GDPR 16. La elaboración de perfiles


Josep Aragonés Salvat     12/09/2016

¿Qué es una elaboración de perfiles?


En el artículo 4 del Reglamento se define la elaboración de perfiles como la confección de decisiones individuales basadas en un tratamiento automatizado de datos destinado a evaluar aspectos personales o analizar o predecir:

  • Rendimiento profesional.
  • Situación económica.
  • Salud.
  • Preferencias o intereses personales.
  • Fiabilidad o comportamiento.
  • Ubicación o movimientos.

Referencias sobre la elaboración de perfiles en el Reglamento


En todo el Reglamento no hay una directriz explícita sobre la elaboración de perfiles. Se va tratando el tema a medida que se disponen los artículos basados principalmente en la información que se facilita al interesado, el derecho a oponerse al tratamiento y a la aplicación de medidas de seguridad.

En el GDPR se puede encontrar referencias a la elaboración de perfiles en:

  • Definiciones (artículo 4, apartado 4)
  • Información que deberá facilitarse cuando los datos personales se obtengan del interesado (artículo 13, apartado 2, letra f)
  • Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (artículo 14, apartado 2, letra g)
  • Derecho de acceso del interesado (artículo 15, apartado 1, letra h)
  • Derecho de oposición (artículo 21)
  • Decisiones individuales automatizadas, incluida la elaboración de perfiles (artículo 22)
  • Evaluación de impacto relativa a la protección de datos (artículo 35, apartado 3, letra a)
  • Considerandos 24, 38, 60, 63, 70, 71, 75 y 91

¿Cuándo se pueden realizar elaboraciones de perfiles?


Solo se podrá realizar una elaboración de perfiles si se aplican medidas adecuadas para la protección de los derechos, libertades e intereses legítimos de los interesados.

Un interesado solo podrá ser objeto de una elaboración de perfiles basada únicamente en un tratamiento automatizado, cuando:

  • Esté informado de que la decisión que pueda ser tomada a consecuencia de la misma pueda producirle efectos jurídicos que le afecten significativamente.
  • El interesado pueda ejercer el derecho a obtener la intervención humana por parte del Responsable del tratamiento, a expresar su punto de vista y a impugnar la decisión, si el tratamiento ha sido autorizado mediante:
    • El consentimiento explícito del interesado.
    • Un contrato entre el interesado y el Responsable del tratamiento.
  • El tratamiento esté autorizado por la legislación vigente.


Está prohibida la elaboración de perfiles cuando el tratamiento se base en categorías especiales de datos, excepto si:

  • El interesado ha dado su consentimiento para fines específicos permitidos por la legislación vigente.
  • El tratamiento se realiza para fines de interés público o bajo la supervisión de poderes públicos, fundamentados en la legislación vigente.

Información que facilitar al interesado


La política de información destinada al interesado deberá garantizar un tratamiento leal y transparente con el mismo y cuando existan decisiones automatizadas basadas en una elaboración de perfiles se deberá facilitar información significativa sobre:

  • La lógica aplicada para el tratamiento de los datos.
  • La importancia y consecuencias previstas para el interesado.

Medidas de seguridad a aplicar en un tratamiento automatizado de elaboración de perfiles


El Responsable del tratamiento deberá realizar, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento cuando dicho tratamiento se base en una evaluación sistemática y exhaustiva de aspectos personales basado en un tratamiento automatizado, como la elaboración de perfiles y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para los interesados.


¿Qué dice el GDPR?


Considerando 24
El tratamiento de datos personales de los interesados que residen en la Unión por un responsable o encargado no establecido en la Unión debe ser también objeto del presente Reglamento cuando esté relacionado con la observación del comportamiento de dichos interesados en la medida en que este comportamiento tenga lugar en la Unión. Para determinar si se puede considerar que una actividad de tratamiento controla el comportamiento de los interesados, debe evaluarse si las personas físicas son objeto de un seguimiento en internet, inclusive el potencial uso posterior de técnicas de tratamiento de datos personales que consistan en la elaboración de un perfil de una persona física con el fin, en particular, de adoptar decisiones sobre él o de analizar o predecir sus preferencias personales, comportamientos y actitudes.


Considerando 38
Los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. Dicha protección específica debe aplicarse en particular, a la utilización de datos personales de niños con fines de mercadotecnia o elaboración de perfiles de personalidad o de usuario, y a la obtención de datos personales relativos a niños cuando se utilicen servicios ofrecidos directamente a un niño. El consentimiento del titular de la patria potestad o tutela no debe ser necesario en el contexto de los servicios preventivos o de asesoramiento ofrecidos directamente a los niños.


Considerando 60
Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presentan en formato electrónico deben ser legibles mecánicamente.


Considerando 63
Los interesados deben tener derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. Ello incluye el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. Todo interesado debe, por tanto, tener el derecho a conocer y a que se le comuniquen, en particular, los fines para los que se tratan los datos personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en la elaboración de perfiles, las consecuencias de dicho tratamiento. Si es posible, el responsable del tratamiento debe estar facultado para facilitar acceso remoto a un sistema seguro que ofrezca al interesado un acceso directo a sus datos personales. Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado. Si trata una gran cantidad de información relativa al interesado, el responsable del tratamiento debe estar facultado para solicitar que, antes de facilitarse la información, el interesado especifique la información o actividades de tratamiento a que se refiere la solicitud.


Considerando 70
Si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, inclusive a la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno. Dicho derecho debe comunicarse explícitamente al interesado y presentarse claramente y al margen de cualquier otra información.


Considerando 71
El interesado debe tener derecho a no ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos personales relativos a él, y que se base únicamente en el tratamiento automatizado y produzca efectos jurídicos en él o le afecte significativamente de modo similar, como la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna. Este tipo de tratamiento incluye la elaboración de perfiles consistente en cualquier forma de tratamiento de los datos personales que evalúe aspectos personales relativos a una persona física, en particular para analizar o predecir aspectos relacionados con el rendimiento en el trabajo, la situación económica, la salud, las preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o los movimientos del interesado, en la medida en que produzca efectos jurídicos en él o le afecte significativamente de modo similar. Sin embargo, se deben permitir las decisiones basadas en tal tratamiento, incluida la elaboración de perfiles, si lo autoriza expresamente el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento, incluso con fines de control y prevención del fraude y la evasión fiscal, realizada de conformidad con las reglamentaciones, normas y recomendaciones de las instituciones de la Unión o de los órganos de supervisión nacionales y para garantizar la seguridad y la fiabilidad de un servicio prestado por el responsable del tratamiento, o necesario para la conclusión o ejecución de un contrato entre el interesado y un responsable del tratamiento, o en los casos en los que el interesado haya dado su consentimiento explícito. En cualquier caso, dicho tratamiento debe estar sujeto a las garantías apropiadas, entre las que se deben incluir la información específica al interesado y el derecho a obtener intervención humana, a expresar su punto de vista, a recibir una explicación de la decisión tomada después de tal evaluación y a impugnar la decisión. Tal medida no debe afectar a un menor.
A fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado y se impidan, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o que den lugar a medidas que produzcan tal efecto. Las decisiones automatizadas y la elaboración de perfiles sobre la base de categorías particulares de datos personales únicamente deben permitirse en condiciones específicas.


Considerando 75
Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; en los casos en los que los datos personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas; en los casos en los que se evalúen aspectos personales, en particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que se traten datos personales de personas vulnerables, en particular niños; o en los casos en los que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados.


Considerando 91
... La evaluación de impacto relativa a la protección de datos debe realizarse también en los casos en los que se tratan datos personales para adoptar decisiones relativas a personas físicas concretas a raíz de una evaluación sistemática y exhaustiva de aspectos personales propios de personas físicas, basada en la elaboración de perfiles de dichos datos o a raíz del tratamiento de categorías especiales de datos personales, datos biométricos o datos sobre condenas e infracciones penales o medidas de seguridad conexas...


Seguimiento del curso Experto en el GDPR


Tema anterior: 15. Transferencias internacionales de datos Tema siguiente: 17. El Delegado de Protección de datos (DPO)



Información relacionada