Device fingerprinting: o que é possível sem violar a LGPD

Todo navegador que chega a um formulário de cadastro se apresenta mais do que imagina. Versão do navegador e do sistema, resolução de tela, fontes instaladas, fuso horário, capacidades de renderização: cada atributo é banal sozinho, e o conjunto forma uma assinatura que distingue um aparelho de quase todos os outros. Essa assinatura, a impressão digital de dispositivo ou device fingerprint, é uma das ferramentas antifraude mais usadas do mercado, e uma das que mais geram dúvida jurídica em quem implementa.

A dúvida tem razão de existir, porque as duas respostas extremas estão erradas. "Não pode, porque identifica o usuário" ignora que a própria lei brasileira abre caminho expresso para prevenção à fraude. "Pode tudo, porque é dado técnico" ignora que dado técnico combinável com uma pessoa é dado pessoal. Este artigo percorre o que a técnica realmente coleta, por que a LGPD se aplica e quais limites separam o uso defensável do abuso.

O quanto um navegador entrega: números medidos

O estudo de referência sobre o poder de identificação dos atributos de navegador é o Panopticlick, da Electronic Frontier Foundation. No artigo de Peter Eckersley, How Unique Is Your Web Browser? (Privacy Enhancing Technologies Symposium, 2010), entre 470.161 navegadores analisados, 83,6% tinham impressão digital única, e o número subia para 94,2% entre os que tinham Flash ou Java habilitados. Os plugins da época morreram; a lição não: a combinação de atributos comuns identifica com precisão que nenhum atributo isolado sugere.

Para prevenção à fraude, é exatamente essa propriedade que interessa. O mesmo aparelho abrindo dezenas de cadastros com CPFs diferentes, ou um cadastro novo chegando do aparelho que já foi bloqueado três vezes, são sinais que nenhum dado declarado pelo usuário entregaria, e é essa leitura que sustenta a defesa contra os ataques automatizados de cadastro.

Por que é dado pessoal, e qual base legal sustenta

A LGPD, Lei 13.709/2018, define dado pessoal no artigo 5º, inciso I, como informação relacionada a pessoa natural identificada ou identificável. A impressão digital de dispositivo, associada a uma sessão de cadastro com nome e CPF, relaciona-se a pessoa identificada; e o artigo 12, parágrafo 2º, fecha a porta do argumento "é só técnico": dados utilizados para formação de perfil comportamental de pessoa natural identificada podem ser considerados pessoais. Aplicada a lei, a pergunta vira: qual base legal do artigo 7º sustenta o tratamento?

Para o uso antifraude, a base natural é o legítimo interesse do inciso IX, balizado pelo artigo 10. Consentimento seria a base errada aqui, e não por preguiça: fraudador não consente com a própria detecção, e um controle de segurança que o usuário pode desligar não é controle, raciocínio detalhado no artigo sobre consentimento versus obrigação legal. O legítimo interesse, porém, não é um carimbo: a ANPD, a Autoridade Nacional de Proteção de Dados, publicou em 2024 um guia orientativo sobre a base, e a expectativa é de avaliação documentada, o teste de balanceamento entre o interesse do controlador e os direitos do titular, feita antes do tratamento e disponível para mostrar.

Há ainda um reforço específico do contexto de identidade: para dados sensíveis, o artigo 11, inciso II, alínea g, autoriza tratamento sem consentimento quando indispensável para a garantia da prevenção à fraude e da segurança do titular em processos de identificação e autenticação de cadastro em sistemas eletrônicos. É o dispositivo que ancora a biometria antifraude, tema do artigo sobre base legal para biometria, e mostra que o legislador tratou prevenção à fraude como finalidade legítima nomeada, não tolerada.

Os limites que separam uso defensável de abuso

O que a avaliação de legítimo interesse precisa sustentar, na prática, são quatro limites:

• Finalidade estrita: o sinal coletado para antifraude serve antifraude. Reaproveitá-lo para publicidade ou enriquecimento de perfil comercial é desvio de finalidade, e é o cenário que transforma um controle de segurança em passivo.
• Transparência possível: a política de privacidade declara que sinais de dispositivo são coletados para segurança e prevenção à fraude. Não se publica a lista exata de atributos, que viraria manual de evasão, mas se declara a categoria e a finalidade.
• Minimização: coleta-se o que o modelo de risco usa, não tudo que a plataforma consegue ler. Cada atributo a mais é superfície de exposição a justificar no teste de balanceamento.
• Retenção com prazo: sinal de dispositivo envelhece, aparelhos trocam de dono, e guardar assinatura de navegador por anos não sobrevive ao princípio da necessidade do artigo 6º, inciso III.

O Marco Civil da Internet, Lei 12.965/2014, completa o quadro pelo artigo 7º, com a proteção da vida privada e a exigência de informação clara sobre coleta e uso de dados nos termos de uso.

Do sinal à decisão: dispositivo não recusa sozinho

O erro de desenho mais caro não é jurídico, é estatístico. Impressão digital de dispositivo é sinal probabilístico: aparelhos corporativos padronizados colidem, navegadores com proteção anti-rastreamento mentem atributos de propósito, e famílias compartilham tablets. Aparelho compartilhado entre cadastros nem sempre é quadrilha, como mostra o artigo sobre redes de fraude e falso positivo: às vezes é uma lan house ou um despachante legítimo.

Por isso o lugar certo do sinal de dispositivo é compor o risco, nunca decidir sozinho. Sinal fraco soma pontos e, no máximo, envia o caso para revisão humana; recusa automática exige evidência forte de outra natureza. Esse desenho, além de estatisticamente honesto, é o que se defende perante a LGPD: no teste de balanceamento, um sinal probabilístico que apenas prioriza revisão pesa muito menos contra o titular do que o mesmo sinal barrando o cadastro de um inocente sem explicação.

Fontes citadas

• Lei 13.709/2018 (LGPD), artigos 5º, 6º, 7º, 10, 11 e 12, disponível no portal do Planalto: planalto.gov.br
• Lei 12.965/2014 (Marco Civil da Internet), artigo 7º, disponível no portal do Planalto: planalto.gov.br
• ANPD, Guia Orientativo sobre a base legal do legítimo interesse (2024), portal oficial: gov.br/anpd
• Peter Eckersley, How Unique Is Your Web Browser?, Electronic Frontier Foundation, Privacy Enhancing Technologies Symposium (2010): panopticlick.eff.org