Resumo executivo

Quando uma empresa usa um sistema para aprovar, negar, classificar, priorizar ou recomendar uma ação que afeta pessoas, a responsabilidade não desaparece dentro do algoritmo. A organização precisa demonstrar por que adotou a solução, quais dados foram utilizados, como o resultado foi testado, quem supervisiona o processo e como uma pessoa pode contestar a decisão.

A Lei Geral de Proteção de Dados Pessoais assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O controlador também deve fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados, observados os segredos comercial e industrial. Se essas informações não forem oferecidas com fundamento em segredo, a ANPD poderá realizar auditoria para verificar aspectos discriminatórios.

O artigo 20 da LGPD é parte da análise, não seu limite. Conforme o caso, também incidem princípios de transparência, necessidade, não discriminação, prevenção e prestação de contas, regras de defesa do consumidor, responsabilidade civil, normas setoriais e obrigações contratuais.

Uma governança consistente combina inventário, avaliação de impacto, testes, documentação, supervisão humana efetiva, canal de revisão e monitoramento contínuo.

1. A empresa continua responsável pelo processo

Contratar uma plataforma ou utilizar um modelo externo não transfere automaticamente a responsabilidade ao fornecedor. A organização que define a finalidade e os elementos essenciais do tratamento pode atuar como controladora dos dados pessoais.

Ela deve avaliar:

  • se o caso de uso é legítimo e necessário;

  • quais dados podem ser usados;

  • qual hipótese legal sustenta o tratamento;

  • se o sistema é adequado ao contexto;

  • quais riscos existem para titulares e terceiros;

  • como erros e vieses serão detectados;

  • quem revisa e corrige decisões;

  • quais informações devem ser fornecidas;

  • como o fornecedor e os subcontratados atuam.

O fornecedor pode responder por suas próprias obrigações, instruções descumpridas, falhas de segurança ou decisões autônomas sobre dados. A distribuição concreta depende da atuação de cada parte, da legislação e do contrato. A empresa contratante, porém, não deve tratar o sistema como uma “caixa-preta” que elimina seu dever de governança.

2. Quando o artigo 20 da LGPD se torna central

O artigo 20 estabelece três elementos principais:

  • uso de dados pessoais;

  • decisão tomada unicamente com base em tratamento automatizado;

  • efeito sobre interesses do titular.

A lei menciona expressamente decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito ou aspectos da personalidade.

O titular tem direito de solicitar revisão. Também pode solicitar informações claras e adequadas a respeito dos critérios e procedimentos utilizados para a decisão, respeitados os segredos comercial e industrial.

É importante não afirmar que a LGPD exige, em todos os casos, revisão realizada por pessoa natural. A versão vigente do artigo 20 assegura a solicitação de revisão, mas não contém essa expressão. Mesmo assim, uma revisão efetiva exige mecanismo capaz de reexaminar o resultado, considerar a manifestação do titular e corrigir a decisão quando necessário. Dependendo do risco e de normas setoriais, a intervenção humana pode ser a salvaguarda apropriada.

A ANPD informa aos titulares que a revisão permite conhecer critérios e parâmetros e contestar a decisão. Em outubro de 2026, a regulamentação dos direitos previstos nos artigos 9º, 18, 19 e 20 permanecia em elaboração interna na Agenda Regulatória da Autoridade.

3. Automação integral e “revisão humana de fachada”

Uma pessoa no fluxo não garante, por si só, que a decisão deixou de ser unicamente automatizada. Se o revisor apenas confirma recomendações, não possui informações suficientes, não tem autoridade para alterar o resultado ou trabalha sob metas incompatíveis com análise real, sua participação pode ser meramente formal.

Uma supervisão efetiva costuma exigir:

  • acesso aos dados e fatores relevantes;

  • compreensão das limitações do sistema;

  • tempo adequado para análise;

  • treinamento e independência;

  • autoridade para discordar e corrigir;

  • registro da justificativa;

  • canal para escalonamento;

  • monitoramento da taxa de confirmação automática.

O desenho deve evitar dois extremos: confiança cega na máquina e revisão manual sem critérios que reintroduza arbitrariedade.

4. Transparência não significa publicar o código-fonte

A obrigação de fornecer informação clara e adequada pode coexistir com a proteção do segredo comercial e industrial. Em geral, a pessoa afetada precisa compreender os elementos relevantes da decisão, e não receber uma descrição técnica incompreensível.

Conforme o contexto, a comunicação pode explicar:

  • que houve uso de tratamento automatizado;

  • qual era a finalidade;

  • quais categorias de dados foram consideradas;

  • de onde vieram os dados;

  • quais fatores tiveram maior relevância;

  • quais critérios poderiam alterar o resultado;

  • quais consequências foram produzidas;

  • como solicitar revisão ou correção;

  • como exercer outros direitos previstos na LGPD.

Explicações genéricas, como “critérios internos” ou “análise do sistema”, podem ser insuficientes. Ao mesmo tempo, uma explicação individual não deve expor controles antifraude, informações de terceiros ou segredos além do necessário.

Se o controlador se recusar a fornecer informações sob alegação de segredo comercial ou industrial, a LGPD autoriza a ANPD a realizar auditoria para verificar aspectos discriminatórios.

6. Viés e discriminação

A LGPD proíbe o tratamento para fins discriminatórios ilícitos ou abusivos. O risco pode surgir dos dados históricos, da seleção de variáveis, do rótulo utilizado como verdade, da métrica escolhida, da forma de implantação ou da interação com decisões humanas.

Uma taxa média de acerto pode esconder resultados muito diferentes entre grupos. Por isso, a avaliação deve considerar:

  • falsos positivos e falsos negativos;

  • impacto de cada tipo de erro;

  • desempenho por grupo relevante;

  • diferença entre ambientes de teste e produção;

  • efeitos acumulados ao longo do tempo;

  • pessoas excluídas da base;

  • retroalimentação produzida pelas próprias decisões;

  • alternativas menos prejudiciais.

Atributos sensíveis não devem ser usados de forma inadequada. Porém, em certos testes controlados, a organização pode precisar de dados adequados para identificar disparidades. Essa análise exige base jurídica, finalidade, acesso restrito e proteção reforçada.

9. Canal de revisão e contestação

O direito precisa funcionar na prática. O canal deve ser acessível, gratuito e conectado à equipe capaz de reexaminar a decisão.

O procedimento pode prever:

  • confirmação da identidade em nível proporcional ao risco;

  • identificação da decisão questionada;

  • preservação da versão, dados e registros utilizados;

  • apresentação da manifestação do titular;

  • análise por responsável com autoridade;

  • correção de dados incorretos;

  • comunicação clara do resultado;

  • ajuste do sistema quando o caso revelar falha recorrente;

  • registro para auditoria e monitoramento.

A revisão não deve se limitar a repetir o mesmo cálculo. Deve verificar qualidade dos dados, adequação do critério, funcionamento do sistema e circunstâncias apresentadas.

10. Responsabilidade em relações de consumo

Quando a decisão automatizada integra uma relação de consumo, a LGPD deve ser analisada em conjunto com o Código de Defesa do Consumidor.

O CDC assegura acesso a informações existentes em cadastros e dados de consumo e às respectivas fontes. Também estabelece direitos à informação adequada e à reparação de danos, além de regimes próprios de responsabilidade por produtos e serviços.

Exemplos como oferta personalizada, análise de fraude, bloqueio de serviço e formação de perfil podem envolver deveres adicionais. O titular pode apresentar requerimento à ANPD e, em contexto de consumo, também recorrer aos órgãos de defesa do consumidor.

A classificação jurídica depende do caso concreto, do papel das partes e da natureza do dano. Não existe uma regra única de responsabilidade aplicável a toda automação.

12. Governança do fornecedor

A diligência deve verificar se o fornecedor consegue oferecer evidências suficientes para que a empresa cumpra suas obrigações.

Perguntas relevantes incluem:

  • qual é a finalidade declarada e quais usos são vedados;

  • quais dados foram utilizados no desenvolvimento e nos testes;

  • quais limitações são conhecidas;

  • como o desempenho varia por cenário e grupo;

  • como mudanças de versão são comunicadas;

  • quais registros são disponibilizados;

  • como o sistema gera explicações ou fatores relevantes;

  • como erros são corrigidos;

  • quem são os subfornecedores;

  • onde os dados são processados;

  • como incidentes e reclamações são tratados;

  • quais auditorias independentes existem.

O cliente deve obter direito de suspender o uso quando mudança ou falha aumentar materialmente o risco.

14. Estrutura de responsabilidades internas

Governança exige responsáveis identificados.

PapelResponsabilidades sugeridasConselho ou alta administraçãoaprovar apetite a risco e supervisionar usos materiaisÁrea de negóciojustificar finalidade, acompanhar impacto e responder pelo processoDados e tecnologiadesenvolver, integrar, testar, registrar e monitorar o sistemaJurídico e privacidadeavaliar bases legais, direitos, transparência, contratos e impactoRisco e compliancerevisar controles, discriminação, normas setoriais e exceçõesAtendimentoreceber contestação, orientar titular e encaminhar revisãoAuditoriatestar evidências, aderência e eficácia dos controlesFornecedorcumprir obrigações técnicas e contratuais e cooperar com o controlador

Em estruturas menores, funções podem ser acumuladas, mas decisões, responsabilidades e independência mínima precisam estar documentadas.

Conclusão

A responsabilidade empresarial por decisões automatizadas nasce das escolhas feitas ao longo de todo o ciclo: finalidade, dados, fornecedor, desenho, implantação, revisão e monitoramento.

O artigo 20 da LGPD assegura revisão e informação em hipóteses específicas, mas uma governança adequada vai além do atendimento reativo. Ela procura prevenir erro, discriminação e opacidade antes que uma pessoa seja afetada.

Empresas que mantêm inventário, testes, avaliação de impacto, supervisão real, canal de contestação e documentação conseguem usar automação com maior segurança e demonstrar as razões de suas decisões.

Chamada institucional

O Nascimento Peixoto Advogados pode apoiar empresas no mapeamento de decisões automatizadas, análise do artigo 20 da LGPD, elaboração de Relatórios de Impacto, revisão de contratos com fornecedores e estruturação de fluxos de transparência, supervisão e contestação.

Material associado sugerido: Mapa de Responsabilidades em Decisões Automatizadas, com classificação de impacto, papéis internos, fluxo de revisão e evidências de governança.

Conteúdo informativo e geral. Não constitui parecer jurídico, promessa de resultado ou recomendação para caso específico. A responsabilidade depende da atividade, do setor, do papel das partes, dos dados, do dano e das circunstâncias concretas.

Fontes oficiais consultadas

Fontes verificadas em 8 de outubro de 2026. A regulamentação da ANPD, a tramitação legislativa e as normas setoriais devem ser novamente conferidas na data da publicação.