Segurança e Dados
Biometria e reconhecimento facial: o que diz a ANPD e os limites legais
Biometria e reconhecimento facial na LGPD: o Radar Tecnológico da ANPD, a fiscalização de 23 clubes, a regra dos estádios e o que o PL 2338 prevê.
Dado biométrico é dado pessoal sensível pela Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), e a Autoridade Nacional de Proteção de Dados (ANPD) classificou a biometria como tecnologia de "alto risco" no segundo volume da série Radar Tecnológico, publicado em 24 de junho de 2024. Desde então, a autoridade abriu fiscalização sobre 23 clubes de futebol que usam reconhecimento facial nos estádios (fevereiro de 2025) e uma tomada de subsídios para regulamentar o tema, com previsão de regras em 2026. Para órgãos públicos e empresas que adotam essas soluções, o espaço legal existe, mas tem condições precisas.
O que a LGPD diz sobre dados biométricos
O artigo 5º, inciso II, da LGPD inclui o "dado genético ou biométrico, quando vinculado a uma pessoa natural" entre os dados pessoais sensíveis. Isso abrange impressão digital, geometria da face, íris e voz, sempre que usados para identificar alguém.
A consequência prática é que o tratamento só pode se apoiar nas hipóteses do artigo 11, mais restritas que as do artigo 7º. Sem consentimento do titular, as bases admitidas incluem:
- cumprimento de obrigação legal ou regulatória pelo controlador;
- tratamento compartilhado de dados necessários à execução de políticas públicas previstas em leis ou regulamentos, pela administração pública;
- exercício regular de direitos, inclusive em contrato e em processo judicial;
- proteção da vida ou da incolumidade física do titular ou de terceiro;
- garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.
A última hipótese (artigo 11, inciso II, alínea "g") é a que sustenta, por exemplo, a validação facial em aplicativos bancários e em serviços digitais de governo. Ela não autoriza o uso da mesma imagem para outras finalidades, como marketing ou vigilância.
A exceção da segurança pública
O artigo 4º, inciso III, exclui da LGPD o tratamento realizado para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e investigação e repressão de infrações penais. O parágrafo 1º do mesmo artigo determina que esse tratamento seja regido por legislação específica, com medidas proporcionais e estritamente necessárias ao interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular.
Essa lei específica, frequentemente chamada de "LGPD Penal", ainda não foi aprovada. O resultado é que câmeras com reconhecimento facial usadas por polícias e guardas municipais operam hoje sem um regime legal detalhado, o que explica a quantidade de disputas judiciais e a pressão por regras no marco legal da inteligência artificial.
O Radar Tecnológico de Biometria da ANPD
O Radar Tecnológico é uma série de estudos da ANPD sobre tecnologias emergentes. O primeiro volume, de janeiro de 2024, tratou de cidades inteligentes. O segundo, lançado em 24 de junho de 2024, analisou biometria e reconhecimento facial e fazia parte da Agenda Regulatória da ANPD para o biênio 2023-2024.
O documento registra que a biometria é amplamente usada em segurança pública, transporte, saúde, educação e comércio, impulsionada pelos avanços em inteligência artificial. A ANPD reconhece ganhos de eficiência e de segurança, mas aponta preocupações com privacidade, riscos de discriminação e uso indevido de dados sensíveis. Por isso, a tecnologia recebeu a classificação de alto risco, ou seja, alto potencial de impacto sobre a privacidade e a proteção de dados.
Entre os riscos descritos pelo estudo e pela tomada de subsídios posterior estão:
- erros de identificação (falsos positivos e falsos negativos), com consequências graves quando o sistema aponta a pessoa errada como procurada;
- efeitos discriminatórios sobre grupos vulneráveis, quando a taxa de erro varia conforme cor da pele, idade ou gênero;
- impossibilidade de "trocar" um dado biométrico vazado, ao contrário de uma senha;
- desvio de finalidade, quando imagens coletadas para controle de acesso passam a alimentar vigilância.
O Radar não é norma. Ele funciona como sinalização do entendimento técnico da autoridade e antecipa o que a ANPD tende a exigir em fiscalizações.
A tomada de subsídios e a regulamentação prevista
Em 2025, a ANPD abriu a tomada de subsídios "Tratamento de Dados Pessoais Sensíveis: Dados Biométricos", prevista no item 5 da Agenda Regulatória 2025-2026. As contribuições foram recebidas pela plataforma Participa + Brasil, com prazo prorrogado até 1º de agosto de 2025.
A consulta foi organizada em cinco blocos temáticos: definições e princípios; hipóteses legais; tecnologias de reconhecimento facial; segurança e governança; e direitos dos titulares e grupos vulneráveis. A autoridade justificou a iniciativa afirmando que, se a biometria amplia a segurança e ajuda a prevenir fraudes, também amplia os riscos aos titulares, como erros dos sistemas e efeitos discriminatórios. A previsão divulgada é concluir as regras em 2026.
A regulamentação sairá de uma ANPD com novo status. A Lei nº 15.352, de 25 de fevereiro de 2026, converteu a autoridade em Agência Nacional de Proteção de Dados, mantida a sigla, vinculada ao Ministério da Justiça e Segurança Pública.
Estádios: a primeira fiscalização em larga escala
A Lei Geral do Esporte (Lei nº 14.597/2023) determina, nos artigos 148 e 158, inciso XII, que arenas com capacidade superior a 20 mil pessoas adotem sistemas de identificação biométrica dos espectadores, e que o cadastro biométrico seja condição de acesso para maiores de 16 anos. A exigência passou a valer em 2025.
Em fevereiro de 2025, a ANPD anunciou fiscalização sobre o uso de reconhecimento facial na venda de ingressos e na entrada de estádios por 23 clubes. A Nota Técnica nº 5/2025/FIS/CGF/ANPD apontou indícios de irregularidades ligadas a duas frentes: o cumprimento das obrigações de transparência e a adequação do tratamento de dados de crianças e adolescentes. A autoridade instaurou processos de fiscalização e aplicou medida preventiva que obrigou os clubes a publicar, em até 20 dias úteis, informações adequadas sobre cadastro e identificação biométrica nas plataformas de venda.
O caso é instrutivo para o setor público. Mesmo quando uma lei obriga o uso de biometria (e, portanto, existe base legal), o controlador continua obrigado a informar o titular, limitar a finalidade e dar tratamento reforçado a dados de menores.
Reconhecimento facial na segurança pública: casos brasileiros
Metrô de São Paulo
A Companhia do Metropolitano de São Paulo enfrentou ação civil pública contra a instalação de um sistema de monitoramento com reconhecimento facial. Em abril de 2022, o Tribunal de Justiça de São Paulo (TJSP) manteve liminar que proibia a instalação imediata das câmeras. Em 10 de outubro de 2022, a 5ª Câmara de Direito Público do TJSP liberou a implantação do Sistema de Monitoramento Eletrônico, entendendo que a LGPD admite o uso para finalidade exclusiva de segurança pública. O vaivém de decisões ilustra a insegurança jurídica criada pela falta da lei específica prevista no artigo 4º.
Smart Sampa
O programa Smart Sampa, da Prefeitura de São Paulo, integra câmeras com reconhecimento facial para identificar procurados, veículos roubados e pessoas desaparecidas. Segundo a prefeitura, entre novembro de 2024 e maio de 2025 o sistema auxiliou na prisão de 1.153 foragidos da Justiça. A prefeitura informou que elevou o limiar de similaridade facial de 90% para 92%, com taxa de acerto de 99,5%, e afirmou não haver registro de prisão de inocentes. Pesquisas de organizações da sociedade civil, por sua vez, relatam falsos positivos e prisões supostamente indevidas. A divergência mostra a importância de publicar metodologia, taxas de erro e procedimentos de revisão humana.
O que o PL 2338/2023 prevê para a biometria
O marco legal da inteligência artificial, aprovado pelo Senado em 10 de dezembro de 2024 e em análise na Câmara dos Deputados, trata a identificação biométrica à distância, em tempo real e em espaços acessíveis ao público, como uso vedado em regra. O texto aprovado no Senado admite exceções ligadas à investigação e persecução penal, à busca de vítimas e desaparecidos, a ameaça grave e iminente, a flagrante delito e ao cumprimento de mandados, com requisitos como autorização judicial prévia.
Organizações da sociedade civil, como a Coalizão Direitos na Rede, criticam a amplitude dessas exceções. Como a Câmara pode alterar o texto, nenhuma dessas regras é exigível até a sanção da lei. Para quem contrata sistemas agora, a prudência recomenda já estruturar os projetos de modo compatível com as exceções e os requisitos previstos.
| Situação | Base legal atual | Ponto de atenção |
|---|---|---|
| Validação facial em serviço digital | Art. 11, II, "g", da LGPD (prevenção à fraude) | Não reutilizar a imagem para outra finalidade |
| Controle de acesso em estádio acima de 20 mil lugares | Lei nº 14.597/2023 combinada com o art. 11 da LGPD | Transparência e dados de menores de idade |
| Controle de acesso a prédio público | Art. 11 da LGPD, conforme o caso | Oferecer alternativa e registrar a necessidade |
| Vigilância em via pública por polícia ou guarda | Excluída da LGPD (art. 4º, III), sem lei específica | Insegurança jurídica e regras futuras do PL 2338 |
Checklist para órgãos que pretendem usar biometria
- Definir por escrito a finalidade e demonstrar que uma alternativa menos invasiva (cartão, QR code, senha) não atende.
- Identificar a base legal do artigo 11 e, no caso de segurança pública, documentar a norma que autoriza a atividade.
- Elaborar relatório de impacto à proteção de dados pessoais (RIPD) antes da contratação, e não depois da implantação.
- Exigir do fornecedor, no termo de referência, as taxas de falso positivo e falso negativo, com testes em população semelhante à atendida, incluindo recortes por cor da pele, idade e gênero.
- Prever revisão humana obrigatória antes de qualquer medida contra a pessoa identificada (abordagem, bloqueio de acesso, prisão).
- Estabelecer prazo de retenção das imagens e dos modelos biométricos e o procedimento de descarte.
- Tratar com cuidado reforçado dados de crianças e adolescentes, que foram o foco da fiscalização nos estádios.
- Publicar aviso de privacidade claro nos locais e canais de coleta, com contato do encarregado.
- Criptografar os modelos biométricos e restringir o acesso administrativo, com registro de logs.
- Reavaliar o projeto quando a ANPD publicar a regulamentação de dados biométricos e quando o PL 2338/2023 for votado na Câmara.
Próximos marcos
Dois eventos definirão os limites práticos a partir de 2026: a norma da ANPD resultante da tomada de subsídios sobre dados biométricos e a votação do PL 2338/2023 na Câmara. Um terceiro, sem prazo previsto, é a lei específica de proteção de dados na segurança pública exigida pelo artigo 4º da LGPD. Enquanto essas regras não chegam, a referência mais concreta do entendimento da autoridade são o Radar Tecnológico de 2024 e a Nota Técnica nº 5/2025 sobre os estádios.
Fontes
- Biometria é tema do segundo volume da série Radar Tecnológico, ANPD, 2024
- Radar Tecnológico: Biometria e Reconhecimento Facial (PDF), ANPD, 2024
- Prorrogado prazo para participação na Tomada de Subsídios sobre Dados Biométricos, ANPD, 2025
- ANPD abre Tomada sobre biometria e reconhecimento facial, Mobile Time, 2025
- ANPD fiscaliza uso de sistema de reconhecimento facial na venda de ingressos e na entrada de estádios por 23 clubes de futebol, ANPD, 2025
- Reconhecimento facial em estádios e a experiência regulatória brasileira, Mattos Filho, 2025
- TJ mantém proibição de câmeras de reconhecimento facial no Metrô de SP, Agência Brasil, 2022
- Taxa de reconhecimento facial do Smart Sampa é de 99,5%, sem registro de prisão de inocentes, Prefeitura de São Paulo, 2025
- Posicionamento sobre o PL 2338 e sistemas de identificação biométrica, Coalizão Direitos na Rede, 2025
- Sancionada lei que cria a Agência Nacional de Proteção de Dados, Senado Notícias, 2026