RGPD y tu banco: si un algoritmo te deniega el préstamo, puedes impugnarlo
Última actualización: 11 de septiembre de 2026
Entidades Financieras
Actualizado septiembre 2026
Cuando pides un préstamo y te dicen que no en cuarenta segundos, no ha decidido una persona: ha decidido un algoritmo de scoring. El Tribunal de Justicia de la Unión Europea ha dictaminado que generar automáticamente un valor de probabilidad sobre tu capacidad de pago es una decisión individual automatizada, y eso activa el artículo 22 del RGPD: tienes derecho a que intervenga una persona, a explicar tu situación y a impugnar la decisión. Casi nadie lo usa, y es gratis.
Lo esencial
Tu derecho más potente: si la decisión fue solo automática, puedes exigir intervención humana, dar tu versión e impugnarla.
También puedes pedir información significativa sobre la lógica que aplicaron. No el código fuente, pero sí qué se valoró.
Plazo para contestarte: un mes, prorrogable a tres si el caso es complejo, y tienen que avisarte de la prórroga.
Si no contestan: reclamación ante la AEPD, gratis y sin abogado. Las sanciones llegan a 20 millones de euros o el 4% de la facturación mundial.
El derecho que cambia las cosas: decisiones automatizadas
El artículo 22 del RGPD se aplica cuando se dan tres condiciones a la vez: hay una decisión, está basada únicamente en tratamiento automatizado —incluida la elaboración de perfiles— y produce efectos jurídicos o te afecta significativamente de modo similar.
Durante años los bancos sostuvieron que el scoring no era «la decisión», sino solo un insumo para decidir. El TJUE ha cerrado ese argumento: cuando un valor de probabilidad insuficiente lleva en la práctica a que te denieguen el préstamo, ese cálculo automatizado es la decisión. Y si lo es, se te abren tres puertas concretas.
| Lo que puedes exigir | Qué significa en la práctica |
|---|---|
| Intervención humana | Que una persona con capacidad real de decidir revise tu caso. No vale que alguien te repita el resultado del sistema |
| Expresar tu punto de vista | Aportar contexto que el algoritmo no vio: un contrato recién firmado, una deuda ya pagada, un error en tus datos |
| Impugnar la decisión | Pedir formalmente que se revise, con respuesta por escrito |
| Información sobre la lógica | Qué factores se han valorado y con qué peso aproximado. No tienen que darte el algoritmo, pero sí una explicación comprensible |
La respuesta genérica no cuenta
En la práctica, lo habitual es recibir una fórmula del tipo «su solicitud no cumple nuestros criterios de riesgo». Eso no es información significativa sobre la lógica aplicada, y no satisface el derecho. Si es lo que te contestan, insiste por escrito citando el artículo 22 y, si siguen ahí, esa negativa es exactamente el contenido de tu reclamación ante la AEPD.
Los otros derechos que sí sirven con un banco
El RGPD te da una lista de derechos que suena abstracta hasta que la traduces a peticiones concretas. Estas son las que tienen recorrido real en finanzas:
Acceso. Pide qué datos tuyos tienen, de dónde los obtuvieron y a quién se los han cedido. Esa última parte es la más útil y la que menos gente pide: es como descubres que tu solicitud acabó en seis empresas distintas.
Rectificación. Si el dato que te está hundiendo el scoring es incorrecto —una deuda pagada que sigue figurando, un importe mal consignado—, tienen que corregirlo. Es el camino natural cuando el problema está en un fichero de morosos.
Supresión. El famoso «derecho al olvido». No es absoluto —si hay una obligación legal de conservar el dato, se conserva—, pero sí lo es cuando la base que justificaba el tratamiento ha desaparecido.
Oposición. El que corta las llamadas. Puedes oponerte al tratamiento de tus datos con fines comerciales, y eso incluye dejar de recibir ofertas y contactos de las empresas a las que cedieron tu solicitud.
Portabilidad. Recibir tus datos en formato reutilizable para llevártelos a otra entidad. En la práctica es el menos usado de todos, pero existe.
Cómo se ejerce, paso a paso
Escribe al delegado de protección de datos
Toda entidad financiera tiene uno y su dirección de contacto está publicada en la política de privacidad. No vayas por el teléfono de atención al cliente: ese canal no inicia ningún plazo.
Di qué derecho ejerces y qué pides
Nómbralo: «ejerzo mi derecho de acceso» o «solicito intervención humana conforme al artículo 22 del RGPD». Adjunta copia del DNI y concreta la petición. Cuanto más específica, más difícil de responder con una fórmula.
Cuenta un mes
Ese es el plazo para contestarte. Puede ampliarse dos meses más si el asunto es complejo, pero te lo tienen que comunicar dentro del primer mes. El silencio no es una prórroga.
Si no contestan o contestan mal, a la AEPD
La reclamación ante la Agencia Española de Protección de Datos es gratuita y no necesitas abogado. Adjunta tu escrito, el acuse y la respuesta que te dieron —o la ausencia de ella—.
Por qué esta vía funciona mejor que otras
A diferencia del Banco de España, cuyas resoluciones no son vinculantes, la AEPD sí tiene potestad sancionadora. El régimen del RGPD llega a 20 millones de euros o el 4% del volumen de negocio anual global, el que sea mayor. Eso explica que muchas entidades resuelvan en cuanto ven una reclamación encaminada hacia ahí.
Los tres casos donde más se usa esto en finanzas
Te deniegan financiación sin explicación. Es el caso del artículo 22. Pide intervención humana y la lógica aplicada. Y mientras tanto, si necesitas el dinero, mira qué opciones quedan cuando te deniegan un préstamo, porque cada entidad puntúa distinto.
Apareces en un fichero de morosos. Aquí se combinan el RGPD y el artículo 20 de la LOPDGDD, que exige que la deuda sea cierta, vencida y exigible, que supere los 50 € y que te hubieran informado previamente. Si falla un requisito, la inclusión es indebida: el procedimiento está en cómo salir de ASNEF.
Hablan de tu deuda con terceros. Que una empresa de recobro se lo cuente a tu familia, tus vecinos o tu empresa no tiene base legal, y es una de las reclamaciones que mejor prosperan ante la AEPD. Lo desarrollamos en qué no puede hacer un cobrador de deudas.
Si lo que te preocupa es qué hacen con tus datos las aplicaciones financieras y los comparadores, lo tratamos aparte en protección de datos en fintech.
Que un banco te diga que no, no es que todos digan que no
Cada entidad usa su propio modelo de scoring y sus propios criterios. Un comparador te enseña en una sola solicitud cuáles te aceptan y con qué TAE, sin acumular denegaciones una por una.
Enlace de afiliado.
Tienes el resto de comparativas en la sección de préstamos y las fichas de cada banco y financiera en entidades financieras.
Preguntas frecuentes
¿Pueden denegarme un préstamo solo con un algoritmo?
Pueden usar scoring, pero el artículo 22 del RGPD te da derecho a no quedar sujeto a una decisión basada únicamente en tratamiento automatizado cuando te afecta significativamente. El TJUE ha dictaminado que calcular automáticamente tu probabilidad de pago, cuando eso determina la denegación, es una decisión automatizada. Puedes pedir intervención humana, dar tu versión e impugnarla.
¿Tienen que explicarme por qué me han dicho que no?
Tienen que darte información significativa sobre la lógica aplicada: qué factores se valoraron y en qué sentido. No están obligados a entregarte el algoritmo ni su código, pero «no cumple nuestros criterios de riesgo» no es una explicación. Si es todo lo que recibes, insiste por escrito citando el artículo 22.
¿Cuánto tardan en contestarme?
Un mes desde que reciben tu solicitud. Pueden ampliarlo dos meses más si el caso es complejo, pero deben comunicártelo dentro de ese primer mes y explicar por qué. Si simplemente no contestan, el silencio no es una prórroga: es el momento de acudir a la AEPD.
¿Cuánto cuesta reclamar ante la AEPD?
Nada. Es gratuita y no necesitas abogado ni procurador. A diferencia de las resoluciones del Banco de España, la AEPD tiene potestad sancionadora: el RGPD prevé multas de hasta 20 millones de euros o el 4% del volumen de negocio anual global, el importe que resulte mayor.
¿Puedo saber a quién han cedido mis datos?
Sí, forma parte del derecho de acceso y es la parte más útil y menos pedida. Puedes solicitar qué datos tienen, de dónde los obtuvieron y los destinatarios a los que se han comunicado. Es la forma de descubrir cuántas empresas recibieron tu solicitud cuando rellenaste un formulario de un intermediario.
¿Puedo pedir que borren mis datos del banco?
El derecho de supresión no es absoluto. Si existe una obligación legal de conservar la información —y en banca hay bastantes, por normativa contable y de prevención del blanqueo—, prevalece esa obligación. Donde sí funciona con claridad es cuando la base que legitimaba el tratamiento ha desaparecido, por ejemplo para fines comerciales, donde además tienes el derecho de oposición.
FUENTES
— Reglamento (UE) 2016/679 (RGPD), en particular su artículo 22 sobre decisiones individuales automatizadas y elaboración de perfiles, y el régimen de plazos y sanciones
— Jurisprudencia del Tribunal de Justicia de la Unión Europea sobre la consideración del scoring crediticio como decisión individual automatizada
— Ley Orgánica 3/2018 (LOPDGDD), artículo 20: sistemas de información crediticia
— Agencia Española de Protección de Datos: ejercicio de derechos y canal de reclamaciones (aepd.es)
Stratex Lab es un comparador independiente. Este artículo es divulgativo y no constituye asesoramiento jurídico: el alcance de cada derecho depende de las circunstancias del caso y de la base legal del tratamiento. Si el asunto es relevante, consulta con un abogado especializado en protección de datos. Contiene un enlace de afiliado: si contratas a través de él podemos recibir una comisión sin coste adicional para ti, y eso no altera nuestra valoración.
Cómo trabajamos. Comparamos productos financieros con datos públicos de las entidades y de fuentes oficiales (Banco de España, BOE, AEAT, DGSFP, CNMV). Algunos enlaces son de afiliado: si contratas a través de ellos podemos cobrar una comisión, sin coste para ti y sin que eso altere el orden ni las valoraciones.
Esta página es información general, no asesoramiento financiero personalizado. Endeudarse tiene riesgos: revisa siempre la TAE, el coste total y las comisiones antes de firmar.
Publicado el 28 de agosto de 2025 · Última revisión el 11 de septiembre de 2026.