Introducción
La Ley General de Protección de Datos (LGPD), establecida por la Ley N° 13.709/2018, representó un hito normativo en la protección de datos personales en Brasil. Inspirada en legislación internacional como el RGPD europeo, la LGPD introdujo avances significativos, principalmente en lo que respecta a la autonomía y la autodeterminación informativa de las personas. Una de las disposiciones más debatidas, tanto en el ámbito jurídico como tecnológico, es el artículo 20, que trata sobre el derecho del titular de los datos a revisar las decisiones automatizadas.
Pero, en la práctica, ¿es efectivo este derecho? ¿La revisión humana funciona como un verdadero instrumento de control o es simplemente una formalidad legal? En este artículo, analizaremos la redacción del artículo 20 de la LGPD (Ley General de Protección de Datos de Brasil), sus implicaciones prácticas, las dificultades de su implementación y las posibles maneras de mejorar su funcionalidad.
I – ¿Qué dice el artículo 20 de la LGPD?
El artículo 20 de la LGPD (Ley General de Protección de Datos de Brasil) estipula: “ El titular de los datos personales tiene derecho a solicitar la revisión de las decisiones tomadas únicamente sobre la base del procesamiento automatizado de datos personales que afecten sus intereses, incluidas las decisiones destinadas a definir su perfil personal, profesional, de consumo y crediticio o aspectos de su personalidad. ”
En otras palabras, cualquier decisión tomada exclusivamente por algoritmos —sin intervención humana— que tenga un impacto significativo en el titular de los datos (como denegar un préstamo, rechazar un currículum o ajustar el valor de una póliza de seguro) puede ser impugnada.
Además, el párrafo 1 del artículo menciona que el responsable del tratamiento debe proporcionar, cuando se le solicite, información clara y adecuada sobre los criterios y procedimientos utilizados para la toma de decisiones automatizada. El párrafo 2 faculta a la ANPD (Autoridad Nacional de Protección de Datos) para establecer normativas complementarias.
I.1 – ¿Por qué es importante el artículo 20?
En un mundo cada vez más mediado por algoritmos, las decisiones automatizadas se han convertido en parte de la vida cotidiana moderna. Los bancos utilizan inteligencia artificial para evaluar el riesgo crediticio; las empresas de comercio electrónico determinan los precios en función de los perfiles de los usuarios; los reclutadores utilizan software de selección automatizada para evaluar los currículos.
En estas situaciones, el riesgo de opacidad, discriminación algorítmica e ineficiencia es elevado. El artículo 20 busca garantizar la transparencia, la equidad y la rendición de cuentas en estos procesos, al permitir que el titular de los datos cuestione y revise las decisiones que puedan ser injustas o incorrectas.
I.2 – ¿Realmente funciona la revisión?
A pesar del noble objetivo, existen dudas sobre la eficacia del mecanismo, especialmente desde una perspectiva funcional.
Muchas empresas afirman que sus decisiones implican cierto grado de intervención humana, aunque sea mínima o rutinaria. Esto les permite evitar la aplicación directa del artículo. Pero si un representante de atención al cliente simplemente "confirma" una decisión previamente tomada por el sistema, ¿sería suficiente para descartarla como no automatizada?
Esta interpretación debilita el artículo 20, ya que crea una zona gris respecto a lo que, en realidad, constituye una decisión puramente algorítmica. Sin claridad regulatoria, las empresas tienen margen de maniobra para restringir los derechos del titular de los datos.
La LGPD (Ley General de Protección de Datos de Brasil) no especifica cómo debe realizarse la revisión ni quién debe llevarla a cabo. Por ejemplo, no queda claro: ¿Debe la revisión realizarla una persona con autoridad para modificar la decisión? ¿Deben explicarse los criterios utilizados por el sistema? ¿Debe el revisor justificar su análisis en detalle?
Ante la ausencia de regulación por parte de la ANPD (Autoridad Nacional de Protección de Datos), muchas empresas adoptan protocolos internos vagos o meramente formales, en los que la "revisión" se reduce a reiterar la decisión del sistema, sin ninguna reconsideración real.
Además, el acceso limitado a la lógica algorítmica ha generado un debate generalizado, especialmente debido al conflicto entre la propiedad industrial y la transparencia en la toma de decisiones.
El párrafo 1 del artículo exige que el interesado tenga acceso a información clara y adecuada sobre los criterios y procedimientos utilizados en la decisión. Sin embargo, los algoritmos de aprendizaje automático, especialmente los basados en aprendizaje profundo, suelen ser opacos incluso para sus desarrolladores.
Además, las empresas suelen alegar secretos comerciales o derechos de propiedad intelectual para evitar revelar los detalles del funcionamiento de sus sistemas. Esto dificulta, e incluso imposibilita, que el propietario presente una reclamación fundamentada.
Finalmente, la asimetría informativa y técnica se hace evidente, ya que, en la gran mayoría de los casos, el usuario se encuentra con limitaciones para tomar decisiones empresariales. Incluso cuando es posible revisar la información, el ciudadano promedio carece de los conocimientos técnicos necesarios para comprender la base algorítmica de una decisión. Términos como "red neuronal convolucional" o "agrupamiento basado en K-means" resultan ininteligibles para la mayoría de las personas.
En otras palabras, sin formación digital y sin apoyo jurídico o técnico, el derecho de revisión a menudo se vuelve inoperante en la práctica.
II – Escenario internacional y comparativo
En la Unión Europea, el RGPD incluye una disposición similar. El modelo europeo también garantiza el derecho del interesado a no ser objeto de decisiones automatizadas que produzcan efectos jurídicos significativos.
Sin embargo, los desafíos siguen siendo los mismos: definir qué constituye una decisión "puramente automatizada", la transparencia algorítmica y la eficacia del proceso de revisión.
Algunos países, como Francia y Alemania, han avanzado en el desarrollo de normativas y jurisprudencia complementarias que refuerzan el papel de las autoridades de protección de datos y los tribunales en la supervisión de los sistemas algorítmicos.
III – El papel de la ANPD y el futuro de la regulación
La Autoridad Nacional de Protección de Datos aún se encuentra en proceso de regular varias disposiciones de la LGPD (Ley General de Protección de Datos de Brasil), incluido el Artículo 20. La Agenda Regulatoria 2023-2025 prioriza el desarrollo de regulaciones sobre:
- Definición clara de decisiones automatizadas;
- Procedimientos mínimos de revisión;
- Transparencia técnica e informativa;
- Patrones de explicabilidad para algoritmos.
Además, se espera una nota técnica o una resolución específica para cada sector que sirva de guía a aquellos sectores que dependen más de la automatización, como las finanzas, el comercio minorista digital y el sector de la atención médica complementaria.
III.1 – Cambios previstos
Para que el derecho a revisión sea algo más que un ideal abstracto, se pueden adoptar algunas medidas prácticas.
La primera de ellas consiste en imponer el requisito de que toda decisión automatizada cuente con una intervención humana significativa y documentada, capaz de alterar o cuestionar el resultado.
No obstante, las empresas deben proporcionar al titular de los datos explicaciones comprensibles, en un lenguaje accesible, sobre los factores que influyeron en la decisión. Esto no requiere abrir el código fuente, sino simplemente traducir los factores determinantes.
También debe considerarse el acceso a la justicia. El papel de las oficinas del defensor del pueblo, tanto públicas como privadas, así como el de la Defensoría Pública, debe ampliarse para intervenir en las revisiones que involucren a poblaciones vulnerables o desfavorecidas.
Finalmente, la ANPD (Autoridad Nacional de Protección de Datos) puede imponer multas y sanciones cuando verifica que la revisión se realizó simplemente para cumplir con una formalidad, sin ningún poder real de reconsideración.
III.2 – Casos prácticos y jurisprudencia emergente
Hasta la fecha, la jurisprudencia brasileña sobre el artículo 20 es escasa. Algunas sentencias abordan la denegación de crédito basada en puntuaciones, destacando la necesidad de transparencia respecto a los criterios adoptados por las agencias de crédito. Sin embargo, aún no existe consenso sobre qué constituye una revisión válida ni sobre la obligación de proporcionar una explicación detallada de la lógica algorítmica.
Ante el aumento de las demandas relacionadas con la discriminación algorítmica y los sesgos en la contratación, el crédito y la publicidad digital, es probable que el Poder Judicial tenga que interpretar cada vez con mayor frecuencia los límites y las garantías del artículo 20.
Conclusión
El artículo 20 de la LGPD (Ley General de Protección de Datos de Brasil) representa un avance significativo en el intento de humanizar la era de los algoritmos. Sin embargo, su efectividad está directamente ligada a una regulación clara, la educación digital de la población, la transparencia técnica de los sistemas y la actuación firme de la ANPD (Autoridad Nacional de Protección de Datos) y el Poder Judicial.
La revisión de decisiones automatizadas solo funcionará si es genuina, comprensible y vinculante, y no un mero ritual vacío. Para lograrlo, Brasil debe afrontar los desafíos tecnológicos, legales y sociales que plantea la automatización, o corre el riesgo de convertir un derecho fundamental en una simple ficción normativa.
REFERENCIAS BIBLIOGRÁFICAS
FERNANDES, Micaela Barros Barcelos; OLIVEIRA, Camila Helena Melchor Baptista de. El artículo 20 de la LGPD y los desafíos interpretativos al derecho de los interesados a revisar las decisiones tomadas por los encargados del tratamiento. Revista de Derecho y Nuevas Tecnologías, 2020.
LOCATELLI, Jovair. Indelegabilidad de la función jurisdiccional: límites del uso de la inteligencia artificial y las decisiones automatizadas a la luz del artículo 20 de la LGPD y el derecho fundamental a la protección de datos. 2023. Disertación presentada al Programa de Posgrado en Derecho de la Universidad Federal de Rio Grande do Sul.
MIZIARA, Raphael. Protección contra el despido algorítmico en el lugar de trabajo: consecuencias del incumplimiento del derecho a la explicabilidad previsto en el artículo 20 de la LGPD. Revista do Tribunal Superior do Trabalho, v. 90, n. 1, p. 230-249, 2024.
PRADO, Nathalia Estevao. Decisiones automatizadas: la revisión (humana) del artículo 20 de la LGPD. 2023.
SILVA, Neide Costa da. La postura de los tribunales sobre la revisión de decisiones automatizadas a la luz del artículo 20 de la LGPD. 2023.