Reconhecimento facial sob a LGPD, o que a ANPD tem exigido

Uma dúvida aparece toda vez que uma empresa vai usar reconhecimento facial: existe uma lei de dados biométricos no Brasil? A resposta honesta é não, não há uma lei específica de biometria, e quem procura por ela acaba caindo em interpretações inventadas. O que existe, e é suficiente para reger o assunto, são duas coisas: o tratamento de dado biométrico como dado pessoal sensível pela Lei Geral de Proteção de Dados, a Lei 13.709/2018, e a atuação da Autoridade Nacional de Proteção de Dados, a ANPD, que aplica essa lei e vem sinalizando com clareza o que espera de quem usa reconhecimento facial.

Este artigo é sobre a postura do regulador, não sobre qual base legal escolher, assunto que já tratamos ao discutir a base legal para biometria em verificação. Aqui a pergunta é outra: dado que a base existe, o que a ANPD tem exigido na prática de quem trata rosto? A resposta se organiza em torno de três palavras que o regulador repete, necessidade, transparência e proporcionalidade, e de um princípio de fundo, o de que biometria não é a primeira opção, é a última.

O ponto de partida: dado biométrico é sensível

A LGPD, no artigo 5º, inciso II, lista o dado biométrico entre as categorias de dado pessoal sensível. E o artigo 11 estabelece um regime próprio e mais estrito para o tratamento de dado sensível: ele só é permitido em hipóteses específicas, mais estreitas que as bases gerais do artigo 7º, como o consentimento destacado para finalidade específica, o cumprimento de obrigação legal ou regulatória, o exercício regular de direitos, e a garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação.

Essa última hipótese é a que sustenta boa parte do uso de reconhecimento facial em verificação de identidade. Mas ter uma hipótese que autoriza o tratamento é só o começo. A LGPD não funciona por base legal isolada: sobre qualquer tratamento incidem os princípios do artigo 6º, e é neles que a exigência da ANPD ganha corpo.

O que a ANPD tem sinalizado

A ANPD é a autoridade competente para zelar pela proteção de dados e fiscalizar a aplicação da lei, papel definido no artigo 55-J da LGPD, e vem tratando o reconhecimento facial como um tema de atenção especial, tanto em estudos técnicos quanto em atuação concreta. O eixo dessa atuação pode ser resumido em três exigências que decorrem dos princípios do artigo 6º.

• Necessidade: o princípio da necessidade limita o tratamento ao mínimo indispensável para a finalidade. Aplicado a biometria, ele obriga a perguntar se o reconhecimento facial é realmente necessário para o objetivo, ou se um meio menos invasivo o alcançaria. A biometria não pode ser adotada por conveniência quando existe alternativa proporcional.
• Transparência: o titular tem o direito de saber, em linguagem clara, que sua imagem será tratada como dado biométrico, com que finalidade, por quanto tempo e por quem. Reconhecimento facial silencioso, embutido sem que a pessoa perceba que está sendo submetida a tratamento biométrico, é o oposto do que a lei pede.
• Proporcionalidade: a finalidade tem que justificar o meio. Quanto mais sensível o tratamento e mais amplo o seu alcance, mais forte precisa ser a justificativa, e mais robustas as salvaguardas.

Na atuação concreta, os pontos que costumam atrair escrutínio do regulador são o tratamento biométrico sem base adequada ou sem transparência, a coleta atrelada a incentivo ou pagamento que fragiliza a livre manifestação do consentimento, a ausência de alternativa não biométrica quando ela seria viável, e a falta de avaliação de impacto para tratamentos de alto risco. Como cada caso tem contornos próprios e o entendimento do regulador evolui, decisões e medidas específicas devem ser lidas na fonte, no portal da ANPD, e não presumidas.

O relatório de impacto entra em cena

Um instrumento aparece com destaque nesse contexto. O artigo 38 da LGPD autoriza a ANPD a determinar ao controlador que elabore o relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente às suas operações de tratamento. Para reconhecimento facial, que combina dado sensível e potencial de identificação em escala, o relatório de impacto deixa de ser formalidade e vira a peça que demonstra que a necessidade foi avaliada, os riscos foram medidos e as salvaguardas foram desenhadas.

Ou seja, a resposta correta à pergunta o reconhecimento facial é permitido não é sim nem não, é depende de você conseguir demonstrar. E a demonstração tem formato: um relatório de impacto para verificação biométrica que registra por que a biometria é necessária, que alternativas foram consideradas e como o risco foi mitigado. Chegar a uma eventual fiscalização com esse documento pronto é diferente de tê-lo que construir depois de questionado.

O que isso pede de quem desenha o fluxo

Traduzindo as exigências do regulador em decisões de projeto, alguns compromissos se destacam. Coletar o mínimo, e reaproveitar a captura que o fluxo já faz em vez de pedir novas imagens biométricas, atende à necessidade. Informar o titular com clareza sobre o tratamento biométrico atende à transparência. Manter finalidade estrita, sem reusar a biometria para outro objetivo, atende à limitação de finalidade. E documentar a avaliação de risco sustenta a proporcionalidade.

Há ainda um recorte técnico que a ANPD e as normas internacionais tratam com cuidado: a distinção entre confirmar que há uma pessoa viva diante da câmera e identificar quem ela é. A prova de vida, ou liveness, responde à primeira pergunta e é, em geral, menos invasiva que a identificação biométrica plena, o que conversa diretamente com o princípio da necessidade: usar o controle proporcional ao que o fluxo realmente precisa provar.

Na UNIFOKAL, por exemplo, o desenho parte da captura que o fluxo de verificação já realiza, a selfie, e a trata com finalidade estrita de confirmar identidade e vitalidade, sem uma coleta biométrica adicional para outros fins. É a aplicação prática do mesmo princípio que o regulador cobra: biometria na medida da necessidade, com transparência e com a avaliação de risco registrada. Não há lei mágica de biometria a descobrir; há a LGPD e a ANPD, e elas já dizem, com bastante precisão, o que se espera.

Fontes citadas

• Lei 13.709/2018, LGPD, artigos 5º, 6º, 7º, 11, 38 e 55-J, sobre dado sensível, princípios, bases de tratamento de dado sensível, relatório de impacto e competência da autoridade, disponível no portal do Planalto: planalto.gov.br
• Autoridade Nacional de Proteção de Dados, ANPD, estudos técnicos e atuação sobre reconhecimento facial, publicados no portal gov.br/anpd