Denegación de un crédito por una decisión automatizada

Que una solicitud de crédito haya sido rechazada por un sistema automático no significa que el solicitante tenga derecho a que se apruebe. Sí puede exigir que se respeten las reglas sobre datos, decisiones automatizadas y explicación, y cuestionar errores o una revisión meramente aparente. El primer objetivo es averiguar qué decisión se tomó, con qué datos y qué intervención humana existió. Una respuesta que solo dice “política de riesgos” puede dejar esas cuestiones sin resolver. 1

Cuándo entra en juego el artículo 22 del RGPD

El precepto se refiere a decisiones basadas únicamente en tratamiento automatizado, incluida elaboración de perfiles, con efectos jurídicos o de importancia similar. Una denegación automática de financiación puede entrar en ese ámbito. No toda hoja de cálculo ni cualquier ayuda informática a un analista constituye por sí sola una decisión exclusivamente automática. 1

La intervención humana debe ser real: una persona que solo confirma el resultado sin capacidad ni información para cambiarlo no resuelve necesariamente el problema. Pregunte quién revisó, qué elementos podía valorar y si consideró documentación adicional. No es imprescindible que la empresa revele datos personales innecesarios de su empleado para explicar el procedimiento.

El artículo 22 contempla excepciones, como necesidad contractual, autorización legal con garantías o consentimiento explícito, bajo sus condiciones. La mera conveniencia de reducir costes no demuestra por sí sola necesidad para celebrar el contrato. Cuando proceden las excepciones previstas para contrato o consentimiento, deben garantizarse al menos intervención humana, expresión del punto de vista e impugnación. 1

La puntuación externa también puede importar

En SCHUFA, C-634/21, de 7 de diciembre de 2023, el TJUE examinó una puntuación de solvencia generada por una agencia y utilizada de forma determinante por terceros. Consideró que, bajo esas circunstancias, podía constituir en sí misma una decisión automatizada del artículo 22. 3

La entidad no puede descartar toda cuestión remitiendo al proveedor de puntuaciones si su decisión depende decisivamente de él. Hay que identificar los papeles de agencia y prestamista. El criterio tampoco convierte cualquier informe comercial auxiliar en una decisión prohibida: importa cómo condiciona realmente el resultado.

Qué información solicitar

Pida copia de sus datos, fuentes disponibles, puntuación o perfil relativo a usted, fecha de elaboración y destinatarios cuando proceda. Solicite información significativa sobre la lógica aplicada, importancia y consecuencias previstas, dentro del artículo 15.1.h. Añada si quiere rectificar un ingreso, deuda cancelada, identidad confundida o dato desactualizado. 1

En Dun & Bradstreet Austria, C-203/22, de 27 de febrero de 2025, el TJUE exigió una explicación comprensible del procedimiento y principios concretamente aplicados. Puede ser útil explicar cómo una variación de los datos habría cambiado el resultado; entregar únicamente un algoritmo tampoco es una explicación adecuada. 4

El secreto comercial no permite negar de manera automática todo acceso. El comunicado oficial de esa sentencia explica que la información protegida debe someterse a la autoridad o al órgano judicial para ponderar los intereses. La pretensión útil es comprender e impugnar, no obtener indiscriminadamente el código y datos de otros clientes. 4

Revisar errores antes de discutir el modelo

Compare datos utilizados con documentos: ingresos reales, estabilidad laboral, cargas, identidad, pagos y deudas. Distinga una deuda impagada de un préstamo correctamente atendido. Si aparece información de un sistema de solvencia, solicite identificar su origen y valore rectificación o supresión cuando proceda; las reglas no son idénticas para todos los registros. 1 2

Conserve solicitud inicial, autorización de consultas, información de privacidad, resultado y reclamaciones. Si una pantalla desaparece, guarde evidencia con fecha. No presente documentación falsa para superar el filtro ni acepte servicios que prometan eliminar cualquier dato verdadero a cambio de un pago.

Una rectificación puede justificar nueva valoración, pero no obliga a conceder crédito si persisten otros motivos lícitos. También puede resultar útil pedir que la entidad identifique si la negativa se mantiene por razones distintas del dato corregido.

Plazos y vías de reclamación

El acceso y otros derechos del RGPD tienen, como regla, respuesta en un mes, ampliable otros dos bajo condiciones y con información oportuna. La solicitud de revisión de una operación concreta puede tener además cauces sectoriales o internos distintos. No confunda esos procedimientos ni sus plazos. 1

Puede reclamar ante la autoridad de protección de datos por tratamiento, falta de acceso o decisión automatizada contraria al RGPD. Las reclamaciones sobre actuación de una entidad financiera pueden requerir previamente su servicio de atención al cliente y, según materia, el organismo sectorial. Ni una sanción de datos ni un informe supervisor equivalen automáticamente a una orden de conceder el préstamo.

Qué añade el Reglamento de IA y desde cuándo

El Reglamento de IA contempla determinados sistemas de evaluación de solvencia de personas físicas en su anexoIII, con excepciones y condiciones. A 28 de octubre de 2026 debe aplicarse el calendario reformado por el Reglamento 2026/1744: las secciones 1 a 3 del capítulo III para los sistemas de alto riesgo del artículo 6.2 y del anexo III se aplicarán a partir del 2 de diciembre de 2027, con la excepción expresa del artículo 6.5. 5 6

Eso no aplaza el RGPD ni permite ignorar hoy las garantías de decisiones automatizadas. Tampoco todo sistema de cálculo es necesariamente IA. La fecha y clasificación importan antes de invocar una obligación futura como si ya fuera exigible.

Ejemplo ficticio

Una solicitante recibe una negativa inmediata. Al ejercer acceso descubre ingresos antiguos y una deuda ya pagada. Pide rectificación y revisión humana aportando documentos. Si la entidad solo repite el resultado sin explicar qué revisó, podrá cuestionar el tratamiento y el procedimiento. La solución puede ser corregir y reevaluar; no existe una aprobación garantizada por haber detectado un error.

Preguntas frecuentes

¿Puedo exigir el código fuente completo? El derecho busca información significativa e inteligible sobre la decisión. No equivale a acceso irrestricto al código, aunque tampoco basta invocar secreto comercial para no explicar nada.

¿Un empleado que pulsa aceptar supone revisión humana? Depende de su intervención real, capacidad de modificar y valoración de información, no solo de que aparezca una firma humana.

¿Estas garantías solo sirven para bancos? No. El RGPD puede aplicarse a otras decisiones significativas basadas únicamente en tratamiento automático, según sus requisitos.