Una decisión automatizada no se arregla con un clic al final.

Dentro del expediente

Una empresa usa una herramienta que puntúa el riesgo de cada solicitud. Por debajo de cierta cifra, la solicitud se rechaza. Para estar tranquilos, alguien del equipo revisa la lista antes de enviar las respuestas y pulsa «aprobar». Revisa cuarenta en diez minutos. No ha cambiado ninguna en un año.

El caso es sintético. En el expediente 01 lo llamé el humano de adorno. Aquí tiene encaje jurídico.

Lo que dice el artículo 22

El RGPD reconoce a toda persona el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ella o le afecte significativamente de modo similar. Hay excepciones, que son que la decisión sea necesaria para un contrato, que la autorice una ley con garantías o que haya consentimiento explícito. En los casos del contrato y del consentimiento, el responsable debe garantizar como mínimo el derecho a obtener intervención humana, a expresar el propio punto de vista y a impugnar la decisión Fuente primaria ↗.

La tentación es evidente. Si la decisión solo es problemática cuando es «únicamente» automatizada, basta con poner a alguien al final.

Por qué el clic no sirve

Las autoridades europeas de protección de datos salieron al paso de esa idea en sus directrices, asumidas después por el Comité Europeo de Protección de Datos. El responsable no puede eludir el artículo 22 inventándose una participación humana. La supervisión tiene que ser significativa, no un gesto simbólico. Debe hacerla una persona autorizada y competente para modificar la decisión, que tenga en cuenta todos los datos pertinentes Fuente primaria ↗.

En una entrada de su blog de 2024, la Agencia Española de Protección de Datos añadió matices que conviene leer despacio. Quien interviene puede estar condicionado por el sesgo de automatización, la tendencia a dar por bueno lo que dice la máquina. Y quien revisa debería poder intervenir en el momento adecuado, antes de que la decisión se aplique, y disponer del tiempo necesario para cada decisión Fuente primaria ↗. La persona del ejemplo interviene antes de que salgan las respuestas, así que el momento es el adecuado. Falla lo demás, porque cuarenta solicitudes en diez minutos difícilmente dejan tiempo para revisar ninguna, y un año sin cambiar una sola encaja con el sesgo de automatización, aunque no lo demuestra.

A veces la decisión ya está tomada

El Tribunal de Justicia dio un paso más en 2023, en el caso SCHUFA. Una agencia calculaba la probabilidad de que una persona pagara sus deudas, y los bancos decidían a partir de esa cifra. El tribunal concluyó que el propio cálculo es una decisión automatizada cuando de él depende de manera determinante que el banco contrate, mantenga o termine la relación con esa persona. Y subrayó que el artículo 22 establece una prohibición de principio, que la persona afectada no necesita invocar Fuente primaria ↗.

La consecuencia es incómoda para quien confiaba en el clic. Si la puntuación ya decide, poner una persona al final de la cadena no cambia dónde se tomó la decisión.

En 2025 el mismo tribunal precisó qué hay que explicar a quien la sufre, que es el procedimiento y los principios aplicados en su caso, de forma comprensible. No basta con comunicar una fórmula matemática compleja ni con describir con detalle todas las etapas de la decisión automatizada. Y el secreto comercial no permite negarse sin más, porque si el responsable lo alega debe comunicar esa información a la autoridad de control o al juez, que ponderan los derechos e intereses en juego para fijar el alcance del acceso Fuente primaria ↗.

Lo que puede cambiar, y lo que no

La Comisión Europea propuso en noviembre de 2025, dentro del llamado Ómnibus digital, reescribir los dos primeros apartados del artículo 22 para pasar de un derecho a no ser objeto de estas decisiones a una lista de supuestos en que se permiten Fuente primaria ↗. El Comité Europeo de Protección de Datos y el Supervisor Europeo de Protección de Datos piden que el nuevo texto siga formulado como una prohibición con excepciones, como lo ha leído el Tribunal de Justicia, y que la aclaración sobre la necesidad contractual salga del articulado Fuente primaria ↗. A mediados de septiembre de 2026, la propuesta aún no se ha votado en comisión en el Parlamento Europeo. Y hay un detalle que importa. No modifica el apartado 3, el que garantiza el derecho a obtener intervención humana. Si se aprueba en esos términos, esa garantía seguirá en el texto, y con ella la exigencia de que quien intervenga pueda cambiar la decisión Fuente primaria ↗.

Entretanto, conviene recordar lo que un clic registra y lo que no. Deja constancia de una aprobación. No cuenta qué pudo examinar la persona, con qué datos, ni qué margen tuvo para discrepar. Esa es la distancia entre registrar una revisión y que la revisión haya existido.

Si la persona no podía llegar a otra conclusión, no intervino, firmó.

Lo que me preguntan cuando cierro el portátil.

¿Qué es una decisión automatizada según el RGPD?

Es una decisión basada únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que produce efectos jurídicos en una persona o le afecta significativamente de modo similar, como la denegación automática de una solicitud de crédito en línea. El artículo 22 del RGPD reconoce el derecho a no ser objeto de ellas, con excepciones, que son cuando es necesaria para un contrato, cuando la autoriza una ley con garantías o cuando hay consentimiento explícito.

¿Basta con que una persona apruebe la decisión al final?

No. Las directrices de las autoridades europeas de protección de datos dicen que el responsable no puede eludir el artículo 22 inventándose una participación humana, que la supervisión debe ser significativa y no un gesto simbólico, y que debe hacerla una persona autorizada y competente para modificar la decisión, que tenga en cuenta todos los datos pertinentes.

¿Tengo derecho a que me expliquen una decisión automatizada?

Cuando hay una decisión automatizada del artículo 22, el derecho de acceso del RGPD incluye información significativa sobre la lógica aplicada. El Tribunal de Justicia precisó en 2025 que eso significa explicar el procedimiento y los principios aplicados en el caso concreto, de forma comprensible. No basta con entregar una fórmula matemática compleja, y el secreto comercial no permite negarse sin más, porque el responsable debe comunicar esa información a la autoridad de control o al juez, que ponderan los intereses en juego y fijan el alcance del acceso.

El expediente detrás del artículo.

Reglamento General de Protección de Datos ↗EUR-Lex · artículos 22 y 88 · 2016
Normativa UEDirectrices sobre decisiones individuales automatizadas y elaboración de perfiles, WP251rev.01 ↗Grupo de Trabajo del Artículo 29, asumidas por el CEPD · versión en español de la AEPD · 2018
Directrices de las autoridades europeas de protección de datosEvaluación de la intervención humana en las decisiones automatizadas ↗Agencia Española de Protección de Datos · blog, 4 de marzo · 2024
Entrada de blog institucional, no guía ni resoluciónSentencia SCHUFA Holding (Scoring), C-634/21 ↗Tribunal de Justicia de la UE · 7 de diciembre · 2023
Jurisprudencia del TJUESentencia Dun & Bradstreet Austria, C-203/22 ↗Tribunal de Justicia de la UE · 27 de febrero · 2025
Jurisprudencia del TJUEPropuesta de Reglamento Ómnibus digital, COM(2025) 837 ↗Comisión Europea · 19 de noviembre · 2025
Propuesta legislativa en tramitaciónDictamen conjunto 2/2026 sobre la propuesta Ómnibus digital ↗Comité Europeo de Protección de Datos y Supervisor Europeo · 10 de febrero · 2026
Dictamen de autoridades de la UE

Fuentes consultadas el 18 de octubre de 2026. Las recomendaciones y ejemplos son elaboración editorial y no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.