ANPD | Tomada de Subsídios sobre dados biométricos
A Autoridade Nacional de Proteção de Dados (ANPD) abriu, nesta segunda (02), Tomada de Subsídios sobre o tema “Tratamento de Dados Pessoais Sensíveis – Dados Biométricos”, conforme previsto na Agenda Regulatória para o biênio 2025-2026 (Item 5), instituída pela Resolução CD/ANPD nº 23/2024.
A iniciativa, conduzida pela Coordenação-Geral de Normatização (CGN), visa coletar contribuições da sociedade para subsidiar a futura atuação normativa e orientativa da ANPD quanto ao uso de dados biométricos, categoria sensível de dados pessoais, conforme definido pela Lei Geral de Proteção de Dados Pessoais (LGPD), tomando como base nota técnica elaborada pela ANPD.
A TS é composta por 18 perguntas, dividias em 5 blocos, conforme detalhamento abaixo. As contribuições podem ser enviadas até 02 de julho de 2025, por meio do link da consulta Portal Participa + Brasil.
CONTEXTO
Dados biométricos são classificados como dados pessoais sensíveis pela LGPD (art. 5º, II), tendo potencial direto de identificação e grande impacto sobre a privacidade dos titulares. Embora a LGPD não os defina de forma explícita, o Regulamento Geral de Proteção de Dados da União Europeia (GDPR) os caracteriza como dados resultantes de tratamento técnico relativo a características físicas, fisiológicas ou comportamentais que permitam a identificação única de uma pessoa.
A popularização de sistemas biométricos, especialmente os automatizados como o reconhecimento facial, vem sendo observada em ambientes escolares, fronteiras, estádios, espaços públicos e serviços digitais, gerando preocupações sobre proporcionalidade, segurança e autodeterminação informativa.
Mesmo quando amparado em exceções legais da LGPD, como segurança pública ou defesa nacional, o tratamento de dados biométricos deve respeitar os princípios fundamentais da proteção de dados e os direitos dos titulares.
REFERENCIAIS INTERNACIONAIS
A formulação desta Tomada de Subsídios foi precedida por análise de legislações e práticas internacionais, incluindo:
- GDPR (União Europeia) – critérios técnicos e definição legal;
- ICO (Reino Unido) – riscos, proporcionalidade e minimização;
- CNIL (França) – transparência e limitação de finalidade;
- AEPD (Espanha) – proporcionalidade e segurança em ambientes laborais; e
- EDPB (Europa) – diretrizes sobre uso de reconhecimento facial em segurança pública e aeroportos.
TOMADA DE SUBSÍDIOS
Com o objetivo de facilitar a assimilação dos conceitos abordados na Nota Técnica e ampliar a participação social, a ANPD organizou a Tomada de Subsídios em cinco blocos temáticos:
- I – Definições e Princípios:
- O tratamento de dados biométricos impõe a observância rigorosa dos princípios gerais de proteção estabelecidos na Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente os constantes em seu art. 6º. Por serem considerados dados pessoais sensíveis, os dados biométricos requerem uma abordagem cautelosa, baseada em fundamentos legais claros e em finalidades legítimas.
- A LGPD não define diretamente o termo “dados biométricos”, mas a doutrina e o Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), que inspirou a legislação brasileira, descrevem dados biométricos como dados pessoais resultantes de tratamento técnico específico relativo às características físicas, fisiológicas ou comportamentais de uma pessoa natural, que permitam ou confirmem a identificação única dessa pessoa. Exemplos incluem impressões digitais, reconhecimento facial, íris, geometria da mão, padrões de voz e até comportamentos como modo de digitar ou caminhar.
- Conforme a Nota Técnica nº 17/2025 da ANPD, o uso crescente de tecnologias biométricas, incluindo reconhecimento facial automatizado, tem sido registrado em vários contextos como escolas, fronteiras, estádios e serviços digitais. Embora possam oferecer ganhos de segurança, apresentam riscos à privacidade e autodeterminação informativa, sendo essencial que os sistemas sejam avaliados à luz dos princípios da LGPD: finalidade, necessidade, transparência, prevenção, segurança e não discriminação.
- II – Hipóteses Legais:
- O art. 11 da LGPD prevê as bases legais para o tratamento de dados pessoais sensíveis, incluindo os dados biométricos. Tais dados, por permitirem a identificação única do titular, envolvem questões de alta complexidade regulatória e exigem justificativa com base em critérios objetivos e verificáveis.
- A Nota Técnica destaca a necessidade de que agentes de tratamento demonstrem proporcionalidade, razoabilidade e necessidade ao utilizar dados biométricos, seja com base em consentimento, na prevenção à fraude, para execução de políticas públicas, para proteção da vida, entre outras finalidades previstas na LGPD. Mesmo em tratamentos com anonimização, o risco de reidentificação deve ser considerado e mitigado com salvaguardas robustas.
- III – Tecnologias de Reconhecimento Facial (FRTs) e aplicação de tecnologias emergentes e inovadoras no tratamento de dados biométricos:
- Segundo a Nota Técnica da ANPD, o uso de tecnologias de reconhecimento facial, especialmente quando automatizadas e integradas a sistemas de inteligência artificial, está se expandindo em diversos setores. Essas tecnologias permitem identificação e autenticação em tempo real, mas também representam riscos como vigilância em massa, reidentificação indevida e discriminação de grupos vulneráveis.
- A ANPD alerta que esses sistemas devem obedecer aos princípios da LGPD e devem ser adotados somente quando não houver soluções menos intrusivas. A implementação deve incluir justificativas claras, análise de impacto e mecanismos de correção de erros (como falsos positivos ou negativos), garantindo segurança, proporcionalidade e transparência.
- IV – Segurança, Boas Práticas e Governança:
- O tratamento de dados biométricos exige medidas de segurança reforçadas devido ao seu caráter imutável. De acordo com os arts. 46 e 50 da LGPD, é obrigatório que os agentes adotem medidas técnicas e administrativas eficazes para proteger os dados contra acessos não autorizados, vazamentos e usos indevidos.
- A Nota Técnica recomenda que as organizações desenvolvam programas de governança em privacidade, com políticas internas claras, análises de risco, controles de acesso, resposta a incidentes, auditorias, e avaliação de proporcionalidade e necessidade no uso de dados biométricos. Isso é especialmente relevante para serviços digitais, cidades inteligentes, aplicações de monitoramento em larga escala e situações com impacto coletivo.
- V – Direitos dos Titulares e Grupos Vulneráveis:
- O tratamento de dados biométricos afeta diretamente os direitos dos titulares, previstos nos arts. 6º, 9º, 18 e 20 da LGPD, como o direito à informação clara, ao acesso, à correção e à revisão de decisões automatizadas.
- A Nota Técnica ressalta que, em se tratando de grupos vulneráveis, como crianças, adolescentes e idosos, a proteção deve ser ainda mais rigorosa. É essencial assegurar a participação informada dos pais ou responsáveis legais, observar o princípio do melhor interesse e adotar medidas específicas contra riscos de abusos, vazamentos ou acessos indevidos.
- A ANPD destaca que a atuação orientativa e normativa sobre dados biométricos visa garantir um ambiente de inovação tecnológica que respeite os direitos fundamentais dos titulares e promova o uso ético e seguro das tecnologias de identificação.
AS PERGUNTAS
| BLOCO I – DEFINIÇÕES E PRINCÍPIOS 1. Quais critérios objetivos devem ser observados para caracterizar um dado como biométrico nos termos da LGPD? 2. Quais práticas de transparência ativa podem ser exigidas dos controladores que realizam tratamento de dados biométricos, para permitir que titulares tenham informações claras sobre o tratamento antes de fornecerem seus dados? 3. De que forma a biometria comportamental (por exemplo, reconhecimento de voz, padrões de digitação, movimento ocular) deveria ser tratada em comparação à biometria tradicional (digital, íris, face)? Existem obrigações específicas que podem derivar dessas novas tecnologias, detidamente especial observância aos princípios da qualidade dos dados e da segurança? BLOCO II – HIPÓTESES LEGAIS 4. Como garantir que o consentimento para o tratamento de dados biométricos seja livre, específico, destacado, informado e inequívoco, conforme exigido pela LGPD? Em quais contextos o consentimento não deve ser considerado uma hipótese legal adequada para o tratamento desses dados? 5. Quais critérios devem ser observados para a adequada aplicação da hipótese legal de “garantia da prevenção à fraude” (art. 11, II, “g”, LGPD) nos casos de tratamento de dados biométricos? De que maneira é possível compatibilizar o princípio da necessidade do tratamento de dados biométricos, com a finalidade de prover a segurança das informações e o acesso a soluções bancárias e financeiras, por exemplo? Quais salvaguardas podem ser implementadas para mitigar os riscos às liberdades e aos direitos fundamentais? 6. Em determinadas ocasiões, o tratamento de dados biométricos pode ser realizado para o “cumprimento de obrigação legal ou regulatória” (art. 11, II, “a”, LGPD). Quais critérios e salvaguardas devem ser observadas nestes casos pelos controladores, especialmente entidades e órgãos públicos, visando à mitigação de riscos e garantia de direitos dos titulares? 7. Quais os limites do tratamento de dados biométricos para a realização de estudos por órgãos de pesquisa (art. 11, II, “c”, LGPD), mesmo nos casos em que há a anonimização dos dados, considerando o cruzamento de bases de dados e a eventual possibilidade de reidentificação posterior? Quais salvaguardas adicionais seriam eventualmente necessárias a fim de salvaguardar os interesses e direitos dos titulares nesses casos? BLOCO III – TECNOLOGIAS DE RECONHECIMENTO FACIAL (FRTS) E APLICAÇÃO DE TECNOLOGIAS EMERGENTES E INOVADORAS NO TRATAMENTO DE DADOS BIOMÉTRICOS 8. Como garantir que o uso de tecnologias de reconhecimento facial, ainda que amparado por uma hipótese legal da LGPD, observe os princípios da necessidade, proporcionalidade, transparência e de forma a evitar discriminação ilícita ou abusiva sobre determinados grupos sociais? Quais salvaguardas técnicas, jurídicas e institucionais devem ser implementadas para mitigar esses riscos? 9. Como os sistemas de reconhecimento facial podem ser projetados desde sua concepção e implementados de modo a garantir alta eficácia e confiabilidade, minimizando erros de identificação, como falsos positivos e negativos? Quais mecanismos devem ser adotados para corrigir tempestivamente essas falhas, em especial quando o tratamento de dados pessoais por reconhecimento facial é utilizado por tecnologias de tratamento automatizado? 10. É possível identificar contextos e situações concretas em que o uso de tecnologias de reconhecimento facial não é recomendado? Se sim, quais e por quê? Quais tecnologias alternativas podem ser utilizadas por controladores, de forma eficaz, em substituição ao reconhecimento facial, visando à garantia de maior segurança em suas operações e com menor impacto sobre a proteção de dados de titulares? BLOCO IV – SEGURANÇA, GOVERNANÇA E BOAS PRÁTICAS 11. Dado o impacto significativo de uma violação de dados biométricos, como roubo de identidade, quais medidas de segurança técnicas e administrativas devem ser consideradas indispensáveis para mitigar esses riscos? Além disso, quais parâmetros mínimos de avaliação de riscos e monitoramento devem ser exigidos das organizações para garantir a conformidade com a LGPD e a proteção integral desses dados sensíveis? 12. Considerando que há serviços não essenciais cujas funcionalidades específicas podem depender tecnicamente da autenticação biométrica, quais boas práticas devem ser observadas para garantir que essa limitação não configure discriminação ilícita ou abusiva? Em que contextos a negativa do titular ao fornecimento de seus dados biométricos, especialmente quando o tratamento se baseia no consentimento, pode justificar, de forma proporcional e transparente, a restrição ao uso de determinadas funcionalidades? 13. Quais seriam as boas práticas específicas a serem adotadas pelos controladores para conferir uma proteção eficaz no tratamento de dados biométricos? Como garantir que os dados biométricos coletados sejam utilizados de forma transparente e responsável, evitando, por exemplo, a discriminação ilícita e abusiva em face dos usuários? 14. Como os controladores podem assegurar o respeito à autodeterminação informativa dos titulares em contextos de tratamento contínuo e massivo de dados biométricos – como em iniciativas de cidades inteligentes (smart cities), monitoramento de grandes multidões, como em estádios e espaços públicos? Quais medidas concretas devem ser adotadas para garantir que os titulares sejam devidamente informados, tenham controle sobre seus dados e possam exercer seus direitos, mesmo em situações de difícil transparência? BLOCO V – DIREITOS DOS TITULARES E GRUPOS VULNERÁVEIS 15. De que forma os agentes de tratamento podem garantir o respeito aos direitos dos titulares, em especial o direito à informação clara, o direito ao acesso e à correção de dados e o direito à revogação do consentimento, como, por exemplo, em contextos de tratamento automatizado de dados biométricos? 16. Diante da sensibilidade dos dados biométricos de crianças e adolescentes, especialmente em contextos como escolas e espaços recreativos, como garantir a participação informada dos pais ou responsáveis e em quais hipóteses legais esse tipo de tratamento seria admissível? Quais condições devem ser observadas para que esse tratamento esteja alinhado ao princípio do melhor interesse, nos termos do art. 14 da LGPD? 17. Em quais hipóteses legais esse tipo de tratamento seria admissível, e como garantir a participação informada dos pais ou responsáveis, além da adoção de medidas técnicas e organizacionais eficazes para evitar abusos, vazamentos ou acessos indevidos? 18. Em casos de verificação ou estimação de idade por meio de fornecimento de dados biométricos para acesso a plataformas digitais e jogos, por exemplo, quais critérios devem ser observados no tratamento dos dados de crianças e adolescentes? Como compatibilizar tal prática com o princípio da necessidade e do melhor interesse? |
Atenciosamente
Christian Tadeu – Presidente da Federação Assespro
Josefina Gonzalez – Presidente da Assespro-PR