Si estás creando un proveedor de servicios online con perfiles automatizados

¿Tienes razón?

La respuesta no es un sí o un no absoluto; depende de cuatro factores: 1) la base jurídica para el perfilado (consentimiento libre e informado o interés legítimo con ponderación), 2) la transparencia y la información que proporcionas a las personas afectadas, 3) si el perfilado produce efectos legales o les afecta significativamente (decisiones automáticas) y 4) las medidas técnicas y organizativas que aplicas para evitar sesgos y errores. Si vas a tomar decisiones solo con algoritmos que influyan de forma importante en las personas (por ejemplo, acceso a un servicio, precios personalizados o exclusión), la normativa exige niveles de protección más altos.

También cuenta si trabajas con categorías especiales de datos (salud, orientación sexual) o datos de menores: entonces muchas bases jurídicas que valen para adultos dejan de ser suficientes. La existencia de contratos con terceros que te facilitan datos y de subcontrataciones para el análisis también altera la cadena de responsabilidades.

Si tienes un modelo de negocio que depende del perfilado, tu deber no es solo legal: es práctico: debes demostrar que controlas el riesgo de discriminación, que los resultados son explicables y que ofreces canales para impugnarlos.

Cómo se soluciona

1) Define y documenta el propósito de los perfiles. Anota qué decisiones automatizadas tomarás, qué variables se usarán y por qué cada variable es relevante. Esa documentación es la primera prueba de proporcionalidad.

2) Elige la base jurídica adecuada. Si optas por el consentimiento, diseña formularios claros, separados de otras cláusulas, y registra pruebas de consentimiento. Si optas por interés legítimo, prepara una evaluación que pese tus intereses frente a los derechos de las personas y registra las medidas de mitigación.

3) Prepara la información a los afectados. La información debe explicar de forma clara qué datos recoges, cómo se procesan, el perfilado y sus consecuencias, y los derechos que pueden ejercitar. Incluye explicaciones sobre la lógica del algoritmo y los criterios principales usados.

4) Implementa salvaguardas técnicas y organizativas. Audita tus modelos para detectar sesgos y errores, registra medidas de minimización de datos, cifrado y control de accesos, y establece procedimientos para revisión humana donde la decisión automatizada pueda afectar significativamente.

5) Si procede, realiza una evaluación de impacto (DPIA). La DPIA no es un documento formal vacío: debe identificar riesgos, valorar su gravedad y probabilidad, y proponer medidas concretas para mitigarlos.

6) Contratos y cláusulas con terceros. Si te dan datos o subcontratas el análisis, asegúrate de que los contratos reflejen obligaciones de seguridad, confidencialidad y el reparto de responsabilidades.

7) Diseña mecanismos de ejercicio de derechos. Permite acceso a las explicaciones, rectificación, oposición y la posibilidad de solicitar revisión humana de decisiones automatizadas.

Qué puedes hacer solo: documentar el propósito, recopilar información para los consentimientos y diseñar las primeras cláusulas informativas. Cuándo necesitas ayuda: al realizar la evaluación de impacto, al redactar garantías contractuales complejas, y cuando las decisiones automatizadas tengan efectos relevantes o involucren datos sensibles.

Qué puede pasar

1) Se soluciona con ajustes técnicos y explicación: muchos problemas se resuelven mejorando la transparencia, ofreciendo opciones para no ser perfilado o ajustando modelos. Las personas aceptan una corrección técnica o una alternativa de servicio.

2) Acuerdo o conciliación: puedes pactar con uno o varios usuarios la corrección de datos o compensaciones simbólicas; un acuerdo puede evitar la investigación administrativa y la publicidad negativa.

3) Investigación administrativa o sanción: la autoridad de control puede abrir investigación si detecta riesgos no mitigados, falta de información o decisiones discriminatorias. Si hay incumplimiento grave, la resolución puede imponer medidas correctoras y sanciones administrativas; en vía civil, la persona afectada puede reclamar daños y perjuicios. Si pierdes, podrías asumir costas judiciales y la obligación de implementar medidas más costosas.

Y si ganas, ¿cobras? Una sentencia favorable frente a una reclamación individual suele tener efectos de reparación, pero la ejecución depende de la situación económica del demandado y del alcance de las medidas impuestas.

Errores que arruinan el caso

• Tratar de ocultar la lógica del algoritmo en vez de explicarla; la opacidad aumenta la desconfianza y resta defensa legal.
• No registrar las decisiones de diseño y las pruebas de sesgo: sin registro no demuestras diligencia.
• Mezclar consentimientos: pedir que acepten el perfilado como condición para el servicio cuando no es estrictamente necesario puede invalidar el consentimiento.
• No ofrecer alternativa a la decisión automatizada cuando tiene efectos significativos.
• Subcontratar análisis sin contratos que obliguen a medidas de seguridad y auditoría.