Si estás creando un proveedor de servicios online con perfiles automatizados

¿Tienes razón?

No es que esté prohibido: lo determinante es cómo y para qué perfilas. Tres elementos definen si estás en regla:

1) Finalidad y proporcionalidad. Si el perfilado sirve para funciones internas inocuas (por ejemplo, organizar datos para análisis estadístico sin decisiones que perjudiquen a una persona), el riesgo es menor. Si el perfilado se usa para decisiones que afectan derechos (rechazo de un servicio, precios distintos, evaluaciones laborales), la carga de cumplimiento sube.

2) Transparencia y consentimiento. Debes informar claramente a los usuarios que crearás perfiles mediante procesos automatizados, explicar qué datos se usan, la lógica básica y las consecuencias previsibles. Para decisiones automatizadas que causen efectos significativos en la persona, la normativa exige garantías reforzadas, lo que en la práctica implica obtener consentimiento explícito o permitir intervención humana.

3) Medidas técnicas y organizativas. El perfilado automatizado necesita controles: calidad de datos, sesgo en modelos, registro del proceso, trazabilidad y capacidad de rectificación. Si usas algoritmos de terceros, debes auditar su comportamiento y garantías.

Si cumples estas tres áreas, tu proyecto es viable; si no, te expones a reclamaciones, órdenes de suspensión o sanciones administrativas.

Cómo se soluciona

1. Mapear los flujos de datos (tú y tu equipo técnico). Haz un inventario de qué datos recogerás, su origen, quién los procesa y cuánto tiempo piensas conservarlos. Enumera cada proceso automatizado y describe en lenguaje claro la lógica que aplica (por ejemplo: "calculamos una puntuación basada en X, Y y Z").

1. Definir la finalidad por proceso (tú y la dirección). No uses finalidades generales; cada perfilado debe tener una finalidad concreta y proporcional (p. ej., personalizar recomendaciones vs. denegar acceso a crédito).

1. Redactar avisos y cláusulas claras (puedes hacerlo con asesoría). En el aviso de privacidad explica qué datos usas para el perfilado, la base legal y las consecuencias. Si las decisiones derivadas pueden tener efectos relevantes, considera mecanismos para obtener consentimiento explícito.

1. Evaluación de riesgo y validación técnica (necesitas asistencia técnica + legal). Evalúa sesgos, precisión, y riesgo de daño. Documenta pruebas y resultados. Si usas modelos de aprendizaje automático, guarda versiones de modelos, datos de entrenamiento y métricas de desempeño.

1. Implementar canales para ejercer derechos (tú mismo). Crea formularios para acceso, rectificación, supresión, oposición y para pedir revisión humana de decisiones automatizadas. Asegura que las solicitudes se atiendan y guarda registros.

1. Contratos con proveedores (necesitas abogado). Si subcontratas procesamiento o usas APIs de terceros, añade cláusulas que obliguen a seguridad, auditoría y cumplimiento con la ley peruana; exige notificación de incidentes y derecho a auditoría.

1. Prueba piloto y registro de incidencias (tú y el equipo). Antes de lanzar a escala, prueba con un grupo control, registra problemas y corrige sesgos o errores. Mantén un registro de decisiones automatizadas para futuras auditorías.

Qué puede pasar

1) Se arregla con una carta y ajustes técnicos. Muchas quejas por perfilado se resuelven corrigiendo un error, explicando cómo funciona el sistema y ajustando el aviso de privacidad. Una rectificación o una oferta de revisión humana suele calmar al usuario.

2) Acuerdo o conciliación. Si hubo impacto real (por ejemplo, negación de un servicio), es habitual acordar compensaciones simbólicas, revisión del expediente y compromisos técnicos. Un acuerdo evita proceso administrativo y reparaciones costosas.

3) Denuncia e investigación. Si un usuario denuncia, INDECOPI puede investigar y ordenar medidas correctivas o sanciones. En casos graves con discriminación o vulneración sistemática, puede derivarse a responsabilidad civil. Si pierdes, se puede ordenar la suspensión del proceso automatizado o correcciones obligatorias; las sanciones y costes de remediación pueden ser altos. Además, aunque ganes, la reputación puede sufrir y la implementación continuada requerirá auditorías.

Si ganas, recuerda que una victoria no borra el daño reputacional ni garantiza que la tecnología sea impecable: conviene mejorar procesos.

Errores que arruinan el caso

• Lanzar la funcionalidad sin documentar la lógica del algoritmo. Sin trazabilidad, no podrás responder a reclamos.
• Usar datos sin evaluar calidad: datos sesgados generan decisiones injustas.
• No ofrecer revisión humana cuando las decisiones afectan derechos. La ausencia de un canal de revisión complica la defensa y aumenta el riesgo de sanciones.
• Firmar contratos con proveedores sin cláusulas sobre auditoría y notificación de incidentes. Si el proveedor falla, la responsabilidad recae sobre ti como responsable del tratamiento.
• Poner todo el texto legal en letra chica; la transparencia debe ser clara y accesible, no enterrada en términos excesivos.