RGPD para Fintech: Scoring Crediticio, Art. 22 y Sanciones AEPD

Sí. El TJUE confirmó en el caso Schufa (C-634/21, 7 de diciembre de 2023) que el scoring crediticio constituye una decisión automatizada del Art. 22 RGPD. Esto significa que los interesados tienen derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o les afecte significativamente, salvo que se cumpla una excepción: necesaria para un contrato, autorización legal, o consentimiento explícito, con garantías adicionales.

Las bases habituales son: interés legítimo (Art. 6(1)(f)) para la evaluación de riesgo crediticio; contrato (Art. 6(1)(b)) cuando el scoring es necesario para ejecutar un contrato de préstamo; obligación legal (Art. 6(1)(c)) para la prevención del blanqueo de capitales. La elección depende del contexto. La AEPD ha publicado un informe jurídico sobre sistemas de información crediticia que aclara el uso del Art. 6(1)(f).

La LOPDGDD Art. 20 regula los ficheros de solvencia patrimonial y crediticia. Establece: (1) los datos deben ser exactos y actualizados; (2) los datos negativos pueden conservarse durante 6 años; (3) el interesado tiene derecho de acceso a sus datos de solvencia; (4) solo pueden tratarse datos de solvencia con fines de evaluación crediticia. La AEPD supervisa el cumplimiento de este artículo.

La DPIA (Art. 35 RGPD) es obligatoria para tratamientos de alto riesgo, incluyendo: evaluación sistemática y exhaustiva de aspectos personales (scoring crediticio), tratamiento a gran escala de categorías especiales de datos, y observación sistemática a gran escala. En fintech, el scoring crediticio sistemático y exhaustivo requiere DPIA. Debe documentar el análisis de riesgos, las medidas de mitigación y la valoración residual.

La AEPD ha impuesto multas significativas en el sector financiero: CaixaBank, €6.000.000 (2021) por incumplimiento de los Arts. 6, 13 y 14 RGPD en el tratamiento de datos para perfiles; BBVA, €5.000.000 (2020) por incumplimiento de los Arts. 6 y 13 RGPD. Estas sanciones ilustran la supervisión activa de la AEPD en el sector y la importancia del cumplimiento de las bases jurídicas y la transparencia.

No por sí mismos. Los datos financieros (ingresos, gastos, saldo, historial crediticio) no son categorías especiales del Art. 9 RGPD. Sin embargo, pueden convertirse en categorías especiales si se utilizan como proxy de datos sensibles: si los datos financieros revelan información sobre salud, biometría, religión, etnia u otros datos especiales, se aplica el Art. 9 y se requiere base jurídica específica (consentimiento explícito, etc.).

Si tu fintech utiliza proveedores cloud fuera del EEE (AWS, GCP, Azure), debe cumplir las normas de transferencias internacionales (Arts. 44-49): decisión de adecuación (Marco UE-EE.UU. 2023), Cláusulas Contractuales Tipo (CCT 2021), Normas Corporativas Vinculantes (BCR), o códigos de conducta/certificaciones. Además, debe realizarse una Evaluación de Impacto de la Transferencia (TIA) para verificar que el país ofrece un nivel de protección esencialmente equivalente (Recomendaciones CEPD 01/2020).

La AEPD (Agencia Española de Protección de Datos) es la autoridad de control competente en España. A nivel europeo, el CEPD (Comité Europeo de Protección de Datos) coordina la aplicación entre Estados miembros mediante el mecanismo de ventanilla única (Art. 56). La AEPD ha publicado un informe jurídico sobre sistemas de información crediticia y guías sobre la adecuación al RGPD de tratamientos con IA.