¿Puede un algoritmo limitarte? El choque entre la DGOJ y el artículo 22 RGPD

El nuevo mecanismo de detección de riesgos en el juego online prevé que un algoritmo perfilará a los usuarios con más de 60 variables (historial, importes, frecuencia, patrones temporales, etc.) para decidir si su comportamiento es “de riesgo”.
Esto implica decisiones automatizadas que pueden afectar de forma significativa a los jugadores (restricciones, bloqueos, exclusiones de promos, avisos insistentes). Y aquí aparece el artículo 22 del RGPD: el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o similares.

¿Por qué el sistema puede chocar con el RGPD?

Ser clasificado como “jugador de riesgo” no es neutro:

• Restricciones a depósitos o límites de apuesta.

• Suspensión/bloqueo de cuenta.

• Exclusión de promociones/bonos.

• Estigmatización y trato contractual diferente.

Aunque no sea una “sanción” clásica, son efectos significativamente adversos → se activa la protección del art. 22 RGPD (decisiones automatizadas).

Las tres excepciones del art. 22.2 RGPD (y por qué fallan)

El RGPD solo permite decisiones automatizadas si concurre una de estas bases con garantías:

1. Necesidad para un contrato.
   Difícil defender que el juego requiera perfilado intensivo para ejecutarse.

2. Autorización por norma con rango de ley + salvaguardas.
   La vía más viable… si existe una ley formal que lo regule y añada garantías (intervención humana, explicar la lógica esencial, derecho a alegar e impugnar).

3. Consentimiento explícito.
   Improbable que sea libre si el perfilado es requisito para usar el servicio o viene impuesto por normativa.

¿Hay base legal suficiente en España?

Hoy la habilitación desciende del RD 176/2023 y de la competencia general de la Ley 13/2011 sobre “juego responsable”. Problemas:

• Un Real Decreto no equivale, por sí solo, a la “ley” que exige el art. 22.2.b RGPD.

• Faltan salvaguardas concretas para el usuario:

  • Intervención humana efectiva y accesible.

  • Información significativa sobre la lógica del algoritmo.

  • Vía de alegación e impugnación previa a medidas restrictivas.

Resultado: riesgo claro de colisión con el art. 22 RGPD.

Capa nacional: Constitución y LOPDGDD

• Art. 18.4 CE → la ley debe limitar el uso de la informática para proteger intimidad y derechos. Un sistema algorítmico sin ley formal detallada (fines, datos, límites, garantías) tensiona este mandato.

• LOPDGDD → refuerza transparencia, proporcionalidad y garantías adicionales en decisiones automatizadas con impacto significativo.

EIPD y rol de la AEPD

Por escala y naturaleza del tratamiento, corresponde una Evaluación de Impacto en Protección de Datos (art. 35 RGPD) y, si persisten altos riesgos, consulta previa a la AEPD.
Cuando se invoca interés público (art. 6.1.e RGPD), se necesita base normativa suficiente, necesidad y proporcionalidad documentadas.

Conclusión: alto riesgo regulatorio si no hay ley y garantías

• El perfilado automático produce efectos significativos.

• No hay una norma con rango de ley que detalle el sistema y sus salvaguardas.

• Falta intervención humana real, derecho a impugnar y transparencia reforzada.

En síntesis: el esquema proyectado podría vulnerar el art. 22 RGPD y el art. 18.4 CE si se aplica sin una ley formal y sin garantías efectivas para los jugadores.

Preguntas rápidas (FAQ)

¿Puede la DGOJ limitarme mediante algoritmos?
No, no sin bases y garantías del art. 22 RGPD: ley formal, intervención humana, explicación y derecho a impugnar.

¿Vale con el RD 176/2023?
En principio no basta: el RGPD exige rango de ley para la excepción 22.2.b y salvaguardas específicas.

¿Qué derechos tengo ante una decisión automatizada?
A intervención humana, a expresar tu punto de vista, a impugnar la decisión y a recibir información significativa sobre la lógica aplicada.

365tempranolopez.es