Entenda quando a biometria é um dado sensível e veja como comparar alternativas, validar a hipótese legal, implantar controles e fiscalizar fornecedores.

Uma clínica de pequeno porte pretende substituir crachás pela impressão digital no registro de jornada e ativar reconhecimento facial no aplicativo usado por pacientes. A proposta promete reduzir esquecimentos e dificultar fraudes, mas não pode ser avaliada apenas pela modernidade do equipamento. É necessário descobrir quais informações serão capturadas, se imagens brutas serão conservadas, onde os templates ficarão armazenados, quem terá acesso e o que acontecerá quando uma pessoa não puder usar o sistema.

Essas perguntas importam porque dados biométricos associados a uma pessoa natural recebem proteção reforçada na LGPD. A tecnologia pode ser adequada para uma finalidade e excessiva para outra. Uma digital usada para entrar em uma sala de medicamentos controlados, por exemplo, apresenta contexto diferente do reconhecimento facial de todos os visitantes de uma recepção. Da mesma forma, a obrigação de manter controle de jornada não significa, por si só, autorização para escolher qualquer modalidade de coleta.

A decisão responsável começa antes da contratação e continua durante toda a operação. O gestor precisa separar conveniência, necessidade, hipótese legal, segurança, transparência e efeitos sobre empregados, clientes e visitantes. Também deve documentar a comparação com alternativas, validar normas trabalhistas ou setoriais aplicáveis e acompanhar os atos e as orientações vigentes da Autoridade Nacional de Proteção de Dados, a ANPD. Este guia oferece um método de governança, mas não substitui análise jurídica específica quando houver relação de trabalho, monitoramento sistemático, decisões de alto impacto, uso em larga escala ou dúvida sobre o enquadramento legal.

Principais pontos

• Uma característica física ou comportamental torna-se dado biométrico quando é submetida a tratamento técnico para identificar ou autenticar uma pessoa.
• Dados biométricos vinculados a uma pessoa são dados pessoais sensíveis; o legítimo interesse não é hipótese legal aplicável a essa categoria.
• Controle de acesso, registro de jornada e autenticação antifraude têm contextos distintos e exigem avaliação jurídica própria, inclusive à luz de normas trabalhistas, setoriais e orientações vigentes da ANPD.
• A escolha da biometria deve ser sustentada por uma comparação documentada entre impacto, eficácia, custo total, acessibilidade e prejuízo potencial ao titular.
• A contratação de um fornecedor não transfere integralmente a responsabilidade da empresa sobre finalidade, transparência, segurança, direitos dos titulares e transferências internacionais.
• Prazos internos de exclusão, revisão, testes e comunicação contratual são parâmetros de governança, não prazos universais da LGPD, e devem ser ajustados ao risco e às obrigações aplicáveis.

Quando uma informação passa a ser um dado biométrico

Dado biométrico é a informação resultante do tratamento técnico de características físicas, fisiológicas ou comportamentais para identificar ou autenticar alguém. Impressão digital, geometria facial, íris, voz e dinâmica da assinatura podem cumprir essa função. Quando vinculada a uma pessoa natural, a informação integra a categoria de dados pessoais sensíveis definida pelo artigo 5º, inciso II, da Lei nº 13.709/2018, a LGPD.

Uma fotografia comum não se transforma automaticamente em biometria. A câmera instalada na recepção da clínica pode apenas registrar imagens para uma finalidade de segurança, enquanto outro sistema extrai pontos do rosto e os compara com uma base cadastrada. No segundo caso, o processamento técnico voltado ao reconhecimento caracteriza o tratamento biométrico. A gravação convencional ainda pode conter dados pessoais e exigir controles, mas sua classificação e seus riscos devem ser examinados conforme o tratamento efetivamente realizado.

Durante o cadastro, o equipamento pode converter uma imagem, voz ou impressão digital em um template biométrico, isto é, uma representação matemática usada em comparações posteriores. O template não se torna anônimo apenas porque uma pessoa não consegue interpretá-lo visualmente. Se estiver ligado a um cadastro, puder autenticar alguém ou admitir associação por meios razoáveis, continuará submetido à LGPD.

É importante inventariar todos os componentes. A imagem bruta capturada no cadastramento, o template, o identificador interno, os registros de tentativas, os horários e o resultado de cada comparação podem formar conjuntos distintos. Um histórico de recusas na catraca, por exemplo, revela mais do que a credencial: pode indicar presença, rotina e deslocamento. A pequena empresa trata esses dados mesmo quando não desenvolve o algoritmo e apenas utiliza uma solução contratada.

Por que a biometria exige mais cuidado do que uma senha

Senhas comprometidas podem ser alteradas; características corporais são permanentes ou difíceis de substituir. Se um template de impressão digital sair do controle da clínica, a criação de uma nova senha não elimina o risco ligado àquela característica. Essa baixa substituibilidade aumenta a importância de minimizar a coleta, impedir usos secundários e evitar que uma mesma base seja reaproveitada em diferentes contextos.

O funcionamento também envolve incerteza. Um falso positivo ocorre quando o sistema aceita a pessoa errada; um falso negativo, quando rejeita a pessoa correta. O significado do erro depende do cenário. Uma rejeição no relógio de ponto pode gerar atraso, registro incorreto ou discussão trabalhista. Em uma autenticação financeira, a mesma falha pode impedir uma operação legítima. Já um falso positivo em área restrita pode permitir acesso indevido.

Percentuais comerciais de precisão não bastam para prever o desempenho no ambiente real. Iluminação, posição da câmera, qualidade do sensor, conexão, alterações físicas, características do público e critérios de configuração influenciam o resultado. O gestor precisa saber em quais condições o produto foi testado, como são tratados casos inconclusivos e se haverá revisão humana antes de uma consequência relevante.

Segurança tecnológica e conformidade jurídica são avaliações complementares. Criptografia, segregação e atualização reduzem vulnerabilidades, mas não tornam necessária uma coleta excessiva. Da mesma forma, a indicação de uma possível hipótese legal não elimina os deveres de finalidade, adequação, necessidade, prevenção, transparência, não discriminação, segurança e responsabilização previstos na LGPD.

Diferenças práticas entre métodos de autenticação e acesso

Método	Substituição	Compartilhamento	Impacto do comprometimento	Cuidados principais
Senha	Normalmente simples	Pode ser revelada ou reutilizada	Acesso indevido até bloqueio e troca	Sigilo, política de senhas e autenticação multifator
Cartão ou crachá	Possível mediante reposição	Pode ser emprestado, perdido ou furtado	Entrada indevida até bloqueio ou devolução	Bloqueio rápido, conferência e controle de emissão
Biometria	Difícil ou impossível para a mesma característica	Não é emprestada da mesma forma, mas pode ser capturada ou falsificada	Risco prolongado de associação e uso indevido	Necessidade, minimização, proteção do template e alternativa funcional

Antes de coletar: necessidade, finalidade e alternativa menos invasiva

Comece pelo problema concreto, não pela função disponível no equipamento. A clínica pode precisar restringir o acesso à sala que guarda medicamentos e prontuários, mas isso não justifica automaticamente reconhecimento facial em todas as portas. Uma finalidade específica deve indicar o evento que se pretende evitar, as pessoas envolvidas e o resultado esperado. Expressões como “aumentar a segurança” ou “modernizar a empresa” são insuficientes para comparar soluções.

A comparação deve ser verificável. Forme um pequeno grupo com a área solicitante, segurança da informação, recursos humanos quando houver empregados, privacidade e jurídico. Cada participante atribui uma classificação justificada às opções, com base em evidências como histórico de incidentes, teste piloto, requisitos de acessibilidade, custos de implantação e consequências de erros. Não use a soma como decisão automática: uma alternativa com grave prejuízo ao titular ou incompatibilidade legal deve ser descartada mesmo que pareça barata.

Considere cartão, token, senha, registro supervisionado, autenticação multifator sem biometria e mudanças de processo. Para uma sala de alto risco, a impressão digital combinada com credencial pode dificultar empréstimos. Na entrada de um escritório comum, a troca de crachás por reconhecimento facial apenas para ganhar alguns segundos pode não superar a invasividade. O custo deve incluir suporte, exceções, substituição de sensores, auditoria, encerramento do contrato e eliminação dos dados, e não somente o preço de aquisição.

A alternativa também precisa funcionar na prática. Uma pessoa com limitação física, alteração temporária da característica, dificuldade de leitura ou objeção amparada pelo contexto não deve enfrentar exposição, perda remuneratória ou fila desproporcional. Registre a decisão, as evidências usadas, as divergências e a data de revisão. O documento demonstra o raciocínio adotado, mas deve ser reaberto quando mudarem a finalidade, o público, o fornecedor ou o nível de risco.

1. Descreva o problema, o resultado esperado e o risco de não agir.
2. Selecione pelo menos uma opção sem biometria e, quando viável, uma mudança de processo.
3. Classifique impacto na privacidade, eficácia, custo total, acessibilidade e prejuízo causado por erros.
4. Anexe evidências, identifique incertezas e registre quem avaliou cada critério.
5. Escolha a opção proporcional, defina condições para um piloto e marque a data de reavaliação.

Modelo de matriz para comparar alternativas antes da coleta

Critério	Pergunta verificável	Evidência esperada	Escala sugerida
Impacto na privacidade	Quais dados são capturados e o método permite rastrear presença ou rotina?	Mapa de dados e análise de usos possíveis	Baixo, médio ou alto
Eficácia	A opção reduz o problema definido nas condições reais da empresa?	Teste piloto, histórico de ocorrências ou requisito técnico	Baixa, média ou alta
Custo total	Quanto custam implantação, suporte, exceções, auditoria e encerramento?	Proposta detalhada e estimativa interna	Valor estimado e faixa de incerteza
Acessibilidade	Pessoas afetadas conseguem usar o método sem barreira indevida?	Teste com perfis diversos e procedimento de exceção	Adequada, ajustável ou inadequada
Prejuízo ao titular	O que ocorre após falso positivo, falso negativo ou indisponibilidade?	Simulação de falhas e desenho da revisão humana	Reversível, relevante ou grave
Necessidade	Uma opção menos invasiva alcança resultado suficientemente equivalente?	Comparação fundamentada entre alternativas	Demonstrada, parcial ou não demonstrada

Qual hipótese legal pode autorizar o tratamento

Dados biométricos seguem as hipóteses específicas do artigo 11 da LGPD para dados pessoais sensíveis. O legítimo interesse não aparece nesse conjunto e não deve ser usado para justificar impressão digital, geometria facial ou outro tratamento biométrico. A escolha depende da finalidade exata, da relação com o titular, da forma de autenticação e das normas que regem a atividade. Não existe uma resposta única para controle de acesso, ponto eletrônico e prevenção a fraudes.

No controle de acesso físico, a primeira pergunta é se a área e o risco exigem identificação tão forte. A portaria de um escritório, uma sala com prontuários e uma instalação crítica não são equivalentes. Depois da análise de necessidade, o jurídico deve confrontar as hipóteses do artigo 11 com a finalidade concreta e verificar obrigações setoriais, direitos envolvidos e medidas menos invasivas. A mera propriedade do prédio ou a intenção genérica de segurança não cria uma hipótese legal autônoma.

No registro de jornada, é preciso separar a obrigação trabalhista de registrar horários da escolha da tecnologia usada para cumprir essa obrigação. A empresa deve conferir a legislação trabalhista, a regulamentação vigente dos sistemas de registro eletrônico de ponto, inclusive a Portaria MTP nº 671/2021 em sua versão aplicável, instrumentos coletivos e orientações das autoridades competentes. Não se deve concluir automaticamente que uma obrigação de manter o ponto autoriza biometria. A hipótese do artigo 11 e a necessidade do método exigem validação jurídica documentada.

Em autenticação eletrônica antifraude, a hipótese do artigo 11, inciso II, alínea g, pode ser pertinente quando o tratamento estiver efetivamente voltado à garantia da prevenção à fraude e à segurança do titular em processos de identificação e autenticação de cadastro em sistemas eletrônicos. Seu texto contém limites e resguarda direitos e liberdades fundamentais. Por isso, a empresa deve demonstrar o risco de fraude, limitar a biometria à autenticação e impedir a expansão silenciosa para publicidade, perfilamento ou treinamento de modelos.

O consentimento específico e destacado pode ser avaliado quando houver escolha real, informação suficiente, prova da manifestação e possibilidade de revogação. Ele é especialmente delicado na relação de trabalho, em serviços essenciais ou quando a recusa gera desvantagem. Uma alternativa funcional contribui para a liberdade, mas não resolve sozinha todos os requisitos nem torna o consentimento automaticamente apropriado.

Também existem hipóteses relacionadas, entre outras, ao cumprimento de obrigação legal ou regulatória e ao exercício regular de direitos, inclusive em contrato e processo judicial, administrativo ou arbitral. Elas não são permissões genéricas. O gestor deve entregar ao jurídico uma ficha com finalidade, titulares, dados, consequência da recusa, sistemas, retenção, compartilhamentos e alternativas. A conclusão deve citar a hipótese considerada, explicar sua relação com o cenário e registrar normas setoriais e orientações vigentes da ANPD consultadas na data da decisão.

Como diferenciar cenários antes da validação jurídica

Cenário	Fato que precisa ser comprovado	Questão jurídica central	Validações adicionais
Acesso de empregados a área restrita	Risco específico da área e insuficiência de credencial menos invasiva	Qual hipótese do artigo 11 corresponde à finalidade delimitada?	Relação de trabalho, proporcionalidade, acessibilidade e alternativa
Registro eletrônico de jornada	Necessidade do método biométrico, e não apenas do registro de horário	A obrigação trabalhista alcança a tecnologia escolhida e qual hipótese sensível se aplica?	Regulação trabalhista vigente, instrumentos coletivos e requisitos do sistema
Autenticação de cliente em aplicativo	Risco da operação e necessidade de vincular a pessoa ao cadastro	Há consentimento válido ou outra hipótese específica aplicável?	Alternativa sem biometria, contestação e separação de usos comerciais
Prevenção a fraude em transação	Padrão de fraude que a biometria procura reduzir	O caso permanece nos limites da prevenção à fraude e segurança do titular?	Direitos fundamentais, revisão de bloqueios e proibição de finalidade secundária incompatível
Reconhecimento facial de visitantes	Risco do local, abrangência da comparação e composição da base	Existe hipótese sensível adequada para comparação sistemática?	Monitoramento, retenção, informação, falsos resultados e normas setoriais

Como implementar um fluxo biométrico com controles mínimos

A implantação deve seguir uma sequência operacional com responsáveis e evidências. O patrocinador do projeto aprova a finalidade e os recursos; a área de privacidade coordena o inventário e a transparência; o jurídico valida o enquadramento; segurança da informação define controles; a área usuária testa o processo; recursos humanos participa quando houver empregados; e compras formaliza as obrigações do fornecedor. Em empresas pequenas, uma pessoa pode acumular funções, mas a responsabilidade por cada aprovação precisa estar registrada.

Primeiro, mapeie captura, geração do template, comparação, armazenamento, registros de acesso, compartilhamento, cópias de segurança e descarte. Descubra se o leitor guarda informações localmente, se existe console em nuvem e se técnicos do fornecedor conseguem consultar a base. O resultado esperado é um diagrama acompanhado de inventário com sistema, dado, finalidade, local, destinatário e responsável.

Em seguida, conclua a matriz de alternativas e a validação jurídica antes de ativar o ambiente de produção. A área de segurança elabora o modelo de ameaças e define criptografia adequada, segregação, gestão de chaves, autenticação administrativa, registro de operações e menor privilégio. Depois, um piloto controlado deve testar falsos resultados, indisponibilidade, acessibilidade, atendimento humano e método alternativo. A aprovação precisa indicar critérios de aceite e pendências.

A retenção deve ser vinculada a eventos e justificativas. Desligamento, encerramento do contrato, substituição do sistema ou inatividade podem iniciar uma revisão, mas obrigações trabalhistas, exercício regular de direitos, litígios e regras setoriais podem justificar conservação delimitada. Um prazo como exclusão em 30 dias após o desligamento é apenas exemplo interno: só pode ser adotado depois da validação jurídica, da análise do risco, da verificação de cópias de segurança e da capacidade operacional de executar e comprovar o descarte.

O mesmo cuidado vale para frequências de controle. Revisar acessos a cada seis meses ou testar o plano de incidentes a cada doze meses pode servir como ponto inicial de governança, mas não é prazo legal universal. Mudanças de equipe, privilégios elevados, incidentes, vulnerabilidades ou alterações do fornecedor podem exigir revisão imediata ou intervalos menores. Cada teste deve gerar evidência, responsáveis por correção e nova verificação.

Quanto ao relatório de impacto à proteção de dados pessoais, não trate todo projeto biométrico como automaticamente obrigado nem ignore o tema. O artigo 38 da LGPD permite que a ANPD determine sua elaboração, inclusive em relação a dados sensíveis. A preparação também pode ser recomendável como medida de responsabilização quando o tratamento indicar risco elevado, conforme critérios, regulamentos e orientações vigentes. A equipe deve registrar por que elaborou ou não o relatório e estar preparada para atender eventual solicitação da autoridade no formato aplicável.

Por fim, publique aviso acessível, treine o atendimento, execute o piloto, corrija falhas e obtenha aprovação formal para entrada em produção. Após a ativação, monitore rejeições, exceções, acessos administrativos, incidentes e reclamações sem usar esses registros para finalidades incompatíveis. A validação não termina no lançamento: mudanças de finalidade, algoritmo, infraestrutura, suboperador ou país de armazenamento devem reabrir a avaliação.

O que verificar no fornecedor de reconhecimento ou autenticação

O nome atribuído às partes no contrato não determina sozinho quem atua como controlador ou operador. É necessário observar quem decide a finalidade e os elementos essenciais do tratamento e quem age conforme instruções. A clínica não deixa de ter obrigações porque alugou o relógio de ponto. Se o fornecedor usar imagens ou templates para finalidade própria, como desenvolver produto ou treinar modelo, esse uso precisa ser identificado e avaliado separadamente.

Converta a diligência em perguntas que possam receber prova. Respostas como “usamos segurança de ponta” ou “os dados ficam na nuvem” não bastam. Peça arquitetura, política de retenção, descrição da geração do template, controle de privilégios, processo de exclusão e relação de suboperadores. Certificações podem contribuir para a análise, mas não substituem a verificação do serviço contratado, do escopo certificado e das exceções apontadas.

Nas transferências internacionais, identifique cada fluxo, o país de destino, os participantes e o mecanismo jurídico efetivamente adotado. A análise deve observar o artigo 33 da LGPD e a regulamentação vigente da ANPD, incluindo a Resolução CD/ANPD nº 19/2024 e eventuais atos posteriores aplicáveis. Não basta o contrato dizer que a transferência é permitida: confirme se o fornecedor utiliza decisão de adequação quando existente, cláusulas-padrão contratuais aprovadas pela ANPD ou outro mecanismo admitido e pertinente ao caso. Peça a versão incorporada ao contrato e verifique suboperadores, transferências subsequentes e medidas técnicas complementares.

O contrato deve limitar instruções, finalidade, acesso, retenção e usos próprios; disciplinar subcontratação; permitir auditoria ou fornecimento de evidências; e prever cooperação em direitos dos titulares, incidentes e encerramento. Um aviso inicial do fornecedor em 24 horas pode ser negociado para dar tempo à contratante, mas não é prazo geral imposto pela LGPD para toda relação. A cláusula deve ser validada conforme risco, capacidade operacional, fluxo de investigação e obrigações de comunicação que estejam vigentes.

Também peça dados sobre desempenho nas condições de uso previstas. O fornecedor deve explicar limiares de comparação, resultados inconclusivos, grupos e ambientes testados, possibilidade de ajuste e suporte à contestação. Promessa de precisão total é sinal de alerta. Antes de automatizar bloqueio, desconto, impedimento de entrada ou outra consequência relevante, a contratante precisa desenhar revisão humana e preservar evidências para apuração.

• Onde ficam imagens, templates, logs e cópias de segurança? Solicitar diagrama de arquitetura e relação de localidades.
• A imagem bruta é eliminada após o template? Solicitar especificação técnica e evidência do processo de exclusão.
• Quem acessa dados de produção e como o privilégio é aprovado? Solicitar matriz de acessos, política e amostra de registros.
• Há uso para treinamento, melhoria de modelo ou análise própria? Solicitar cláusula contratual e descrição de cada finalidade.
• Quais suboperadores participam e como mudanças são comunicadas? Solicitar lista atualizada e procedimento de notificação.
• Existe transferência internacional? Solicitar mapa do fluxo, países, mecanismo adotado e instrumento contratual correspondente.
• Como ocorre o encerramento do serviço? Solicitar plano de devolução, exclusão, tratamento de backups e declaração de descarte.
• Como incidentes são detectados e comunicados? Solicitar plano de resposta, responsabilidades, canais e prazos contratuais validados.
• Como o produto trata falsos resultados e indisponibilidade? Solicitar relatório de testes, limitações conhecidas e processo de suporte.
• Quais auditorias ou certificações abrangem o serviço? Solicitar relatório, escopo, validade e plano para ressalvas relevantes.

Erros que tornam a biometria mais arriscada — mesmo com boa tecnologia

Alguns riscos aparecem somente durante a operação. Um primeiro sinal é o aumento de rejeições concentradas em determinado turno, equipamento ou grupo de usuários. Isso pode indicar iluminação inadequada, sensor desgastado, configuração agressiva ou teste insuficiente. A ação corretiva é suspender consequências automáticas, preservar os registros necessários à apuração, disponibilizar o método alternativo e repetir o teste em condições representativas.

Outro alerta é a chamada expansão de finalidade. O sistema comprado para abrir uma porta começa a produzir relatórios de pontualidade, rastrear circulação ou alimentar avaliação de desempenho sem nova análise. A correção não é apenas atualizar o aviso: bloqueie o novo uso, restrinja consultas, apure como a função foi habilitada e reabra as avaliações de necessidade, hipótese legal, segurança e impacto antes de qualquer eventual retomada.

Bases paralelas também surgem em suporte e implantação. Técnicos podem exportar templates para notebook, ambiente de testes ou arquivo de diagnóstico; gestores podem guardar planilhas com identificadores e ocorrências. Procure exportações fora do repositório oficial, contas compartilhadas, anexos enviados por correio eletrônico e backups sem responsável. Remova cópias não autorizadas, troque credenciais, registre a investigação e altere o procedimento de suporte para usar dados sintéticos ou minimizados sempre que possível.

Mudanças silenciosas do fornecedor merecem atenção. Novo suboperador, hospedagem em outro país, atualização do algoritmo ou alteração do formato do template podem modificar o risco e o enquadramento contratual. Estabeleça gatilhos de reavaliação e impeça mudanças relevantes sem notificação. Se a empresa descobrir uma alteração já implementada, deve mapear os dados afetados, verificar o mecanismo de transferência, avaliar medidas de contenção e decidir de forma documentada sobre continuidade.

A dependência tecnológica é outro problema pouco visível. Se apenas o fornecedor consegue excluir cadastros, interpretar logs ou migrar templates, a empresa pode ficar incapaz de atender titulares ou encerrar o serviço. Teste antecipadamente exportação, devolução, eliminação e continuidade. O plano de saída deve definir formato, prazo negociado, responsável, destino dos equipamentos e evidência de descarte, considerando limitações legítimas de backups e obrigações de conservação.

Por fim, cuidado com a automação de consequências. Uma leitura biométrica não deve ser tratada como prova infalível de presença, ausência, fraude ou identidade. Divergências precisam de revisão por pessoa autorizada, acesso a informações suficientes e correção do registro quando cabível. Indicadores de contestação, tempo de resolução e reincidência ajudam a localizar falhas estruturais, desde que sejam usados de forma proporcional e não se convertam em novo monitoramento indevido.

• Sinal: rejeições concentradas; ação: interromper efeitos automáticos e recalibrar após teste representativo.
• Sinal: novos relatórios ou usos não aprovados; ação: bloquear a função e reabrir a avaliação do projeto.
• Sinal: exportações e contas compartilhadas; ação: conter cópias, revisar credenciais e corrigir o suporte.
• Sinal: alteração de suboperador, algoritmo ou país; ação: exigir notificação e validar contrato e transferência.
• Sinal: fornecedor incapaz de comprovar exclusão; ação: acionar o plano de saída e exigir evidência de descarte.
• Sinal: contestação sem revisão humana; ação: suspender a consequência e instituir procedimento independente.

Perguntas frequentes

Todo reconhecimento facial envolve dados biométricos?

Quando imagens são processadas tecnicamente para identificar ou autenticar uma pessoa, há tratamento biométrico. Uma câmera que apenas registra o ambiente não realiza necessariamente reconhecimento facial, embora as imagens ainda possam ser dados pessoais e estejam sujeitas à LGPD conforme o contexto.

A empresa pode exigir biometria dos funcionários?

Não há resposta universal. A empresa precisa demonstrar finalidade, necessidade e proporcionalidade, validar uma hipótese do artigo 11 e considerar a legislação trabalhista, normas setoriais, instrumentos coletivos e orientações vigentes. O desequilíbrio da relação de trabalho torna o consentimento especialmente delicado, e falhas ou limitações de uso exigem procedimento funcional de exceção.

É obrigatório pedir consentimento para coletar impressão digital?

Não existe obrigação universal de usar consentimento, e ele não é sempre a hipótese adequada. Devem ser avaliadas as hipóteses específicas do artigo 11 da LGPD. O legítimo interesse não autoriza o tratamento de dados pessoais sensíveis. Quando o consentimento for adotado, precisa ser específico, destacado, comprovável e efetivamente livre.

A biometria pode ser usada para registro de ponto?

Pode haver sistemas de ponto com biometria, mas a obrigação de registrar a jornada não autoriza automaticamente qualquer tecnologia. É necessário verificar a regulamentação trabalhista vigente, incluindo os requisitos aplicáveis aos sistemas eletrônicos, a hipótese legal para o dado sensível, a necessidade, a retenção, a transparência e o procedimento para falhas.

Por quanto tempo dados biométricos podem ser armazenados?

A LGPD não estabelece um prazo único para toda biometria. A retenção deve acompanhar a finalidade, as obrigações legais ou regulatórias, o exercício regular de direitos e eventuais litígios. Prazos internos precisam considerar também backups e capacidade de descarte. Encerradas as justificativas, a eliminação deve alcançar as bases controladas de forma verificável.

Todo tratamento biométrico exige relatório de impacto?

Não se deve presumir uma obrigação automática apenas porque há biometria. O artigo 38 da LGPD permite que a ANPD determine a elaboração do relatório, inclusive para dados sensíveis. Sua preparação também pode ser recomendável diante de risco elevado. A decisão deve observar critérios, regulamentos e orientações vigentes, ser documentada e considerar eventual solicitação da autoridade.

O que fazer se o titular não puder usar a biometria?

A empresa deve oferecer atendimento e procedimento de exceção compatíveis com o contexto, evitando constrangimento ou consequência automática. O método alternativo precisa funcionar de verdade. O caso também deve ser registrado para verificar se a falha decorre do sensor, do ambiente, da configuração ou de uma barreira de acessibilidade.

Templates biométricos também são protegidos pela LGPD?

Sim, quando estão vinculados ou podem ser associados a uma pessoa e são usados para identificação ou autenticação. A representação matemática não se torna anônima apenas por não reproduzir visualmente o rosto, a voz ou a impressão digital.

A empresa continua responsável quando contrata um fornecedor de biometria?

Sim. Os papéis dependem das decisões e atividades de cada parte. A contratante precisa conhecer o fluxo, emitir instruções quando cabível, fiscalizar obrigações, informar titulares e responder pelas escolhas sob seu controle. Usos próprios do fornecedor devem ser identificados e avaliados separadamente.

Como verificar uma transferência internacional feita pelo fornecedor?

Mapeie o país, os destinatários, os suboperadores e as transferências subsequentes. Depois, confirme o mecanismo efetivamente adotado conforme o artigo 33 da LGPD, a Resolução CD/ANPD nº 19/2024 e atos posteriores aplicáveis. Solicite o instrumento correspondente, como as cláusulas-padrão pertinentes, e verifique se ele cobre o fluxo real.

Conclusão

O primeiro passo é mapear onde a empresa já coleta, gera, compara ou recebe dados biométricos. Não limite o levantamento aos sensores: inclua imagens de cadastro, templates, registros de tentativas, consoles administrativos, cópias de segurança, ambientes de suporte e integrações. Novas coletas cuja finalidade, necessidade ou hipótese legal não estejam suficientemente demonstradas não devem avançar até que a análise seja concluída.

Em seguida, aplique a matriz de alternativas, encaminhe os cenários para validação jurídica e atribua responsáveis a cada etapa. Empregados, controle de jornada, acesso físico e prevenção a fraudes exigem atenção ao artigo 11 da LGPD, às normas trabalhistas ou setoriais pertinentes e às orientações vigentes da ANPD. O relatório de impacto deve ser tratado conforme o risco, os atos aplicáveis e eventual determinação da autoridade, sem presumir obrigação automática nem dispensar sua elaboração quando recomendável.

Por fim, revise contratos, transferências internacionais, retenção, acessos, testes, exceções e procedimentos de incidente. Exemplos como exclusão em 30 dias, revisão semestral, teste anual ou aviso contratual em 24 horas só devem ser adotados após validação conforme o risco, as obrigações aplicáveis, possíveis litígios e a capacidade de execução. Um diagnóstico de maturidade pode organizar inventário, evidências e prioridades, mas não oferece conformidade automática: o uso seguro de biometria depende de decisões documentadas, fiscalização contínua e correção rápida dos desvios.