p. 1).
La petición se presentó en el contexto de un litigio entre un ciudadano particular (CK) y la Administración Municipal de Viena (Austria) en relación con la ejecución forzosa de una resolución judicial por la que se ordenaba a la empresa Dun & Bradstreet Austria GmbH (D&B»), especializada en la realización de evaluaciones crediticias, para que facilitara a CK información significativa sobre la lógica aplicada a la elaboración de un perfil relativo a sus datos personales.
B) Supuesto de hecho del litigio subyacente
a) Un operador de telefonía móvil X denegó a CK la celebración o la prórroga de un contrato de telefonía móvil -que habría conllevado el pago mensual de un importe de 10 euros- debido a que, según una evaluación crediticia realizada de forma automatizada por D&B, carecía de solvencia financiera suficiente.
b) CK acudió a la Autoridad austriaca de protección de datos, que ordenó a D&B que comunicara a CK información significativa sobre la lógica aplicada a la adopción de una decisión automatizada basada en datos personales relativos a CK.
C) Conflicto jurídico subyacente
a) D&B interpuso un recurso contra la Resolución de aquella Autoridad ante el Tribunal Federal de lo Contencioso-Administrativo de Austria, alegando, en esencia, que, debido a un secreto comercial protegido, no estaba obligada a comunicar a CK información adicional a la que ya le había proporcionado.
b) Por Resolución de 23 de octubre de 2019, el Tribunal Federal de lo Contencioso-Administrativo de Austria declaró que D&B había infringido el artículo 15.1.h) del RGPD, al no facilitar a CK información significativa sobre la lógica aplicada a la adopción de una decisión automatizada basada en datos personales relativos a CK o, al menos, al no motivar suficientemente la imposibilidad de facilitar tal información. En particular, indicó que D&B no había proporcionado a CK explicaciones suficientes que le permitieran comprender cómo se había determinado, respecto de ella, el pronóstico sobre la probabilidad de su comportamiento futuro («score»), que esa empresa le comunicó con la precisión de que, para obtener dicho «score», determinados datos sociodemográficos de CK habían sido «agregados de manera equivalente».
c) La Resolución de 23 de octubre de 2019 el Tribunal Federal de lo Contencioso-Administrativo de Austria adquirió firmeza y se hizo ejecutiva con arreglo a la legislación austriaca.
d) La solicitud de ejecución forzosa de esta Resolución, presentada por CK ante la Administración Municipal de Viena, que es la autoridad de ejecución; fue desestimada por cuanto esta consideró que D&B había cumplido suficientemente su obligación de información, aún a pesar de que esa sociedad no había aportado información adicional alguna tras la adopción de la referida Resolución.
e) CK interpuso un recurso contra la resolución de la Administración Municipal de Viena ante el Tribunal Regional de lo Contencioso-Administrativo de Viena.
f) En dichas circunstancias, el Tribunal Regional de lo Contencioso-Administrativo de Viena decidió suspender el procedimiento y plantear al Tribunal de Justicia seis cuestiones prejudiciales que obran transcritas en el apartado 33 de la Sentencia y que el TJUE resume en las dos siguientes:
f.1) “Mediante las cuestiones prejudiciales primera, segunda y tercera, letra a), que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 15, apartado 1, letra h), del RGPD debe interpretarse en el sentido de que, en caso de decisiones automatizadas, incluida la elaboración de perfiles, en el sentido del artículo 22, apartado 1, de ese Reglamento, el interesado puede exigir al responsable del tratamiento, en concepto de «información significativa sobre la lógica aplicada», una explicación exhaustiva del procedimiento y de los principios concretamente aplicados para explotar, de forma automatizada, los datos personales relativos al interesado con el fin de obtener un resultado determinado, como un perfil de solvencia” (apartado 38).
f.2) “Mediante la tercera cuestión prejudicial, letras b) y c), la cuarta cuestión prejudicial, letras a) y b), y las cuestiones prejudiciales quinta y sexta, que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 15, apartado 1, letra h), del RGPD debe interpretarse en el sentido de que, en el supuesto de que el responsable del tratamiento considere que la información que ha de facilitarse al interesado con arreglo a esa disposición incluye datos de terceros protegidos por dicho Reglamento o secretos comerciales, en el sentido del artículo 2, punto 1, de la Directiva 2016/943, ese responsable debe comunicar tal información supuestamente protegida a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión a efectos de determinar el alcance del derecho de acceso del interesado previsto en el artículo 15 del RGPD” (apartado 67).
D) Doctrina del TJUE
1. En caso de una evaluación crediticia automatizada, el interesado tiene derecho a que se le explique cómo se ha tomado la decisión que le afecta con una explicación que le permita comprender e impugnar la decisión automatizada
La primera declaración del TJUE dice: “El artículo 15, apartado 1, letra h), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que, en caso de que se adopte una decisión automatizada, incluida la elaboración de perfiles, en el sentido del artículo 22, apartado 1, de dicho Reglamento, el interesado puede exigir al responsable del tratamiento, como «información significativa sobre la lógica aplicada», que este le explique, mediante información pertinente y en forma concisa, transparente, inteligible y de fácil acceso, el procedimiento y los principios aplicados concretamente para explotar, de forma automatizada, los datos personales relativos al interesado con el fin de obtener un resultado determinado, como un perfil de solvencia”.
Esta primera declaración se fundamenta en la interpretación que hace el TJUE del texto y el contexto del artículo 15 del RGPD, rubricado «Derecho de acceso del interesado», y que dice: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información: […] h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22,apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”.
El análisis de la fundamentación de esta primera declaración del TJUE, en los apartados 38 a 66 de su Sentencia, nos permite deducir -en síntesis, telegráfica- los tres postulados siguientes:
a) El derecho de acceso del interesado
El TJUE señala que este derecho de acceso es necesario para permitir al interesado ejercer, en su caso, su derecho de rectificación, su derecho de supresión («derecho al olvido»), su derecho a la limitación del tratamiento, su derecho de oposición al tratamiento de sus datos personales, su derecho a recurrir y su derecho a indemnización; reconocidos en los artículos 16, 17, 18, 21, 79 y 82, respectivamente, del RGPD. Añade que, en particular y dentro del contexto específico de la adopción de una decisión basada exclusivamente en un tratamiento automatizado, la finalidad principal del derecho del interesado a obtener la información prevista en el artículo 15.1.h) consiste en permitirle ejercer de manera eficaz los derechos a saber, el de expresar su punto de vista sobre esa decisión y el de impugnarla que le reconoce el artículo 22.3 de aquel RGPD.
b) El fondo de la «información significativa sobre la lógica aplicada»
Este postulado puede descomponerse, a su vez, en los siguientes:
b.1) Datos personales del interesado utilizados: El TJUE constata que la información facilitada por D & B a CK es contraria a los hechos, dado que la elaboración del perfil «real» llevó a considerar que CK no era solvente a pesar de que la referida información sugería lo contrario. En particular, la falta de conformidad así constatada se deriva de la ausencia de comunicación por parte de D & B a CK de la elaboración de su perfil por cuenta de la empresa de telefonía móvil que, sobre esta base, rechazó celebrar o renovar un contrato con CK. Por lo que esta falta de conformidad debe subsanarse mediante el derecho de acceso al perfil de solvencia que se haya establecido de ese modo.
b.2) Tratamiento de los datos: Conviene comenzar recordando que el artículo 4.4 del RGPD define la “elaboración de perfiles” como “toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física”. En el supuesto litigioso, la Sentencia del TJUE dice que una explicación de las diferencias existentes entre el resultado de la elaboración de un perfil «real» y el resultado comunicado por D&B a CK, obtenido, según dicha sociedad, mediante una «agregación equivalente» de los datos relativos a CK, estaría efectivamente comprendida en la «información significativa sobre la lógica aplicada» a la elaboración de perfiles así realizada. Y es por ello por lo cual la «información significativa sobre la lógica aplicada» a decisiones automatizadas, en el sentido del artículo 15.1.h), del RGPD, debe describir el procedimiento y los principios concretamente aplicados de tal manera que el interesado pueda comprender cuáles de sus datos personales se han utilizado y cómo se han utilizado en la adopción de la decisión automatizada en cuestión, sin que la complejidad de las operaciones que deban realizarse para la adopción de una decisión automatizada pueda exonerar al responsable del tratamiento de su deber de explicación.
c) La forma de la información que debe facilitarse al interesado
La primera declaración de la Sentencia comentada declara, en especial, que la empresa creadora de perfiles debe facilitar al consumidor interesado una información pertinente, concisa, transparente, inteligible y de fácil acceso. En el caso litigioso, D&B estaría obligada a explicar al consumidor CK la información significativa sobre la lógica aplicada a las decisiones automatizadas de solvencia que le afectaron en forma concisa, transparente, inteligible y de fácil acceso el procedimiento y los principios en virtud de los cuales se obtuvo el resultado de la elaboración del perfil «real».
2. La autoridad de control o el órgano jurisdiccional competente deben valorar en qué medida una negativa de la empresa de calificación crediticia a proporcionar la anterior información al interesado esta justificada por incluir datos de terceros protegidos el RGPDP o secretos comerciales protegidos por la Directiva (UE) 2016/943
La segunda declaración del TJUE dice: “El artículo 15, apartado 1, letra h), del Reglamento 2016/679 debe interpretarse en el sentido de que, en el supuesto de que el responsable del tratamiento considere que la información que ha de facilitarse al interesado con arreglo a esa disposición incluye datos de terceros protegidos por dicho Reglamento o secretos comerciales, en el sentido del artículo 2, punto 1, de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas, ese responsable debe comunicar tal información supuestamente protegida a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión a efectos de determinar el alcance del derecho de acceso del interesado previsto en el artículo 15 del citado Reglamento”.
Esta segunda declaración parte de la interpretación que hace el TJUE de la Directiva (UE) 2016/943 (Directiva de secretos comerciales). En particular, de su art.2.1 que define el “secreto comercial” como “la información que reúna todos los requisitos siguientes: a) ser secreta en el sentido de no ser, en su conjunto o en la configuración y reunión precisas de sus componentes, generalmente conocida por las personas pertenecientes a los círculos en que normalmente se utilice el tipo de información en cuestión, ni fácilmente accesible para estas; b) tener un valor comercial por su carácter secreto; c) haber sido objeto de medidas razonables, en las circunstancias del caso, para mantenerla secreta, tomadas por la persona que legítimamente ejerza su control”. Y de su art. 9 que establece la “preservación de la confidencialidad de los secretos comerciales durante el proceso judicial”.
Esta segunda declaración se fundamenta los apartados 67 a 77 de la Sentencia de los que podemos deducir los postulados siguientes:
a) El derecho del interesado a obtener información no es un derecho absoluto, sino que debe mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. En particular, el RGPD respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos por la Carta, consagrados en los Tratados. [sentencia de 26 de octubre de 2023, FT (Copias de la historia clínica), C‑307/22, EU:C:2023:811, apartado 59 y jurisprudencia citada]”.
b) La empresa calificadora puede negarse a proporcionar al interesado aquella información cuando constate que existe un conflicto entre, por un lado, el ejercicio del derecho de acceso pleno y completo a los datos personales y, por otro, los derechos o libertades de otros (por ejemplo, los derechos de los creadores y las empresas al secreto industrial. Incluso en estos casos y siempre que sea posible, ha de optarse por modalidades de comunicación de datos personales que no vulneren los derechos o libertades de otros.
c) Será la autoridad de control o al órgano jurisdiccional competente quienes estarán facultados para ponderar los derechos e intereses en conflicto porque resultará preciso realizar tal determinación atendiendo a las circunstancias de cada caso. Por ejemplo, cuando dicho acceso comprometa un secreto comercial o un secreto empresarial del responsable del tratamiento o de un tercero.
E) Reflexión final: La protección del consumidor ante la utilización abusiva de la inteligencia artificial y la responsabilidad de las empresas que operan los sistemas de inteligencia artificial y las empresas que utilizan sus clasificaciones de solvencia para decidir contratar o no con el consumidor calificado
La Sentencia que comentamos plantea el problema esencial, de importancia creciente, de la protección del consumidor ante la utilización abusiva de los sistemas de inteligencia artificial de evaluación automatizada de su solvencia generados por operadores de esos sistemas para acceder -o no- a celebrar contratos de suministros esenciales con terceras empresas (de electricidad, de agua, et., etc.) que delegan en las operadoras de inteligencia artificial la selección automatizada de clientela; con los consiguientes problemas de responsabilidad compartida que pueden generarse en estos casos de exteriorización de servicios.
En el caso de la Sentencia comentada, sus apartados 38 a 66 de la Sentencia dibujan un mecanismo propio de los sistemas de inteligencia artificial: de entrada de datos, su procesamiento algorítmico y su salida en forma de resultado aplicable (en el caso litigioso, una calificación defectuosa de insolvencia de un consumidor que le impidió el acceso a un contrato de telefonía móvil) tal y como se define en el art.3.1) de la LEIA como “un sistema basado en una máquina diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar información de salida, como predicciones, contenidos, recomendaciones o decisiones, que puede influir en entornos físicos o virtuales”. Que la Comunicación descompone en siete factores principales que son: “(1) un sistema basado en máquinas; (2) que está diseñado para operar con distintos niveles de autonomía; (3) que puede mostrar capacidad de adaptación tras su despliegue; (4) y que, para objetivos explícitos o implícitos; (5) infiere, a partir de la entrada que recibe, cómo generar salidas (6) como predicciones, contenidos, recomendaciones o decisiones (7) que pueden influir en entornos físicos o virtuales” (aptdo.9). (el lector interesado puede consultar la entrada de este blog del día 19 de febrero pasado sobre la “Inteligencia artificial. Los siete factores capitales de la noción de sistema de IA en la Ley Europea de Inteligencia Artificial: Directrices de 6 de febrero de 2025 de la Comisión Europea sobre la definición de sistema de inteligencia artificial”).