Biometria facial e LGPD: Avanços, riscos e tendências regulatórias

O uso de biometria facial vem se consolidando como uma das tecnologias mais difundidas na transformação digital dos últimos anos. De sistemas de autenticação em dispositivos móveis a controles de acesso em empresas e residências, a identificação biométrica tornou-se prática comum em diversos cenários. Esse crescimento acelerado, no entanto, acarreta importantes desafios jurídicos, especialmente no que diz respeito à proteção de dados pessoais, à luz da LGPD - lei 13.709/18.

Tais desafios decorrem, principalmente, porque o dado biométrico é classificado pela LGPD como um dado pessoal sensível, justamente por se tratar de informação relativa à característica capaz de identificar de forma inequívoca uma pessoa natural, razão pela exige-se um nível mais elevado de proteção e cautela. Isso significa dizer que, se exposto ou capturado indevidamente, o risco se estende para qualquer sistema que utilize aquela mesma característica para autenticação, podendo acarretar danos permanentes. Além disso, sistemas de reconhecimento facial também podem potencializar riscos adicionais, como discriminação algorítmica, vigilância excessiva e criação de perfis comportamentais, com impactos relevantes para decisões que afetam os direitos dos titulares.

Neste contexto, é preciso ressaltar que a LGPD exige que o tratamento de dados biométricos se fundamente em uma base legal específica e robusta, o que restringe as alternativas disponíveis para aqueles que pretendem fazer o tratamento desse dado pessoal sensível. Em regra, destacam-se: (i) consentimento explícito, desde que livre, informado e inequívoco - opção mais comum, mas nem sempre adequada quando há desequilíbrio na relação (por exemplo, empregador e empregado); (ii) prevenção à fraude e à segurança do titular, aplicável em casos excepcionais; (iii) cumprimento de obrigação legal ou regulatória, relevante em setores como financeiro e transporte aéreo.

Para além da base legal adequada, o tratamento deste dado também deve estar alinhado aos princípios estruturantes da LGPD, tais como: (i) finalidade específica, legítima e explícita, vedado o uso posterior para objetivos incompatíveis; (ii) necessidade, mediante coleta apenas do estritamente necessário; (iii) transparência, com disponibilização de informações claras, precisas e facilmente acessíveis aos titulares e; (iv) segurança, incluindo a adoção de medidas técnicas e administrativas aptas à proteção contra acessos não autorizados, perda ou alteração.

O agente de tratamento deve, portanto, sempre demonstrar a estrita necessidade da coleta biométrica, avaliando se não existe solução menos intrusiva para atingir o mesmo propósito, como uso de senhas temporárias, QR codes ou cartões físicos. Também é recomendável a realização de auditorias independentes e relatórios de impacto à proteção de dados, além da implementação de políticas claras de retenção e descarte e de canais efetivos para o exercício dos direitos dos titulares.

Diante da relevância do tema, a ANPD - agência reguladora responsável por zelar pela proteção de dados pessoais no Brasil, orientando, fiscalizando e regulamentando o cumprimento da LGPD - já sinalizou preocupação com o uso de biometria facial em larga escala. Em recente consulta pública sobre o tema, a ANPD abriu uma “Tomada de Subsídios” com o objetivo de coletar contribuições da sociedade para subsidiar sua futura atuação normativa e orientativa sobre o uso de dados biométricos. Neste cenário, espera-se uma regulamentação específica sobre o tema, com diretrizes claras sobre a adoção de medidas proporcionais, base legal adequada, prevenção de impactos discriminatórios e promoção de transparência e responsabilidade no uso de dados biométricos por agentes públicos e privados?

Também chama atenção o debate regulatório internacional - como o AI Act europeu e o crescente movimento de restrição ao reconhecimento facial por órgãos públicos em diversas jurisdições - que tende a influenciar o amadurecimento do tema no Brasil.

Assim, empresas que utilizam ou pretendem utilizar biometria facial devem adotar uma postura preventiva e estratégica. Boas práticas incluem reavaliar a necessidade da tecnologia, evitando usos desproporcionais ou meramente convenientes; reforçar o consentimento explícito, com linguagem acessível e canais fáceis de revogação; implementar controles de segurança elevados, com especial atenção à proteção contra incidentes de segurança; definir políticas claras de retenção e descarte, eliminando dados após o atingimento da finalidade; treinar equipes para reduzir riscos operacionais e promover cultura de privacidade.

Como conclusão, entende-se que a biometria facial continuará sendo um dos temas centrais do Direito Digital, tanto pelo potencial de inovação quanto pelos riscos consideráveis que pode gerar. Para organizações, entender as exigências da LGPD e alinhar suas práticas aos padrões mais modernos de governança e segurança é essencial não só para evitar sanções, mas para preservar a confiança dos titulares e construir soluções tecnológicas éticas e sustentáveis.