Por Cesar Augusto Taborda Lima
Quando um sistema decide sozinho sobre alguém, negando crédito, descartando uma candidatura ou bloqueando uma conta, a LGPD dá ao titular o direito de pedir a revisão da decisão e de receber informações claras sobre os critérios e os procedimentos que a produziram. A lei não exige que a revisão seja feita por uma pessoa, mas exige que ela exista de fato e que a empresa saiba explicar o que o sistema faz. Quem usa modelos de pontuação, triagem ou detecção de fraude deve ter essa resposta pronta antes do primeiro pedido.
Art. 20. O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.
§ 1º O controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.
Lei 13.709/2018 (LGPD), art. 20, caput e § 1º.
O que conta como decisão automatizada
O art. 20 alcança as decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular, inclusive as que definem seu perfil pessoal, profissional, de consumo e de crédito. Cabem aí a recusa de um empréstimo, o limite do cartão, o preço de um seguro, a triagem de currículos, o bloqueio de uma conta por suspeita de fraude.
A palavra “unicamente” é o ponto de discussão. Parece-me que a assinatura protocolar de um analista, que apenas confirma o resultado do sistema sem informação nem poder para alterá-lo, não retira da decisão o caráter automatizado. Na União Europeia, o Tribunal de Justiça foi além e considerou que a própria pontuação calculada por uma agência de crédito já constitui decisão automatizada quando o terceiro que a recebe se apoia fortemente nela para contratar ou não com a pessoa (SCHUFA Holding, C-634/21, 7 de dezembro de 2023). A interpretação europeia não vincula o Brasil, mas indica como o tema tende a ser lido.
Revisão sem exigência de pessoa natural
O texto original da LGPD previa a revisão “por pessoa natural”. A Medida Provisória 869/2018 retirou a exigência, e a Lei 13.853/2019 manteve a nova redação. O Congresso chegou a incluir um § 3º determinando que a revisão fosse feita por pessoa natural, conforme regulamento da autoridade, mas o dispositivo foi vetado sob o argumento de que inviabilizaria modelos de negócio, sobretudo de startups, e prejudicaria a análise de risco de crédito (Mensagem de veto nº 288/2019).
A revisão, portanto, pode envolver novo processamento, mas não pode ser mera repetição do mesmo cálculo. Os princípios da transparência, da não discriminação e da responsabilização e prestação de contas (art. 6º, VI, IX e X) pedem que a empresa reexamine o caso à luz do que o titular alega e dos dados corrigidos, e que possa demonstrar que o fez.
A Agência Nacional de Proteção de Dados (ANPD) realizou, entre novembro de 2024 e janeiro de 2025, tomada de subsídios para regulamentar o art. 20, com foco em inteligência artificial. Até agora, não editou regulamento sobre o tema.
Explicar sem entregar o segredo comercial
O § 1º obriga o controlador a informar os critérios e os procedimentos da decisão, observados os segredos comercial e industrial. O segredo não autoriza o silêncio: se a empresa deixar de informar com base nele, a ANPD pode realizar auditoria para verificar aspectos discriminatórios no tratamento automatizado (art. 20, § 2º). O pedido de acesso também deve ser atendido, por declaração completa que indique a origem dos dados, os critérios utilizados e a finalidade, em até quinze dias (art. 19, II).
No crédito, a Lei 12.414/2011, que rege o cadastro positivo, garante ao cadastrado conhecer os principais elementos e critérios considerados para a análise de risco e pedir ao consulente a revisão de decisão realizada exclusivamente por meios automatizados (art. 5º, IV e VI). O Superior Tribunal de Justiça já havia firmado que o escore de crédito dispensa o consentimento do consumidor, “que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo” (Súmula 550). O Código de Defesa do Consumidor assegura acesso aos dados arquivados sobre o consumidor e às suas fontes (art. 43).
Quanto ao grau de detalhe, a experiência europeia oferece um parâmetro útil. Em Dun & Bradstreet Austria (C-203/22, 27 de fevereiro de 2025), o Tribunal de Justiça decidiu que o responsável deve descrever o procedimento e os princípios efetivamente aplicados, de modo que a pessoa entenda quais dados foram usados e como; a simples entrega do algoritmo não basta. Quando houver segredo comercial, a informação vai à autoridade ou ao juiz, que pondera os interesses em jogo.
Recrutamento e outras escolhas sensíveis
Na seleção de pessoal, a Lei 9.029/1995 proíbe práticas discriminatórias para acesso à relação de trabalho ou sua manutenção, por motivo de sexo, origem, raça, cor, estado civil, situação familiar, deficiência, reabilitação profissional ou idade, entre outros (art. 1º). Uma ferramenta de triagem que penalize esses fatores, ainda que de forma indireta, por meio de variáveis que os reproduzem, expõe o empregador. O fato de a escolha ter sido feita pelo sistema não a torna neutra.
O que ter pronto
A empresa que decide por sistemas deve manter:
- um inventário das decisões automatizadas, com a finalidade, os dados usados e o efeito sobre o titular;
- uma descrição, em linguagem simples, dos critérios e dos principais fatores de cada decisão, atualizada quando o modelo mudar;
- um canal de revisão operado por pessoas com informação e autoridade para alterar o resultado, com prazo de resposta definido;
- o registro dos pedidos, das revisões e de seus resultados;
- relatório de impacto à proteção de dados (art. 38) e testes periódicos de viés nos usos de maior risco, como crédito, emprego e saúde;
- contratos com os fornecedores de pontuação ou triagem que garantam acesso às explicações, colaboração nas revisões e possibilidade de auditoria.
A revisão bem estruturada também protege a empresa: corrige erros antes que virem litígio e produz a prova de que o sistema é usado com critério. Quem não consegue explicar a decisão que seu sistema tomou dificilmente conseguirá defendê-la.