# Revisão de decisão automatizada na LGPD: o que o art. 20 exige de verdade Norma explicada · UNIFOKAL · 18 de setembro de 2026 · 8 min de leitura · LGPD e compliance O art. 20 da LGPD aplicado a uma reprovação de cadastro: o que o direito de revisão exige, por que a revisão humana obrigatória foi vetada e como desenhar canal, prazo e registro. Um cadastro é reprovado por um fluxo automático de verificação de identidade. O usuário não entende o motivo e responde com a frase que todo time de produto já leu: "quero falar com uma pessoa, a lei me garante isso". Daí vêm duas besteiras simétricas: prometer revisão humana para todo mundo e criar uma fila que nunca fecha, ou dizer que a decisão é do sistema e não há o que revisar. As duas estão erradas, e pela mesma razão: quase todo texto de divulgação sobre a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados (LGPD), afirma que existe direito a revisão "por pessoa natural". A expressão constou do texto original do art. 20, mas não está mais lá. A Lei nº 13.853/2019 deu nova redação ao artigo e retirou justamente essas três palavras, e o parágrafo que tentaria reintroduzir a exigência foi vetado. Abaixo: o que o art. 20 obriga, o que não obriga e como desenhar o pedido de revisão. ## O que o art. 20 diz depois do veto A redação vigente no Planalto é esta: "O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade". Nenhuma menção a pessoa natural. O § 3º, vindo do projeto de lei de conversão da Medida Provisória nº 869/2018, dizia que a revisão "deverá ser realizada por pessoa natural", e aparece marcado como VETADO. A Mensagem nº 288, de 8 de julho de 2019, dá a razão: exigir revisão humana de toda decisão automatizada "inviabilizará os modelos atuais de planos de negócios de muitas empresas, notadamente das startups", com impacto declarado sobre a análise de risco de crédito. O que sobra é forte, e diferente do que se repete por aí: - Existe direito a **solicitar revisão** de decisão tomada unicamente com base em tratamento automatizado. A revisão é devida. - **Não existe, na LGPD, obrigação geral de que quem revisa seja humano.** Uma segunda passagem automatizada, com dado corrigido ou etapa adicional, pode cumprir o dever. - O gatilho é "unicamente". Se um analista avalia o caso com poder real de mudar o resultado, a decisão não é exclusivamente automatizada, o que não dispensa a transparência dos arts. 9º e 18. O contraste com a Europa é a fonte da confusão. O art. 22 do Regulamento (UE) 2016/679, o RGPD, parte do sentido oposto: o titular tem o direito de não ficar sujeito a decisão exclusivamente automatizada com efeito jurídico ou similarmente significativo, salvo contrato, lei ou consentimento explícito, e nessas exceções o controlador deve assegurar ao menos intervenção humana, manifestação e contestação. Regra expressa lá, não aqui. ## Informar critérios sem abrir o segredo comercial O § 1º do art. 20 obriga o controlador a fornecer, sempre que solicitadas, "informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial". O § 2º completa: se a empresa negar a informação invocando segredo, a Agência Nacional de Proteção de Dados (ANPD) poderá auditar o tratamento para verificar aspectos discriminatórios. Lidos juntos: segredo comercial é defesa legítima contra a exigência de abrir a fórmula, e não passe livre para não explicar nada. Quem se cala vira candidato a auditoria. O caminho seguro é responder no nível de critério e procedimento, quais categorias de dado entraram e o que levou ao resultado naquele caso. É o raciocínio de um [score de risco explicável](https://unifokal.com/blog/score-de-risco-explicavel), que explica o efeito sem publicar o peso. Os arts. 9º e 19 reforçam o dever: acesso facilitado a finalidade, duração, contato do controlador e uso compartilhado, e quinze dias para a declaração que indique origem dos dados, critérios utilizados e finalidade, com a mesma ressalva de segredo. A página "Direito dos Titulares" da ANPD resume a leitura: revisão para ter ciência dos critérios e parâmetros e contestá-los quando for o caso. ## Onde a regra é mais dura: decisão baseada em score Se a decisão envolve risco de crédito, a LGPD não está sozinha. A Lei nº 12.414/2011, do Cadastro Positivo, com a redação da Lei Complementar nº 166/2019, dá ao cadastrado, no art. 5º, o direito de conhecer os principais elementos e critérios da análise de risco, resguardado o segredo empresarial (inciso IV), de impugnar informação errada com correção em até dez dias em todos os bancos que a compartilharam (inciso III) e de solicitar ao consulente a revisão de decisão exclusivamente automatizada (inciso VI). O § 3º fixa dez dias para o atendimento do inciso IV. Repare no detalhe que muda a operação: o pedido vai ao consulente, a quem usou o score para decidir, não ao birô que o calculou. ## Desenhar o pedido de revisão na prática **Canal nomeado.** O art. 18, § 3º, exige requerimento expresso do titular ou de representante a agente de tratamento. Nomeie um canal, publique-o na política de privacidade junto ao contato do encarregado e aceite o pedido por lá, sem impor formulário próprio como condição. O § 5º manda atender sem custo para o titular. **Prazo escrito.** A LGPD não fixa prazo geral para a revisão do art. 20 e a ANPD ainda não editou regulamento específico, tanto que abriu a Tomada de Subsídios "Inteligência Artificial e Revisão de Decisões Automatizadas", encerrada em janeiro de 2025. Na falta dele, adote os quinze dias do art. 19, II, e os dez dias da Lei nº 12.414 quando houver score. **Resposta com conteúdo.** O art. 18, § 4º, permite indicar as razões de fato ou de direito que impedem a providência imediata, o que não autoriza resposta vazia. Diga o que foi reavaliado e com que dado. **Registro.** Toda revisão deixa rastro: quem pediu, quando, o que foi reanalisado, quem ou o que decidiu e qual o desfecho. É a prova do princípio da responsabilização e prestação de contas do art. 6º, X, e o insumo para ver se um tipo de reprovação erra sempre no mesmo perfil de pessoa. Quando passa por gente, precisa de processo: veja [fila de revisão humana](https://unifokal.com/blog/fila-de-revisao-humana). Na UNIFOKAL, cada verificação carrega um identificador que o suporte usa para achar o caso contestado. ## A fronteira do anti-oráculo Há um limite real, e ele não é desculpa preguiçosa. Se a resposta descreve qual sinal exato derrubou a tentativa, deixa de ser explicação e vira instrução de contorno: o fraudador repete o teste com o defeito corrigido, e cada negativa detalhada financia a tentativa seguinte. A saída é responder por categoria, nunca por variável. "A imagem do documento não permitiu leitura confiável dos campos" explica; apontar o defeito exato da foto ensina. "Os dados não conferiram com a base oficial consultada" explica; dizer qual campo divergiu entrega o gabarito. Vale a régua de [direitos do titular em KYC](https://unifokal.com/blog/direitos-do-titular-em-kyc) e a de quem responde a [conta duplicada](https://unifokal.com/blog/conta-duplicada-o-que-fazer). E o § 2º torna incontornável um ponto: quem invoca segredo precisa demonstrar, para si e para a ANPD, que o critério não discrimina. Guardar o critério do público é legítimo; não saber qual é o critério não é segredo, é falta de governança. ## Perguntas frequentes ### A LGPD obriga revisão por um humano? Não. O art. 20, com a redação da Lei nº 13.853/2019, fala em direito a solicitar a revisão sem exigir que seja feita por pessoa natural, e o § 3º que traria a exigência foi vetado pela Mensagem nº 288/2019. Normas setoriais e contratos podem prometer mais, e aí a promessa vincula. ### Posso recusar explicar o critério alegando segredo comercial? Pode invocar segredo comercial e industrial para não abrir a fórmula, nos termos do § 1º do art. 20, mas não para deixar de informar critérios e procedimentos de forma compreensível. Pelo § 2º, diante da recusa a ANPD pode auditar o tratamento para verificar aspectos discriminatórios. ### Quem responde pela revisão quando o score vem de um birô? Na Lei nº 12.414/2011, art. 5º, VI, a revisão é solicitada ao consulente, a quem usou o score para decidir. O birô responde pelo acesso ao histórico e à pontuação e pela correção de informação errada. ## Fontes citadas - [Lei nº 13.709/2018 (LGPD), arts. 6º, 9º, 18, 19 e 20, texto compilado, com a redação dada ao art. 20 pela Lei nº 13.853/2019](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) - [Mensagem nº 288, de 8 de julho de 2019, veto ao § 3º do art. 20 no Projeto de Lei de Conversão nº 7/2019 (Medida Provisória nº 869/2018)](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/Msg/VEP/VEP-288.htm) - [Lei nº 12.414/2011 (Cadastro Positivo), art. 5º, redação da LC nº 166/2019](https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12414.htm) - [ANPD, página "Direito dos Titulares"](https://www.gov.br/anpd/pt-br/assuntos/titular-de-dados/direito-dos-titulares) - [ANPD, Tomada de Subsídios "Inteligência Artificial e Revisão de Decisões Automatizadas" (2024 a 2025)](https://www.gov.br/participamaisbrasil/tomada-de-subsidios-inteligencia-artificial-e-revisao-de-decisoes-automatizadas) - Regulamento (UE) 2016/679 (RGPD), art. 22, citado como contraste