• Eduardo Natale

Orientações sobre decisões automatizadas e profiling, do WP29 (resumo)



I. Introdução


A definição de perfis e as decisões automatizadas são utilizadas em áreas cada vez mais numerosas, tanto do setor privado como do setor público. A atividade bancária, financeira e a saúde são apenas alguns exemplos dos domínios em que a definição de perfis é feita de forma mais frequente para apoiar a tomada de decisões.


A definição de perfis e as decisões automatizadas podem ter utilidade para as pessoas e as organizações, proporcionando vantagens como:

• um aumento da eficiência; e

• economias de recursos.


No entanto, a definição de perfis e as decisões automatizadas são suscetíveis de gerar riscos significativos para os direitos e as liberdades das pessoas, que exigem garantias adequadas.

II. Definições


A. Definição de perfis


O RGPD1 define a definição de perfis como:

qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações;

A definição de perfis é composta de três elementos:

• tem de ser uma forma de tratamento automatizada;

• tem de ser efetuada sobre dados pessoais; e

• o seu objetivo deve ser avaliar os aspetos pessoais de uma pessoa singular.


A definição de perfis tem de implicar alguma forma de tratamento automatizado – ainda que uma intervenção humana não exclua necessariamente a ação do âmbito da definição.


Em termos genéricos, a definição de perfis significa a recolha de informações sobre uma pessoa (ou um grupo de pessoas) e a avaliação das suas características ou dos seus padrões de comportamento, a fim de a inserir em determinada categoria ou grupo, nomeadamente para fins de análise e/ou previsão, por exemplo:

• da sua capacidade para executar uma tarefa;

• dos seus interesses; ou

• do seu comportamento presumível.

B. Decisões automatizadas


As decisões automatizadas têm um âmbito de aplicação diferente e podem sobrepor-se parcialmente à definição de perfis ou resultar da mesma. As decisões exclusivamente automatizadas correspondem à capacidade de tomar decisões através de meios tecnológicos e sem intervenção humana. As decisões automatizadas podem basear-se em qualquer tipo de dados, como, por exemplo:

• dados fornecidos diretamente pelas pessoas em causa (tais como respostas a um questionário);

• dados observados acerca das pessoas (tais como dados de localização recolhidos por meio de uma aplicação);

• dados obtidos ou inferidos, tais como um perfil da pessoa que já tenha sido criado (p. ex., uma pontuação de crédito).


As decisões automatizadas podem ser realizadas com ou sem definição de perfis; a definição de perfis pode ocorrer sem serem realizadas decisões automatizadas.

C. Abordagem conceptual do RGPD


São três as possíveis formas de utilizar a definição de perfis:

i) definição geral de perfis,

ii) tomada de decisões com base na definição de perfis, e

iii) decisões exclusivamente automatizadas, incluindo a definição de perfis, que produzam efeitos jurídicos ou que afetem significativamente de forma similar o titular dos dados2.

III. Disposições gerais relativas à definição de perfis e às decisões automatizadas

A. Princípios da proteção de dados


1. Lícito, leal e transparente3


A transparência do tratamento é um requisito fundamental do RGPD.


O processo de definição de perfis é, muitas vezes, invisível aos olhos do titular dos dados. Funciona com base na criação de dados obtidos ou inferidos sobre pessoas – "novos" dados pessoais que não tenham sido transmitidos diretamente pelos próprios titulares dos dados.


Além disso, o tratamento deve ser leal e transparente.


A definição de perfis corre o risco de ser abusiva e gerar discriminação, por exemplo, ao impedir o acesso de pessoas a oportunidades de emprego, crédito ou seguros, ou ao serem-lhes dirigidas ofertas de produtos financeiros com riscos ou custos excessivos.

2. Tratamento posterior e limitação das finalidades4


A definição de perfis pode abranger a utilização de dados pessoais recolhidos originalmente com outro fim.


A eventual compatibilidade deste tratamento adicional com as finalidades iniciais para as quais os dados foram recolhidos dependerá de um conjunto de fatores, designadamente quais as informações inicialmente fornecidas pelo responsável pelo tratamento ao titular dos dados. Estes fatores estão refletidos no RGPD e são resumidos a seguir:

• a relação entre a finalidade para a qual os dados foram recolhidos e a finalidade do tratamento posterior;

• o contexto em que os dados foram recolhidos e as expectativas razoáveis dos titulares dos dados quanto à sua posterior utilização;

• a natureza dos dados;

• o impacto do tratamento posterior sobre os titulares dos dados; e

• as garantias aplicadas pelo responsável pelo tratamento para assegurar a lealdade do tratamento e evitar qualquer impacto indevido sobre os titulares dos dados.

3. Minimização dos dados5


As oportunidades de negócio geradas pela definição de perfis, os custos mais reduzidos de conservação e a capacidade para tratar grandes quantidades de informação podem incentivar as organizações a recolherem mais dados pessoais do que o efetivamente necessário, para o caso de se revelarem úteis no futuro.


Contudo, os responsáveis pelo tratamento devem ser capazes de explicar e justificar com clareza a necessidade de recolher e manter dados pessoais, ou considerar o recurso a dados agregados, anonimizados ou pseudonimizados para a definição de perfis.

4. Exatidão6


Se os dados utilizados num processo de decisão automatizada ou de definição de perfis forem inexatos, qualquer decisão ou perfil daí resultante será impreciso. As inexatidões poderão dar origem a previsões ou declarações inadequadas sobre, por exemplo, o estado de saúde ou o risco de crédito ou de seguro de uma pessoa.


É necessário que os responsáveis pelo tratamento introduzam medidas robustas para verificar e assegurar de forma permanente que os dados reutilizados ou indiretamente obtidos sejam exatos e atualizados.

5. Limitação da conservação7


Não obstante a manutenção de dados apresentar possíveis vantagens no caso da definição de perfis, uma vez que haverá mais dados a partir dos quais o algoritmo poderá aprender, os responsáveis pelo tratamento devem observar o princípio da minimização dos dados quando recolhem dados pessoais e assegurar que conservam esses dados pessoais apenas durante o período necessário e proporcionado às finalidades para as quais são tratados.

B. Fundamentos lícitos para o tratamento


1. Consentimento8


Os responsáveis pelo tratamento que procurem apoiar-se no consentimento como fundamento para a definição de perfis terão de demonstrar que os titulares dos dados compreendem exatamente aquilo para que dão o seu consentimento e ter em conta que o consentimento nem sempre constitui um fundamento adequado para o tratamento.

Em todos os casos, os titulares dos dados devem dispor de informação suficiente e pertinente sobre a utilização e as consequências previstas do tratamento, a fim de assegurar que qualquer consentimento por si dado represente uma escolha informada.

2. Necessário para a execução de um contrato9


Os responsáveis pelo tratamento poderão querer utilizar processos de definição de perfis e de decisão automatizada porque estes:

• são suscetíveis de permitir uma maior coerência ou lealdade no processo decisório (p. ex., reduzindo o potencial de erro humano, discriminação e abuso de poder);

• diminuem o risco de incumprimento dos pagamentos de bens ou serviços por parte dos clientes (p. ex., utilizando a referenciação de créditos); ou

• lhes permitem tomar decisões num prazo mais curto e melhorar a eficiência.


Em todo o caso, estas considerações, por si só, não chegam para demonstrar que este tipo de tratamento é necessário para a execução de um contrato. Tal como descrito no parecer do GT29 sobre interesses legítimos, a necessidade deve ser interpretada em sentido estrito.

3. Necessário para o cumprimento de uma obrigação jurídica10


Nalgumas situações, poderá haver uma obrigação jurídica de proceder à definição de perfis – por exemplo, em relação à prevenção de fraudes ou ao branqueamento de capitais.

4. Necessário para a defesa de interesses vitais11


Este critério abrange as situações em que o tratamento é necessário à proteção de um interesse essencial à vida do titular dos dados ou de qualquer outra pessoa singular.


Determinados tipos de tratamento poderão servir importantes razões de interesse público, assim como os interesses vitais do titular dos dados. Os possíveis exemplos desses tipos de tratamento incluem a definição de perfis necessária para desenvolver modelos que prevejam a propagação de doenças potencialmente fatais ou situações de emergência humanitária.

5. Necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública12


Essa base legal pode, em determinadas circunstâncias, constituir um fundamento adequado para uma definição de perfis no setor público. As funções ou competências devem ter um fundamento legal inequívoco.

6. Necessário para os interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros13


O responsável pelo tratamento deve realizar um exercício de ponderação, para aferir se aos seus interesses se sobrepõem os interesses ou os direitos e as liberdades fundamentais do titular dos dados.


Os seguintes aspetos são particularmente relevantes:

• o grau de pormenor do perfil (um titular de dados cujo perfil é inserido numa coorte com uma descrição genérica, por exemplo, "pessoas com interesse na literatura inglesa", ou segmentado e personalizado a nível granular);

• se o perfil descreve apenas alguns aspetos do titular de dados, ou, se pelo contrário, traça um retrato mais exaustivo;

•os efeitos no titular dos dados; e

• as garantias destinadas a salvaguardar a lealdade, a não discriminação e a exatidão do processo de definição de perfis.

C. Categorias especiais de dados14


A definição de perfis pode criar dados de categorias especiais por inferência a partir de dados que não sejam dados de categorias especiais per se, mas que passem a sê-lo quando combinados com outros dados. Por exemplo, existe a possibilidade de inferir o estado de saúde de uma pessoa a partir de registos das suas compras de produtos alimentares, em combinação com dados relativos à qualidade e ao valor energético dos alimentos.


No caso de serem inferidas preferências e características sensíveis a partir da definição de perfis, o responsável pelo tratamento deve assegurar que:

• o tratamento não é incompatível com a finalidade inicial;

• identificou um fundamento lícito para o tratamento dos dados de categorias especiais; e

• informa o titular dos dados sobre o tratamento.

D. Direitos do titular dos dados


1. Direito de ser informado15


O RGPD16 salienta que a prestação de informações sobre a definição de perfis integra as obrigações de transparência por parte do responsável pelo tratamento . O titular dos dados tem o direito de ser informado pelo responsável pelo tratamento e, em determinadas circunstâncias, o direito de se opor à "definição de perfis", independentemente de serem ou não tomadas decisões individuais exclusivamente automatizadas com base na definição de perfis.

2. Direito de acesso17


O titular dos dados tem o direito de obter informações acerca de quaisquer dados pessoais utilizados na definição de perfis, incluindo as categorias dos dados utilizados para criar um perfil.


Além de informações genéricas sobre o tratamento, o responsável pelo tratamento tem a obrigação de disponibilizar os dados utilizados como dados de entrada para criar o perfil, bem como facultar acesso a informações sobre o perfil e sobre os segmentos onde o titular dos dados foi inserido.

3. Direito de retificação18; Direito ao apagamento dos dados19; e Direito à limitação do tratamento20


O direito de retificação, poderá aplicar-se, por exemplo, nos casos em que uma pessoa é inserida numa categoria que indica a sua capacidade de desempenhar uma tarefa e cujo perfil se baseie em informação incorreta. As pessoas em causa poderão querer contestar a exatidão dos dados utilizados, bem como complementar os dados pessoais com informações adicionais.

Os direitos de retificação e ao apagamento dos dados são aplicáveis tanto aos "dados pessoais de entrada" (os dados pessoais utilizados para criar o perfil) como aos "dados de saída" (o próprio perfil ou a "pontuação" atribuída à pessoa).


O direito à limitação do tratamento será aplicável em qualquer fase do processo de definição de perfis.

4. Direito de oposição21


Logo que o titular dos dados exerça esse direito, o responsável pelo tratamento tem de interromper o processo de definição de perfis, a não ser que possa apresentar razões imperiosas e legítimas que prevaleçam sobre os interesses, os direitos e as liberdades do titular dos dados. O responsável pelo tratamento poderá igualmente ter de apagar os dados pessoais em causa22.


O RGPD não explica o que poderia ser considerado razões imperiosas e legítimas. Um exemplo possível seria um caso em que a definição de perfis teria vantagens para a sociedade no seu todo e não apenas para os interesses comerciais do responsável pelo tratamento, nomeadamente uma definição de perfis com vista a prever a propagação de doenças contagiosas.

IV. Disposições específicas relativas às decisões exclusivamente automatizadas23


Nos termos do artigo 22.º, n.º 1:

O titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar.

Resumidamente, o RGPD24 dispõe o seguinte:

i) em regra, existe uma proibição geral das decisões individuais totalmente automatizadas, incluindo a definição de perfis com efeitos jurídicos ou similarmente significativos,

ii) há exceções a essa regra;

iii) sempre que se aplique uma dessas exceções, devem existir medidas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados.

A. "Decisão tomada exclusivamente com base no tratamento automatizado"


O responsável pelo tratamento não pode eximir-se da regra fabricando uma intervenção humana. Por exemplo, se alguém aplicar de forma sistemática perfis gerados automaticamente a pessoas sem ter qualquer influência efetiva no resultado, tratar-se-á, ainda assim, de uma decisão tomada exclusivamente com base no tratamento automatizado.


Para que se considere haver uma intervenção humana, o responsável pelo tratamento tem de garantir que qualquer supervisão da decisão seja relevante, e não um mero gesto simbólico. Essa supervisão deve ser levada a cabo por alguém com autoridade e competência para alterar a decisão e que, no âmbito da análise, deverá tomar em consideração todos os dados pertinentes.

B. Efeitos na "esfera jurídica" ou "significativamente de forma similar"


"Decisão que produz efeitos jurídicos"

Como exemplos deste tipo de efeito contam-se as decisões automatizadas sobre uma pessoa que resultam:

• na rescisão de um contrato;

• na atribuição ou recusa de uma prestação social específica prevista na legislação, tais como um abono de família ou um subsídio de habitação;

• na recusa de admissão num país ou no indeferimento de um pedido de aquisição de nacionalidade.

"Que o afete significativamente de forma similar"


Para que um tratamento de dados afete significativamente alguém, os seus efeitos devem ser suficientemente grandes ou importantes para merecerem atenção. Quer isto dizer que a decisão deve ser suscetível de:

• afetar significativamente as circunstâncias, o comportamento ou as escolhas das pessoas em causa;

• ter um impacto prolongado ou permanente no titular dos dados; ou

• nos casos mais extremos, dar origem a uma exclusão ou discriminação das pessoas.


Afigura-se difícil indicar com precisão o que poderia ser considerado suficientemente importante para cumprir o limiar, mas as decisões que se seguem podem ser inseridas nessa categoria:

• decisões que afetem o acesso de uma pessoa aos serviços de saúde;

• decisões que impeçam o acesso de uma pessoa a uma oportunidade de emprego ou a coloquem em séria desvantagem;

• decisões que afetem o acesso de uma pessoa à educação, como, por exemplo, o ingresso em estabelecimentos de ensino superior.

C. Exceções à proibição


O responsável pelo tratamento não deve efetuar o tratamento, salvo se for aplicável uma das seguintes exceções, relativas aos casos em que a decisão é:

a) necessária para a execução ou a celebração de um contrato;

b) autorizada pelo direito da União ou do Estado-Membro a que o responsável pelo tratamento estiver sujeito, e na qual estejam igualmente previstas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados; ou

c) baseada no consentimento explícito do titular dos dados.

1. Execução de um contrato


Os responsáveis pelo tratamento poderão querer utilizar processos de decisões exclusivamente automatizadas para efeitos contratuais pelo facto de entenderem tratar-se da melhor forma de atingir o objetivo. Uma intervenção humana sistemática pode ser pouco viável ou impossível nalguns casos, devido à enorme quantidade de dados objeto de tratamento.


O responsável pelo tratamento deve ser capaz de demonstrar que esse tipo de tratamento é necessário, avaliando se seria possível adotar um método menos intrusivo para a privacidade. Caso existam outros meios eficazes e menos intrusivos para atingir o mesmo objetivo, esse tratamento não será "necessário".

2. Autorizada pelo direito da União ou do Estado-Membro


As decisões automatizadas, incluindo a definição de perfis, são passíveis de ocorrer em conformidade com esta exceção, se o direito da União ou do Estado-Membro em causa autorizar a sua utilização.

3. Consentimento explícito


As decisões individuais automatizadas, incluindo definição de perfis acarretam riscos substanciais para a proteção de dados, pelo que se considera adequado garantir um elevado nível de controlo individual sobre os dados pessoais.

D. Categorias especiais de dados pessoais25


As decisões automatizadas26 que digam respeito a categorias especiais de dados pessoais são permitidas apenas se forem preenchidas as seguintes condições cumulativas27:

• é aplicável uma isenção (item anterior, “C”); e

• aplica-se o “consentimento explícito do titular dos dados”28 ou “tratamento necessário por motivos de interesse público importante”29.

E. Direitos do titular dos dados


1. Direito de ser informado30


Sempre que o responsável pelo tratamento tome decisões automatizadas31, tem de:

• comunicar ao titular dos dados que está a levar a cabo esse tipo de atividade;

• fornecer informações úteis relativas à lógica subjacente; e

• explicar a importância e as consequências previstas do tratamento.



Informações úteis relativas à "lógica subjacente"


O responsável pelo tratamento deverá encontrar formas simples de comunicar ao titular dos dados a lógica subjacente, ou os critérios aplicados para tomar a decisão. O RGPD obriga o responsável pelo tratamento a fornecer informações úteis relativas à lógica subjacente, e não necessariamente uma explicação complexa sobre os algoritmos utilizados ou a divulgação do algoritmo na íntegra. As informações prestadas devem, no entanto, ser suficientemente completas para permitir ao titular dos dados compreender os motivos da decisão



"Importância" e "consequências previstas"


Este termo sugere que tenham de ser fornecidas informações sobre os tratamentos previstos ou futuros e sobre a forma como as decisões automatizadas podem afetar o titular dos dados. A fim de tornar essas informações úteis e compreensíveis, devem ser dados exemplos reais e tangíveis dos tipos de efeitos possíveis.

2. Direito de acesso32


O RGPD confere aos titulares de dados o direito de dispor das mesmas informações relativas às decisões exclusivamente automatizadas, incluindo a definição de perfis, nomeadamente:

• a existência de decisões automatizadas, incluindo a definição de perfis;

• informações úteis relativas à lógica subjacente; e

• a importância e as consequências previstas de tal tratamento para o titular dos dados.


O responsável pelo tratamento deveria já ter facultado ao titular dos dados as referidas informações, em conformidade com as suas obrigações no âmbito do artigo 13.º

F. Estabelecimento de garantias adequadas


Se o fundamento para o tratamento consistir na execução de contrato ou no consentimento explícito, os responsáveis pelo tratamento são obrigados a aplicar medidas adequadas para salvaguardar os direitos e liberdades e legítimos interesses dos titulares dos dados. O direito da União ou do Estado-Membro que autoriza o tratamento tem igualmente de incorporar medidas de salvaguarda adequadas.


As referidas medidas devem incluir, no mínimo, um meio através do qual o titular dos dados possa obter intervenção humana, manifestar o seu ponto de vista e contestar a decisão.

V. As crianças e a definição de perfis


O próprio artigo 22.º não estabelece nenhuma distinção quanto ao tratamento relativo a adultos ou crianças. Todavia, o considerando 71 refere que as decisões exclusivamente automatizadas, incluindo a definição de perfis, com efeitos jurídicos ou similarmente significativos não devem ser aplicáveis a crianças. Uma vez que esta redação não é reproduzida no artigo propriamente dito, o GT29 considera que não representa uma proibição absoluta deste tipo de tratamento relativamente às crianças. Contudo, à luz do considerando em apreço, o GT29 recomenda que, regra geral, os responsáveis pelo tratamento não invoquem as exceções previstas33 para justificar esse tratamento.

VI. Avaliações do impacto sobre a proteção de dados (AIPD) e encarregado da proteção de dados (EPD)


O RGPD34, destaca a necessidade de o responsável pelo tratamento proceder a uma AIPD em caso de:

Avaliação sistemática e completa dos aspetos pessoais relacionados com pessoas singulares, baseada no tratamento automatizado, incluindo a definição de perfis, sendo com base nela adotadas decisões que produzem efeitos jurídicos relativamente à pessoa singular ou que a afetem significativamente de forma similar;

O artigo 35.º, n.º 3, alínea a) diz respeito às avaliações que incluam a definição de perfis e decisões "baseadas no" tratamento automatizado, em vez de um tratamento "exclusivamente" automatizado. Entende-se por essa formulação que o dispositivo é aplicável no caso das decisões, incluindo definição de perfis, com efeitos jurídicos ou similarmente significativos que não sejam totalmente automatizadas, assim como das decisões exclusivamente automatizadas35.


As AIPD podem igualmente constituir um meio útil de o responsável pelo tratamento identificar as medidas a introduzir para fazer face aos riscos em matéria de proteção de dados resultantes do tratamento. Podem incluir-se entre estas medidas:

• informar o titular dos dados da existência de um processo de decisão automatizada e da lógica subjacente;

• explicar a importância e as consequências previstas do tratamento para o titular dos dados;

• proporcionar ao titular dos dados meios de se opor à decisão; e

• permitir ao titular dos dados manifestar o seu ponto de vista.

Fonte: https://www.cnpd.pt/home/rgpd/docs/wp251rev01_pt.pdf




1Artigo 4.º, ponto 4

2 Artigo 22.º, n.º 1

3 Artigo 5.º, n.º 1, alínea a)

4 Artigo 5.º, n.º 1, alínea b)

5 Artigo 5.º, n.º 1, alínea c)

6 Artigo 5.º, n.º 1, alínea d)

7 Artigo 5.º, n.º 1, alínea e)

8 Artigo 6.º, n.º 1, alínea a)

9 Artigo 6.º, n.º 1, alínea b)

10 Artigo 6.º, n.º 1, alínea c)

11 Artigo 6.º, n.º 1, alínea d)

12 Artigo 6.º, n.º 1, alínea e)

13 Artigo 6.º, n.º 1, alínea f)

14 Artigo 9.º

15 Artigos 13.º e 14.º

16 Considerando 60

17 Artigo 15.º

18 Artigo 16.º

19 artigo 17.º

20 artigo 18.º

21 Artigo 21.º

22 Artigo 17.º, n.º 1, alínea c)

23 Definidas no artigo 22.º

24 Artigo 22.º

25 Artigo 22.º, n.º 4

26 Artigo 22.º, n.º 1

27 Artigo 22.º, n.º 4

28 Artigo 9.º, n.º 2, alínea a)

29 Artigo 9.º, n.º 2, alínea g)

30 Artigo 13.º, n.º 2, alínea f), e artigo 14.º, n.º 2, alínea g)

31 Artigo 22.º, n.º 1

32 Artigo 15.º, n.º 1, alínea h)

33 Artigo 22.º, n.º 2

34 Artigo 35.º, n.º 3, alínea a)

35 Artigo 22.º, n.º 1

Inscreva-se na nossa newsletter

Receba no seu e-mail nossos artigos sobre Proteção de Dados

2020 Eduardo Natale Advocacia. Todos os direitos reservados.

  • Linkedin
  • Twitter
  • Facebook