Asunto C‑203/22

CK

contra

Magistrat der Stadt Wien

(Petición de decisión prejudicial planteada por el Verwaltungsgericht Wien)

Sentencia del Tribunal de Justicia (Sala Primera) de 27 de febrero de 2025

«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 15, apartado 1, letra h) — Decisiones automatizadas, incluida la elaboración de perfiles — “Scoring” — Apreciación de la solvencia de una persona física — Acceso a la información significativa sobre la lógica aplicada a la elaboración de perfiles — Verificación de la exactitud de la información facilitada — Directiva (UE) 2016/943 — Artículo 2, punto 1 — Secreto comercial — Datos personales de terceros»

1. Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho de acceso del interesado a sus datos objeto de tratamiento — Decisiones automatizadas, incluida la elaboración de perfiles — Derecho de acceso a la información significativa sobre la lógica aplicada a la elaboración de perfiles — Alcance

   [Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 12, ap. 1, 15, aps. 1, letra h), y 3, y 22, aps. 1 y 3]

   (véanse los apartados 40 a 43, 47, 48, 50, 58, 59, 61, 62 y 66 y el punto 1 del fallo)

2. Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho de acceso del interesado a sus datos objeto de tratamiento — Decisiones automatizadas, incluida la elaboración de perfiles — Derecho de acceso a la información significativa sobre la lógica aplicada a la elaboración de perfiles — Respeto de los derechos y libertades de terceros — Derecho a la protección de los datos personales de terceros o de los secretos comerciales — Ponderación de los derechos e intereses en conflicto por la autoridad de control o el órgano jurisdiccional competente

   [Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerando 63 y art. 15, ap. 1, letra h); y Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, art. 2, ap. 1]

   (véanse los apartados 72 a 76 y el punto 2 del fallo)

Resumen

El Tribunal de Justicia, que conoce de una petición de decisión prejudicial planteada por el Verwaltungsgericht Wien (Tribunal Regional de lo Contencioso-Administrativo de Viena, Austria), desarrolla su jurisprudencia relativa a los derechos de las personas afectadas por la elaboración de perfiles con el fin de evaluar su solvencia. ( 1 ) Por una parte, precisa los límites del derecho de acceso de los interesados a la información relativa al tratamiento de sus datos. Por otra parte, se pronuncia sobre la ponderación de ese derecho con el derecho a la protección de los datos de terceros o de los secretos comerciales.

Un operador de telefonía móvil denegó a CK la celebración o prórroga de un contrato de telefonía móvil. Esta negativa se basaba en una evaluación crediticia realizada de forma automatizada por D & B, empresa especializada en la realización de evaluaciones crediticias.

Mediante su resolución, la autoridad austriaca de protección de datos, ordenó a D & B que facilitara a CK información significativa sobre la lógica aplicada a la adopción de una decisión automatizada basada en datos personales de esta última. El recurso interpuesto por D & B contra esta resolución fue desestimado mediante resolución de 23 de octubre de 2019 por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria). Ahora bien, el Magistrat der Stadt Wien (Administración Municipal de Viena, Austria) ha desestimado la solicitud de ejecución forzosa de esa resolución presentada por CK.

El órgano jurisdiccional remitente, que conoce del recurso interpuesto por CK contra la resolución de dicha Administración Municipal, solicita al Tribunal de Justicia que aclare el alcance de la información que debe facilitarse al interesado para garantizar plenamente su derecho de acceso previsto por el Reglamento General de Protección de Datos. ( 2 ) Asimismo, solicita al Tribunal de Justicia que precise en qué medida la excepción basada en la existencia de un secreto comercial puede restringir ese derecho de acceso.

Apreciación del Tribunal de Justicia

En primer lugar, al aclarar el derecho de la persona afectada por una decisión automatizada, incluida la elaboración de perfiles, de acceder a la «información significativa sobre la lógica aplicada», en el sentido del artículo 15, apartado 1, letra h) del RGPD, el Tribunal de Justicia, sobre la base de las diferentes versiones lingüísticas de esta disposición, considera que su tenor se refiere a toda información pertinente relativa al procedimiento y a los principios de explotación, automatizada, de datos personales con el fin de obtener un resultado determinado.

A continuación, el Tribunal de Justicia señala que la interpretación contextual de esta misma disposición del RGPD corrobora su interpretación literal y que, además, la obligación de transparencia que se aplica a todos los datos e información, incluidos los relativos a decisiones automatizadas, ( 3 ) exige que esa información se facilite en forma concisa, transparente, inteligible y de fácil acceso.

Asimismo, el Tribunal de Justicia subraya que del examen de las finalidades del RGPD y, en particular, de las de su artículo 15, apartado 1, letra h), se deriva que el derecho a obtener «información significativa sobre la lógica aplicada» a decisiones automatizadas, en el sentido de esta disposición, debe entenderse como un derecho a la explicación del procedimiento y de los principios concretamente aplicados para explotar, de forma automatizada, los datos personales del interesado con el fin de obtener un resultado determinado, como un perfil de solvencia. Para permitir al interesado ejercer de manera eficaz los derechos que le reconoce el RGPD, ( 4 ) esta explicación debe facilitarse por medio de información pertinente y en forma concisa, transparente, inteligible y de fácil acceso. Ni la mera comunicación de una fórmula matemática compleja, como un algoritmo, ni la descripción detallada de todas las etapas de la adopción de una decisión automatizada cumple tales requisitos, en la medida en que ninguna de estas modalidades puede considerarse una explicación suficientemente concisa e inteligible.

El Tribunal de Justicia concluye que la «información significativa sobre la lógica aplicada» a decisiones automatizadas, en el sentido del artículo 15, apartado 1, letra h), del RGPD, debe describir el procedimiento y los principios concretamente aplicados de tal manera que el interesado pueda comprender cuáles de sus datos personales se han utilizado y cómo se han utilizado en la adopción de la decisión automatizada, sin que la complejidad de las operaciones que deban realizarse para la adopción de una decisión automatizada pueda exonerar al responsable del tratamiento de su deber de explicación.

Precisa, por lo que respecta específicamente a una elaboración de perfiles como la del presente asunto, que el órgano jurisdiccional remitente podría estimar, en particular, suficientemente transparente y comprensible el hecho de informar al interesado de la medida en que una variación a nivel de los datos personales tenidos en cuenta habría conducido a un resultado diferente.

En segundo lugar, en cuanto atañe a la ponderación del derecho de acceso garantizado por el RGPD y el derecho a la protección de los datos de terceros o de los secretos comerciales ( 5 ), el Tribunal de Justicia comienza recordando su jurisprudencia según la cual un órgano jurisdiccional nacional puede considerar que se le deben comunicar datos personales de las partes o de terceros para poder ponderar los intereses en juego con pleno conocimiento de causa y respetando el principio de proporcionalidad. Esta apreciación puede llevarle, en su caso, a autorizar la divulgación total o parcial a la parte contraria de los datos personales que le hayan sido comunicados, si considera que tal divulgación no va más allá de lo necesario para garantizar el disfrute efectivo de los derechos que el artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea confiere a los justiciables. ( 6 )

A continuación, señala que esta jurisprudencia es plenamente extrapolable al supuesto en el que la información que debe facilitarse al interesado en virtud del derecho de acceso garantizado por el artículo 15, apartado 1, letra h), del RGPD pueda dar lugar a una vulneración de los derechos y libertades de otros, en particular por contener datos personales de terceros protegidos por ese Reglamento o bien un secreto comercial. En este supuesto también, la referida información debe comunicarse a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión para determinar el alcance del derecho de acceso del interesado a los datos personales que le conciernen.

Constata que, habida cuenta de la necesidad de realizar tal determinación atendiendo a las circunstancias de cada caso, el artículo 15, apartado 1, letra h), del RGPD se opone, en particular, a la aplicación de una disposición nacional, que excluye, en principio, el derecho de acceso del interesado cuando dicho acceso comprometa un secreto comercial o un secreto empresarial del responsable del tratamiento o de un tercero. A este respecto, el Tribunal de Justicia recuerda que un Estado miembro no puede establecer con carácter definitivo el resultado de la ponderación que debe hacerse en cada caso de los derechos e intereses en conflicto exigida por el Derecho de la Unión. ( 7 )

En conclusión, el Tribunal de Justicia ha declarado que el artículo 15, apartado 1, letra h), del RGPD debe interpretarse en el sentido de que, en el supuesto de que el responsable del tratamiento considere que la información que ha de facilitarse al interesado con arreglo a esa disposición incluye datos de terceros protegidos por dicho Reglamento o secretos comerciales, ese responsable debe comunicar tal información supuestamente protegida a la autoridad de control o al órgano jurisdiccional competente, a los que corresponde ponderar los derechos e intereses en cuestión a efectos de determinar el alcance del derecho de acceso del interesado previsto en el artículo 15 del RGPD.

( 1 ) Sentencia de 7 de diciembre de 2023, SCHUFA Holding y otros (Scoring) (C‑634/21, EU:C:2023:957).

( 2 ) Artículo 15, apartado 1, letra h), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), (JO 2016, L 119, p. 1; en lo sucesivo «RGPD»).

( 3 ) Contempladas en el artículo 12, apartado 1, del RGPD.

( 4 ) En particular, el artículo 22, apartado 3, del RGPD.

( 5 ) En el sentido del artículo 2, punto 1, de la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO 2016, L 157, p. 1).

( 6 ) Sentencia de 2 de marzo de 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, apartado 58.

( 7 ) Véase, en este sentido, la sentencia de 7 de diciembre de 2023, SCHUFA Holding y otros (Scoring) (C‑634/21, EU:C:2023:957, apartado 70 y jurisprudencia citada).