Profiling e Decisões Automatizadas sob a LGPD

O uso de algoritmos para classificar pessoas e tomar decisões automatizadas cresce exponencialmente, mas a LGPD impõe limites claros que muitas organizações ainda desconhecem ou ignoram.

O que é profiling e como ele se insere no tratamento de dados pessoais

O termo “profiling” (ou perfilização) designa qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar essas informações para avaliar aspectos relacionados a uma pessoa natural. Quando analisamos o cenário brasileiro, percebemos que essa prática se tornou rotineira em setores como o financeiro, securitário, publicitário e até mesmo no âmbito da administração pública. Sistemas de scoring de crédito, precificação dinâmica de seguros, curadoria algorítmica de conteúdo e triagem automatizada de currículos são exemplos cotidianos de profiling que afetam milhões de brasileiros diariamente.

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) não utiliza expressamente o termo “profiling”, mas disciplina a matéria de forma abrangente por meio do artigo 20, que trata das decisões tomadas unicamente com base em tratamento automatizado de dados pessoais. Esse dispositivo representa uma das mais relevantes salvaguardas do ordenamento jurídico brasileiro em matéria de proteção de dados, pois reconhece que a automação de decisões pode gerar impactos significativos na esfera jurídica, econômica e social dos titulares.

Quando verificamos a amplitude do conceito, constatamos que o profiling pode envolver desde a coleta e o cruzamento de dados comportamentais em plataformas digitais até a análise de padrões de consumo, histórico médico, localização geográfica e interações em redes sociais. O resultado desse processamento gera perfis que são utilizados para prever comportamentos futuros, avaliar riscos, segmentar públicos e, em última análise, tomar decisões que repercutem diretamente na vida das pessoas.

O artigo 20 da LGPD e o direito à revisão de decisões automatizadas

O artigo 20 da LGPD assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. Isso inclui, conforme o texto legal, decisões destinadas a definir o perfil pessoal, profissional, de consumo, de crédito ou aspectos da personalidade do titular. Observamos que o legislador brasileiro optou por uma abordagem que prioriza a transparência e a possibilidade de contestação, sem proibir de forma absoluta o uso de decisões automatizadas.

Na redação original da lei, o parágrafo 1º do artigo 20 previa que o controlador deveria fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada. A Lei nº 13.853/2019 alterou esse dispositivo, estabelecendo que tais informações devem ser fornecidas “observados os segredos comercial e industrial”. Essa modificação gerou intenso debate doutrinário, pois a proteção ao segredo de negócio pode, na prática, limitar a capacidade do titular de compreender e contestar decisões que lhe sejam desfavoráveis.

Entendemos que essa tensão entre transparência algorítmica e segredo industrial constitui um dos pontos mais sensíveis da regulamentação brasileira. O parágrafo 2º do artigo 20 prevê que, nos casos em que o controlador não fornecer as informações por motivo de segredo comercial e industrial, a Autoridade Nacional de Proteção de Dados (ANPD) poderá realizar auditoria para verificação de aspectos discriminatórios no tratamento automatizado. Essa previsão atribui à ANPD um papel fiscalizatório essencial na garantia dos direitos dos titulares.

Além do artigo 20, identificamos outros dispositivos da LGPD que se relacionam diretamente com o profiling. O artigo 6º, inciso IV, consagra o princípio da não discriminação, vedando o tratamento de dados para fins discriminatórios ilícitos ou abusivos. O artigo 12, parágrafo 2º, estabelece que dados anonimizados podem ser considerados dados pessoais quando o processo de anonimização puder ser revertido ou quando forem utilizados para formação de perfil comportamental de uma pessoa natural identificada. Essa disposição é particularmente relevante, pois muitas organizações utilizam dados supostamente anonimizados para alimentar sistemas de profiling.

A transparência algorítmica não é apenas uma exigência legal, mas um pressuposto fundamental para que os titulares de dados possam exercer seus direitos de forma efetiva diante de decisões automatizadas.

Bases legais aplicáveis e o papel do consentimento no profiling

Quando analisamos as bases legais que podem fundamentar atividades de profiling, constatamos que a escolha adequada depende do contexto específico de cada tratamento. O consentimento (artigo 7º, inciso I, da LGPD) é frequentemente invocado, mas apresenta limitações práticas relevantes. Para ser válido, o consentimento deve ser livre, informado e inequívoco, o que pressupõe que o titular compreenda efetivamente a extensão e as consequências do tratamento automatizado a que seus dados serão submetidos. Na prática, a complexidade dos sistemas de profiling torna extremamente difícil atender a esse requisito de forma genuína.

O legítimo interesse (artigo 7º, inciso IX) é outra base legal recorrente em atividades de perfilização. Contudo, sua utilização exige a elaboração de um teste de proporcionalidade que considere as legítimas expectativas do titular, a finalidade do tratamento e as medidas de mitigação de riscos adotadas pelo controlador. O artigo 10 da LGPD impõe que o tratamento baseado no legítimo interesse somente pode ser realizado para finalidades legítimas, consideradas a partir de situações concretas, e que o controlador deve adotar medidas para garantir a transparência do tratamento.

Em relação aos dados pessoais sensíveis (artigo 11 da LGPD), as restrições são ainda mais rigorosas. Informações sobre origem racial, convicção religiosa, opinião política, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos somente podem ser tratados em hipóteses taxativamente previstas em lei. Verificamos que muitos sistemas de profiling, ainda que não utilizem diretamente dados sensíveis como input, podem inferir características sensíveis a partir do cruzamento de dados aparentemente neutros, o que configura tratamento indireto de dados sensíveis e demanda atenção redobrada quanto à base legal aplicável.

Due diligence de dados e governança algorítmica nas organizações

A condução de uma due diligence de dados voltada a sistemas de profiling e decisões automatizadas envolve a análise criteriosa de múltiplas dimensões: técnica, jurídica, organizacional e ética. Quando assessoramos organizações nessa matéria, recomendamos a adoção de uma abordagem estruturada que contemple, no mínimo, o mapeamento completo dos fluxos de dados que alimentam os sistemas automatizados, a identificação das bases legais aplicáveis a cada etapa do tratamento, a avaliação dos riscos de discriminação algorítmica e a verificação da existência de mecanismos efetivos de revisão humana.

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD), previsto no artigo 38 da LGPD, constitui instrumento essencial nesse processo. Embora a ANPD ainda não tenha regulamentado de forma exaustiva as hipóteses em que o RIPD é obrigatório, entendemos que qualquer tratamento de dados que envolva profiling ou decisões automatizadas com potencial de afetar significativamente os titulares deve ser precedido da elaboração desse relatório. O RIPD deve descrever os tipos de dados coletados, a metodologia utilizada, as medidas de segurança adotadas e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de riscos.

A governança algorítmica pressupõe, ainda, a implementação de processos de auditoria interna periódica dos sistemas de decisão automatizada. Esses processos devem avaliar se os algoritmos produzem resultados discriminatórios (por viés nos dados de treinamento ou na modelagem), se as decisões automatizadas são proporcionais às finalidades declaradas e se os titulares têm acesso efetivo a mecanismos de contestação. A documentação dessas auditorias é fundamental para demonstrar a conformidade da organização com os princípios da LGPD, especialmente o princípio da responsabilização e prestação de contas (artigo 6º, inciso X).

Outro aspecto relevante da due diligence envolve a análise de contratos com fornecedores de tecnologia e operadores de dados. Muitas organizações utilizam soluções de terceiros para realizar profiling, o que exige a formalização contratual das responsabilidades de cada parte no tratamento de dados, a verificação das medidas de segurança adotadas pelo operador e a garantia de que os direitos dos titulares possam ser atendidos em toda a cadeia de tratamento.

Riscos jurídicos e boas práticas para mitigação

Os riscos jurídicos associados ao profiling e às decisões automatizadas são significativos e multifacetados. No âmbito administrativo, a ANPD possui competência para aplicar sanções que vão desde advertências até multas de até 2% do faturamento da pessoa jurídica de direito privado, limitadas a R$ 50.000.000,00 por infração, conforme o artigo 52 da LGPD. No âmbito judicial, identificamos crescente número de demandas envolvendo decisões automatizadas, especialmente em relações de consumo (scoring de crédito, recusa automatizada de contratação de serviços) e relações trabalhistas (triagem algorítmica de candidatos, monitoramento automatizado de desempenho).

Para mitigar esses riscos, recomendamos a adoção de um conjunto articulado de boas práticas. Em primeiro lugar, a implementação do princípio da minimização de dados (artigo 6º, inciso III, da LGPD) nos sistemas de profiling, garantindo que apenas dados estritamente necessários à finalidade declarada sejam coletados e processados. Em segundo lugar, a adoção de técnicas de “privacy by design” e “privacy by default” (artigo 46, parágrafo 2º), incorporando a proteção de dados desde a fase de concepção dos sistemas automatizados. Em terceiro lugar, a garantia de intervenção humana efetiva (não meramente formal) nos processos de revisão de decisões automatizadas, assegurando que o revisor tenha competência técnica e autonomia para alterar a decisão algorítmica.

A transparência proativa também constitui medida essencial de mitigação de riscos. Entendemos que as organizações devem informar os titulares, de forma clara e acessível, sobre a existência de processos de decisão automatizada, as categorias de dados utilizadas, a lógica geral do tratamento (respeitados os segredos comerciais legítimos) e os meios disponíveis para solicitar a revisão das decisões. Essa postura não apenas atende às exigências legais, mas contribui para a construção de uma relação de confiança com os titulares de dados.

Perguntas Frequentes

Toda decisão automatizada está sujeita ao direito de revisão previsto na LGPD?

O artigo 20 da LGPD garante o direito de revisão para decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular. Isso abrange decisões relacionadas a perfil pessoal, profissional, de consumo, de crédito ou aspectos da personalidade. Decisões automatizadas que não produzam efeitos jurídicos ou que não afetem significativamente o titular podem não se enquadrar nessa previsão, embora ainda devam observar os demais princípios da LGPD.

Uma empresa pode recusar informações sobre o funcionamento do algoritmo alegando segredo comercial?

A LGPD permite que o controlador proteja segredos comerciais e industriais ao fornecer informações sobre decisões automatizadas. Contudo, essa proteção não é absoluta: quando o controlador invoca o segredo de negócio para negar informações ao titular, a ANPD poderá realizar auditoria para verificar se existem aspectos discriminatórios no tratamento automatizado. Assim, a alegação de segredo comercial não elimina o dever de transparência, apenas desloca parte da fiscalização para a autoridade reguladora.

Quais são as principais medidas que uma organização deve adotar antes de implementar um sistema de profiling?

Antes de implementar um sistema de profiling, a organização deve elaborar um Relatório de Impacto à Proteção de Dados Pessoais (RIPD), identificar e documentar a base legal adequada para o tratamento, mapear todos os fluxos de dados envolvidos e implementar mecanismos de revisão humana das decisões automatizadas. Além disso, é fundamental adotar medidas de segurança técnicas e administrativas, garantir a transparência perante os titulares e realizar testes periódicos para identificar possíveis vieses discriminatórios nos resultados algorítmicos.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.