Publicações
Reconhecimento facial e biometria: até onde as empresas podem ir sem violar a LGPD?
30/07/2026
Publicações
30/07/2026
O crescente uso de reconhecimento facial entre as empresas que buscam maior segurança e eficiência, tem gerado discussões sobre limites legais. Isso porque, dados biométricos são classificados pela LGPD como dados pessoais sensíveis, e sua utilização exige maior cuidado, governança, adequação as bases legais especificas e olhar estratégico consistente com a privacidade dos titulares de dados.
O reconhecimento facial deixou de ser uma tecnologia restrita a aeroportos e órgãos públicos. Hoje é utilizado para controle de acessos prediais, registro de jornada de trabalho, autenticação de usuários em aplicativos, enfim, em diversos setores e, quase sempre, com a finalidade de prevenção a fraudes. Apesar dos benefícios operacionais, a utilização dessa tecnologia exige cuidados jurídicos relevantes. A LGPD classifica dados biométricos, quando vinculados a uma pessoa natural, como dados pessoais sensíveis. Isso significa que seu tratamento demanda requisitos mais rigorosos, maior transparência e controles específicos para reduzir riscos aos titulares.
Os dados biométricos possuem uma característica que os diferencia de outras informações pessoais: eles são únicos e permanentes. Ao contrário de uma senha, que pode ser alterada em caso de vazamento, uma característica biométrica acompanha a pessoa durante toda a vida.
Por isso, um incidente envolvendo reconhecimento facial pode gerar consequências muito mais graves. É justamente essa sensibilidade que levou a LGPD a restringir as possibilidades de uso desses dados e exigir cuidados adicionais no tratamento.
Em outras palavras, utilizar reconhecimento facial apenas por conveniência ou porque a tecnologia está disponível não é suficiente para justificar seu tratamento. A empresa precisa demonstrar necessidade, proporcionalidade e conformidade com a legislação.
A LGPD não proíbe o uso de biometria. Porém, cada operação deve possuir uma base legal válida e demonstrar que o tratamento é necessário e proporcional. Esta análise é feita através do Relatório de Impacto à Proteção de Dados (RIPD).
Em muitos casos, a empresa deverá avaliar se existem meios menos invasivos para atingir o mesmo objetivo. Além disso, é fundamental que os titulares sejam informados, de forma clara e acessível, sobre quais dados serão coletados, por qual motivo, por quanto tempo permanecerão armazenados, se haverá compartilhamento com terceiros e como ocorrerá sua eliminação.
Entre os problemas mais comuns no uso de dados biométricos estão a coleta excessiva de dados e uso desproporcional; a falta de transparência aos titulares de dados; o armazenamento por prazo superior ao necessário; o compartilhamento com terceiros sem controles adequados; e a existência de falhas de segurança relevantes, que causem a vulnerabilidade dessas informações altamente sensíveis.
Também merece atenção o risco de utilização desses dados para finalidades diferentes daquelas inicialmente informadas aos titulares. Essa prática pode gerar questionamentos regulatórios, processos administrativos conduzidos pela Autoridade Nacional de Proteção de Dados (ANPD) e até ações judiciais, além de impactos reputacionais para a empresa.
É justamente nesse cenário que os programas de Compliance assumem um papel estratégico. Mais do que atender às exigências da LGPD, eles ajudam a estruturar processos capazes de reduzir riscos antes mesmo da implantação da tecnologia. Estes projetos devem envolver todas as áreas pertinentes da empresa, como o jurídico, DPO/Encarregado, TI/Segurança da Informação, RH e outros.
Além da elaboração do, já mencionado, RIPD, a empresa deverá revisar contratos com fornecedores da tecnologia ou de gestão, realizar due diligence das soluções tecnológicas, definir políticas internas, treinar colaboradores e estabelecer plano de resposta a incidentes.
O reconhecimento facial pode trazer ganhos importantes de segurança, praticidade e eficiência. No entanto, esses benefícios só se sustentam quando a tecnologia é utilizada em conformidade com a LGPD.
Mais do que investir em uma solução tecnológica, as empresas precisam desenvolver uma cultura de governança em privacidade by default e by design, com processos capazes de demonstrar a boa-fé e conformidade da empresa, além de proteger os direitos dos titulares, reduzindo os riscos regulatórios e reputacionais. A integração entre Compliance, segurança da informação e proteção de dados permite que as empresas avancem na adoção de novas tecnologias com mais segurança, equilíbrio e redução de riscos regulatórios e reputacionais.
Giovanna Carbonezze Feres Crotti
[email protected]
