Profiling y decisiones automatizadas bajo la LGPD

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

El uso de algoritmos para clasificar personas y tomar decisiones automatizadas crece de forma exponencial, pero la LGPD (Ley General de Protección de Datos de Brasil) impone límites claros que muchas organizaciones aún desconocen o ignoran.

Qué es el profiling y cómo se inserta en el tratamiento de datos personales

El término «profiling» (o elaboración de perfiles) designa cualquier forma de tratamiento automatizado de datos personales que consista en utilizar esa información para evaluar aspectos relacionados con una persona natural. Al observar el escenario brasileño, se advierte que esta práctica se ha vuelto habitual en sectores como el financiero, el asegurador y el publicitario, e incluso en el ámbito de la administración pública. Los sistemas de scoring de crédito, la fijación dinámica de precios de seguros, la curaduría algorítmica de contenidos y la selección automatizada de currículos son ejemplos cotidianos de profiling que afectan a millones de brasileños todos los días.

La Ley General de Protección de Datos (Ley n.º 13.709/2018) no utiliza expresamente el término «profiling», pero regula la materia de manera amplia mediante el artículo 20, que trata de las decisiones adoptadas exclusivamente con base en el tratamiento automatizado de datos personales. Esta disposición constituye una de las salvaguardas más relevantes del ordenamiento jurídico brasileño en materia de protección de datos, pues reconoce que la automatización de las decisiones puede generar impactos significativos en la esfera jurídica, económica y social de los titulares.

Si se considera la amplitud del concepto, se constata que el profiling puede abarcar desde la recopilación y el cruce de datos de comportamiento en plataformas digitales hasta el análisis de patrones de consumo, historial médico, ubicación geográfica e interacciones en redes sociales. El resultado de este procesamiento son perfiles que se utilizan para prever comportamientos futuros, evaluar riesgos, segmentar públicos y, en última instancia, tomar decisiones que repercuten directamente en la vida de las personas.

El artículo 20 de la LGPD y el derecho a la revisión de decisiones automatizadas

El artículo 20 de la LGPD asegura al titular el derecho a solicitar la revisión de las decisiones adoptadas exclusivamente con base en el tratamiento automatizado de datos personales que afecten sus intereses. Esto incluye, según el texto legal, las decisiones destinadas a definir el perfil personal, profesional, de consumo o de crédito del titular, o aspectos de su personalidad. Cabe observar que el legislador brasileño optó por un enfoque que prioriza la transparencia y la posibilidad de impugnación, sin prohibir de forma absoluta el uso de decisiones automatizadas.

En la redacción original de la ley, el párrafo 1.º del artículo 20 preveía que el controlador (responsable del tratamiento) debía proporcionar, siempre que se le solicitara, información clara y adecuada sobre los criterios y los procedimientos utilizados para la decisión automatizada. La Ley n.º 13.853/2019 modificó esta disposición y estableció que dicha información debe suministrarse «con observancia de los secretos comercial e industrial». Este cambio generó un intenso debate doctrinal, ya que la protección del secreto empresarial puede, en la práctica, limitar la capacidad del titular para comprender e impugnar decisiones que le resulten desfavorables.

Entendemos que esta tensión entre la transparencia algorítmica y el secreto industrial constituye uno de los puntos más sensibles de la regulación brasileña. El párrafo 2.º del artículo 20 prevé que, en los casos en que el controlador no proporcione la información por razón de secreto comercial e industrial, la Autoridad Nacional de Protección de Datos (ANPD) podrá realizar una auditoría para verificar la existencia de aspectos discriminatorios en el tratamiento automatizado. Esta previsión atribuye a la ANPD un papel fiscalizador esencial en la garantía de los derechos de los titulares.

La transparencia algorítmica no es solo una exigencia legal, sino un presupuesto fundamental para que los titulares de los datos puedan ejercer sus derechos de manera efectiva frente a las decisiones automatizadas.

Además del artículo 20, identificamos otras disposiciones de la LGPD que se relacionan directamente con el profiling. El artículo 6.º de la LGPD consagra, entre sus principios, la no discriminación, que prohíbe el tratamiento de datos con fines discriminatorios ilícitos o abusivos. El artículo 12, párrafo 2.º, establece que los datos anonimizados pueden considerarse datos personales cuando el proceso de anonimización pueda revertirse o cuando se utilicen para formar el perfil de comportamiento de una persona natural identificada. Esta disposición es particularmente relevante, pues muchas organizaciones emplean datos supuestamente anonimizados para alimentar sistemas de profiling.

Bases legales aplicables y el papel del consentimiento en el profiling

Al analizar las bases legales que pueden fundamentar actividades de profiling, se constata que la elección adecuada depende del contexto específico de cada tratamiento. El consentimiento (artículo 7.º, inciso I, de la LGPD) se invoca con frecuencia, pero presenta limitaciones prácticas relevantes. Para ser válido, el consentimiento debe ser libre, informado e inequívoco, lo que presupone que el titular comprenda efectivamente el alcance y las consecuencias del tratamiento automatizado al que se someterán sus datos. En la práctica, la complejidad de los sistemas de profiling hace extremadamente difícil cumplir este requisito de manera genuina.

El interés legítimo (artículo 7.º, inciso IX) es otra base legal recurrente en las actividades de elaboración de perfiles. Sin embargo, su utilización exige realizar una prueba de proporcionalidad que tenga en cuenta las expectativas legítimas del titular, la finalidad del tratamiento y las medidas de mitigación de riesgos adoptadas por el controlador. El artículo 10 de la LGPD dispone que el tratamiento basado en el interés legítimo solo puede realizarse para finalidades legítimas, consideradas a partir de situaciones concretas, y que el controlador debe adoptar medidas para garantizar la transparencia del tratamiento.

En cuanto a los datos personales sensibles (artículo 11 de la LGPD), las restricciones son aún más rigurosas. La información sobre origen racial, convicción religiosa, opinión política, datos referentes a la salud o a la vida sexual, y datos genéticos o biométricos solo pueden tratarse en los supuestos taxativamente previstos en la ley. Se observa que muchos sistemas de profiling, aunque no utilicen directamente datos sensibles como input, pueden inferir características sensibles a partir del cruce de datos aparentemente neutros, lo que configura un tratamiento indirecto de datos sensibles y exige una atención redoblada respecto de la base legal aplicable.

Due diligence de datos y gobernanza algorítmica en las organizaciones

La realización de una due diligence de datos orientada a sistemas de profiling y decisiones automatizadas implica un análisis minucioso de múltiples dimensiones: técnica, jurídica, organizacional y ética. Cuando asesoramos a organizaciones en esta materia, recomendamos adoptar un enfoque estructurado que contemple, como mínimo, el mapeo completo de los flujos de datos que alimentan los sistemas automatizados, la identificación de las bases legales aplicables a cada etapa del tratamiento, la evaluación de los riesgos de discriminación algorítmica y la verificación de que existan mecanismos efectivos de revisión humana.

El Informe de Impacto a la Protección de Datos Personales (RIPD), previsto en el artículo 38 de la LGPD, constituye un instrumento esencial en este proceso. Si bien la ANPD aún no ha regulado de forma exhaustiva los supuestos en que el RIPD es obligatorio, entendemos que todo tratamiento de datos que implique profiling o decisiones automatizadas con potencial de afectar de manera significativa a los titulares debe estar precedido de la elaboración de este informe. El RIPD debe describir los tipos de datos recopilados, la metodología utilizada, las medidas de seguridad adoptadas y el análisis del controlador en relación con las medidas, salvaguardas y mecanismos de mitigación de riesgos.

La gobernanza algorítmica presupone, además, la implementación de procesos de auditoría interna periódica de los sistemas de decisión automatizada. Estos procesos deben evaluar si los algoritmos producen resultados discriminatorios (por sesgos en los datos de entrenamiento o en el modelado), si las decisiones automatizadas son proporcionales a las finalidades declaradas y si los titulares tienen acceso efectivo a mecanismos de impugnación. La documentación de estas auditorías es fundamental para demostrar el cumplimiento de los principios de la LGPD por parte de la organización, especialmente el principio de responsabilización y rendición de cuentas (artículo 6.º, inciso X).

Otro aspecto relevante de la due diligence es el análisis de los contratos con proveedores de tecnología y operadores de datos. Muchas organizaciones recurren a soluciones de terceros para realizar profiling, lo que exige formalizar contractualmente las responsabilidades de cada parte en el tratamiento de datos, verificar las medidas de seguridad adoptadas por el operador y garantizar que los derechos de los titulares puedan atenderse en toda la cadena de tratamiento.

Riesgos jurídicos y buenas prácticas de mitigación

Los riesgos jurídicos asociados al profiling y a las decisiones automatizadas son significativos y de múltiples facetas. En el ámbito administrativo, la ANPD tiene competencia para aplicar sanciones que van desde advertencias hasta multas de hasta el 2% de la facturación de la persona jurídica de derecho privado, con un límite de R$ 50.000.000,00 por infracción, conforme al artículo 52 de la LGPD. En el ámbito judicial, observamos un número creciente de demandas relativas a decisiones automatizadas, especialmente en relaciones de consumo (scoring de crédito, rechazo automatizado de contratación de servicios) y en relaciones laborales (selección algorítmica de candidatos, monitoreo automatizado del desempeño).

Para mitigar estos riesgos, se recomienda adoptar un conjunto articulado de buenas prácticas. En primer lugar, aplicar el principio de minimización de datos (artículo 6.º, inciso III, de la LGPD) en los sistemas de profiling, de modo que solo se recopilen y procesen los datos estrictamente necesarios para la finalidad declarada. En segundo lugar, adoptar técnicas de «privacy by design» y «privacy by default» (artículo 46, párrafo 2.º), incorporando la protección de datos desde la fase de concepción de los sistemas automatizados. En tercer lugar, garantizar una intervención humana efectiva (y no meramente formal) en los procesos de revisión de decisiones automatizadas, asegurando que el revisor tenga competencia técnica y autonomía para modificar la decisión algorítmica.

La transparencia proactiva también constituye una medida esencial de mitigación de riesgos. Entendemos que las organizaciones deben informar a los titulares, de forma clara y accesible, sobre la existencia de procesos de decisión automatizada, las categorías de datos utilizadas, la lógica general del tratamiento (con respeto a los secretos comerciales legítimos) y los medios disponibles para solicitar la revisión de las decisiones. Esta postura no solo satisface las exigencias legales, sino que contribuye a construir una relación de confianza con los titulares de los datos.

Este asunto guarda relación directa con la transferencia internacional de datos, tema que abordamos en un artículo específico.

Para complementar su lectura, vea también el artículo del despacho sobre IA y arbitraje.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.