LGPD, art. 20: decisões automatizadas

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) tem um artigo específico para decisões tomadas por sistemas. O art. 20 é o ponto em que a LGPD encontra diretamente o uso de algoritmos e de inteligência artificial sobre pessoas.

O que o artigo diz

• Caput: o titular dos dados tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou aspectos da sua personalidade.
• § 1º: o controlador deve fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e os procedimentos usados na decisão automatizada, observados os segredos comercial e industrial.
• § 2º: se essas informações não forem oferecidas com base nos segredos comercial e industrial, a Autoridade Nacional de Proteção de Dados (ANPD) pode fazer auditoria para verificar aspectos discriminatórios no tratamento automatizado.

Pontos de atenção

• A palavra "unicamente" importa: o artigo trata de decisões sem participação humana efetiva no caso concreto.
• A redação original exigia revisão "por pessoa natural". A expressão saiu com a Medida Provisória 869/2018, e a Lei 13.853/2019 manteve o texto sem ela; o § 3º que essa lei incluiu foi vetado.
• Na prática, o direito exige que a organização saiba quais decisões automatizadas toma, consiga explicar os critérios e tenha um canal para pedidos de revisão.

Ligação com outros verbetes

O inventário de sistemas de IA (NIST AI RMF) e o combate à Shadow IA são pré-requisitos práticos: não se revisa uma decisão automatizada que ninguém sabe que existe.