Revisão de decisão automatizada na LGPD: o que o art. 20 exige de verdade

Norma explicadaUNIFOKAL18 de setembro de 20268 min de leituraLGPD e compliance

O art. 20 da LGPD aplicado a uma reprovação de cadastro: o que o direito de revisão exige, por que a revisão humana obrigatória foi vetada e como desenhar canal, prazo e registro.

Foto: Tyler, Unsplash

Um cadastro é reprovado por um fluxo automático de verificação de identidade. O usuário não entende o motivo e responde com a frase que todo time de produto já leu: "quero falar com uma pessoa, a lei me garante isso". Daí vêm duas besteiras simétricas: prometer revisão humana para todo mundo e criar uma fila que nunca fecha, ou dizer que a decisão é do sistema e não há o que revisar.

As duas estão erradas, e pela mesma razão: quase todo texto de divulgação sobre a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados (LGPD), afirma que existe direito a revisão "por pessoa natural". A expressão constou do texto original do art. 20, mas não está mais lá. A Lei nº 13.853/2019 deu nova redação ao artigo e retirou justamente essas três palavras, e o parágrafo que tentaria reintroduzir a exigência foi vetado.

Abaixo: o que o art. 20 obriga, o que não obriga e como desenhar o pedido de revisão.

O que o art. 20 diz depois do veto

A redação vigente no Planalto é esta: "O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade". Nenhuma menção a pessoa natural.

O § 3º, vindo do projeto de lei de conversão da Medida Provisória nº 869/2018, dizia que a revisão "deverá ser realizada por pessoa natural", e aparece marcado como VETADO. A Mensagem nº 288, de 8 de julho de 2019, dá a razão: exigir revisão humana de toda decisão automatizada "inviabilizará os modelos atuais de planos de negócios de muitas empresas, notadamente das startups", com impacto declarado sobre a análise de risco de crédito.

O que sobra é forte, e diferente do que se repete por aí:

Existe direito a solicitar revisão de decisão tomada unicamente com base em tratamento automatizado. A revisão é devida.
Não existe, na LGPD, obrigação geral de que quem revisa seja humano. Uma segunda passagem automatizada, com dado corrigido ou etapa adicional, pode cumprir o dever.
O gatilho é "unicamente". Se um analista avalia o caso com poder real de mudar o resultado, a decisão não é exclusivamente automatizada, o que não dispensa a transparência dos arts. 9º e 18.

O contraste com a Europa é a fonte da confusão. O art. 22 do Regulamento (UE) 2016/679, o RGPD, parte do sentido oposto: o titular tem o direito de não ficar sujeito a decisão exclusivamente automatizada com efeito jurídico ou similarmente significativo, salvo contrato, lei ou consentimento explícito, e nessas exceções o controlador deve assegurar ao menos intervenção humana, manifestação e contestação. Regra expressa lá, não aqui.

Informar critérios sem abrir o segredo comercial

O § 1º do art. 20 obriga o controlador a fornecer, sempre que solicitadas, "informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial". O § 2º completa: se a empresa negar a informação invocando segredo, a Agência Nacional de Proteção de Dados (ANPD) poderá auditar o tratamento para verificar aspectos discriminatórios.

Lidos juntos: segredo comercial é defesa legítima contra a exigência de abrir a fórmula, e não passe livre para não explicar nada. Quem se cala vira candidato a auditoria. O caminho seguro é responder no nível de critério e procedimento, quais categorias de dado entraram e o que levou ao resultado naquele caso. É o raciocínio de um score de risco explicável, que explica o efeito sem publicar o peso.

Os arts. 9º e 19 reforçam o dever: acesso facilitado a finalidade, duração, contato do controlador e uso compartilhado, e quinze dias para a declaração que indique origem dos dados, critérios utilizados e finalidade, com a mesma ressalva de segredo. A página "Direito dos Titulares" da ANPD resume a leitura: revisão para ter ciência dos critérios e parâmetros e contestá-los quando for o caso.

Onde a regra é mais dura: decisão baseada em score

Se a decisão envolve risco de crédito, a LGPD não está sozinha. A Lei nº 12.414/2011, do Cadastro Positivo, com a redação da Lei Complementar nº 166/2019, dá ao cadastrado, no art. 5º, o direito de conhecer os principais elementos e critérios da análise de risco, resguardado o segredo empresarial (inciso IV), de impugnar informação errada com correção em até dez dias em todos os bancos que a compartilharam (inciso III) e de solicitar ao consulente a revisão de decisão exclusivamente automatizada (inciso VI). O § 3º fixa dez dias para o atendimento do inciso IV.

Repare no detalhe que muda a operação: o pedido vai ao consulente, a quem usou o score para decidir, não ao birô que o calculou.

Desenhar o pedido de revisão na prática

Canal nomeado. O art. 18, § 3º, exige requerimento expresso do titular ou de representante a agente de tratamento. Nomeie um canal, publique-o na política de privacidade junto ao contato do encarregado e aceite o pedido por lá, sem impor formulário próprio como condição. O § 5º manda atender sem custo para o titular.

Prazo escrito. A LGPD não fixa prazo geral para a revisão do art. 20 e a ANPD ainda não editou regulamento específico, tanto que abriu a Tomada de Subsídios "Inteligência Artificial e Revisão de Decisões Automatizadas", encerrada em janeiro de 2025. Na falta dele, adote os quinze dias do art. 19, II, e os dez dias da Lei nº 12.414 quando houver score.

Resposta com conteúdo. O art. 18, § 4º, permite indicar as razões de fato ou de direito que impedem a providência imediata, o que não autoriza resposta vazia. Diga o que foi reavaliado e com que dado.

Registro. Toda revisão deixa rastro: quem pediu, quando, o que foi reanalisado, quem ou o que decidiu e qual o desfecho. É a prova do princípio da responsabilização e prestação de contas do art. 6º, X, e o insumo para ver se um tipo de reprovação erra sempre no mesmo perfil de pessoa. Quando passa por gente, precisa de processo: veja fila de revisão humana. Na UNIFOKAL, cada verificação carrega um identificador que o suporte usa para achar o caso contestado.

A fronteira do anti-oráculo

Há um limite real, e ele não é desculpa preguiçosa. Se a resposta descreve qual sinal exato derrubou a tentativa, deixa de ser explicação e vira instrução de contorno: o fraudador repete o teste com o defeito corrigido, e cada negativa detalhada financia a tentativa seguinte.

A saída é responder por categoria, nunca por variável. "A imagem do documento não permitiu leitura confiável dos campos" explica; apontar o defeito exato da foto ensina. "Os dados não conferiram com a base oficial consultada" explica; dizer qual campo divergiu entrega o gabarito. Vale a régua de direitos do titular em KYC e a de quem responde a conta duplicada.

E o § 2º torna incontornável um ponto: quem invoca segredo precisa demonstrar, para si e para a ANPD, que o critério não discrimina. Guardar o critério do público é legítimo; não saber qual é o critério não é segredo, é falta de governança.

Perguntas frequentes

A LGPD obriga revisão por um humano?

Não. O art. 20, com a redação da Lei nº 13.853/2019, fala em direito a solicitar a revisão sem exigir que seja feita por pessoa natural, e o § 3º que traria a exigência foi vetado pela Mensagem nº 288/2019. Normas setoriais e contratos podem prometer mais, e aí a promessa vincula.

Posso recusar explicar o critério alegando segredo comercial?

Pode invocar segredo comercial e industrial para não abrir a fórmula, nos termos do § 1º do art. 20, mas não para deixar de informar critérios e procedimentos de forma compreensível. Pelo § 2º, diante da recusa a ANPD pode auditar o tratamento para verificar aspectos discriminatórios.

Quem responde pela revisão quando o score vem de um birô?

Na Lei nº 12.414/2011, art. 5º, VI, a revisão é solicitada ao consulente, a quem usou o score para decidir. O birô responde pelo acesso ao histórico e à pontuação e pela correção de informação errada.