Uma senha vazada pode ser trocada em minutos. Uma impressão digital ou um rosto vazados, não — o titular carrega esse dado pelo resto da vida. É por isso que a LGPD classifica dados biométricos como dado pessoal sensível (art. 5º, II), com regras mais rígidas do que as aplicadas a um nome ou e-mail.
Se sua empresa usa catraca biométrica, reconhecimento facial ou digital no controle de acesso, esse guia mostra o que a lei exige, qual base legal usar e como reduzir o risco de autuação da Autoridade Nacional de Proteção de Dados (ANPD).
Principais pontos
- Dados biométricos são sensíveis (art. 5º, II da LGPD) e irrevogáveis — diferente de uma senha, não podem ser trocados após um vazamento.
- Multas da ANPD podem chegar a 2% do faturamento anual da empresa, limitadas a R$ 50 milhões por infração.
- A ANPD ainda não publicou regulamento específico sobre biometria; a Tomada de Subsídios aberta em 2025 deve gerar normas até o fim de 2026.
- O sistema deve armazenar templates criptografados, nunca a imagem bruta do rosto ou da digital.
Checklist de conformidade com a Portaria 671
Dado biométrico é mesmo um dado sensível?
Sim. A LGPD enquadra biometria como dado pessoal sensível no art. 5º, inciso II, ao lado de origem racial, convicção religiosa e dado de saúde. Isso significa que o tratamento exige base legal mais restrita do que a de um dado comum, prevista especificamente no art. 11 da lei.
O motivo é técnico, não apenas jurídico: dados biométricos são irrevogáveis. Você pode cancelar um cartão ou trocar uma senha depois de um vazamento, mas não pode “trocar” sua impressão digital ou seu rosto. Essa irreversibilidade é o que justifica o tratamento mais cauteloso exigido pela lei.
Qual base legal usar para biometria no controle de acesso?
O art. 11 da LGPD lista hipóteses específicas para tratar dado sensível. Na prática, duas se aplicam à maioria das empresas com catraca ou ponto biométrico:
- Consentimento específico e destacado do titular (art. 11, I) — o funcionário ou visitante concorda de forma explícita, separada de outros termos.
- Cumprimento de obrigação legal ou regulatória pelo controlador (art. 11, II) — aplicável quando a biometria é parte de uma exigência normativa do setor.
Um erro comum é tratar a biometria como “obrigatória” só porque é mais prática para a empresa. A ANPD já reforçou o princípio de que a biometria não pode ser o único meio de acesso quando existem alternativas razoáveis — cartão, senha ou QR code. Em fevereiro de 2026, uma decisão judicial em São Paulo determinou justamente isso: um condomínio não pôde exigir reconhecimento facial como via exclusiva de entrada, já que a recusa individual é parte do direito à privacidade do titular.
Isso vale igualmente para empresas: se um funcionário recusa o cadastro biométrico, é preciso oferecer alternativa equivalente — cartão de proximidade ou senha, por exemplo — sem prejudicá-lo.
REP-C, REP-A e REP-P — qual a diferença?
Como armazenar o dado biométrico corretamente?
O ponto técnico mais citado por especialistas em proteção de dados é simples de enunciar e fácil de errar na prática: sistemas de biometria nunca devem guardar a imagem bruta — nem a foto do rosto, nem a digital completa.
O correto é converter a leitura em um template criptografado, um conjunto de pontos matemáticos gerado a partir da biometria, com transformação irreversível. Isso significa que, mesmo em caso de vazamento, não é possível reconstruir a imagem original a partir do template. Ao contratar ou avaliar um sistema de controle de acesso, vale confirmar diretamente com o fornecedor se ele segue esse padrão.
Quanto tempo posso guardar o dado biométrico?
Não existe um prazo fixo na LGPD para retenção de biometria — o princípio que rege isso é o da necessidade: o dado só pode ser mantido enquanto houver finalidade ativa para o tratamento.
Na prática, isso se traduz em:
- Template biométrico de colaborador: deve ser eliminado após o desligamento, assim que cessar a necessidade probatória (por exemplo, disputa trabalhista em andamento).
- Visitante ou prestador eventual: elimine o registro assim que a visita ou o contrato terminar, salvo obrigação legal específica de retenção.
- Solicitação de exclusão pelo titular: a empresa pode recusar enquanto houver obrigação legal de retenção (art. 16, I da LGPD), mas deve eliminar o dado assim que essa obrigação deixar de existir.
Multas e riscos de não conformidade com a Portaria 671
O que fazer em caso de vazamento de dados biométricos?
A Resolução CD/ANPD nº 15/2024 estabelece prazo de até 3 dias úteis para comunicar a ANPD a partir do conhecimento de um incidente que afete dados pessoais de forma relevante. Quando o incidente envolve dado sensível como biometria, a comunicação aos próprios titulares afetados também costuma ser necessária, caso exista risco relevante a eles.
Empresas que já passaram por auditoria de segurança relatam que o gargalo raramente é a tecnologia — é o processo interno de decisão sobre quando e como comunicar o incidente. Ter um protocolo definido previamente (quem decide, em quanto tempo, para quem comunicar) reduz drasticamente o risco de perder o prazo de três dias.
Quanto custa não seguir a LGPD na biometria?
As sanções da ANPD podem chegar a 2% do faturamento anual da empresa no Brasil, com teto de R$ 50 milhões por infração, além de multa diária em casos de descumprimento continuado. O cálculo segue o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023), que considera gravidade, boa-fé, vantagem obtida e reincidência.
Um detalhe que costuma surpreender pequenas empresas: o porte não isenta a obrigação. A primeira multa pública aplicada pela ANPD foi justamente a uma microempresa, calculada sobre 2% do faturamento bruto — o que resultou em um valor proporcional, mas real. Além da multa, o rol de sanções do art. 52 da LGPD inclui advertência, publicização da infração, bloqueio ou eliminação dos dados e, em casos extremos, suspensão do tratamento.
Infrações mais autuadas até agora, segundo casos públicos da ANPD:
- Ausência de base legal para o tratamento de dado sensível.
- Não comunicação de incidente de segurança dentro do prazo.
- Falta de transparência com os titulares sobre coleta e finalidade.
- Ausência de Encarregado (DPO) ou canal de contato com titulares.
Checklist rápido de conformidade
- Base legal documentada para o uso de biometria (consentimento específico ou hipótese do art. 11).
- Alternativa de acesso oferecida a quem recusa a biometria.
- Armazenamento por template criptografado, nunca imagem bruta.
- Política de retenção com eliminação automática após desligamento ou fim da finalidade.
- Protocolo interno de resposta a incidente, com prazo de 3 dias úteis para comunicação à ANPD.
- Encarregado (DPO) ou canal de contato com titulares definido, mesmo em PMEs.
Perguntas frequentes sobre LGPD e biometria
A empresa pode obrigar o funcionário a usar biometria no ponto ou na catraca?
Não, quando existe alternativa razoável de identificação. A jurisprudência recente tem reforçado que a recusa individual à biometria é parte do direito à privacidade, e a empresa deve oferecer meio equivalente, como cartão ou senha, sem prejudicar o colaborador que optar por não usar biometria.
Existe uma lei específica sobre biometria além da LGPD?
Ainda não. Até 2026, a ANPD não havia publicado regulamento específico sobre dados biométricos, aplicando-se os princípios gerais da LGPD (art. 5º, II e art. 11). Uma Tomada de Subsídios aberta em 2025 deve resultar em regras específicas ao longo de 2026.
PMEs precisam nomear um DPO para tratar dados biométricos?
Empresas classificadas como agentes de pequeno porte podem ser dispensadas da nomeação formal de Encarregado, conforme a Resolução ANPD nº 2/2022, mas ainda assim precisam manter um canal de comunicação com os titulares dos dados.
O que muda se o vazamento envolver dado biométrico em vez de um dado comum?
A gravidade tende a ser maior na avaliação da ANPD, já que dados sensíveis e irrevogáveis representam risco mais alto ao titular. Isso costuma influenciar tanto o valor da multa quanto a exigência de medidas corretivas mais rígidas.
Catraca biométrica ou facial: qual escolher?
Conclusão
Biometria resolve um problema real de controle de acesso, mas exige tratamento proporcional ao risco que carrega. Base legal documentada, armazenamento por template e uma política clara de retenção resolvem a maior parte do risco jurídico — o resto é acompanhar a regulamentação específica que a ANPD ainda está construindo.
Se sua empresa já usa biometria sem essa documentação formalizada, o momento de organizar isso é agora, antes que a fiscalização setorial chegue até você.
Fontes de informação:
- ANPD, Radar Tecnológico nº 2 — Biometria e Reconhecimento Facial (documento técnico oficial)
- Migalhas, ANPD aplica primeiras sanções por violação à LGPD
- Migalhas, Multas por descumprimento da LGPD podem chegar a 50 milhões de reais
- Barbieri Advogados, Multa LGPD: sanções da ANPD e responsabilidade civil
