Artículo 22 del RGPD: qué son las decisiones automatizadas y qué derechos tienes frente a un algoritmo

Qué dice el artículo 22

El artículo 22.1 del Reglamento General de Protección de Datos (RGPD) reconoce a toda persona el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ella o le afecte significativamente de modo similar.

Hay tres condiciones que deben darse a la vez:

1. Una decisión. Algo que determina una situación: conceder o denegar un crédito, descartar una candidatura, fijar una prima.
2. Basada únicamente en un tratamiento automatizado. Sin intervención humana real. Una revisión humana simbólica, que se limita a confirmar lo que dice el sistema, no basta.
3. Con efectos jurídicos o significativos. Por ejemplo, la denegación de un préstamo online o una selección de personal sin intervención humana, dos casos que el propio RGPD menciona en su considerando 71.

Cuándo está permitida

El artículo 22.2 permite estas decisiones solo en tres supuestos:

• Necesaria para celebrar o ejecutar un contrato entre la persona y el responsable.
• Autorizada por el Derecho de la UE o de un Estado miembro, con medidas adecuadas para proteger los derechos de la persona.
• Basada en el consentimiento explícito de la persona.

En los casos del contrato y del consentimiento, el artículo 22.3 obliga al responsable a adoptar medidas adecuadas y, como mínimo, garantizar el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión.

Además, el artículo 22.4 impide basar estas decisiones en categorías especiales de datos (salud, origen étnico, opiniones políticas, entre otros) salvo que haya consentimiento explícito o un interés público esencial, y siempre con garantías adecuadas.

El derecho a entender la decisión

Los artículos 13.2.f, 14.2.g y 15.1.h del RGPD obligan a informar de la existencia de decisiones automatizadas y a dar información significativa sobre la lógica aplicada y sus consecuencias previstas. El Tribunal de Justicia de la UE ha concretado este derecho en dos sentencias clave:

• SCHUFA (asunto C-634/21, 7 de diciembre de 2023). El TJUE consideró que el cálculo automatizado de una puntuación de solvencia es en sí mismo una «decisión» del artículo 22 cuando un tercero, como un banco, se apoya de forma determinante en ella para conceder o denegar un contrato. No se puede esquivar el artículo 22 separando el cálculo de la decisión final.
• Dun & Bradstreet Austria (asunto C-203/22, 27 de febrero de 2025). El Tribunal aclaró que la persona tiene derecho a una explicación del procedimiento y de los principios aplicados en concreto a sus datos, de forma concisa e inteligible. Si la empresa alega secretos comerciales, debe aportar la información a la autoridad de control o al tribunal para que ponderen los intereses.

En el trabajo: normas españolas específicas

En el ámbito laboral, España ha reforzado estas garantías:

• El artículo 64.4.d del Estatuto de los Trabajadores, introducido por la llamada «ley rider», da derecho a la representación legal de los trabajadores a conocer los parámetros, reglas e instrucciones de los algoritmos que afectan a las condiciones de trabajo.
• El Real Decreto 723/2026, que entra en vigor el 5 de octubre de 2026, extiende esa información por escrito a cada trabajador de forma individual.

Qué añade el AI Act

El Reglamento (UE) 2024/1689 (AI Act) complementa el artículo 22 con obligaciones sobre el propio sistema. Los usos del anexo III, como la selección de personal o la evaluación de solvencia, son sistemas de alto riesgo, con supervisión humana obligatoria, y el artículo 86 reconoce a las personas afectadas por ciertas decisiones basadas en esos sistemas un derecho a una explicación clara del papel del sistema en la decisión. El RGPD sigue aplicándose en paralelo.

Qué hacer si una decisión automatizada te afecta

1. Pide información al responsable: si hubo decisión automatizada y qué lógica aplicó (artículo 15.1.h).
2. Solicita intervención humana y expón tu punto de vista, si la decisión se basa en un contrato o en tu consentimiento.
3. Impugna la decisión ante el responsable y, si no responde adecuadamente, reclama ante la Agencia Española de Protección de Datos.

Qué deben hacer las empresas

• Identificar qué procesos toman decisiones sin intervención humana real.
• Comprobar que encajan en una de las tres excepciones del artículo 22.2.
• Diseñar una intervención humana efectiva: una persona con autoridad y capacidad para cambiar la decisión.
• Preparar explicaciones comprensibles de la lógica del sistema.
• Evaluar el impacto: las decisiones automatizadas con efectos significativos suelen exigir una evaluación de impacto (artículo 35.3.a).

Preguntas frecuentes

¿Qué es una decisión automatizada según el RGPD?

Una decisión basada únicamente en un tratamiento automatizado, sin intervención humana real, que produce efectos jurídicos en una persona o le afecta significativamente de modo similar (artículo 22.1).

¿Cuándo se permiten las decisiones automatizadas?

Solo si son necesarias para un contrato, están autorizadas por ley con garantías o se basan en el consentimiento explícito. En los casos del contrato y del consentimiento hay que garantizar intervención humana, expresar el punto de vista e impugnar.

¿Un scoring de crédito es una decisión automatizada?

Sí, según la sentencia SCHUFA del TJUE (C-634/21), cuando el banco u otro tercero se apoya de forma determinante en esa puntuación para decidir.

Sigue leyendo en Lexdara

• Derecho a una explicación: lo que dijo el TJUE sobre las decisiones automatizadas en el caso Dun & Bradstreet
• Desde el 5 de octubre, las empresas deben informar por escrito de los algoritmos que deciden sobre sus trabajadores
• La AEPD advierte a una empresa que quería usar IA para puntuar currículums
• Qué es un sistema de IA de alto riesgo según el AI Act