A Lei Geral de Proteção de Dados (LGPD) garantiu vários direitos ao titular, dentre eles o de revogação do consentimento. Aqui no blog, já falamos sobre os direitos de:
Assim como outros trazidos pela LGPD, esse direito empodera o titular, garantindo-lhe novos poderes. No caso, o titular poderá ter um pouco mais controle e conhecimento sobre aquelas decisões automatizadas, inclusive aquelas utilizadas para profiling (explicaremos a seguir).
Por outro lado, esses direitos criam uma série de obrigações para a empresa. Por isso, você deve ficar atento a essas novidades e viabilizar o exercício desses direitos no seu negócio. Acompanhe-nos neste artigo para saber um pouco mais sobre esse importante direito.
O que é o direito de revisão de decisões automatizadas?
Este é mais um dos direitos do titular trazidos pela LGPD. Para aquelas decisões tomadas, no âmbito de um tratamento de dados, sem intervenção humana, cabe ao titular a possibilidade de pedir sua revisão.
Diz a nossa lei de dados pessoais, no artigo 20:
O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.
Assim, o titular que não estiver de acordo com o resultado de uma decisão dessas, que afete consideravelmente sua vida, poderá questioná-la e o controlador deverá verificá-la se foi adequada ou se deve ser corrigida.
Além do pedido de revisão, esse artigo relaciona-se com o direito de informação. Pode o titular pedir ao controlador informações sobre os:
critérios utilizados para a decisão; e
procedimentos adotados.
Dessa forma, a empresa deve fornecer, sempre que solicitadas, as informações acima, até onde não compremetam os segredos comercial e industrial do negócio
Muitas vezes não percebemos, mas é cada vez mais cada vez mais comum que os algoritmos comandem nossas vidas. São exemplos comuns:
Uma análise de crédito feita por uma instituição financeira antes de conceder um cartão de crédito;
O enquadramento do titular em uma categoria no momento da adesão em um plano de saúde;
A personalização de anúncios online a serem exibidos para o usuário.
Essas decisões muitas vezes têm o poder de afetar os interesses do titular. Se for esse o caso, ele poderá pedir uma revisão e informações para entender melhor o procedimento utilizado para a tomada dessas decisões.
O que é definição de perfis?
É o chamado profiling ou perfilização, que consiste no tratamento automatizado de dados pessoais para avaliar determinados aspectos do titular e assim construir perfis. Por exemplo, para analisar características:
pessoais (preferências, interesses, etc.);
de consumo;
de comportamento;
de localização.
Com base nesses dados, e combinados com outros (por exemplo, estatísticos), informações relevantes podem ser extraídas para prever o comportamento do titular e tomar decisões a respeito deles. Muitas vezes, decisões importantes e que afetam diretamente suas vidas.
Um tratamento automatizado não necessariamente inclui a perfilização, mas é comum que a envolva sim.
Por que a LGPD trouxe esse direito ao titular?
Porque tratamentos de dados pessoais podem impactar significativamente o titular e, se forem exclusivamente automatizados, isso representa mais um agravante. Sistemas são sujeitos a erros e, pior, mesmo sem erros, os algoritmos utilizados podem ser discriminatórios.
Diante disso, as disposições da LGPD visam diminuir esses riscos para o titular.
A LGPD não impôs grandes restrições ao controlador no que se refere ao tratamento automatizado de dados pessoais. Contudo, sua empresa deve, dentre outras providências:
fornecer informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizadas;
oferecer meios simples para o titular solicitar a revisão;
verificar regularmente se os procedimentos utilizados para a decisão estão funcionando normalmente;
garantir	que o tratamento automatizado não contenha aspectos discriminatórios.
Além disso, em geral, é uma boa ideia:
realizar um relatório de impacto à proteção de dados pessoais antes de conceber novos tratamentos automatizados no seu negócio;