El derecho a conocer los algoritmos utilizados en la toma de decisiones. Aproximación desde la perspectiva del derecho fundamental a la protección de datos personales

UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES. APROXIMACIÓN DESDE LA PERSPECTIVA DEL DERECHO FUNDAMENTAL A LA PROTECCIÓN DEDATOS PERSONALES MANUEL MEDINA GUERRERO Catedrático de Derecho Constitucional Universidad de Sevilla TRC, n.º49, 2022, pp.141-171 ISSN 1139-5583 Sumario Introducción. I. El derecho a saber y a ser informado del tratamiento de datos como elemento integrante del derecho fundamental a la protección de datos personales. II. El acceso a la información sobre los algoritmos en el RGPD. III.Consideraciones finales: Sobre la explicabilidad y la rendición de cuentas de las decisiones automatizadas. INTRODUCCIÓN Hemos asistido en los últimos tiempos a una creciente utilización de la inteligencia artificial y de los algoritmos en la toma de decisiones tanto en el ámbito público como en el privado. Pero las indudables ventajas que, en términos de eficacia y economía, supone el empleo de sistemas de decisiones automatizadas basadas en algoritmos no pueden soslayar los riesgos que conllevan para los derechos e intereses de la ciudadanía; riesgos que se condensan en el temor genérico a que el ser humano se convierta en un mero objeto de los programas informáticos. De ahí que desde hace algunos años se haya alertado de la necesidad de avanzar en la rendición de cuentas de estos procesos de toma de decisiones automatizadas —singularmente opacos cuando de algoritmos de aprendizaje automático se trata—, a fin de asegurar que los ciudadanos estén en condiciones de supervisar UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 142 MANUEL MEDINA GUERRERO las decisiones que les afecten. Y, como paso previo prácticamente imprescindible para que este control sea efectivo, es condición sine qua non asegurar un adecuado suministro de información sobre los algoritmos utilizados al respecto. El objetivo de las siguientes páginas reside precisamente en examinar si y en qué medida existe un derecho a conocer tales algoritmos que pueda anclarse en el texto constitucional. Más concretamente, lo que se pretende es determinar si un derecho de tal naturaleza puede considerarse integrante del contenido materialmente protegido por el derecho fundamental a la protección de datos personales. Naturalmente, el derecho de acceso a la información pública configurado en la Ley 19/2013, de 9 de diciembre, abre también una importante vía —a menudo complementaria— para conocer los algoritmos cuando se emplean para la toma de decisiones en el sector público. Pero no es éste el espacio ni la ocasión para afrontar el tema bajo el enfoque de este derecho de configuración legal1, por lo que nos ceñiremos a abordarlo desde la perspectiva del derecho fundamental ex art.18.4 CE. I. EL DERECHO A SABER Y A SER INFORMADO SOBRE EL TRATAMIENTO DE DATOS COMO ELEMENTO INTEGRANTE DEL DERECHO FUNDAMENTAL A LA PROTECCIÓN DE DATOS PERSONALES Que el derecho a la información sobre el tratamiento de datos personales forma parte del contenido constitucionalmente protegido del derecho fundamental del artículo 18.4 CE, es cosa indiscutida frecuentemente reiterada por la jurisprudencia del TC desde el momento mismo en que le reconoció su naturaleza de derecho fundamental autónomo. Sencillamente, el acceso a la información se concibe como un integrante consustancial y, por ende, indispensable sin el cual deviene mera apariencia el poder de disposición y control sobre los propios datos que constituye la esencia de este derecho fundamental2. Así se argumentó ya en términos inequívocos en la STC 292/2020: «[…] el derecho a la protección de datos atribuye a su titular un haz de facultades consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos, que no se contienen en el derecho fundamental a la intimidad, y que sirven a la capital función que desempeña este derecho fundamental: garantizar a la persona un poder de control sobre sus datos personales, lo que sólo es posible y 1 Sobre este enfoque, véase Cerrillo I Martínez, A., «La transparencia de los algoritmos que utilizan las administraciones públicas», Anuario de Transparencia Local 3/2020, Fundación Democracia y Gobierno Local, 2021, pp.41-78; Gutiérrez David, M. E., «Administraciones inteligentes y acceso al código fuente y los algoritmos públicos. Conjurando riesgos de cajas negras decisionales», Derecom, 30, 2021 (https://www. derecom.com/derecom/) 2 Por todos, Lucas Murillo De La Cueva, P., El derecho a la autodeterminación informativa, Tecnos, Madrid, 1990. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 143 efectivo imponiendo a terceros los mencionados deberes de hacer. A saber: el derecho a que se requiera el previo consentimiento para la recogida y uso de los datos personales, el derecho a saber y ser informado sobre el destino y uso de esos datos y el derecho a acceder, rectificar y cancelar dichos datos. En definitiva, el poder de disposición sobre los datos personales» (FJ 6.º). Pero —como se apostillaría en este mismo fundamento jurídico— «ese poder de disposición sobre los propios datos personales nada vale si el afectado desconoce qué datos son los que se poseen por terceros, quiénes los poseen y con qué fin»3. Delimitación del contenido de este derecho fundamental que, con base en el mandato hermenéutico del art.10.2 CE, el TC apoyó —en lo que interesa a efectos de este trabajo— en la entonces vigente Directiva 95/46 y en la Carta de Derechos Fundamentales de la Unión Europea, cuyo artículo 8 en su apartado segundo reconoce explícitamente que «[t]oda persona tiene derecho a acceder a los datos recogidos que le conciernan…» (STC 292/2000, FJ 8.º). 1. La función del Reglamento General de Protección de Datos en la configuración del derecho fundamental La sustitución de dicha Directiva por el Reglamento general de protección de datos4 (en adelante, RGPD) —que, salvo en las cláusulas de apertura expresamente previstas, contiene un prácticamente acabado régimen jurídico del derecho consagrado en el artículo 8 de la Carta— ha supuesto un cambio sustantivo al respecto, toda vez que la regulación del mismo ahora se halla completamente armonizada bajo el Derecho de la Unión Europea. Y, obviamente, el papel del RGPD en la determinación del alcance del derecho fundamental anclado en el art.18.4 CE excede con creces la función interpretativa ex art.10.2 CE que hasta entonces cabía atribuir a la derogada Directiva. En efecto, tal y como se ha cuidado de subrayar la STC 76/2019 (FJ 3.º), al tratarse de un acto jurídico «obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro», toda controversia o duda sobre el alcance de este derecho fundamental ha de sustanciarse y resolverse de 3 En la coetánea STC 290/2020 ya se había adelantado que este autónomo derecho fundamental «garantiza a la persona un poder de control y disposición sobre sus datos personales. Pues confiere a su titular un haz de facultades que son elementos esenciales del derecho fundamental a la protección de los datos personales, integrado por los derechos que corresponden al afectado a consentir la recogida y el uso de sus datos personales y a conocer los mismos. Y para hacer efectivo ese contenido, el derecho a ser informado de quién posee sus datos personales y con qué finalidad, así como el derecho a oponerse a esa posesión y uso exigiendo a quien corresponda que ponga fin a la posesión y empleo de tales datos. En suma, el derecho fundamental comprende un conjunto de derechos que el ciudadano puede ejercer frente a quienes sean titulares, públicos o privados, de ficheros de datos personales, partiendo del conocimiento de tales ficheros y de su contenido, uso y destino, por el registro de los mismos» (FJ 7.º). 4 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 144 MANUEL MEDINA GUERRERO acuerdo con lo dispuesto por el RGPD, de tal suerte que el operador jurídico debe acordar la inaplicación de la normativa interna que lo contradiga5. Así, pues, desde la aprobación del RGPD, el desarrollo normativo y, por tanto, la configuración del derecho fundamental ex art.18.4 CE no recae en línea de principio en las Cortes Generales, sino en el legislador europeo. Como señalaría en términos gráficos un antiguo director de la AEPD, con ello se consumaba «la abducción de un derecho constitucional convertido en un derecho exclusivamente europeo»6. Por consiguiente, al tratarse ya de un «derecho directa y principalmente regulado por una norma europea»7, la función que está llamada a desempeñar la ley orgánica es la de mero «complemento»8 de aquélla. El contenido inicialmente protegido por «nuestro» derecho fundamental ex art.18.4 CE, así como su sistema de límites y de «límites de los límites» quedan por tanto configurados en el RGPD (o, cuando menos, «prefigurados», a la vista de las «cláusulas de apertura» a las que pronto haremos mención). En suma, con independencia del «contenido mínimo» que pueda inferirse directamente del texto constitucional interpretando el artículo 18.4 a la luz del art.10.2 CE (STC 254/1993, FJ 6.º; STC 292/2000, FFJJ 7-8), el «contenido total» tutelado prima facie por este derecho fundamental es lo que el RGPD dice que es. Por lo tanto, para determinar si el acceso a los algoritmos forma parte —o no— del haz de derechos, facultades, posibilidades de actuación y garantías integrantes del contenido protegido de nuestro derecho fundamental a la protección de datos personales, es obligado partir del análisis del RGPD. 5 La posición de nuestro TC aún se encuentra alejada de la asumida por el Tribunal Constitucional Federal alemán, según la cual, cuando el ámbito material afectado se halla completamente armonizado bajo el Derecho de la Unión Europea, no es el correspondiente precepto de la Grundgesetz que consagra el derecho la norma que utiliza como parámetro para resolver los amparos planteados al respecto, sino directamente la Carta de Derechos Fundamentales de la Unión Europea. Posición que, adoptada inicialmente con claridad por la Sala primera en un asunto relativo al derecho a la protección de datos personales (Sentencia de 6 de noviembre de 2019 —1 BvR 276/17—, la conocida como Derecho al olvido II), ha terminado asimismo consolidándose en la Sala segunda (así, por ejemplo, la Sentencia de 27 de abril de 2021 —2 BvR 206/14—). Como apunta Cruz Villalón sintetizando el sentido de la referida Sentencia Derecho al olvido II, «en las situaciones en las que, por defecto, el derecho de la Unión regula acabadamente una materia, la consecuencia ineluctable es que los derechos de la CDF desplazan enteramente a los derechos fundamentales nacionales concernidos. Es aquí donde Karlsruhe, por medio de Derecho al olvido II engancha el cambio jurisprudencial que nos viene ocupando: la regulación acabada de una materia por el derecho de la Unión tiene ciertamente la consecuencia de desplazar a los derechos fundamentales de la Grundgesetz, pero, a diferencia de lo que se venía entendiendo hasta ahora, y esta es la gran proclamación, no tiene la consecuencia de desplazar la jurisdicción del Tribunal Constitucional Federal» [«¿Una forma de cooperación judicial no reclamada? Sobre la extensión del amparo a la Carta de Derechos Fundamentales de la UE», Anuario Iberoamericano de Justicia Constitucional, 25(1), 2021, p.71. doi:https://doi.org/10.18042/cepc/aijc.25.03]. 6 Rallo Lombarte, A., «El nuevo derecho de protección de datos», Revista Española de Derecho Constituciona, 116, 2019, p.50. 7 García Mahamut, R., «Encuesta sobre la protección de datos personales», Teoría y Realidad Constitucional, n.º46, 2020, p.73. 8 Lucas Murillo De La Cueva, P., «Encuesta sobre la protección de datos personales», Teoría y Realidad Constitucional, n.º46, 2020, p.40. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 145 Ahora bien, dicho lo anterior, en modo alguno cabe llegar a la conclusión de que el RGPD cierre el paso a toda posibilidad de que la legislación de los Estados miembros participe en la configuración última de este derecho fundamental9. Es cierto que la normativa interna está llamada en principio a desempeñar una función secundaria y absolutamente supeditada a lo dispuesto en el RGPD; y así lo reconoce explícitamente —como no podía ser de otra manera— la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, al comenzar señalando en su artículo 1 a) que su objeto es «[a]daptar el ordenamiento jurídico española al Reglamento (UE) 2016/679… y completar sus disposiciones». Pero no es menos verdad que son tantas las cláusulas de apertura que jalonan su articulado que, desde el principio, se consideró que su apariencia era una suerte de híbrido entre Reglamento y Directiva10. Así sucede con la «cláusula de apertura general» del artículo 23 RGPD, que atribuye a los Estados miembros la capacidad de concretar el alcance de los límites de los derechos de los interesados que el Capítulo III consagra11. Y así ocurre también en algunos aspectos atinentes más específicamente al tema que nos ocupa. La legislación nacional puede, bajo determinadas condiciones, acordar la inaplicación del deber de información del responsable cuando los datos no se hayan obtenido del interesado [art.14.5.c)]. Y muy especialmente, además de los supuestos expresamente mencionados en el art.22.2 RGPD [a) y c)], los Estados miembros están autorizados para determinar cuándo se puede adoptar decisiones totalmentes automatizadas; y gozan de cierto margen de maniobra para establecer «las medidas adecuadas para salvaguardar los derechos e intereses legítimos del interesado», que el RGPD exige en aquellos casos excepcionales en que se considera legítima la toma de decisiones exclusivamente automatizadas por parte del responsable [art.22.2.b), 22.3 y 22.4]12. En consecuencia, el RGPD deja cierto espacio al legislador orgánico para la concretización última del derecho fundamental a la protección de datos en lo 9 Véase al respecto García Mahamut, R., «Del Reglamento General de Protección de Datos a la Ley Orgánica 3/2018 de Datos Personales y garantías de los derechos digitales», en García Mahamut/Tomás Mallén (eds.), El Reglamento General de Protección de Datos. Un enfoque nacional y comparado, Tirant lo Blanch, Valencia, 2019, pp.101-102. 10 Kühling, J./Martini, M., «Die Datenschutz-Grundverordnung: Revolution oder Evolution im europäischen und deutschen Datenschutzrecht?», EuZW 2016 [he utilizado la versión disponible en: https:// www.uni-speyer.de/fileadmin/Lehrstuehle/Martini/2016_Kuhling-Martini-DSGVO-Typoskript.pdf] 11 Efectivamente, una de las más importantes «cláusulas de apertura» contenidas en el RGPD afecta precisamente a los límites de los derechos de los afectados, pues su art.23 autoriza a los Estados miembros que puedan acordar su limitación para salvaguardar determinados bienes e intereses jurídicos, pero sometiendo su libertad de configuración sobre el particular a los tradicionales «límites de los límites» de los derechos fundamentales existentes en la órbita europea: respeto del contenido esencial y del principio de proporcionalidad (primer apartado del artículo 23). 12 Sobre la utilización de este margen de maniobra por parte de los diferentes legisladores nacionales, véase Roig I Batalla, A., Las garantías frente a las decisiones automatizadas: del Reglamento General de Protección de Datos a la gobernanza algorítmica, Bosch, Barcelona, 2020, pp.85-89. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 146 MANUEL MEDINA GUERRERO concerniente a la tutela frente a la toma de decisiones automatizadas. Espacio que, sin embargo, no ha sido aprovechado por la LO 3/2018, que se circunscribe en este extremo a remitirse al art.22 RGDP13. Y lo hace además de un modo que no contribuye a favorecer la virtualidad del derecho, toda vez que la remisión se hace en el artículo 18, cuyo título se refiere exclusivamente al «Derecho de oposición». Esta desafortunada formulación del legislador orgánico ciertamente resta visibilidad al derecho a no ser objeto de decisiones automatizadas14. Y tampoco cabe apreciar en la LO 3/2018 ninguna aportación reseñable en relación con el régimen de transparencia y el derecho de acceder a la información sobre el asunto que nos ocupa15. Nuestro examen debe, pues, ceñirse a lo dispuesto en la normativa europea. O, para ser más exactos, será el análisis del RGPD lo que concentrará nuestra atención en las siguientes páginas, ya que la regulación europea en materia de protección de datos no se agota con este Reglamento. 2. La específica regulación europea del tratamiento de datos en materia penal: Referencia a la Directiva (UE) 2016/680 En efecto, el tratamiento de datos en asuntos penales queda extramuros del ámbito de aplicación material del RGPD [art.2.2.d)], pues su regulación se acomete en la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos. Aunque lo limitado del espacio nos impide abordar frontalmente el examen de esta Directiva y de la Ley Orgánica 7/2021, aprobada para su transposición, alguna mención incidental a las mismas a lo largo del texto para remarcar las diferencias que, por razones obvias, mantienen en materia de transparencia respecto del régimen establecido en el RGPD16. 13 Falta de desarrollo que se ha considerado «un tanto sorprendente» respecto de la concreción de las garantías mencionadas en el art.22.2.b) RGPD (Palma Ortigosa, A., «Decisiones automatizadas en el RGPD. El uso de algoritmos en el contexto de protección de datos», Revista General de Derecho Administrativo, 50, 2019, p.19). 14 Sancho Villa, D., «Las decisiones individuales automatizadas, incluida la elaboración de perfiles (comentario al artículo 22 RGPD)», en Comentario al Reglamento General de Protección de Datos y a la Ley Orgánica de protección de los datos personales y garantía de los derechos digitiales (Troncoso Reigada, A., dir.) Tomo I, Civitas/Thomson Reuters, Cizur Menor, 2021, p.1729. 15 En efecto, los arts. 11 y 13 de la LO 3/2018 no aportan nada sobre este tema que no esté ya en los arts. 13, 14 y 15 RGPD. 16 Para más detalles, Carazo Liébana, M. J., «Algunos apuntes sobre los instrumentos jurídicos adoptados por el Consejo de Europa y la Unión Europea en la protección de datos en asuntos de seguridad nacional, policía y justicia penal», en La lucha contra el terrorismo en el marco del sistema de seguridad nacional: El papel de las UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 147 II. EL ACCESO A LA INFORMACIÓN SOBRE LOS ALGORITMOS EN EL RGPD 1. La regulación de la toma de decisiones totalmente automatizadas en el RGPD Como es sabido, el abordaje de esta cuestión no constituye una novedad del RGPD, puesto que ya la Directiva 95/46, de 24 de octubre de 1995, contempló en su art.15 el derecho de las personas a no verse sometidas a decisiones basadas únicamente en un tratamiento automatizado de datos17, salvando determinados supuestos excepcionales, y previó asimismo expresamente que el derecho de acceso comprendiese cierta información respecto de estas decisiones automatizadas [art.12 a)]. Ya porque distaba mucho de ser una práctica tan ampliamente extendida como en la actualidad, ya porque —además— en la transposición de la Directiva las diferentes normativas estatales no prestaron mucha atención a su desarrollo, lo cierto es que se considera de forma generalizada que los referidos preceptos fueron infrautilizados en la práctica18. Y así lo atestigua el hecho de que ninguna STJUE y contadas Sentencias de altos tribunales nacionales tuvieran que abordar frontalmente esta cuestión, siendo muy probablemente la Sentencia del Tribunal Supremo alemán en el caso SCHUFA —sobre la que volveremos páginas adelante— la más relevante en punto a la identificación del alcance del derecho de acceso y de sus límites en este ámbito19. fuerzas armadas, las centrales de inteligencia y las fuerzas y cuerpos de seguridad del Estado (Lozano Miralles, coord.), Ministerio de Defensa/Aranzadi, Cizur Menor, 2021, pags. 139 y ss.; Esparza Leibar, I., «La Inteligencia Artificial y el derecho fundamental a la protección de datos de carácter personal», en Justicia algorítmica y derecho. Una mirada multidisciplinar (Barona Vilar, ed.), Tirant lo Blanch, Valencia, 2021, pp.271-274 y 278-282; González Cano, M. I., «Cesión y tratamiento de datos personales, principio de disponibilidad y cooperación judicial penal en la Unión Europea», en Cesión de datos personales y evidencias entre procesos penales y procedimientos administrativos sancionadores o tributarios (Colomer Hernández, dir.), Thomson/Aranzadi, 2017, pp.59-74. 17 También se ha apuntado como un antecedente de la regulación del RGPD la Recomendación (2010)13 sobre la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal en el contexto de la creación de perfiles del Comité de Ministros del Consejo de Europa (Garriga Domínguez, A., «La elaboración de perfiles y su impacto en los derechos fundamentales. Una primera aproximación a su regulación en el Reglamento General de Protección de Datos de la Unión Europea», Derechos y libertades, n.º38, 2018, pp.130-131). 18 En España, por lo demás, la trasposición de la Directiva fue manifiestamente deficiente, por cuanto el art.13.1 LOPD 15/1999 omitió el determinante calificativo de «automatizado», y su apartado segundo no mencionaba las excepciones en la misma línea que el art.15 de la Directiva. El sentido del derecho a no ser objeto de decisiones automatizadas quedaba, por tanto, notablemente desdibujado en el ordenamiento interno; carencia que procuraría subsanarse con el Real Decreto 1720/2007 de desarrollo de la LOPD, cuyo art.36 sí recogió más fidedignamente el alcance del derecho según lo dispuesto en la Directiva. En esta línea, véase Sancho Villa, D., «Las decisiones individuales automatizadas, incluida la elaboración de perfiles (comentario al artículo 22 RGPD)» cit., p.1728. 19 Y aunque se presentaría recurso de amparo frente a esta Sentencia, ninguna valoración haría al respecto el Tribunal Constitucional al inadmitir a limine el amparo en la resolución de 29 de mayo de 2017 —1 BvR 756/14—. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 148 MANUEL MEDINA GUERRERO a) La prohibición general de adoptar decisiones exclusivamente automatizadas Pues bien, en línea con lo establecido en el art.15.1 de la Directiva, el art.22 RGPD comienza en su apartado primero consagrando una regla general, a saber, la prohibición de que pueda adoptarse una decisión fundamentada exclusivamente en el tratamiento automatizado de datos: «Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar». El Reglamento, no obstante, a diferencia de la Directiva20, incorpora expresamente en el supuesto de hecho de la norma «la elaboración de perfiles», lo que no ha dejado de suscitar alguna crítica al considerarse que su mención conjunta puede conducir a equívocos. En efecto, «la elaboración de perfiles» individualmente considerada constituye una forma de tratamiento automatizado de datos que no se determina en el art.22 RGPD, sino que se somete al régimen general sobre los principios y la licitud del tratamiento que fija el Reglamento (Considerando 72). El objeto del art.22 RGPD no es regular la licitud de un tratamiento automatizado de datos como tal, sino una determinada utilización, un determinado uso, que se da a los resultados obtenidos de dicho tratamiento: la adopción de una decisión que produce efectos jurídicos o afecta significativamente de modo similar al interesado21. Solamente el empleo de los resultados derivados del tratamiento para tomar una decisión de tal naturaleza se somete, en fin, a los condicionantes y limitaciones establecidos en el art.22 RGPD. Conviene, pues, tener presente que las decisiones automatizadas y la elaboración de perfiles no son realidades coextensas, sino que se trata de categorías autónomas que pueden consecuentemente operar de modo independiente, por más que en la práctica a menudo se hallen estrechamente interrelacionadas22. 20 Se ha sostenido que el RGPD supone una ampliación del ámbito de aplicación respecto del art.15 de la Directiva, puesto que, mientras que éste partía de conectar la decisión con la técnica del perfilado, la lectura convencional del art.22.1 apunta a que el perfilado es uno de los dos alternativos criterios básicos de aplicación (el otro sería el «tratamiento automatizado»). Véase Bygrave, L. A., «Minding the Machine v2.0: The EU General Data Protection Regulation and Automated Decision Making», en Yeung, K./Lodge, M. (eds.), Algorithmic Regulation, Oxford University Press, 2019, p.5 [he utilizado la copia electronica disponible en: https://ssrn.com/abstract=3329868]. En efecto, debe notarse que en la propuesta inicial de la Comisión del que sería el definitivo artículo 22 su alcance se ceñía al perfilado y no, en general, a la toma de decisiones automatizadas; sería en la primera lectura de la disposición en el Consejo cuando adoptó su versión actual, en la que el perfilado se incluye dentro de una categoría más general de toma de decisiones automatizas [Brkan, M., «Do Algorithms Rule the World? Algorithmic Decision-Making in the Framework of the GDPR and Beyond», International Journal of Law and Information Technology, 11 January 2019, pp.6-7 (he utilizado la versión disponible en https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3124901)]. 21 Buchner, B., Comentarios al artículo 4.4 y al artículo 22, en Kühling/Buchner (Hrsg.), Datenschutz-Grundverordnung Bundesdatenschutzgesetz. Kommentar, 2. Auflage, C. H. Beck, München, 2018, pp.158 y 510. 22 El Grupo de Trabajo sobre Protección de Datos del Artículo 29, en las Directrices aprobadas al respecto, aborda la distinción entre ambas categorías, tratando de aclarar al tiempo los puntos de separación y UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 149 En resumidas cuentas, la elaboración de perfiles solamente entra bajo el ámbito de cobertura del artículo 22 RGPD cuando el perfilado se emplea directamente para tomar una decisión automatizada, pero no cuando se utiliza para otros fines23. La elaboración de perfiles, per se, individualmente considerada —como cualquier otro tratamiento de datos automatizado—, no constituye la finalidad del artículo 22 RGPD, pues ésta no es otro que acotar y condicionar las posibilidades de adoptar decisiones automatizadas. Llegados a este punto, conviene destacar la singularidad que —como ya sucediera con el art.15 de la Directiva— caracteriza a este artículo 22 en el marco conjunto del RGPD24. Dado que el objeto de la disposición no es regular el tratamiento de datos, sino disciplinar un determinado tipo de decisiones al que se llega a partir de un previo tratamiento, parece que la norma escapa a lo que constituye la «imagen maestra» del derecho fundamental a la protección de datos personales, a saber, el concepto de «autodeterminación informativa», en cuya virtud lo que garantiza esencialmente a su titular este derecho fundamental es un poder de control sobre sus propios datos personales25; poder de disposición que, como se desprende de la jurisprudencia constitucional apuntada al comienzo del trabajo, es precisamente lo que fundamenta y dota de de sentido a la circunstancia de que los tradicionalmente denominados derechos ARCO se considerasen integrantes del contenido mínimo protegido por este derecho fundamental. contacto entre ellas: «Las decisiones automatizadas tienen un ámbito de aplicación distinto y pueden solaparse parcialmente con la elaboración de perfiles o derivarse de esta. Las decisiones basadas únicamente en el tratamiento automatizado representan la capacidad de tomar decisiones por medios tecnológicos sin la participación del ser humano. […] Las decisiones automatizadas pueden llevarse a cabo con o sin elaboración de perfiles; la elaboración de perfiles puede darse sin realizar decisiones automatizadas. No obstante, ambas no son necesariamente actividades independientes. Algo que empieza como un simple proceso de decisiones automatizadas puede convertirse en un proceso basado en la elaboración de perfiles, dependiendo del uso que se dé a los datos. […] Las decisiones que no están basadas únicamente en el tratamiento automatizado pueden incluir también la elaboración de perfiles» [Directrices sobre decisiones individualizadas automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679, del Grupo de Trabajo sobre Protección de Datos del Artículo 29, adoptadas el 3 de octubre de 2017 y revisadas el 6 de febrero de 2018 (WP215rev.01), pp.8-9]. 23 Asimismo, Díaz Lafuente, J., «Los desafíos de la sociedad global digitalizada y la protección de datos personales. Análisis de la elaboración de perfiles en el Reglamento General de Protección de Datos de la Unión Europea», en García Mahamut/Tomás Mallén (eds.), El Reglamento General de Protección de Datos. Un enfoque nacional y comparado, Tirant lo Blanch, Valencia, 2019, p.298. 24 Singularidad tan palmaria, que se han encontrado similitudes entre el art.22 RGPD y las reglas de derecho administrativo relativas a la toma de decisiones públicas [Mendoza, I./Bygrave, L.A., «The Right Not to Be Subject to Automated Decisions Based on Profiling», University of Oslo Faculty of Law Research Paper, n.º20, 17, p.3 (disponible en https://ssrn.com/abstract=2964855)]. 25 Como señala Buchner, en el art.22 RGPD la noción de autodeterminación informativa aparece sólo de forma marginal («Comentario del artículo 22», en Kühling/Buchner (Hrsg.), Datenschutz-Grund- verordnung Bundesdatenschutzgesetz. Kommentar, cit. p.511). Por su parte, y a propósito específicamente de las plataformas de redes sociales, se ha sostenido igualmente que el derecho a la autodeterminación informativa no abarcaría cuestiones relativas a los resultados de la selección algorítmica [Dreyer, S./ Heldt, A., «Algorithmische Selektion und Privatheit Aufmerksamkeitssteuerung durch Social Media-Plattformen als Autonomieeingriff?», en Berger/Deremetz/Hennig/Michel (Hrsg.), Autonomie und Verantwortung in digitalen Kulturen. Privatheit im Geflecht von Recht, Medien und Gesellschaft, Baden-Baden, 2021, pp.127-128]. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 156 MANUEL MEDINA GUERRERO perfiles que no persiguen como objetivo adoptar una decisión automatizada, puesto que —como indicamos líneas arriba— el ámbito material del art.22.1 RGPD no se proyecta a estos supuestos. Circunstancia que, atendiendo a la severa injerencia que el perfilado puede entrañar en el derecho a la autodeterminación informativa, no ha dejado de ser censurada en la doctrina, sugiriéndose la ampliación de los artículos 13.2.f), 14.2.g) y 15.1.h) RGPD para incorporar todo tipo de perfilados aun cuando se empleen para fines distintos a la toma de decisiones automatizadas42. Estas disposiciones han suscitado un encedido debate acerca del alcance que tiene este deber del responsable de proporcionar (y el paralelo derecho del afectado a obtener) «información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas» del tratamiento para el interesado. Debate que, en lo fundamental, y para ceñirlo a sus términos más estrictos, se centra en determinar si de ese conjunto de normas cabe derivar un derecho del interesado a que se le explique la específica decisión automatizada que le afecta43. Pero antes de entrar en esta cuestión nuclear, conviene que vayamos desbrozando el terreno y abordemos otros aspectos de la transparencia algorítmica que son más pacíficamente aceptados en la doctrina. b) La restringida accesibilidad al entero algoritmo o a su código fuente Así, concita un amplísimo acuerdo la tesis de que proporcionar «información significativa sobre la lógica aplicada» no equivale a exigir el acceso directo al algoritmo o a su código fuente44. 42 En este sentido, Roβnagel, A./ Geminn, C., Evaluation der Datenschutz-Grundverordnung aus Verbrauchersicht. Gutachten im Auftrag des Verbraucherzentrale Bundesverbands e.V. (Vzbv), Kassel, 26 noviembre 2019, p.38; asimismo, Martini, M., Grundlinien eines Kontrollsystems für algorithmenbasierte Entscheidungsprozesse. Gutachten im Auftrag des Verbraucherzentrale Bundesverbandes, Speyer, 2019, p.10. No obstante, tampoco faltan voces que entienden que esa información ampliada es igualmente exigible en estos casos ajenos a toma de decisiones totalmente automatizadas (Bäcker, M. «Comentario al artículo 13», en Kühling/ Buchner (Hrsg.), Datenschutz-Grundverordnung Bundesdatenschutzgesetz. Kommentar, cit. p.391). 43 Suele coincidirse en señalar que el origen de esta tesis sobre la existencia de este «derecho a la explicación» está en el trabajo de Goodman, B. y Flaxman, S., «European Union Regulations on Algorithmic Decision-Making and a «Right to Explanation». AI Magazine, 38(3), 2017, pp.50-57 [disponible en https:// doi.org/10.1609/aimag.v38i3.2741]. 44 En este sentido, en relación con las exigencias de transparencia establecidas en el RGPD, se ha sostenido que «en ningún caso nos encontramos ante una obligación de revelar el contenido completo y exacto de la totalidad del código fuente, sino más bien ante una limitada obligación de ilustrar sobre los criterios a partir de los cuales opera el mismo» (Boix Palop, A., «Algorithms as Regulations: Considering Algorithms, when Used by the Public Administration for Decision-making, as Legal Norms in order to Guarantee the proper adoption of Administrative Decisions», European Review of Digital Administration & Law, 2020, Volume 1, Issue 1-2, p.88). Ahora bien, cuando se trata de decisiones algorítmicas adoptadas por Administraciones públicas, se puede pretender basar la exigencia de hacer públicos los algoritmos en otros fundamentos jurídicos, como es equiparar los mismos a los reglamentos (Boix Palop, A., cit., p.96; asimismo, del mismo autor «Los algoritmos son reglamentos: La necesidad de extender las garantías propias de las normas reglamentarias a los programas empleados por la Administración para la adopción de decisiones», Revista de UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 157 Por una parte, se argumenta que este acceso no es necesario para que el afectado pueda comprobar la corrección de la decisión y esté en condiciones de hacer valer los derechos que le atribuye el RGPD45. En efecto, por lo general el afectado no tendrá interés en conocer el entero algoritmo o el código fuente, sino que antes bien su interés se concentra en saber qué hace el algoritmo a partir de sus datos y para qué46. Y por otro lado se ha esgrimido que la apertura al afectado del entero algoritmo no sería por lo general compatible con la tutela de los secretos comerciales y, especialmente, del derecho a la propiedad intelectual sobre los programas informáticos47, cuya salvaguarda se exige taxativamente en el Considerando 63: «Todo interesado debe… tener el derecho a conocer y a que se le comuniquen, en particular, […] la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en elaboración de perfiles, las consecuencias de dicho tratamiento. […] Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos». La única restricción que contempla el Considerando 63 en relación con estos límites de la información a suministrar por el responsable es que «no deben tener como resultado la negativa a prestar toda la información al interesado». En lo concerniente a esta última garantía, no puede dejar de apuntarse la equivocidad de la versión española («toda la información»), que interpretada en sus términos estrictamente literales podría conducir a privar de sentido al propio límite (rectius: «toda información» o «cualquier información»); ambigüedad que no se plantea en el resto de las versiones48 y que, desde luego, se aleja de los claros Derecho Público: Teoría y Método Vol.1, 2020, p.254 y ss; véase también De La Cueva, J., «Código fuente, algoritmos y fuentes del Derecho», El notario del siglo xxi: revista del Colegio Notarial de Madrid, n.º77, 2018 [http://www.elnotario.es/index.php/hemeroteca/revista-77/opinion/opinion/8382-codigo-fuente-algorit- mos-y-fuentes-del-derecho]). O, como ha sostenido Huergo Lora, al integrarse en la toma de decisiones administrativas, es obligatorio otorgar su acceso para asegurar la eficacia de su control; el «algoritmo, por decirlo así, formará parte del expediente administrativo» («Una aproximación a los algoritmos desde el Derecho Administrativo», en La regulación de los algoritmos cit., pp.81-82). Por otro lado, para la distinción entre los conceptos de algoritmo y código fuente, consúltese Gutiérrez David, M. E., «Administraciones inteligentes y acceso al código fuente y los algoritmos públicos. Conjurando riesgos de cajas negras decisionales», Derecom, 30, 2021, pp.156-157 (https://www.derecom.com/derecom/). 45 Kaminski, M.E., «The Right to Explanation, Explained», University of Colorado Law Legal Studies Research Paper n.º18-24, Berkeley Technology Law Journal Vol. 34, No.1, 2019, p.19 (disponible en https:// ssrn.com/abstract=3196985, así como en http://dx.doi.org/10.2139/ssrn.319695); Martini, M./Nink, D., «Wenn Maschinen entscheiden…» cit., pp.10-11. 46 En esta línea, Weichert, T., «Die verfassungsrechtliche Dimension der Algorithmenkontrolle», Datenschutz Nachrichten 3/2018, p.134. 47 Buchner, B., «Comentario al artículo 22», en Kühling/Buchner (Hrsg.), Datenschutz-Grundve- rordnung Bundesdatenschutzgesetz. Kommentar, cit., p. 517; Kühling, J./Martini; M. et al., Die Datenschutz-Grundverordnung und das nationale Recht. Erste Überlegungen zum innerstaatlichen Regelungsbedarf, Verlagshaus Monsenstein und Vannerdat, Münster, 2016, pp.65-66. 48 «…should not be a refusal to provide all information to the data subject»; «…ne devraint pas aboutir à refuser toute communication d’informations à la personne concernée»; «…darf jedoch nicht dazu führen, UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 158 MANUEL MEDINA GUERRERO términos empleados en el Considerando 41 de la derogada Directiva en el que se inspira dicho Considerando 63 RGPD49. Este Considerando termina, pues, trazando un nivel de salvaguardia del acceso a la información frente a la tutela de los secretos comerciales y la propiedad intelectual; pero se trata ciertamente de una cota mínima: dichos límites no pueden servir de excusa para que el responsable del tratamiento opaque por entero la «lógica aplicada» en la toma de decisiones automatizadas, rehusando dar toda información al respecto. Cómo deba resolverse el conflicto entre la transparencia y la propiedad intelectual por encima de este límite mínimo, es algo que el RGPD deja abierto, habilitando así un generoso margen de maniobra a los legisladores nacionales para el establecimiento de reglas o pautas orientadoras de la ponderación conforme a las cuales elucidar la controversia. Sin embargo, según adelantamos páginas atrás, LO 3/2018 no ha supuesto ningún avance en la concreción del deber de informar en este ámbito50. En el marco del RGPD, que se encuentra con el pie forzado de establecer una regulación general y uniforme para todos los responsables de tratamiento —ya se trate de empresas o de Administraciones públicas—, parece evidente que el tope máximo de información algorítmica que puede suministrarse sin quebrantar el secreto comercial o el derecho a la propiedad intelectual no puede llevarse hasta el extremo de exigir la transmisión de conocimientos técnicos esenciales (know how) que se quieren mantener confidenciales ni, mucho menos, la totalidad del algoritmo. Y, en este sentido, el Grupo de trabajo sobre protección de datos del artículo 29 ha sostenido que el «RGPD exige que el responsable del tratamiento ofrezca información significativa sobre la lógica aplicada, no necesariamente una compleja explicación de los algoritmos utilizados o la revelación de todo el algoritmo»51. Esta operatividad en la práctica de los referidos límites ya se había puesto de manifiesto antes de la aprobación del RGPD, como lo atestigua la Sentencia del Tribunal Supremo alemán en el caso SCHUFA, de 28 de enero de 2014 —VI ZR dass der betroffenen Person jegliche Auskunft verweigert wird»; «…non dovrebbero condurre a un diniego a fornire all’interesato tutte le informazioni». 49 «41) Considerando que cualquier persona […] debe tener además el derecho de conocer la lógica que subyace al tratamiento automatizado de los datos que la conciernan, al menos en el caso de las decisiones automatizadas a que se refiere el apartado 1 del artículo 15; que este derecho no debe menoscabar el secreto de los negocios ni la propiedad intelectual y en particular el derecho de autor que proteja el programa informático; que no obstante esto no debe suponer que se deniegue cualquier información al interesado […]» 50 Renuencia a desarrollar el alcance de la obligación de informar sobre la «lógica utilizada» que —en opinión de un sector de la doctrina— obedece «a la amplia oposición por parte de empresarios que veían en esta medida una forma de desvelar a la competencia información especialmente sobre sus campañas de marketing» [Arenas Ramiro, M., «El derecho de acceso y las condiciones generales de ejercicio de los derechos (comentario al artículo 15 RGPD y a los artículos 12 y 13 LOPDGDD)», en Comentario al Reglamento General de Protección de Datos y a la Ley Orgánica de protección de los datos personales y garantía de los derechos digitiales (Troncoso Reigada, A., dir.) Tomo I, Civitas/Thomson Reuters, Cizur Menor, 2021, p.1477]. 51 Directrices sobre decisiones individuales automatizadas… cit., p.28. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 159 156/13—52, probablemente la más relevante referencia jurisprudencial europea que abordó frontalmente la cuestión en el marco de la anterior Directiva. En esta resolución, la referencia al límite de los secretos comerciales efectuada en el Considerando 41 de la Directiva sirvió para realizar una lectura restrictiva del derecho de acceso a la información de los afectados (§ 33), llegando a la conclusión de que no resultaba obligado trasladarles la fórmula de evaluación (Scoreformel) utilizada para determinar la solvencia de los que pretenden acceder a un préstamo. El deber de información del responsable del tratamiento se circunscribe a poner en conocimiento del interesado los datos personales tomados en consideración y su influencia en la concreta evaluación realizada. El objetivo, pues, de la información a suministrar es que sea visible para el afectado qué específicas circunstancias se incorporaron en el cálculo de su nivel de solvencia. Sin embargo, el deber de informar no se extiende a los elementos abstractos del sistema de calificación (Scorecard) en sus detalles, como los grupos de comparación y su ponderación (§ 29)53. Aunque naturalmente no es la ocasión de detenerse a examinar estos límites del acceso a la información algorítmica, no podemos resistirnos a la tentación de apuntar siquiera que su alcance y eficacia no pueden operar del mismo modo cuando se aplica al sector público o al ámbito privado, puesto que en relación con este último despliegan su máxima virtualidad limitadora del derecho de acceso. No se trata tan sólo de que, en la ponderación entre ambos derechos en conflicto, cuando del sector privado se trata, entren en juego consideraciones como la preservación de su posición competitiva en el mercado o la evitación de daños de carácter económico, sino de que la publicidad se configuró prácticamente desde su comienzos como el principal estructural organizativo del Estado surgido de las cenizas del Antiguo Régimen. Esta circunstancia no puede dejar de estar presente al resolver dicha colisión cuando esté involucrada una decisión administrativa automatizada54. 52 Scheja, K., «Schutz von Algorithmen in Big Data Anwendungen», Computer und Recht, 8/2018, p.487; Schulte, U./Timm, M., «Entscheidungsanmerkung zu dem Urteil des Bundesgerichtshofes vom 28.1.2014 — VI ZR 156/13. Umfang des Auskunftsanspruches gegen die Schufa-Scorewerte», Neue Juristische Wochenschrift, Heft 17/2014, pp.1235-1239. 53 En cualquier caso, no está de más reseñar que en la argumentación de la Sentencia para rechazar el acceso a los algoritmos del sistema de calificación también jugó un papel significativo la circunstancia de que el §34.4 de la entonces vigente ley federal de protección de datos mencionase explícitamente los secretos comerciales como un límite de la transparencia (§§ 27-28). Y, por otra parte, y quizá más relevante a nuestros efectos, la Sentencia consideró que no entraba en juego el derecho a acceder a «la lógica utilizada» en el proceso de toma de decisiones [art.12 a) de la Directiva], puesto que en el caso no se trataba de una decisión plenamente automatizada en el sentido del art.15 de la Directiva (§ 34). 54 Esta mayor apertura a la opinión púbica de los algoritmos empleados por las Administraciones públicas se pone, por ejemplo, de manifiesto en el documento La transparencia de la Administración en el uso de algoritmos como aspecto indispensable para la protección de los derechos fundamentales en la práctica, que fue aprobado el 16 de octubre de 2018 en el marco de la trigésima sexta Conferencia de Autoridades alemanas competentes en materia de protección de datos y acceso a la información. Tras apuntar diversas exigencias de transparencia en este ámbito, proseguiría el documento: «Para garantizar una plena verificabilidad, también deberían los correspondientes organismos públicos poner a disposición [de las autoridades] y publicar, en la medida de lo UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 160 MANUEL MEDINA GUERRERO c) El derecho del afectado a recibir una explicación de la específica decisión adoptada Como adelantamos, el principal interrogante suscitado por el RGPD en la materia que nos ocupa reside en determinar si del mismo cabe derivar un derecho del interesado a que se le explique la concreta decisión automatizada de la que ha sido objeto. En principio, y con las muy relevantes observaciones y puntualizaciones que más adelante se dirán, la discusión sobre la existencia de tal derecho en el articulado del RGPD se enmarca en tres preceptos de idéntico tenor literal, aunque atinentes a dos aspectos de diversa naturaleza y destinatarios: las obligaciones de información que debe atender el responsable del tratamiento [artículos 13.2.f) y 14.2.g)], por una parte; y el derecho de acceder a la información que ostenta el afectado en cuanto titular del derecho fundamental a la protección de datos personales [artículo 15.1.h)], de otro lado. Un asunto capital para la elucidación del interrogante consiste en aclarar si, pese a la uniformidad de la literalidad de tales disposiciones, cabe anudarles un significado y alcance distintos a la luz de los diversos momentos y circunstancias en que éstan llamadas a ser aplicadas. En un muy penetrante y cuidado trabajo publicado en 2017 —en torno al cual ha girado en buena medida el debate doctrinal posterior— ya se apuntó el diferente significado que puede tener la noción de «explicación» en el marco de un proceso de toma de decisiones automatizadas55. Por una parte, la explicación puede referirse a la funcionalidad del sistema —entendida en términos abstractos— o bien a decisiones específicas, en cuyo caso habría de atenderse a las circunstancias individuales que llevaron a la adopción de la concreta decisión que afectó al titular del derecho. Y, por otro lado, desde un punto de vista cronológico, cabe distinguir entre explicaciones ex ante y ex post, en función de si la misma se da con anterioridad o posterioridad a que se adopte una específica decisión automatizada. Desde un punto de vista estrictamente lógico, el deber que pende sobre los responsables de proporcionar «información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas» [arts. 13.2.f) y 14.2.g) RGPD], en la medida en que debe satisfacerse en el mismo momento en que se obtienen los datos personales o en un plazo muy breve, sólo podrá traducirse en la práctica en una explicación ex ante sobre la funcionalidad del sistema56. Ciertamente, al realizarse la notificación posible, el código fuente y, de ser necesario, otra información relevante sobre los algoritmos o los procesos de inteligencia artificial». 55 Wachter, S./Mittelstadt, B./Floridi, L., «Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation», International Data Privacy Law, 2017, Vol. 7, n.º2, pp.76-99 [doi:10.1093/idpl/ipx005]. 56 Cuando se trata del deber de informar cuando los datos se obtienen del propio afectado, el responsable debe hacerlo «en el momento en que se obtengan los datos personales» (art.13.2 RGPD); en el supuesto de que no se hayan obtenido del interesado, el responsable ha de facilitar la información «dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 161 antes de que el sistema de decisión automatizada acometa la resolución del caso concreto, la información que debe suministrar el responsable no puede relacionarse con el resultado de ninguna decisión específica, por lo que su descripción tiene que centrarse en el sistema considerado como un todo abstracto. En esta fase, pues, la obligación de informar al respecto no puede traducirse en la exigencia de asegurar la explicabilidad ni, tanto menos, la fundamentación de una decisión en particular. Así, en virtud de lo establecido en los arts. 13.2.f) y 14.2.g) RGPD, debería ponerse en conocimiento del interesado la descripción de los tipos de datos y los factores que toma en consideración el sistema, las categorías del árbol de decisión57 y la ponderación de tales factores a nivel global. De este modo, tras la transmisión de la información, el afectado debe poder prever qué papel juegan (o pueden jugar) sus diferentes datos objeto de tratamiento en la formación de la decisión a tomar, así como estar en condiciones de acomodar su conducta a los criterios que resultan determinantes para adoptar la decisión58. Y, en esta línea, el Grupo de trabajo sobre protección de datos del art.29 señala que la información sobre la «lógica aplicada» debe «ser suficientemente exhaustiva para que el interesado entienda los motivos de la decisión»; y en relación con el alcance de la información sobre la «importancia» y «consecuencias previstas» apunta que la misma debe versar «sobre el tratamiento previsto o futuro, y sobre cómo puede afectar la decisión automatizada al interesado»59. En cualquier caso, la inobservancia de este deber de informar por parte del responsable del tratamiento, en la medida en que afecta a un integrante esencial del derecho a la protección de datos personales, puede considerarse que entraña directamente la vulneración del derecho mismo. Esta interconexión entre el derecho fundamental y el deber del responsable del tratamiento de informar sobre la funcionalidad del sistema parece abrirse paso en la práctica en la jurisprudencia recaída en el ámbito de la Unión Europea, como lo pone de manifiesto la Sentencia las que se traten dichos datos» [art.14.3.a) RGPD]. Aun en la hipótesis de que se imprimiera la máxima celeridad posible al proceso de toma de decisiones automatizadas, parece más que dudoso que pudiera entenderse como efectuada «dentro de un plazo razonable» la transmisión de la información que tuviera lugar una vez ya adoptada una específica decisión. 57 Véase Wachter et al. cit., p.78. 58 Dreyer, S./Schulz, W., Was bringt die Datenschutz-Grundverordnung für automatisierte Enstcheidungssysteme? cit., p.25; Roβnagel, A./ Geminn, C., Evaluation der Datenschutz-Grundverordnung aus Verbrauchersicht cit., p.36. 59 Directrices sobre decisiones individualizadas automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 cit., pp.28-29. Más adelante, las Directrices, en el Anexo 1 («Recomendaciones de buenas prácticas»), se detienen a precisar con más detalle el alcance de la información que sería conveniente facilitar con base en los arts. 13 y 14 RGPD: «En lugar de ofrecer una compleja explicación matemática sobre cómo funcionan los algoritmos o el aprendizaje automático, el responsable del tratamiento debe considerar la utilización de formas claras y exhaustivas de ofrecer información al interesado, por ejemplo: • las categorías de datos que se han utilizado o se utilizarán en la elaboración de perfiles o el proceso de toma de decisiones; • por qué estas categorías se consideran pertinentes; • cómo se elaboran los perfiles utilizados en el proceso de decisiones automatizadas, incluidas las estadísticas utilizadas en el análisis; • por qué este perfil es pertinente para el proceso de decisiones automatizadas; y • cómo se utiliza para una decisión relativa al interesado» (p. 35). UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 162 MANUEL MEDINA GUERRERO del Tribunal de Distrito de La Haya, de 5 de febrero de 2020 (caso n.ºC/09/550982), que examinó el sistema algorítmico empleado por el Gobierno holandés para evaluar el riesgo de fraude en los ámbitos hacendístico, laboral y de seguridad social (el conocido como SyRI, abreviatura de Systeem Risico Indicatie)60. Resolución que, pese a que se centra en analizar si la regulación de dicho sistema supone la lesión del derecho consagrado en el artículo 8 CEDH, no deja de argumentar prolijamente en torno a las exigencias de transparencia establecidas por el RGPD en materia de decisiones automatizadas, puesto que las mismas son tomadas en consideración de modo determinante para resolver el test relativo a si la injerencia es necesaria en una sociedad democrática derivado del apartado segundo del art.8 CEDH (veánse especialmente los apartados 6.41, 6.82 y 6.87 de la Sentencia). La Sentencia terminará resolviendo que la regulación del sistema algorítmico vulnera dicho derecho del Convenio al no atender suficientemente el principio de transparencia consagrado en el RGPD. Por un lado, apunta que la misma no contempla el deber de informar a las personas cuyos datos son tratados en el SyRI, ni tampoco prevé la obligación de notificar individualmente a los afectados en el caso de que sobre ellos haya recaído un informe de riesgos (6.54). Por otra parte, la normativa reguladora del sistema no da ninguna información sobre qué datos fácticos objetivos pueden justificadamente llevar a la conclusión de que existe un mayor riesgo (6.87); y, lo que es más, tampoco proporciona información sobre el funcionamiento del modelo de riesgo, como, por ejemplo, el tipo de algoritmos que emplea (6.89). Lagunas de información que, en fin, desembocan en la incapacidad de verificar cómo se genera el árbol de decisión y qué pasos comprende, por lo que resulta difícil comprender cómo un interesado podría estar en condiciones de defenderse frente al hecho de que se haya presentado un informe de riesgos sobre el mismo (6.90). Por el contrario, dado que el «problema temporal» que plantean los arts. 13.2.f) y 14.2.g) RGPD no se suscita en el contexto del derecho de acceso a la información ex art.15 RGPD, cuyo ejercicio es posible en todo momento, nada se opondría a que su titular procurase que se le diera una explicación específica sobre la concreta decisión automatizada de la que ha sido objeto (aunque, naturalmente, siempre podrá pedir además una explicación sobre la funcionalidad del sistema, en abstracto, en el caso de que no haya recaído ninguna decisión que le afecte o, sencillamente, no le conste). En este momento, pues, cabría facilitar información sobre los específicos datos y factores tomados en consideración en el caso concreto y sobre la ponderación de los mismos que condujeron a adoptar la decisión en particular61. 60 Para más detalles sobre esta Sentencia, véase Cotino Hueso, L., «SyRI, ¿a quién sanciono?» Garantías frente al uso de inteligencia artificial y decisiones automatizadas en el sector público y la sentencia holandesa de febrero de 2020», La Ley Privacidad, Wolters Kluwer n.º4, mayo 2020. 61 Dreyer/Schultz, Was bringt… cit., p.31; Wachter et al. cit., p.78. Por su parte, Brkan apunta que la información relevante sobre la lógica aplicada debería «idealmente» comprender: «a) información sobre UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 163 Esta diferente proyección cronológica constituye sin duda un argumento en absoluto despreciable a favor de la tesis de que el ámbito normativo del art.15.1.h) RGPD —pese a su igual tenor literal— va más allá del delimitado en los arts. 13.2.f) y 14.2.g) RGPD, puesto que en relación con éstos la explicación debe necesariamente contenerse en el nivel abstracto característico de la funcionalidad del sistema62. No parece, sin embargo, que esta interpretación amplia del art. 15.1.h) RGPD, extraída ya directamente de la sola lectura aislada del precepto, se comparta en las Directrices aprobadas por el Grupo de trabajo del artículo 29, puesto que se inclina por entender que dicho precepto «da derecho a los interesados a tener la misma información […] que la que se prevé en el artículo 13, apartado 2, letra f) y el artículo 14, apartado 2 letra g) […]». Y abunda acto seguido sobre el particular: «El responsable del tratamiento debe haber facilitado ya esta información al interesado de conformidad con sus obligaciones previstas en el artículo 13. El artículo 15, apartado 1, letra h), establece que el responsable del tratamiento debe facilitar al interesado información sobre las consecuencias previstas del tratamiento, en vez de una explicación sobre una decisión «particular». […] El responsable del tratamiento debe ofrecer al interesado información general (a saber, sobre los factores que se han tenido en cuenta para el proceso de toma de decisiones y sobre su «peso» respectivo a nivel global) que le pueda servir para impugnar la decisión»63 Pero en buena medida aquellos que sostienen la existencia de un derecho de explicación sobre decisiones específicas no lo argumentan exclusivamente con base en el diferente alcance del artículo 15 respecto de los artículos 13 y 14 RGPD, sino de una lectura integradora del mismo en combinación con el artículo 22 RGPD (señaladamente su apartado tercero) y el Considerando 7164. los datos que sirvieron como input para la decisión automatizada, b) información sobre la lista de factores que influyeron en la decisión, c) información sobre la importancia relativa de los factores que influyeron en la decisión, y d) «una razonable explicación de por qué se tomó una cierta decisión (información textual)»; pero prosigue señalando que, dado los numerosos obstáculos existentes para suministrar las referidas en b) y c), el derecho a la explicación comprendería «solamente» la información textual en la que se explicarían las «razones cruciales de las decisiones» («Do Algorithms Rule the World?» cit., p.15). 62 En este sentido, Bäcker, M. «Comentario al artículo 15», en Kühling/Buchner (Hrsg.), Datenschutz-Grundverordnung Bundesdatenschutzgesetz. Kommentar, cit. p.423. Véanse igualmente Kaminski, M.E., «The Right to Explanation, Explained» cit., p.7; Roβnagel, A./Geminn, C., Evaluation der Datenschutz-Grundverord- nung aus Verbrauchersicht cit., p.38. Por el contrario, Wachter et al., al poner el acento en la interpretación literal de los preceptos —y con independencia de otras consideraciones que más adelante se verán—, concluyen que no existe tal derecho a una explicación sobre decisiones específicas (op.cit, en especial p.78). 63 Directrices sobre decisiones individualizadas automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 cit., pp.29-30. 64 Selbst, A. D./Powles, J., «Meaningful information and the right to explanation», International Data Privacy Law, 2017, Vol. 7, n.º4, p.233 y ss. [doi:10.1093/idpl/ipx022]; Brkan, M., «Do Algorithms Rule the World?» cit., p.15. Por su parte, Núñez Seoane entiende que el RGPD reconoce el derecho a la explicación tanto en el Considerando 71 como en el propio artículo 22 [«El derecho de información y acceso al funcionamiento de los algoritmos que tratan datos de personas», en La regulación de los algoritmos (Huergo Lora, A., dir.; Díaz González, G. M., coord.), Thomson Reuters Arazandi, Cizur Menor, 2020, p.308]. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 164 MANUEL MEDINA GUERRERO Recuérdese que el apartado tercero del art.22 RGPD viene a establecer unas garantías mínimas en el caso de que las decisiones totalmente automatizadas se adopten en el marco de la conclusión o el cumplimiento de un contrato, o bien mediando el previo consentimiento del afectado [los supuestos contemplados en el art.22.2 a) y c) RGPD]; a saber: «el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión». Bajo este prisma, se ha defendido una lectura funcional del derecho de acceso a la información tendente a preservar dichas garantías mínimas explicitadas en el art.22.3 RGPD, según la cual la explicación de la concreta decisión puede considerarse una premisa casi inexcusable para que tales derechos sean verdaderamente eficaces y operativos, señaladamente el que reconoce al afectado la capacidad de impugnar la decisión65. Garantía esta última con cuya inclusión no se pretende únicamente recordar la obvia posibilidad de acudir a los recursos judiciales (o administrativos ante la autoridad independiente de control) que sean procedentes, sino que su finalidad es ante todo habilitar una vía para que el responsable del tratamiento reconsidere su decisión inicial efectuando una nueva valoración de los datos y circunstancias concurrentes en el caso66. Y, por su parte, el Considerando 71 opera como elemento central en esta línea argumental, toda vez que es en el único lugar del Reglamento donde aparece explícitamente la idea de la existencia de un derecho a la explicación sobre decisiones ya adoptadas: «[…] se deben permitir las decisiones basadas en tal tratamiento [automatizado], incluida la elaboración de perfiles, si lo autoriza expresamente el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento, incluso con fines de control y prevención del fraude y la evasión fiscal, realizada de conformidad con las reglamentaciones, normas y recomendaciones de las instituciones de la Unión o de los órganos de supervisión nacionales y para garantizar la seguridad y la fiabilidad de un servicio prestado por el responsable del tratamiento, o necesario para la conclusión o ejecución de un contrato entre el interesado y el responsable del tratamiento, o en los casos en los que el interesado haya dado su consentimiento explícito. En cualquier caso, dicho tratamiento debe estar sujeto a las garantías apropiadas, entre las que se debe incluir la 65 En este sentido, se ha sostenido que el test sobre si la información a suministrar es o no «significativa» debe ser funcional, vinculando la misma con alguna acción que la explicación posibilite al afectado, como sucede con el derecho a impugnar la decisión (Selbst, A. D./Powles, J., «Meaningful information and the right to explanation» cit., p.236; Kaminski, M.E., «The Right to Explanation, Explained» cit., p.20). Sobre la vinculación entre el derecho individual a la explicación y los derechos del art.22.3 RGPD, véase también Eguíluz Castañeira, J. A., «Desafíos y retos que plantean las decisiones automatizadas y los perfilados para los derechos fundamentales», Estudios de Deusto, Vol. 68/2, 2020, p.343; Roig I Batalla, A., Las garantías frente a las decisiones automatizadas… cit., p.58. Incluso los que se inclinan por negar la existencia de un derecho a la explicación sobre decisiones específicas derivado directamente del RGPD admiten que la jurisprudencia puede interpretar ampliamente las garantías mínimas del art.22.3 RGPD para reconocerlo, sobre la base de que la explicación es necesaria para que el afectado exprese su punto de vista e impugne la decisión (Wachter et al., op.cit., p.91). 66 Martini, M./Nink, D., «Wenn Maschinen entscheiden … — vollautomatisierte verwaltungsverfahren und der Persönlichkeitsschutz» cit., p.4. UNED. Teoría y Realidad Constitucional, núm. 49, 2022, ISSN 1139-5583, pp.141-171 EL DERECHO A CONOCER LOS ALGORITMOS UTILIZADOS EN LA TOMA DE DECISIONES… 165 información específica al interesado y el derecho a obtener intervención humana, a expresar su punto de vista, a recibir una explicación de la decisión tomada después de tal evaluación y a impugnar la decisión». Dados los inequívocos términos con que el Considerando 71 recoge el derecho a recibir una explicación sobre una decisión ya tomada, la cuestión primordial a resolver reside en determinar cuál es la eficacia jurídica que cabe atribuir a esta declaración frente a la parte dispositiva del Reglamento, que sencillamente omite tal derecho. A fin de avanzar en la elucidación de este interrogante, se ha recurrido a los trabajos preparatorios del RGPD; examen del proceso de elaboración de las normas involucradas que ciertamente puede arrojar luz (aunque, también, adensar las sombras) sobre su alcance y significado. Pues bien, ha de notarse que fue el Parlamento europeo el que propuso añadir al texto inicial del artículo 22.3 RGPD «el derecho a obtener una valoración humana y una explicación de la decisión alcanzada después de tal valoración»; propuesta de incorporar en el articulado el derecho a la explicación que, tras sugerirlo el Consejo, sería definitivamente rechazada, pero ofreciendo como alternativa desplazar el mismo al correspondiente Considerando en los términos transcritos. Desplazamiento que, a juicio de un sector de la doctrina, denota la voluntad del legislador de no atribuirle eficacia jurídica al derecho en cuestión67. Comoquiera que sea, incluso si se relativiza el «culto a los materiales»68 inherente a la teoría de la voluntas legislatoris en favor de la voluntas legis, lo cierto es que la constelación de preceptos involucrados en el tema [artículos 13.2.f), 14.2g), 15.1.h) y 22.3 RGPD], sumados al Considerando 71, delimita un escenario jurídico de contornos sumamente difusos e inseguros; tan incierto, que es muy difícil sostener que deriva inmediatamente del mismo tal derecho a la explicación algorítmica como norma armonizada en toda la Unión69. Enlazando con este enfoque, se ha señalado que su reconocimiento en el Considerando 71 no operaría de modo directo e incondicionalmente, sino que precisaría su «establecimiento» en los casos concretos, dependiendo pues la vigencia efectiva de este derecho a la explicación de su correspondiente recepción en la normativa interna70. Pero aproximémonos siquiera brevemente al valor jurídico de los Considerandos antes de concluir si y en qué medida cabe fundamentar inmediatamente en el RGPD un derecho a la explicación de las concretas decisiones automatizadas, sin 67 Wachter et al, op. cit., p.81. En este sentido, Gil González, E., «Aproximación al estudio de las decisiones automatizadas en el seno del Reglamento General Europeo de Protección de Datos a la luz de las tecnologías big data y de aprendizaje computacional», Revista Española de la Transparencia, n.º5, 2017, p.177. 68 Por utilizar la expresión de De Castro Y Bravo, Derecho Civil de España. Parte General, Tomo I, Instituto de Estudios Políticos, Madrid, 1955, p.526. 69 Asimismo, Edwards, L./Veale, M., «Slave to the Algorithm? Why a ‘Right to Explanation’ is probably not the Remedy you are looking for», Duke Law & Technology Review, Vol. 16 n.º1, p.50. 70 En esta línea, Martini, M./Nink, D., «Wenn Maschinen entscheiden … — vollautomatisierte verwaltungsverfahren und der Persönlichkeitsschutz» cit., p.11.