Tempo de leitura: 10 min · Atualizado em 03/09/2026
Sim, os riscos são altos: dado biométrico colhido por reconhecimento facial é considerado dado sensível pela LGPD, e usá-lo sem consentimento específico e destacado pode gerar multa de até 2% do faturamento da empresa, limitada a 50 milhões de reais por infração, além de ações judiciais movidas por quem teve o rosto capturado sem autorização.
O que conta como dado biométrico para a LGPD
Dado biométrico é qualquer informação que identifica uma pessoa a partir de características físicas únicas: o formato do rosto, a impressão digital, a íris, a voz. Quando uma câmera de loja ou um aplicativo usa reconhecimento facial para identificar quem está passando por ali, comparando o rosto captado com um banco de imagens, está processando exatamente esse tipo de dado. Não importa se a imagem é guardada por pouco tempo ou se a empresa afirma que “não identifica ninguém”: se o sistema compara rostos para reconhecer ou diferenciar pessoas, já existe tratamento de dado biométrico.
Por que reconhecimento facial é tratado como categoria de risco maior
A lei separa os dados pessoais comuns dos dados sensíveis. Dados sensíveis incluem origem racial, convicção religiosa, opinião política, saúde e também dado biométrico, exatamente por revelarem características muito pessoais e por poderem gerar discriminação se usados de forma indevida. Por isso, as regras para tratar esse tipo de dado são mais rígidas do que as aplicadas a um simples cadastro de nome e telefone. A empresa que capta rosto de cliente precisa de uma base legal mais forte do que normalmente usaria para outras informações do dia a dia do negócio.
“Consentimento genérico” nos termos de uso não é suficiente
Um erro comum é achar que basta ter um aviso de câmeras no local ou uma linha perdida nos termos de uso do aplicativo para estar em conformidade. Não está. Para dado sensível, o consentimento precisa ser específico para essa finalidade, destacado das demais informações e dado de forma livre, ou seja, sem que a pessoa seja obrigada a aceitar para conseguir usar o serviço. Um cartaz genérico dizendo que o local possui câmeras de segurança não cobre o uso de reconhecimento facial para identificar ou perfilar clientes, porque a pessoa não teve a chance real de recusar especificamente esse tratamento.
Existe alguma forma de coletar sem esse consentimento específico?
Em teoria, existem outras bases legais previstas para tratar dados, mas para dado sensível elas são bem mais restritas. Segurança pública e proteção da vida em situações de emergência são exemplos aceitos, mas dificilmente cobrem o uso comercial de reconhecimento facial para entender o perfil de clientes ou direcionar publicidade. Fora hipóteses excepcionais, a regra prática é: sem consentimento específico, dificilmente há uma justificativa sólida para captar e comparar rostos de clientes.
Quais riscos concretos a empresa corre
Os riscos não se limitam a uma eventual multa. Eles se espalham por diferentes frentes:
| Tipo de risco | O que representa na prática |
|---|---|
| Multa administrativa | Sanção aplicada pela autoridade de proteção de dados, que pode ser expressiva conforme o porte da empresa |
| Bloqueio ou eliminação dos dados | A empresa pode ser obrigada a apagar todo o banco de imagens coletado irregularmente |
| Ação judicial individual | Cada cliente identificado sem consentimento pode buscar reparação por conta própria |
| Dano à reputação | Exposição pública do caso costuma afetar a confiança de clientes e parceiros |
| Restrição de atividade | Em casos graves, suspensão do uso do sistema de reconhecimento facial |
Multas e outras sanções que a autoridade pode aplicar
A multa simples pode chegar a 2% do faturamento da empresa no último exercício, com teto de 50 milhões de reais por infração. Além disso, a autoridade pode aplicar multa diária até esse mesmo limite, dependendo da gravidade e do tempo em que a irregularidade persistir. Somam-se a isso sanções que não são financeiras, mas igualmente pesadas para o negócio: advertência pública, divulgação da infração e, em casos mais sérios, suspensão do funcionamento do banco de dados relacionado à violação. Um sistema de reconhecimento facial mal implementado costuma expor a empresa a mais de uma dessas consequências ao mesmo tempo, de forma parecida com o que ocorre quando um aplicativo é entregue com falhas graves de segurança nos dados dos usuários: o problema técnico vira, quase automaticamente, um problema jurídico.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
O risco não para na multa administrativa
Mesmo que a autoridade de proteção de dados nunca chegue a abrir um processo, cada pessoa que teve o rosto captado sem consentimento tem, individualmente, o direito de buscar reparação na Justiça. Isso pode gerar múltiplas ações, cada uma exigindo indenização por conta própria, o que costuma sair mais caro para a empresa do que uma única multa administrativa. Esse cenário lembra o que acontece quando uma empresa terceirizada de tecnologia vaza dados de clientes: o número de pessoas afetadas se transforma diretamente no número de possíveis processos.
Passo a passo para reduzir o risco agora
Empresas que já usam ou pretendem usar reconhecimento facial deveriam seguir esta sequência:
- Mapear onde e como o reconhecimento facial é usado hoje, inclusive por sistemas fornecidos por terceiros;
- Revisar se existe consentimento específico, destacado e livre para essa finalidade, e não apenas um aviso genérico;
- Ajustar o fluxo para coletar esse consentimento antes de qualquer captura de imagem com finalidade de identificação;
- Definir por quanto tempo os dados ficam guardados e eliminar o que não tem mais necessidade de uso;
- Revisar contratos com fornecedores da tecnologia, deixando claro quem responde em caso de uso indevido dos dados coletados.
Empresas que terceirizam esse tipo de sistema também precisam se atentar ao contrato firmado com o fornecedor, para que a responsabilidade não fique apenas no papel. Essa preocupação é parecida com a de quem descobre que uma empresa compartilhou dados pessoais com terceiros sem autorização: o repasse da tecnologia não repassa, sozinho, a responsabilidade legal pelo uso correto dos dados.
Quando o uso da imagem já ultrapassa o reconhecimento facial
Em alguns casos, o problema vai além de identificar quem entrou na loja: a imagem captada acaba sendo usada para outros fins, como treinar sistemas de inteligência artificial ou alimentar campanhas de marketing direcionado. Isso amplia ainda mais o risco, de forma parecida com situações em que o rosto de alguém é usado sem autorização em outro contexto digital: quanto mais distante do propósito original informado à pessoa, mais difícil fica defender que havia uma base legal válida para aquele uso.
Perguntas frequentes
Um simples aviso de câmeras de segurança já resolve o problema?
Não. Esse aviso cobre a ideia geral de monitoramento por imagem, mas não cobre especificamente o uso de reconhecimento facial para identificar ou comparar rostos, que exige consentimento próprio e destacado.
A empresa pode alegar que a tecnologia é do fornecedor, não dela?
Isso não afasta a responsabilidade de quem contratou o serviço e se beneficia dele. Quem decide usar reconhecimento facial no próprio negócio responde pela forma como os dados são tratados, independentemente de quem forneceu a tecnologia.
Se a empresa não guarda as imagens por muito tempo, ainda há risco?
Sim. O ponto central não é apenas o tempo de armazenamento, mas a existência do consentimento específico para o reconhecimento facial acontecer. Mesmo um uso rápido e temporário, sem essa autorização, já configura tratamento irregular de dado sensível.
É possível corrigir a situação depois de já estar usando o sistema?
Sim, e quanto antes melhor. Ajustar o fluxo de consentimento, revisar contratos e documentar as correções feitas reduz bastante o risco de sanção e mostra boa-fé caso a autoridade venha a questionar o uso anterior.
Clientes menores de idade mudam o nível de risco?
Sim, de forma significativa. O tratamento de dado biométrico de crianças e adolescentes exige cuidado redobrado, e falhas nesse contexto tendem a ser vistas com ainda mais rigor.
Conclusão: reconhecimento facial exige consentimento específico, não um aviso genérico
Usar reconhecimento facial sem consentimento específico e destacado coloca a empresa diante de múltiplos riscos ao mesmo tempo: multa administrativa que pode ser pesada, obrigação de eliminar os dados coletados e ações judiciais movidas por cada pessoa afetada. Quanto mais a tecnologia for usada sem esse cuidado, maior tende a ser a exposição do negócio.
A boa notícia é que a correção é possível e, na maioria dos casos, não exige abandonar a tecnologia, apenas ajustar a forma como o consentimento é obtido e documentado. Empresas que revisam esse processo agora reduzem de forma real o risco de enfrentar multa ou processo por um problema que tem solução relativamente simples.
Fontes oficiais consultadas
Artigos relacionados
- Empresa de tecnologia entregou aplicativo mobile com falhas graves de segurança em dados de usuários LGPD: quem responde?
- Empresa vazou meus dados: quais direitos a LGPD garante além da indenização?
- 99 alega conta duplicada, dados divergentes ou reconhecimento facial: como o motorista pode provar que é engano?
- Gateway de pagamento sofreu vazamento e expôs dados dos meus clientes: minha empresa também pode ser responsabilizada?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
