Si una empresa te deniega un crédito, un seguro, un empleo o un servicio mediante un sistema automático sin que ninguna persona revise realmente tu caso, el art. 22 del RGPD te da derecho a que intervenga una persona, a dar tu punto de vista y a impugnar la decisión. También puedes exigir que te explique cómo se llegó al resultado: el Tribunal de Justicia de la UE ha dicho que eso incluye el procedimiento y los principios aplicados en concreto a tus datos (STJUE de 27 de febrero de 2025, C-203/22). La empresa tiene un mes para contestarte.
Cuándo se aplica el art. 22 del RGPD
El derecho a no ser objeto de una decisión automatizada exige dos cosas: que la decisión se base únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, y que produzca efectos jurídicos sobre ti o te afecte significativamente de modo similar (art. 22.1). Una denegación de préstamo, el rechazo automático de una candidatura o la baja de una cuenta de la que vives pueden encajar en esa descripción.
La ley admite estas decisiones en tres casos: cuando son necesarias para celebrar o ejecutar un contrato contigo, cuando una ley las autoriza con garantías o cuando das tu consentimiento explícito (art. 22.2). En los casos de contrato y consentimiento, la empresa debe garantizarte como mínimo el derecho a obtener intervención humana, a expresar tu punto de vista y a impugnar la decisión (art. 22.3). Y no puede basarlas en datos de salud, origen étnico, ideología u otras categorías especiales salvo consentimiento explícito o interés público esencial, con garantías (art. 22.4).
Que al final firme una persona no significa que la decisión no sea automatizada. En el caso SCHUFA, el TJUE consideró que la puntuación de solvencia que calcula una agencia de información crediticia ya es una decisión automatizada cuando el banco que la recibe se apoya en ella de manera determinante para conceder o denegar el préstamo (STJUE de 7 de diciembre de 2023, C-634/21).
Dónde te lo vas a encontrar
| Ámbito | Qué puedes exigir | Norma |
|---|---|---|
| Crédito y ficheros de solvencia | Revisión humana, tu versión e impugnación; explicación de la puntuación | Art. 22 RGPD; C-634/21. La Directiva (UE) 2023/2225 añade un derecho específico a la intervención humana en la evaluación de solvencia (art. 18.8), que los Estados deben aplicar desde el 20-11-2026; a octubre de 2026 no se ha publicado en el BOE la norma española que la incorpora |
| Trabajo | Que la empresa informe al comité de los parámetros y reglas de los algoritmos que afectan a las condiciones de trabajo, al empleo y a la elaboración de perfiles | Art. 64.4.d del Estatuto de los Trabajadores (Ley 12/2021) |
| Plataformas de trabajo | Explicación de cada decisión automatizada, persona de contacto y revisión en dos semanas | Art. 11 de la Directiva (UE) 2024/2831, que debe incorporarse a más tardar el 2-12-2026 |
| Administraciones públicas | Saber qué órgano responde de la actuación automatizada para poder impugnarla | Art. 41 de la Ley 40/2015; art. 23 de la Ley 15/2022 |
El derecho a saber cómo decidió el sistema
Cuando hay una decisión automatizada, el derecho de acceso incluye «información significativa sobre la lógica aplicada» y sobre la importancia y las consecuencias previstas del tratamiento (art. 15.1.h RGPD); la empresa debe darte esa misma información cuando recoge tus datos o, si los obtiene de otra fuente, cuando te informa (arts. 13.2.f y 14.2.g). En el asunto Dun & Bradstreet Austria, el TJUE precisó que no basta con entregar una fórmula matemática ni con describir todas las etapas del proceso: hay que explicar, de forma concisa e inteligible, el procedimiento y los principios aplicados concretamente para obtener tu resultado. Si la empresa alega secretos comerciales o datos de terceros, no puede negarse sin más: debe entregar esa información a la autoridad de control o al juez, que decidirán hasta dónde llega tu acceso (C-203/22).
Cómo pedirlo y qué hacer si no responden
- Escribe al delegado de protección de datos o a la dirección de privacidad de la empresa, con prueba de envío.
- Pregunta si la decisión se tomó únicamente por medios automatizados y pide la información del art. 15.1.h sobre tu caso.
- Pide que una persona revise la decisión, expón tu punto de vista y aporta lo que el sistema no tuvo en cuenta (art. 22.3).
- Cuenta un mes desde que reciben tu escrito; pueden prorrogarlo dos meses más si te avisan dentro del primero (art. 12.3).
- Si no contestan o contestan con generalidades, reclama ante la AEPD (art. 77). Si la decisión te causó un perjuicio, cabe pedir indemnización (art. 82), aunque hay que probar el daño (STJUE de 4 de mayo de 2023, C-300/21).
Qué incluir en tu escrito: la decisión concreta y su fecha, tus datos de cliente o candidato, la petición expresa de intervención humana, tu versión de los hechos y la solicitud de la información sobre la lógica aplicada, citando los arts. 15.1.h y 22 del RGPD y la sentencia C-203/22. Guarda copia de todo.
Lo que añade el Reglamento de inteligencia artificial
El Reglamento (UE) 2024/1689 clasifica como de alto riesgo los sistemas de IA que evalúan la solvencia, fijan precios en seguros de vida y salud o seleccionan y gestionan personal (anexo III). Quien los use para decidir sobre personas deberá informarlas (art. 26.11) y, si la decisión las perjudica, explicarles el papel que tuvo el sistema (art. 86). Tras el Reglamento (UE) 2026/1744, las obligaciones de los sistemas de alto riesgo del anexo III se aplican a partir del 2 de diciembre de 2027; mientras tanto, la herramienta es el RGPD. Lo explicamos en tus derechos ante la inteligencia artificial.
Preguntas que nos hacéis cada semana
¿Me tienen que avisar de que decide una máquina?
Sí. Al recoger tus datos, la empresa debe informarte de la existencia de decisiones automatizadas y de la lógica aplicada (arts. 13.2.f y 14.2.g RGPD).
¿Pueden negarse a explicármelo alegando secreto comercial?
No pueden negarse sin más. Según el TJUE, deben trasladar esa información a la AEPD o al juez para que ponderen tus derechos y los suyos (C-203/22).
¿Puedo oponerme a que me hagan un perfil?
Si el perfil se basa en el interés legítimo de la empresa, puedes oponerte por motivos de tu situación particular; si es para publicidad, puedes oponerte siempre (art. 21 RGPD).
Me han denegado un préstamo y estoy en un fichero de morosos. ¿Por dónde empiezo?
Pide a la entidad y al fichero el acceso a tus datos y a la lógica de la puntuación. Si la deuda anotada no es correcta, lo explicamos en estoy en ASNEF.
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Tus derechos de protección de datos
→ Reclamar ante la AEPD paso a paso
→ Inteligencia artificial: tus derechos
→ Control del empresario y tecnología
→ Los plazos de la galaxia digital
Marco legal: arts. 12.3, 13.2.f, 14.2.g, 15.1.h, 21, 22, 77 y 82 del RGPD · STJUE de 4 de mayo de 2023 (C-300/21), de 7 de diciembre de 2023 (C-634/21, SCHUFA) y de 27 de febrero de 2025 (C-203/22, Dun & Bradstreet Austria) · art. 64.4.d del Estatuto de los Trabajadores · art. 41 de la Ley 40/2015 · art. 23 de la Ley 15/2022 · art. 18.8 de la Directiva (UE) 2023/2225 · art. 11 de la Directiva (UE) 2024/2831 · arts. 26.11, 86 y 113 y anexo III del Reglamento (UE) 2024/1689, modificado por el Reglamento (UE) 2026/1744. Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.