O que aconteceu. Uma operadora móvel austríaca recusou a uma cliente um contrato de €10 por mês porque uma avaliação automatizada de crédito da Dun & Bradstreet Austria considerou insuficiente a sua capacidade creditícia. Um tribunal austríaco concluiu, por decisão definitiva, que a empresa tinha violado o Regulamento Geral sobre a Proteção de Dados por não lhe ter fornecido «informações significativas sobre a lógica envolvida» na decisão automatizada. O tribunal responsável pela execução dessa decisão perguntou ao Tribunal de Justiça o que essa obrigação exige na prática. O acórdão foi proferido em 27 de fevereiro de 2025 (comunicado de imprensa do TJUE n.º 22/25).
O que o Tribunal afirmou. O responsável pelo tratamento deve descrever o procedimento e os princípios efetivamente aplicados, de modo que a pessoa possa compreender quais dos seus dados pessoais foram utilizados e de que forma. Pode ser adequado explicar em que medida uma alteração dos dados tidos em conta teria conduzido a um resultado diferente. A mera comunicação de um algoritmo não constitui uma explicação suficientemente concisa e inteligível. Quando o responsável pelo tratamento afirma que as informações incluem segredos comerciais ou dados de terceiros, deve transmiti-las à autoridade de controlo ou ao tribunal competente, que pondera os interesses em causa e decide que parte pode ser facultada à pessoa. Uma norma nacional que exclua, em termos gerais, o acesso sempre que esteja em causa um segredo comercial é incompatível com o RGPD.
Contexto. A decisão dá continuidade ao processo SCHUFA (C-634/21, dezembro de 2023), no qual o Tribunal considerou que uma pontuação automatizada pode, por si só, constituir uma «decisão automatizada» nos termos do artigo 22.º do RGPD. Em conjunto, os dois acórdãos dão conteúdo concreto ao direito de contestar decisões automatizadas: primeiro, a pontuação está abrangida pelas regras; segundo, a pessoa tem direito a uma explicação que lhe permita contestá-la.
Importância para a administração pública. O processo dizia respeito a uma empresa privada, mas as mesmas disposições do RGPD vinculam os organismos públicos que utilizam pontuações automatizadas de risco em matéria de prestações sociais, fiscalidade ou imigração. As falhas documentadas da administração automatizada, desde o escândalo neerlandês relativo aos subsídios para cuidados infantis até ao Robodebt, deveram-se, em parte, à incapacidade das pessoas de saber por que razão tinham sido assinaladas. Um padrão de explicação centrado no que teria alterado o resultado corresponde melhor às necessidades de quem interpõe um recurso do que uma descrição de um modelo.
O que acompanhar. A forma como os tribunais nacionais e as autoridades de proteção de dados aplicam o critério de «compreender e contestar»; o tratamento, pelas autoridades, das alegações de segredo comercial; e a interação com o artigo 86.º do Regulamento da UE relativo à IA, que confere às pessoas afetadas por determinadas decisões de IA de alto risco um direito autónomo a uma explicação, quando essas regras se tornarem aplicáveis.