Em agosto, a autoridade holandesa de proteção de dados, em cooperação com a CNIL francesa, aplicou à Uber multa de € 824.990.000. O fundamento merece atenção: não foi erro nas decisões de bloqueio de motoristas. A autoridade não discutiu se os bloqueios estavam certos.
As desativações de conta — temporárias em caso de suspeita de fraude, temporárias ou definitivas em caso de avaliação baixa — foram consideradas decisões individuais automatizadas pela ausência completa de intervenção humana no processo decisório. E foram consideradas decisões que afetavam significativamente os motoristas, que bloqueados não podiam mais rodar nem gerar receita. A infração é de desenho de processo, não de mérito da decisão.
Vale registrar o histórico. A sanção decorre de reclamação coletiva apresentada em 2020 por associação representando mais de 170 motoristas. Foi a terceira decisão originada dessa mesma reclamação: € 10 milhões em dezembro de 2023, por falha na prestação de informações; € 290 milhões em julho de 2024, por transferências de dados para fora da União Europeia; e agora esta, sobre decisões automatizadas. Uma reclamação, seis anos, três sanções em escala crescente — o que diz algo sobre como uma investigação de proteção de dados se desdobra quando encontra problemas estruturais.
Para empresas brasileiras, o valor do caso não está na cifra. O regime sancionatório da LGPD é substancialmente diferente, e comparar valores levaria a conclusão equivocada. O que interessa é o raciocínio, porque ele descreve uma situação que se repete em empresas de porte muito menor.
A automação de decisões sobre pessoas entrou nas operações por eficiência, não por decisão jurídica. Triagem automatizada de currículos que elimina candidatos antes de qualquer leitura humana. Score de crédito que aprova ou recusa clientes. Sistemas antifraude que bloqueiam fornecedores ou usuários. Indicadores de desempenho que disparam corte automático de parceiros comerciais. Em muitos casos, esses processos foram implementados por times de tecnologia ou operações, com objetivo legítimo de ganho de escala, e nunca passaram por análise de conformidade.
No Brasil, o art. 20 da LGPD assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O §1º estabelece que o controlador deve fornecer, sempre que solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados na decisão automatizada.
A construção brasileira é diferente da europeia — o art. 22 do GDPR assegura o direito de não ser submetido a decisão exclusivamente automatizada, enquanto o art. 20 da LGPD assegura o direito de solicitar revisão. Não é o mesmo desenho, e é importante não tratar os regimes como equivalentes. Mas a exigência de rastreabilidade do processo é comum aos dois: em ambos, a empresa precisa ser capaz de explicar como a decisão foi tomada. Empresa que implementou automação sem documentar critérios não tem como atender esse pedido quando ele chega.
Há ainda o relatório de impacto à proteção de dados pessoais. A LGPD o define, no art. 5º, XVII, como a documentação do controlador que descreve os processos de tratamento capazes de gerar riscos às liberdades civis e aos direitos fundamentais, com as medidas, salvaguardas e mecanismos de mitigação adotados. A ANPD orienta que, como regra geral, ele seja elaborado em todo contexto em que o tratamento possa gerar alto risco a esses direitos — cabendo ao próprio agente de tratamento avaliar se está nessa hipótese — e que seja elaborado antes do início do tratamento, para que os riscos sejam dimensionados de antemão. Há ainda situações específicas em que sua elaboração pode ser determinada pela ANPD, entre elas quando o tratamento se funda em legítimo interesse e nas hipóteses do art. 38.
Decisão automatizada que pode desligar alguém da fonte de renda, recusar crédito ou eliminar um candidato descreve bem o tipo de risco que esse instrumento existe para dimensionar. Uma empresa que fez esse exercício antes de implementar provavelmente teria identificado a ausência de revisão humana como lacuna — antes que uma autoridade o fizesse.
A revisão prática tem quatro perguntas. Onde a empresa já toma decisões automatizadas que afetam pessoas — candidatos, clientes, fornecedores, parceiros, colaboradores? Existe ponto de revisão humana com autoridade real para reverter a decisão, ou a revisão é formal e o sistema prevalece? Os critérios utilizados estão documentados de forma que possam ser explicados a quem solicitar? O titular é informado de que a decisão foi automatizada e de como pedir reexame?
Automatizar não é o problema. O problema é automatizar até o ponto em que não sobra ninguém para responder pela decisão.
Advogado. Pós-graduado em Direito Empresarial pela FGV São Paulo. Alumni do Data Privacy. Associado ao International Association of Privacy Professionals (IAPP). Membro da Comissão do Novo Advogado do Instituto dos Advogados de São Paulo (IASP).