Reconhecimento facial na empresa: o que a LGPD exige

Reconhecimento facial na empresa: o que a LGPD exige

Reconhecimento facial na empresa é tratamento de dado pessoal sensível, e por isso exige finalidade específica, uma base legal entre as hipóteses do art. 11 da LGPD e a demonstração de que alternativas menos intrusivas não resolvem o problema. Na prática, ele tende a ser defensável em casos restritos de segurança e autenticação, e tende a ser difícil de justificar para controle de ponto ou monitoramento de rotina. Antes de contratar qualquer solução, defina o problema, teste um método mais simples e documente a decisão.

Principais pontos

• Dado biométrico é dado pessoal sensível pela definição da própria LGPD, e a lista de bases legais para dados sensíveis é mais restrita do que a de dados comuns.
• O legítimo interesse, muito usado em outros contextos, não consta entre as hipóteses do art. 11, então não deve ser a aposta principal para biometria.
• Consentimento de funcionário é frágil por causa da relação de subordinação: se a pessoa não pode recusar sem prejuízo, o consentimento dificilmente é livre.
• Necessidade e proporcionalidade pesam mais que a tecnologia: se crachá, senha ou aplicativo resolvem, o reconhecimento facial tende a ser excessivo.
• Quem decide adotar precisa de relatório de impacto, contrato claro com o fornecedor, prazo de retenção definido e canal para o titular exercer seus direitos.

Por que biometria facial é dado sensível na LGPD?

A LGPD define como dado pessoal sensível, no art. 5º, aquele que trata de origem racial ou étnica, convicção religiosa, saúde, vida sexual, dado genético ou biométrico, entre outros, quando vinculado a uma pessoa natural. A imagem de um rosto, por si só, é dado pessoal. Quando ela é convertida em um modelo matemático usado para identificar alguém, passa a ser dado biométrico, e portanto sensível.

A razão do tratamento mais rigoroso é prática. Uma senha vazada pode ser trocada. Um rosto não. Se o banco de modelos faciais de uma empresa é comprometido, o dano para o titular não tem remédio simples. Além disso, o reconhecimento facial permite identificar pessoas à distância e sem interação, o que amplia o risco de uso para finalidades que ninguém combinou.

Vale separar duas coisas que costumam ser misturadas. Verificação é comparar o rosto de quem se apresenta com o modelo de uma pessoa específica (um para um). Identificação é procurar a pessoa em uma base inteira (um para muitos). A segunda é mais invasiva, exige mais justificativa e costuma concentrar mais risco. Ao conversar com fornecedores, pergunte qual das duas ele realmente faz e onde os modelos ficam armazenados.

Quando existe base legal possível?

Para dados sensíveis, o art. 11 da LGPD lista as hipóteses. As que mais aparecem em discussões sobre reconhecimento facial são estas (confirme o enquadramento com assessoria jurídica, porque a análise depende do caso):

• Consentimento específico e destacado, para finalidades específicas (art. 11, I).
• Cumprimento de obrigação legal ou regulatória pelo controlador (art. 11, II, a), quando uma norma realmente exige a identificação.
• Exercício regular de direitos, inclusive em contrato (art. 11, II, d), com interpretação cuidadosa para não virar justificativa genérica.
• Proteção da vida ou da incolumidade física do titular ou de terceiros (art. 11, II, e).
• Garantia da prevenção à fraude e da segurança do titular, nos processos de identificação e autenticação de cadastros em sistemas eletrônicos (art. 11, II, g), resguardados os direitos do titular.

A hipótese de prevenção à fraude e autenticação costuma ser a mais citada para uso em aplicativos e cadastros digitais, em que a pessoa confirma que é quem diz ser. Ela é mais difícil de aplicar a um uso interno de rotina, como registrar presença na portaria ou na jornada de trabalho. Aqui estamos separando o que diz a lei (o texto do art. 11) do que é interpretação: a leitura de que a hipótese de fraude cobre este ou aquele cenário é uma avaliação jurídica, não uma regra pronta.

Os princípios do art. 6º valem em qualquer hipótese: finalidade, adequação, necessidade, transparência, segurança e prevenção. Necessidade, em especial, obriga a usar o mínimo de dados para alcançar o objetivo. É esse princípio que empurra a decisão para as alternativas menos intrusivas.

O consentimento do funcionário resolve?

Na maioria dos casos, não deveria ser a única sustentação. O consentimento da LGPD precisa ser livre, informado e inequívoco, e no art. 11 precisa ser específico e destacado. Entre empregador e empregado há desequilíbrio de poder: se recusar o reconhecimento facial significa perder acesso, ser constrangido ou ter prejuízo, a liberdade da escolha fica em dúvida. Esta é uma leitura de risco amplamente discutida, e não uma proibição expressa, então peça parecer jurídico antes de depender dela.

Se a empresa ainda assim optar por consentimento, alguns cuidados reduzem o risco:

• Ofereça uma alternativa real e igualmente prática (crachá, código, aplicativo), sem penalidade para quem recusar.
• Explique a finalidade, o prazo de guarda, quem tem acesso e como revogar.
• Registre o consentimento de forma separada de outros termos do contrato de trabalho.
• Permita a revogação com a mesma facilidade da concessão, e apague o modelo facial quando isso ocorrer.

O mesmo raciocínio vale para visitantes, clientes e prestadores. Quem está do lado de fora da empresa tem mais liberdade de recusar, mas precisa ser avisado antes de entrar no ambiente monitorado, não depois.

Que alternativas menos intrusivas considerar antes?

A pergunta de negócio quase nunca é "qual câmera comprar". É "como saber quem entrou" ou "como evitar fraude no cadastro". Use esta ordem como guia de decisão, parando no primeiro método que resolve o risco real:

• Controle sem dado pessoal sensível: crachá com cartão de proximidade, chave física, senha individual ou QR code com validade curta.
• Autenticação do aplicativo: login com segundo fator no celular da própria pessoa, sem banco central de rostos.
• Verificação local: quando houver biometria, preferir a que fica armazenada no dispositivo do titular e não em servidor da empresa (avalie se o desenho atende ao seu caso).
• Conferência humana: porteiro ou supervisor confere documento em situações pontuais de maior risco.
• Reconhecimento facial com verificação um para um, em fluxo restrito, com base legal clara e relatório de impacto.
• Identificação um para muitos: último recurso, só com justificativa forte, prazo curto e governança robusta.

Se o objetivo for acompanhar desempenho ou presença da equipe, o problema costuma estar no desenho da medição, não na falta de biometria. O texto sobre como medir produtividade com IA sem virar vigilância trata desse limite com mais detalhe.

Que checklist seguir antes de contratar?

Um passo a passo curto ajuda a evitar a compra por impulso. Cada etapa deve gerar um registro que você consiga mostrar depois.

• Descreva o problema em uma frase, sem citar tecnologia: qual risco, em qual local, para quem.
• Liste as alternativas da seção anterior e anote por que cada uma não basta, se for o caso.
• Defina a finalidade específica e a base legal pretendida, com parecer jurídico.
• Elabore o relatório de impacto à proteção de dados pessoais (art. 38 da LGPD prevê que a ANPD pode solicitá-lo) e revise os riscos.
• Designe o encarregado e confirme que o canal de atendimento ao titular está ativo (art. 41).
• Exija do fornecedor: onde os dados ficam, quem acessa, criptografia, prazo de retenção, política de exclusão, subcontratados e resposta a incidentes.
• Verifique se há envio de dados para fora do país. O texto sobre transferência internacional de dados com IA mostra o que checar.
• Defina quem pode revisar um erro de reconhecimento. Se uma falha negar acesso ou gerar uma decisão contra a pessoa, o direito de revisão do art. 20 pode ser relevante, como explicamos em decisões automatizadas na LGPD.
• Comunique a pessoa antes do tratamento, com aviso claro no local e na política de privacidade.
• Planeje o incidente: se o banco de modelos vazar, quem avisa a ANPD e os titulares (art. 48) e em que prazo interno.

Cenário ilustrativo: acesso a uma sala de equipamentos

Imagine uma empresa de médio porte que guarda equipamentos de valor em uma sala restrita e quer saber quem entra. A primeira proposta de um fornecedor é instalar câmeras com reconhecimento facial na porta.

Pelo guia acima, a empresa começa pelo problema: o risco é a retirada indevida de equipamentos, e o que ela precisa é de um registro confiável de quem acessou e quando. Um cartão de proximidade individual, com log de acesso e revisão periódica de quem tem permissão, atende à necessidade sem tratar nenhum dado sensível. Para a retirada de itens de maior valor, uma conferência humana com assinatura resolve o restante.

O reconhecimento facial só voltaria à mesa se o piloto com cartão mostrasse falha concreta, como empréstimo de cartões entre pessoas. Mesmo assim, entraria como verificação um para um, só nessa porta, com alternativa para quem recusar e com relatório de impacto antes de ligar o sistema. Este é um cenário ilustrativo, não um caso real.

Como mapear, limitar, pilotar e transferir neste tema

O método que usamos em projetos com IA se aplica aqui sem adaptação grande. Mapear é descrever o processo atual e o risco que motivou a ideia, incluindo o que já existe de controle. Limitar é decidir quais dados entram e quais ações o sistema pode tomar: por exemplo, só verificar, nunca identificar em massa, e nunca decidir sozinho sobre sanção a uma pessoa.

Pilotar é testar um fluxo real e pequeno, com logs, um indicador de sucesso combinado (taxa de falsos acessos negados, tempo de fila, incidentes) e critério para parar. Transferir é entregar a operação com responsáveis definidos, documentação e a decisão explícita de expandir, ajustar ou encerrar. Se o piloto não mostrar ganho claro sobre a alternativa simples, encerrar também é um resultado válido.

Se a solução envolver modelos de IA que processam imagens, vale conhecer o debate regulatório em curso. O texto sobre o marco legal da IA no Brasil indica o que acompanhar. Para uma referência comparada, a lei europeia de IA trata o uso de biometria como área de atenção especial, o que ajuda a entender para onde a discussão aponta.

Perguntas frequentes

A LGPD proíbe reconhecimento facial na empresa? Não há uma proibição geral no texto da lei. O que existe é um regime mais rigoroso para dado sensível: é preciso base legal do art. 11, finalidade específica, necessidade demonstrada e medidas de segurança proporcionais ao risco.

Posso usar reconhecimento facial para controle de ponto dos funcionários? É um uso de alto risco jurídico, porque a necessidade é difícil de provar quando existem métodos menos intrusivos e porque o consentimento do empregado é frágil. Antes de adotar, avalie alternativas, consulte assessoria trabalhista e de proteção de dados e faça o relatório de impacto.

A empresa precisa fazer relatório de impacto para usar biometria? A LGPD prevê, no art. 38, que a ANPD pode determinar a elaboração do relatório de impacto, e na prática ele é a melhor forma de demonstrar que riscos e alternativas foram avaliados. Para tratamento de dado sensível em escala ou com risco relevante, tratá-lo como obrigatório internamente é a postura mais segura.

O que fazer se o fornecedor armazenar os rostos em outro país? Trate como transferência internacional e verifique o mecanismo que a LGPD admite, além do contrato e das medidas de segurança. Peça ao fornecedor a localização dos servidores, a lista de subcontratados e a política de exclusão, e registre tudo no relatório de impacto.

Fontes

• Planalto: Lei Geral de Proteção de Dados Pessoais (Lei 13.709)
• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• EU Artificial Intelligence Act overview