LGPD na prática: como tratar dado biométrico sem gerar passivo

Existe uma cena que se repete em quase toda empresa que digitaliza o cadastro: o time de produto entrega uma jornada com selfie e leitura de documento, a conversão sobe, a fraude cai e alguns meses depois alguém do jurídico pergunta em qual base legal aquilo está apoiado. A resposta costuma ser um silêncio desconfortável, seguido de "a gente pede o aceite no termo de uso".

Esse silêncio é o passivo e ele não aparece no dia em que a jornada entra no ar. Aparece na primeira solicitação de titular, no primeiro incidente ou na primeira auditoria de cliente corporativo.

Este texto organiza, em linguagem de operação, o que a Lei Geral de Proteção de Dados exige de quem trata biometria e onde estão as decisões que geram ou eliminam risco.

Por que o dado biométrico recebe tratamento diferente na LGPD

A Lei nº 13.709/2018 classifica como dado pessoal sensível, no artigo 5º, inciso II, o "dado genético ou biométrico, quando vinculado a uma pessoa natural". Face, impressão digital, íris e voz entram nessa categoria junto com dados de saúde, origem racial e convicção religiosa.

A razão é direta: senha se troca, cartão se cancela, rosto não. Um vazamento de base biométrica é permanente para o titular e é por isso que a lei sobe a régua em vez de tratar biometria como um campo cadastral qualquer.

Na prática, isso muda três coisas na sua operação:

• A base legal é mais restrita. O artigo 11 traz uma lista fechada, diferente e menor que a do artigo 7º, usado para dado pessoal comum.
• A expectativa de segurança é maior. Os artigos 46 a 48 valem para todo dado pessoal, mas o padrão exigível cresce com a sensibilidade do dado.
• A prestação de contas fica mais visível. Registro das operações, avaliação de risco e definição de prazo de retenção deixam de ser boa prática e viram elemento de defesa.

Consentimento ou prevenção à fraude?

Este é o ponto em que a maioria dos projetos erra e o erro é caro porque contamina toda a base coletada.

O artigo 11 admite o tratamento de dado sensível em duas situações gerais. A primeira é o consentimento do titular, que precisa ser específico e destacado para finalidades específicas. A segunda dispensa o consentimento em determinadas hipóteses e uma delas foi escrita exatamente para o caso de quem verifica identidade: a garantia da prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos.

A diferença prática é enorme:

Escolher consentimento para uma verificação antifraude cria um problema estrutural: este ponto passa a ser opcional. Escolher prevenção à fraude para uma finalidade que na verdade é marketing, controle de jornada ou enriquecimento de base cria um problema pior, porque a finalidade declarada não corresponde ao uso real.

A regra prática: a base legal segue a finalidade e a finalidade precisa estar escrita antes de a primeira selfie ser capturada. Se a mesma captura serve a duas finalidades diferentes, são duas bases legais, dois registros e, provavelmente, dois prazos de retenção.

Uma jornada bem desenhada deixa isso explícito. Na verificação biométrica, a finalidade é confirmar que a pessoa é quem diz ser antes de liberar uma operação. No liveness, é provar que existe uma pessoa real diante da câmera, e não uma foto, um vídeo ou uma máscara. As duas conversam diretamente com a hipótese de prevenção à fraude, desde que a empresa não use a mesma imagem para outra coisa depois.

O que guardar, e o que é melhor não guardar

Um erro silencioso e muito comum: guardar a foto original porque "pode ser útil depois". Guardar imagem bruta amplia o risco sem melhorar o controle.

O princípio da necessidade, no artigo 6º, inciso III, pede a limitação do tratamento ao mínimo necessário para a finalidade. Traduzindo para a operação:

• Guarde o resultado, não a matéria-prima. Para a maioria dos casos, o que importa é o veredito da verificação, o nível de confiança, o horário, o dispositivo e a referência do fluxo. A imagem em si raramente precisa sobreviver ao processo.
• Prefira o template ao arquivo. A representação matemática usada na comparação não reconstrói o rosto e serve ao propósito de verificação.
• Separe o que é evidência do que é insumo. Evidência de auditoria pode ser um registro assinado do resultado. Insumo é o dado que alimentou a decisão e costuma ter vida útil curta.
• Registre o descarte. O artigo 16 trata da eliminação após o término do tratamento. Um processo de descarte que ninguém consegue demonstrar é, na prática, um processo que não existe.

O mesmo raciocínio vale para o documento

A leitura automática de documentos extrai os campos estruturados de mais de trinta tipos de documento e devolve a informação pronta para o sistema, sem depender do armazenamento permanente da imagem enviada pelo usuário. É menos dado parado e menos superfície de exposição.

Na etapa de conferência do próprio documento, a documentoscopia trabalha com o resultado da análise, e não com a guarda do arquivo, o que mantém a evidência sem manter a imagem. Já a autenticação de dois fatores resolve confirmações de menor risco sem acionar biometria, e essa escolha de proporcionalidade é, ela mesma, um argumento de conformidade: usar dado sensível apenas onde ele é indispensável.

Os oito controles que sustentam a operação em uma auditoria

Quando um cliente corporativo, um regulador ou a Autoridade Nacional de Proteção de Dados pede explicações, o que salva a empresa não é a intenção, é o registro. Estes são os controles que costumam ser cobrados:

A lista que o auditor costuma pedir

1. Finalidade escrita e base legal declarada por fluxo. Um documento curto, por jornada, que diz o que se coleta, por quê, com qual base legal e por quanto tempo.
2. Registro das operações de tratamento. O artigo 37 exige que o controlador e o operador mantenham esse registro. Ele é o primeiro documento pedido em qualquer avaliação.
3. Avaliação de risco documentada. O relatório de impacto à proteção de dados pessoais, previsto no artigo 38, pode ser exigido pela autoridade. Em tratamento de dados sensíveis em escala, tê-lo pronto é mais barato do que produzi-lo sob prazo.
4. Prazo de retenção definido e aplicado. Prazo sem rotina automatizada de expurgo não conta.
5. Contrato de operador com quem processa por você. Fornecedores de biometria, de leitura de documento e de armazenamento entram aqui, com cláusulas de finalidade, segurança, subcontratação e devolução ou eliminação ao fim do contrato.
6. Informação clara ao titular. O artigo 9º pede transparência sobre finalidade, forma, duração e responsável. Aviso genérico enterrado em termo de uso não cumpre esse papel para dado sensível.
7. Plano de resposta a incidente. Comunicação à autoridade e aos titulares em prazo razoável com trilha do que foi afetado. Isso exige saber, com precisão, o que estava armazenado.
8. Alternativa e tratamento da falha. O princípio da não discriminação, no artigo 6º, inciso IX, pede atenção a taxas de erro diferentes entre grupos e a um caminho de exceção para quem não consegue completar a verificação biométrica.

O oitavo item costuma ser o mais negligenciado e é o que aparece primeiro na reclamação de consumidor. Se a única porta de entrada é a biometria e ela falha, a pessoa fica sem serviço, e isso vira caso.

Quanto custa errar

O artigo 52 prevê sanções que vão de advertência a multa simples de até 2% do faturamento da empresa no Brasil, no último exercício, limitada a R$ 50 milhões por infração, além de multa diária, publicização da infração, bloqueio e eliminação dos dados e, nos casos mais graves, suspensão ou proibição parcial ou total do exercício da atividade.

Só que a multa raramente é a maior conta. O custo mais comum é operacional: base bloqueada, jornada suspensa, contrato corporativo travado em due diligence de fornecedor e retrabalho de recoleta com a base legal correta. Recoletar biometria de uma base ativa é um projeto caro e visível para o cliente.

Por outro lado, não tratar biometria também custa. Segundo a Serasa Experian, o Brasil registrou 1.495.696 tentativas de fraude de identidade no primeiro trimestre de 2026, alta de 36,6% em relação ao mesmo período de 2025, o equivalente a uma tentativa a cada cinco segundos. Meios de pagamento, telecomunicações e bancos concentraram a maior parte.

A decisão, portanto, não é entre usar e não usar biometria. É entre usar com governança e usar no improviso.

O que ainda vai mudar: a ANPD olhando especificamente para biometria

Em junho de 2025, a Autoridade Nacional de Proteção de Dados abriu uma tomada de subsídios dedicada ao tratamento de dados biométricos, com dezoito perguntas organizadas em cinco blocos: definições e princípios, bases legais, reconhecimento facial e tecnologias emergentes, segurança e governança e direitos de grupos vulneráveis. A iniciativa integra a agenda regulatória da autoridade para o ciclo 2025 e 2026.

A leitura para quem opera é simples: o tema está na fila de regulamentação específica. Quem já mantém finalidade escrita, base legal coerente, prazo de retenção aplicado e registro de tratamento vai ajustar detalhes quando a norma sair. Quem apoiou tudo em um aceite genérico vai ter que refazer a base.

Vale acompanhar também o efeito das regras de proteção de crianças e adolescentes no ambiente digital que impõem cuidado adicional na verificação de idade.

Um roteiro de sete dias para sair do improviso

Se a sua operação já usa biometria e a documentação não acompanhou, este é um caminho realista para fechar a lacuna sem parar o produto:

Dias 1 e 2. Liste todos os pontos da jornada em que biometria ou documento são capturados. Inclua fluxos de exceção, atendimento humano e integração com parceiros. É comum aparecerem capturas que ninguém lembrava.

Dias 3 e 4. Para cada ponto, escreva a finalidade, base legal, dado coletado, dado armazenado, prazo e destinatários. Onde a resposta não existir, marque como lacuna em vez de inventar.

Dia 5. Compare o que está armazenado com o que é necessário. Toda diferença é candidata a descarte imediato.

Dia 6. Revise os contratos com fornecedores que processam esses dados por você e confirme a cláusula de finalidade, segurança e eliminação.

Dia 7. Consolide o registro das operações de tratamento e defina o responsável por mantê-lo vivo. Documento sem dono envelhece em três meses.

Esse roteiro não substitui a avaliação do seu jurídico, e não é essa a proposta. Ele organiza a informação que o jurídico precisa para decidir, que é justamente o que costuma faltar.

Como a Valid pode apoiar a sua empresa nesses sete dias

Boa parte das lacunas que aparecem no dia 5 nasce de imagem guardada sem necessidade, e nesse ponto a escolha da ferramenta pesa mais do que o esforço de documentação. A Plataforma de Segurança Digital da Valid reúne verificação biométrica, prova de vida, leitura de documentos, consulta de dados e assinatura no mesmo fluxo, guardando o registro do que foi verificado em cada etapa sem exigir que a empresa acumule a imagem original. Na prática, o volume de dados sensíveis armazenados cai antes mesmo de o inventário começar, e os dias 5 e 7 do roteiro ficam bem mais curtos.

Conheça a Plataforma de Segurança Digital da Valid.

Governança não atrasa o produto, ela é o que permite escalar

A leitura de que a proteção de dados freia a inovação nasce de projetos que tratam o tema no fim. Quando a finalidade, a base legal e a retenção entram na construção da jornada, a discussão jurídica deixa de ser um obstáculo de última hora e vira parte da especificação junto com taxa de aprovação e tempo de cadastro.

É assim que a Valid desenhou a plataforma: verificação biométrica, prova de vida, leitura de documentos, consulta de dados e assinatura no mesmo fluxo, com registro do que foi verificado em cada etapa e sem exigir que a empresa acumule imagem que não precisa guardar. Fale com o time da Valid para revisar a sua jornada com quem opera a maior plataforma de segurança de identificação digital em escala e conheça o custo dos dois lados dessa conta.