Conta duplicada encontrada: o que fazer depois da busca 1:N

A parte difícil da detecção de contas duplicadas não é encontrar o par de rostos parecidos. É decidir o que fazer com ele. Já explicamos em outro artigo como a detecção de contas duplicadas funciona por baixo: a busca 1:N compara o rosto do cadastro novo contra todos os rostos já presentes na base. Este artigo começa onde aquele termina, no momento em que a busca devolve um achado e alguém precisa transformar similaridade em decisão.

Esse momento é onde operações boas e ruins se separam. A resposta impulsiva, bloquear na hora tudo o que o sistema apontar, produz o pior dos dois mundos: pune usuário legítimo com uma acusação que ele nem entende, e ensina a operação a desconfiar do próprio sinal quando os erros aparecerem. A resposta madura trata o achado como o que ele é: uma hipótese forte, que merece triagem, contexto e um desfecho proporcional.

Similaridade é probabilidade, não veredito

Comparação biométrica não responde "é a mesma pessoa". Responde "estes dois rostos são parecidos neste grau", e um limiar transforma o grau em alerta. A norma ISO/IEC 19795-1, que define como se mede desempenho de sistemas biométricos, formaliza os dois erros possíveis dessa transformação: o falso casamento, quando o sistema aponta como mesma pessoa dois rostos de pessoas diferentes, e o falso não casamento, quando deixa passar a mesma pessoa como se fossem duas. Nenhum limiar zera os dois ao mesmo tempo: apertar um erro afrouxa o outro.

Essa é a razão estrutural para nunca tratar o achado como veredito. Gêmeos idênticos existem, parentes muito parecidos existem, e condições de captura ruins aproximam rostos que não deviam se aproximar. O achado da busca 1:N é o começo de um processo, não o fim.

Por que o limiar privilegia precisão

Em detecção de duplicata, os custos dos dois erros são assimétricos. Deixar passar uma duplicata custa o valor do abuso: um bônus pago a mais, uma conta laranja a mais para o monitoramento pegar depois. Acusar errado custa a relação com um cliente legítimo, que foi tratado como fraudador por um sistema que ele não pode contestar, e abre exposição jurídica para a empresa. Por isso operação séria calibra o limiar privilegiando precisão: o sistema só aponta duplicata quando a similaridade é alta o bastante para o alerta valer o tempo de um revisor, aceitando que alguma duplicata verdadeira escape.

Na UNIFOKAL, por exemplo, a busca 1:N segue esse desenho: compara o rosto somente dentro da base do próprio cliente, nunca contra uma base compartilhada entre clientes, com limiar calibrado para privilegiar precisão, e o módulo de múltiplas contas inclui o relatório retroativo sobre a base que já existia antes de a checagem ser ligada.

A triagem: revisão humana com contexto

O achado que passa do limiar entra numa fila de revisão humana, e a qualidade da decisão depende quase toda do contexto que a tela de revisão entrega. O mínimo: as duas capturas lado a lado, em tamanho decente, com a data de cada cadastro. O bom: os sinais de apoio junto, dados cadastrais das duas contas, documento apresentado em cada uma, dispositivo e canal de origem, histórico de uso da conta antiga.

O revisor não está refazendo a conta da máquina; está respondendo uma pergunta que a máquina não alcança: se for a mesma pessoa, isso é fraude ou é vida real? Porque pessoas legítimas duplicam cadastro por razões banais: esqueceram a conta antiga, trocaram de número, recomeçaram o cadastro que travou no meio. A biometria detecta o mesmo rosto; quem detecta a intenção é o contexto.

Os três desfechos e o que fazer em cada um

A revisão termina em um de três lugares, e cada um pede uma ação própria.

• Mesma pessoa, razão legítima: recadastro, conta abandonada, troca de aparelho. A ação é de produto, não de punição: unificar as contas ou orientar o usuário, conforme a política, e seguir.
• Fraude de múltiplas contas: a mesma pessoa multiplicando cadastros para repetir bônus, contornar limite ou operar conta para terceiro. A ação segue a política do caso de uso: bloquear as contas envolvidas, reter o benefício ainda não pago, preservar a evidência da revisão, capturas, sinais e decisão, porque ela sustenta a defesa se o caso for contestado.
• Falso positivo: pessoas diferentes, parecidas. Aprovar sem atrito e registrar o caso, porque uma coleção de falsos positivos revisados é exatamente o material de que a calibração do limiar precisa. O raciocínio do custo do falso positivo vale dobrado aqui: cada acusação errada que chega ao cliente corrói a confiança que a verificação existe para criar.

A proporção entre os desfechos é a métrica de saúde do módulo. Fila dominada por falso positivo pede limiar mais alto; fraude confirmada em série na mesma campanha pede regra de negócio nova, não só biometria.

O que a LGPD exige nesse fluxo

Rosto é dado biométrico, e a Lei Geral de Proteção de Dados, a Lei 13.709/2018, o classifica como dado pessoal sensível no artigo 5º, inciso II, com o tratamento condicionado às hipóteses do artigo 11, entre elas a prevenção à fraude nos termos que a lei fixa. Três consequências práticas para quem opera a detecção de duplicatas.

Primeira, transparência: a finalidade de prevenção a fraude com uso de biometria precisa estar declarada ao titular, não escondida. Segunda, proporcionalidade no desenho: comparar apenas dentro da própria base, guardar o mínimo necessário e pelo prazo declarado. Terceira, e a mais ligada a este artigo: o artigo 20 da lei garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Bloquear uma conta por um score de similaridade, sem revisor e sem caminho de contestação, é construir exatamente a decisão que o titular tem direito de atacar. A revisão humana que este artigo descreve não é só boa prática de operação; é o que mantém o fluxo defensável.

O relatório retroativo: o estoque do primeiro dia

Quem liga a detecção de duplicatas numa base que já existe recebe, junto com o módulo, um estoque: o primeiro relatório retroativo costuma devolver de uma vez os pares acumulados por anos sem checagem. A tentação de resolver o estoque por script, bloqueando tudo acima do limiar, é a versão em lote do erro do primeiro parágrafo.

O caminho que funciona é tratar o estoque como fila priorizada: ordenar os pares por valor em risco, contas com saldo, benefício ativo ou movimentação relevante primeiro, revisar em lotes com os mesmos critérios da triagem normal e aceitar que a cauda de casos de baixo risco pode esperar. O estoque se resolve em semanas de revisão disciplinada; a credibilidade perdida num bloqueio em massa errado não volta no mesmo prazo.

Fontes citadas

• ISO/IEC 19795-1, norma internacional de medição de desempenho biométrico, definição das taxas de falso casamento e falso não casamento, citada por sigla.
• Lei 13.709/2018, Lei Geral de Proteção de Dados, artigos 5º, II (dado biométrico como dado sensível), 11 (hipóteses de tratamento de dado sensível) e 20 (revisão de decisão automatizada), no portal do Planalto: planalto.gov.br