El “scoring” es un método estadístico matemático que permite establecer un pronóstico sobre la probabilidad de un comportamiento futuro, de forma que la información relativa a la concesión de una exoneración del pasivo insatisfecho se conserva en un registro público de insolvencia.
Para el TJUE, a priori, el “scoring” es una decisión individual automatizada prohibida por el art. 22 del RGPD (LA LEY 6637/2016), salvo que la normativa interna prevea alguna excepción válida a esta prohibición.
La generación automatizada por una agencia de información comercial de un valor de probabilidad a partir de datos personales, acerca de la capacidad de una persona para hacer frente a compromisos de pago en el futuro constituye una “decisión individual automatizada” cuando de ese valor de probabilidad dependa de manera determinante que un tercero, al que se comunica dicho valor, establezca, ejecute o ponga fin a una relación contractual con esa persona.
Si bien cabe que el Derecho nacional autorice la adopción de una decisión individual automatizada, debe establecer medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado. Entre tales medidas está la obligación del responsable del tratamiento de utilizar procedimientos matemáticos o estadísticos adecuados, de aplicar las medidas técnicas y organizativas apropiadas para garantizar que se reduzca al máximo el riesgo de error y, en su caso, se corrija, y de asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, los efectos discriminatorios en las personas físicas; y también, y como mínimo el derecho del interesado a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión.
Es decir, existen requisitos más estrictos para la licitud de una toma de decisiones automatizada, y obligaciones adicionales de información del responsable del tratamiento y todo ello con la finalidad de proteger a las personas contra los riesgos específicos para sus derechos y libertades que supone el tratamiento automatizado de datos personales, incluida la elaboración de perfiles.
El TJUE concluye que el “scoring” debe considerarse como una “decisión individual automatizada”, en principio prohibida por el RGPD, siempre que tenga un papel determinante en la concesión de créditos. Añade que corresponde al tribunal remitente evaluar si la ley nacional contempla una excepción válida a la prohibición, comprobando si se cumplen los requisitos generales para el tratamiento de datos establecidos en el RGPD.