Decisão Automatizada na LGPD: revisão em crédito digital

Uma fintech de crédito nega um empréstimo em 400 milissegundos, sem que nenhuma pessoa tenha olhado o pedido. O cliente pergunta o motivo, e o time responde que “o modelo decidiu”. Essa resposta, hoje, é um passivo regulatório.

O art. 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado. Para quem opera scoring, antifraude ou limite dinâmico, o ponto não é teórico: é o que a ANPD pede quando abre uma fiscalização sobre crédito.

O que o art. 20 da LGPD realmente garante?

O caput assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. A lei cita expressamente as decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito, ou os aspectos de sua personalidade.

O §1º impõe ao controlador o dever de fornecer, sempre que solicitado, informações claras e adequadas sobre os critérios e os procedimentos utilizados na decisão, observados os segredos comercial e industrial. O §2º prevê que, se a informação for negada com base nesses segredos, a ANPD pode realizar auditoria para verificar aspectos discriminatórios.

Um detalhe histórico importa. A redação original do §3º previa revisão por pessoa natural, mas esse dispositivo foi vetado. Isso não elimina a necessidade de uma instância humana na prática, mas muda o argumento: a lei exige revisão e explicação, e não fixa em texto expresso quem executa a revisão.

Quais outras normas se somam à LGPD no crédito?

A LGPD não atua sozinha. A Lei 12.414/2011 (Lei do Cadastro Positivo), com as alterações da Lei Complementar 166/2019, prevê no art. 5º, VI, o direito de solicitar ao consulente a revisão de decisão realizada exclusivamente por meios automatizados. Fintechs que consultam bureaus para conceder crédito estão dentro desse campo.

No Judiciário, a Súmula 550 do STJ, firmada a partir do tema repetitivo sobre credit scoring (REsp 1.419.697/RS), afirma que o escore de crédito dispensa o consentimento do consumidor, mas que ele pode pedir esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no cálculo.

Os princípios do art. 6º reforçam o quadro. A transparência (inciso VI) e a não discriminação (inciso IX) são os fundamentos usados para questionar modelos opacos ou que produzam efeito desproporcional sobre grupos específicos.

Quando uma decisão é “unicamente” automatizada?

Esta é a nuance que mais gera erro de enquadramento. A expressão “unicamente” costuma ser lida de forma estreita: se um analista clica em “aprovar” sobre a recomendação do modelo, a empresa conclui que o art. 20 não se aplica.

A leitura mais segura é funcional. Se a intervenção humana é meramente formal, sem autonomia real para divergir do resultado e sem acesso aos elementos que o motivaram, a decisão tende a ser tratada como automatizada para fins de risco regulatório. O critério prático é perguntar se a pessoa pode, de fato, alterar o desfecho.

Outro ponto: o efeito sobre o titular precisa ser relevante, mas a lista de decisões de crédito, perfil de consumo e personalidade deixa pouca margem para fintechs de crédito alegarem que o modelo não “afeta interesses”.

Qual base legal sustenta o scoring e a decisão automática?

O art. 20 não é base legal. Ele regula uma consequência do tratamento, que precisa ter fundamento próprio no art. 7º. Em crédito, as hipóteses usuais são a proteção do crédito (art. 7º, X), a execução de contrato ou de procedimentos preliminares (art. 7º, V) e, em alguns fluxos, o legítimo interesse (art. 7º, IX), que exige teste de balanceamento documentado.

Quando o modelo usa dados sensíveis, como biometria ou dados de saúde, o rol do art. 11 é mais restrito e não admite legítimo interesse. Misturar variáveis sensíveis em um modelo de crédito sem mapear a base adequada é um erro recorrente.

Framework: como estruturar o direito de revisão na operação

Um fluxo defensável tem cinco componentes, todos documentados antes de qualquer reclamação chegar.

1. Mapeamento das decisões. Liste cada ponto do funil em que há decisão sem intervenção humana: aprovação, limite, preço, bloqueio antifraude, encerramento de conta.
2. Canal de solicitação. Disponibilize um caminho claro no app e no encarregado (DPO), com registro de data e protocolo.
3. Explicação em linguagem acessível. Prepare um modelo de resposta com os principais fatores que pesaram na decisão, sem expor a propriedade intelectual do modelo.
4. Revisor com autonomia. Defina quem revisa, com acesso aos dados e poder para reverter o resultado, e registre o racional da revisão.
5. Trilha de auditoria. Guarde versão do modelo, variáveis usadas e resultado, para responder à ANPD ou ao Judiciário.

Como ponto de partida de governança, vale integrar esse fluxo ao RIPD, já que decisões automatizadas de crédito são um dos cenários em que o relatório de impacto costuma ser exigível.

Que erros as fintechs mais cometem?

O primeiro é invocar segredo comercial como resposta padrão. O §1º autoriza resguardar o segredo, mas não dispensa a informação sobre critérios e procedimentos. Negar tudo expõe a empresa à auditoria prevista no §2º.

O segundo é tratar o pedido de revisão como reclamação de atendimento. Sem rotina própria, prazo interno e responsável, o pedido se perde, e o histórico de respostas inconsistentes vira prova contra a empresa.

O terceiro é ignorar o contrato com fornecedores de score e de antifraude. Se o modelo é de terceiro, o contrato precisa prever o fornecimento das informações necessárias à explicação, sob pena de a fintech responder pelo que não consegue explicar.

O quarto é deixar de testar o modelo para viés. Variáveis aparentemente neutras, como CEP ou perfil do dispositivo, podem funcionar como proxy de características protegidas e gerar efeito discriminatório.

Conclusão: o que fazer agora

O direito de revisão não depende de regulamentação adicional para ser exigido. A lei já está em vigor, e a falta de prazo expresso no art. 20 não autoriza respostas indefinidas: o prudente é fixar prazo interno e cumpri-lo.

A ação mais útil é um inventário das decisões automatizadas, a revisão da base legal de cada uma e a criação de um fluxo de explicação e revisão testado antes do primeiro pedido. É um trabalho de documentação, não de reengenharia do modelo.

O Log.Law atua em proteção de dados e regulação de crédito para fintechs. Para avaliar um cenário particular, o contato está disponível no site.

Perguntas frequentes

O titular pode exigir que um humano revise a decisão?

O dispositivo que previa revisão por pessoa natural foi vetado. Ainda assim, a revisão deve ser real, e uma etapa humana sem autonomia dificilmente atende ao propósito da norma.

A fintech precisa revelar o algoritmo do score?

Não. O §1º do art. 20 protege os segredos comercial e industrial, mas exige informações claras sobre critérios e procedimentos. A ANPD pode auditar o modelo se a informação for negada.

O consentimento é necessário para calcular o score?

Segundo a Súmula 550 do STJ, o escore de crédito dispensa o consentimento, mas o consumidor pode pedir esclarecimentos sobre os dados valorados e suas fontes. A base legal ainda precisa ser identificada na LGPD.

A regra vale para antifraude e bloqueio de conta?

Pode valer. Se a decisão é tomada unicamente por tratamento automatizado e afeta os interesses do titular, como um bloqueio de conta, o direito de revisão e explicação é invocável.