Decisão automatizada na LGPD: como pedir revisão?

Por Leonardo Gutierrez Alves | Atualizado em 20 de setembro de 2026

O titular pode pedir explicação e revisão de uma decisão tomada por algoritmo?

Em regra, sim. A LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses (art. 20, caput). O controlador deve fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e os procedimentos usados, observados os segredos comercial e industrial (art. 20, § 1º).

Algoritmos e sistemas de inteligência artificial estão cada vez mais presentes na análise de crédito, na seleção de candidatos, na oferta de seguros e na moderação de contas em plataformas digitais. Quando uma máquina decide, muitas vezes a pessoa afetada não sabe quais dados foram considerados nem por que o resultado foi aquele. É exatamente esse cenário que o art. 20 da LGPD procura enfrentar.

Resumo rápido a respeito da decisão automatizada LGPD

• Revisão: o titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado (LGPD, art. 20, caput).

• Informações: o controlador deve fornecer, quando solicitadas, informações claras e adequadas sobre critérios e procedimentos (art. 20, § 1º).

• Segredo comercial: é ressalvado, mas, se as informações não forem oferecidas por esse motivo, a ANPD pode fazer auditoria (art. 20, § 2º).

• Revisão por pessoa: o texto vigente não a exige expressamente; o § 3º do art. 20 consta como vetado.

• Empresa: deve observar transparência, não discriminação e prestação de contas (art. 6º, VI, IX e X).

O que é uma decisão automatizada?

Segundo o art. 20, caput, são as decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, que afetem os interesses do titular, incluídas as destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

Três pontos merecem atenção. Primeiro, a decisão precisa ser tomada unicamente por tratamento automatizado: se uma pessoa participa de forma relevante da decisão, o enquadramento no art. 20 deve ser analisado caso a caso. Segundo, a decisão precisa afetar interesses do titular, como o acesso a crédito, a um serviço ou a uma oportunidade. Terceiro, o dispositivo alcança decisões que definem perfis, e não apenas resultados finais isolados.

Exemplo prático: pedido de crédito negado em segundos

Exemplo hipotético: uma pessoa solicita um limite de crédito em um aplicativo e, poucos segundos depois, recebe a mensagem de que o pedido foi negado. Nenhum atendente analisou o caso e ela não sabe quais dados foram considerados. Nesse cenário, o titular pode solicitar a revisão da decisão e as informações sobre os critérios e os procedimentos utilizados (art. 20, caput e § 1º).

A empresa pode invocar o segredo comercial e industrial para não revelar detalhes da fórmula, mas a lei prevê que, se as informações não forem oferecidas com base nesse segredo, a ANPD poderá realizar auditoria para verificar aspectos discriminatórios no tratamento automatizado (art. 20, § 2º).

A LGPD garante um "direito à explicação"?

A expressão "direito à explicação" é muito usada na doutrina, mas o texto da lei fala em outros termos. O que a LGPD assegura é o direito de solicitar a revisão da decisão (art. 20, caput) e o dever do controlador de fornecer informações claras e adequadas sobre critérios e procedimentos (art. 20, § 1º). Em conjunto, esses dispositivos se somam à transparência, que é princípio do tratamento de dados: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre o tratamento e os agentes de tratamento, observados os segredos comercial e industrial (art. 6º, VI), e ao direito de acesso facilitado às informações sobre o tratamento (art. 9º).

A empresa precisa abrir o código-fonte do algoritmo?

Em regra, a lei não exige a abertura do código-fonte. O que exige são informações claras e adequadas sobre os critérios e os procedimentos utilizados, com a ressalva expressa dos segredos comercial e industrial (art. 20, § 1º). Isso significa que a empresa deve conseguir explicar, em linguagem compreensível, quais tipos de dados são considerados e como a decisão é tomada, sem necessariamente entregar a propriedade intelectual do sistema.

A ressalva do segredo não é um cheque em branco. Se as informações não forem oferecidas com base nele, a ANPD pode realizar auditoria para verificação de aspectos discriminatórios (art. 20, § 2º).

A revisão de decisão automatizada LGPD precisa ser feita por uma pessoa?

O art. 20, caput, na redação dada pela Lei nº 13.853/2019, fala em direito de "solicitar a revisão" da decisão automatizada, sem dizer expressamente quem deve realizá-la. O § 3º, que tratava da matéria, foi vetado e, segundo a notícia do Serpro, o veto foi mantido pelo Congresso em 2019. Por isso, o texto vigente não exige, de forma expressa, que a revisão seja feita por pessoa natural.

Isso não significa que qualquer resposta automática seja suficiente. Para que o direito do art. 20 tenha sentido, a revisão precisa ser real, isto é, capaz de reavaliar a decisão e de permitir que o titular entenda e questione seus fundamentos. Cada caso exige análise própria.

E o score de crédito?

O escore de crédito é um exemplo conhecido de avaliação automatizada. A Súmula 550 do STJ, aprovada em 2015, estabelece que a utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo.

Entre os precedentes indicados na página da súmula no site do STJ está o REsp 1.419.697/RS, julgado em 12/11/2014. A súmula é anterior à LGPD. A forma como ela se combina com o art. 20 é objeto de discussão, e o caso concreto deve ser analisado com atenção.

Preços e ofertas diferentes para cada consumidor também dependem de decisões automatizadas?

Sistemas automatizados também podem ajustar preços e ofertas com base em dados do consumidor, como a localização. Em 2018, o Ministério Público do Estado do Rio de Janeiro ajuizou ação civil pública contra uma empresa de comércio eletrônico de viagens, alegando prática de geo pricing (preços diferentes conforme a origem geográfica do consumidor) e de geo blocking (bloqueio de ofertas conforme essa origem), conforme a notícia do MPRJ. A notícia trata do ajuizamento da ação e das alegações do órgão, e não de uma decisão final. Discussões desse tipo costumam envolver o direito do consumidor e, conforme o caso, a proteção de dados pessoais.

Algoritmos podem discriminar?

Podem. Um sistema treinado com dados que refletem desigualdades pode reproduzi-las, muitas vezes de forma pouco visível. Por isso, a LGPD traz o princípio da não discriminação, que consiste na impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos (art. 6º, IX), e prevê a auditoria da ANPD para verificar aspectos discriminatórios quando as informações não são oferecidas com base em segredo comercial e industrial (art. 20, § 2º).

O que a empresa deve fazer para usar decisões automatizadas com segurança?

A LGPD exige transparência (art. 6º, VI), não discriminação (art. 6º, IX) e prestação de contas, isto é, a demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância das normas de proteção de dados (art. 6º, X). Na prática, algumas medidas ajudam a cumprir essas exigências:

• Informar de forma clara quando uma decisão for tomada por sistema automatizado.

• Manter um canal simples para o titular solicitar revisão e informações.

• Documentar os critérios e os procedimentos usados, em linguagem que possa ser explicada ao titular.

• Testar e revisar periodicamente o sistema para identificar possíveis efeitos discriminatórios.

• Responder aos pedidos de forma clara, sem se limitar a afirmar que o critério é sigiloso.

Quais são as consequências para a empresa que descumpre a LGPD?

A empresa pode ser responsabilizada pelos danos causados ao titular (art. 42) e ficar sujeita às sanções administrativas do art. 52, aplicadas pela ANPD após procedimento administrativo que assegure ampla defesa (art. 52, § 1º). Entre elas estão a advertência; a multa simples de até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração; a publicização da infração; o bloqueio e a eliminação dos dados pessoais a que se refere a infração; a suspensão parcial do funcionamento do banco de dados por até seis meses; e a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. A sanção aplicável depende das circunstâncias de cada caso.

Como o Judiciário trata o uso de inteligência artificial?

O Conselho Nacional de Justiça regulamenta o uso de inteligência artificial no Poder Judiciário pela Resolução CNJ nº 615/2025, que estabelece diretrizes para desenvolvimento, utilização e governança de soluções com inteligência artificial e revogou a Resolução CNJ nº 332/2020 (art. 46). O tema é diferente do art. 20 da LGPD, que trata de decisões automatizadas sobre titulares de dados, e a norma do CNJ deve ser consultada sempre no texto compilado, disponível no site do órgão.

E nos jogos e plataformas digitais?

Plataformas e jogos online também usam sistemas automatizados, por exemplo para detectar trapaças e suspender contas. Quando o banimento é decidido unicamente por um sistema automatizado, o art. 20 pode ser relevante para o jogador. Sobre esse tema, veja Lista de banidos em games e LGPD: pode expor jogadores? e O controle na mão do jogador: direitos de acesso e exclusão de dados pessoais nos jogos.

Perguntas frequentes sobre decisões automatizadas LGPD

O que é decisão automatizada na LGPD?

É a decisão tomada unicamente com base em tratamento automatizado de dados pessoais que afete os interesses do titular, incluídas as decisões destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito ou aspectos de sua personalidade (art. 20, caput).

O titular pode pedir a revisão de uma decisão automatizada?

Sim. O art. 20 da LGPD dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O controlador deve fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e os procedimentos utilizados, observados os segredos comercial e industrial (art. 20, § 1º).

A empresa é obrigada a abrir o código-fonte do algoritmo?

A lei manda fornecer informações claras e adequadas sobre critérios e procedimentos, mas ressalva os segredos comercial e industrial (art. 20, § 1º). Se as informações não forem oferecidas com base nesse segredo, a ANPD poderá realizar auditoria para verificar aspectos discriminatórios no tratamento automatizado (art. 20, § 2º).

A revisão precisa ser feita por uma pessoa?

O texto vigente do art. 20 fala em solicitar a revisão, sem exigir expressamente que ela seja feita por pessoa natural. O § 3º, que tratava do tema, consta como vetado. Ainda assim, a revisão precisa ser real, isto é, capaz de reavaliar a decisão, e cada caso exige análise própria.

O que pode acontecer com a empresa que descumpre a LGPD?

Ela pode responder pelos danos causados (art. 42) e estar sujeita às sanções administrativas do art. 52, como advertência, multa e outras medidas, assegurada a ampla defesa (art. 52, § 1º).

Base legal e fontes oficiais

• Lei nº 13.709/2018 (LGPD), arts. 5º, 6º, 9º, 20, 42 e 52: texto no Planalto.

• Lei nº 13.853/2019 (nova redação do art. 20 da LGPD e veto ao § 3º): texto no Planalto.

• Superior Tribunal de Justiça, Súmula 550: texto no site do STJ.

• Conselho Nacional de Justiça, Resolução nº 615/2025: ato no site do CNJ.

• Ministério Público do Estado do Rio de Janeiro, notícia de 2018 sobre ação civil pública: notícia do MPRJ.

• Serpro, notícia sobre a apreciação do veto ao art. 20 da LGPD: Congresso aprecia veto.

Considerações finais

Decisões automatizadas aumentam a eficiência, mas não podem se tornar caixas-pretas. A LGPD equilibra os dois lados: protege o segredo comercial e industrial da empresa e, ao mesmo tempo, garante ao titular o direito de pedir revisão e informações claras sobre os critérios e os procedimentos. Empresas que documentam seus processos, informam com clareza e revisam seus sistemas tendem a lidar melhor com esses pedidos.

Para conhecer outros temas de proteção de dados e tecnologia, veja a página de Direito Digital. Este conteúdo é informativo e não substitui a análise individual de um advogado.

Autor: Leonardo Gutierrez Alves.