LGPD e biometria, qual é a base legal para verificar identidade

Toda empresa que verifica identidade com selfie e documento processa dado biométrico, e todo dado biométrico é, por definição legal, dado pessoal sensível. Essa classificação não é um detalhe: ela muda a lista de bases legais disponíveis, muda o padrão de cuidado exigido e muda o tamanho do problema quando algo dá errado. Este artigo percorre o que a Lei Geral de Proteção de Dados, a Lei 13.709/2018, de fato diz sobre o assunto.

Onde a lei classifica a biometria

O artigo 5º, inciso II, da LGPD define dado pessoal sensível e inclui expressamente o dado biométrico na lista, ao lado de dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde e vida sexual. A foto do rosto usada para reconhecimento facial, o modelo matemático extraído dela, o chamado template ou embedding, e qualquer dado tratado com a finalidade de identificar unicamente uma pessoa por característica física entram nessa categoria.

Vale precisão aqui: uma fotografia comum nem sempre é dado biométrico; ela passa a ser tratada como tal quando submetida a processamento técnico para identificação ou autenticação da pessoa. É exatamente o que um fluxo de verificação de identidade faz.

Por que o artigo 7º não basta

O artigo 7º da LGPD lista as dez bases legais para o tratamento de dados pessoais em geral: consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, proteção ao crédito, entre outras. Para dados comuns, nome, e-mail, endereço, é nesse cardápio que o controlador escolhe seu fundamento.

Para dados sensíveis, porém, a lei criou um regime próprio no artigo 11, com uma lista mais curta e mais rígida. Duas diferenças importam muito na prática. A primeira: o legítimo interesse, base flexível do artigo 7º, inciso IX, não existe no artigo 11; não há tratamento de dado sensível fundado em legítimo interesse. A segunda: quando a base é o consentimento, o artigo 11 exige que ele seja específico e destacado, para finalidades específicas, um padrão mais alto que o consentimento genérico.

A base que a lei escreveu para a verificação de identidade

Dentro do artigo 11, inciso II, a LGPD autoriza o tratamento de dado sensível sem consentimento quando ele for indispensável para hipóteses que a própria lei enumera. A alínea g é a que interessa a este assunto: tratamento indispensável para a garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos do titular e exceto no caso de prevalecerem direitos e liberdades fundamentais que exijam a proteção dos dados pessoais.

Em outras palavras: o legislador brasileiro previu expressamente o caso de uso da verificação biométrica em cadastro eletrônico e escreveu uma base legal para ele. Quem verifica a identidade de um usuário para impedir que um fraudador abra conta em nome de terceiro está, em regra, dentro dessa hipótese.

A base não é um cheque em branco, e as próprias ressalvas do texto dizem por quê. O tratamento precisa ser indispensável, o que conversa com o princípio da necessidade do artigo 6º, inciso III: coletar o mínimo suficiente para a finalidade. Precisa resguardar os direitos do titular, o que inclui os direitos de acesso, correção e informação do artigo 18. E cede quando direitos fundamentais prevalecerem no caso concreto. Usar a alínea g para justificar coleta biométrica desproporcional ao risco, ou reutilizar o dado para finalidade estranha à prevenção de fraude, é desvirtuar a base.

Obrigações que acompanham a base legal

Escolhida a base, o trabalho não termina; ele começa. A LGPD impõe ao controlador e ao operador um conjunto de deveres que pesam mais quando o dado é sensível:

• Transparência: o artigo 9º garante ao titular informação clara sobre finalidade, forma e duração do tratamento. O usuário precisa saber que a selfie será usada para verificação biométrica e por quanto tempo os dados ficam guardados.
• Segurança: o artigo 46 exige medidas técnicas e administrativas aptas a proteger os dados; o artigo 48 obriga a comunicar à Autoridade Nacional de Proteção de Dados, a ANPD, e ao titular os incidentes que possam acarretar risco ou dano relevante.
• Término e eliminação: os artigos 15 e 16 mandam eliminar os dados quando a finalidade for alcançada, salvo hipóteses como o cumprimento de obrigação legal, tema que rende artigo próprio sobre retenção.
• Registro e responsabilidade: o artigo 37 exige registro das operações de tratamento, e o artigo 42 estabelece a responsabilidade por danos, com hipóteses de responsabilidade do operador junto com o controlador.

O descumprimento expõe a empresa às sanções do artigo 52, que vão de advertência a multa de até dois por cento do faturamento do grupo no Brasil, limitada a cinquenta milhões de reais por infração, além de publicização da infração e bloqueio ou eliminação dos dados.

O que isso significa para quem contrata verificação

Na relação típica, a empresa que precisa verificar seus usuários é a controladora, quem decide finalidade e meios, e a plataforma de verificação é a operadora, quem trata em nome dela, nos papéis definidos pelo artigo 5º da lei. Isso tem consequências contratuais concretas: o contrato precisa delimitar finalidade, prazo de retenção, sub-operadores e deveres de segurança, porque a responsabilidade jurídica não se terceiriza por inteiro.

É também um critério objetivo de avaliação de fornecedor. Nós, na UNIFOKAL, por exemplo, tratamos a base do artigo 11, inciso II, alínea g, como um compromisso de desenho: coleta limitada ao fluxo de verificação, retenção com prazo definido e expurgo, e a finalidade travada em prevenção de fraude, nunca reutilização do dado biométrico para outro fim. Qualquer fornecedor sério deve conseguir explicar, com artigo e alínea, em que base opera e como as ressalvas dela são atendidas. Quem não consegue responder isso está pedindo que o seu risco jurídico vire fé.

Fontes citadas

• Lei 13.709/2018, a LGPD, em especial os artigos 5º, 6º, 7º, 9º, 11, 15, 16, 18, 37, 42, 46, 48 e 52, disponível no portal do Planalto: planalto.gov.br
• ANPD, Autoridade Nacional de Proteção de Dados, órgão fiscalizador da LGPD e editor de guias orientativos sobre a aplicação da lei