Tempo de leitura: 12 min · Atualizado em 08/09/2026
A biometria — impressão digital, reconhecimento facial, geometria da mão, íris — deixou de ser tecnologia de filme de ficção científica para se tornar rotina: ela destrava o celular, libera a catraca do trabalho, autentica um pagamento pelo aplicativo do banco e confirma a identidade em uma agência ou em um totem de autoatendimento. Essa conveniência, no entanto, tem um preço jurídico elevado quando algo dá errado. Diferente de uma senha vazada, que pode ser trocada em minutos, um dado biométrico exposto acompanha a pessoa para o resto da vida. Por isso a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD) trata esse tipo de informação com um rigor muito superior ao aplicado a dados pessoais comuns.
Por que a LGPD classifica a biometria como “dado sensível”
O art. 5º, inciso II, da LGPD define expressamente o dado biométrico como uma categoria de dado pessoal sensível, ao lado de informações sobre origem racial ou étnica, convicção religiosa, opinião política, saúde e vida sexual. A lei reconhece que esse tipo de dado, se usado indevidamente, tem potencial de gerar discriminação, exposição íntima ou danos de difícil reparação — e por isso impõe condições mais restritivas para sua coleta e uso.
Na prática, isso significa que uma empresa não pode simplesmente inserir a coleta de biometria em um termo de uso genérico ou em uma cláusula perdida no meio de um contrato extenso. O art. 11 da LGPD estabelece que o tratamento de dado sensível somente é permitido quando o titular (ou seu representante legal) consentir de forma específica e destacada, para finalidades específicas — ou quando presente uma das hipóteses legais alternativas previstas na lei, como cumprimento de obrigação legal ou regulatória pelo controlador, exercício regular de direitos em processos, proteção da vida do titular ou de terceiros, entre outras taxativamente listadas no dispositivo.
Ou seja: um “aceito os termos” genérico, sem destaque específico para o uso da biometria e sem explicação clara da finalidade, tende a não atender ao padrão exigido pela lei. A ausência de consentimento válido (ou de outra base legal aplicável) já configura, por si, uma irregularidade no tratamento — independentemente de haver vazamento posterior.
Os riscos peculiares do vazamento biométrico
Um vazamento de senha ou de número de cartão, por mais grave que seja, tem uma saída: o titular cancela o cartão, redefine a senha, ativa a autenticação em duas etapas. A pessoa consegue, de certa forma, “recomeçar”. Com a biometria, essa possibilidade simplesmente não existe. Ninguém troca a própria impressão digital ou o próprio rosto.
- Permanência do risco: o comprometimento de dados biométricos pode produzir riscos duradouros porque características físicas não são substituídas como uma senha. A possibilidade concreta de reutilização fraudulenta, porém, depende do tipo de dado exposto — fotografia, template biométrico, representação matemática criptografada — e do formato em que estava armazenado; um vazamento não significa, automaticamente, que o padrão poderá ser reproduzido para burlar qualquer sistema de autenticação.
- Uso para fraudes de autenticação: sistemas de reconhecimento facial e digital são cada vez mais usados como camada de segurança para abertura de contas, liberação de empréstimos e desbloqueio de aplicativos financeiros. Um dado biométrico vazado pode ser explorado para burlar exatamente esses mecanismos de proteção.
- Rastros e vigilância indevida: a exposição de dados biométricos combinada a outras informações pessoais pode viabilizar o rastreamento e a identificação da pessoa em diferentes contextos, sem seu conhecimento ou consentimento.
- Dimensão íntima e corporal: por se referir a características físicas do próprio corpo, a exposição indevida da biometria tem uma carga simbólica e psicológica distinta da exposição de um mero número de conta.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Quem mais coleta esse tipo de dado
A coleta de biometria se expandiu rapidamente em setores que lidam com autenticação de identidade e controle de acesso, entre eles:
- Instituições financeiras e fintechs, que usam reconhecimento facial e digital para abertura de contas, aprovação de empréstimos e confirmação de transações;
- Aplicativos de pagamento e carteiras digitais, que autenticam operações por biometria como camada antifraude;
- Empresas de segurança patrimonial e controle de acesso, com catracas e portarias que usam digital ou reconhecimento facial para liberar entrada em condomínios, empresas e eventos;
- Aplicativos de transporte e mobilidade, que solicitam reconhecimento facial periódico de motoristas para checagem de identidade;
- Órgãos públicos e concessionárias de serviços, em sistemas de identificação para benefícios, transporte público e serviços essenciais.
Quanto mais setores adotam a biometria como padrão de autenticação, maior se torna a superfície de risco: cada nova base de dados biométricos é um potencial alvo de incidente de segurança.
Os deveres da empresa em caso de incidente com dados sensíveis
Quando ocorre um incidente de segurança envolvendo dados pessoais — e com maior razão quando envolve dados sensíveis, como a biometria —, a LGPD impõe ao controlador (a empresa que decide sobre o tratamento dos dados) o dever de comunicar o ocorrido. O art. 48 da LGPD estabelece que o controlador deverá comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
Desde a Resolução CD/ANPD nº 15/2024, essa comunicação deixou de seguir apenas o “prazo razoável” do texto original da lei: quando o incidente puder acarretar risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares afetados deve ocorrer em até três dias úteis, ressalvado prazo específico previsto em legislação especial — sendo possível, quando as informações completas ainda não estiverem disponíveis, uma comunicação preliminar seguida de complementação em até vinte dias úteis. A comunicação deve conter, entre outros elementos: a descrição da natureza dos dados pessoais afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas para a proteção dos dados (observados os segredos comercial e industrial), os riscos relacionados ao incidente, os motivos de eventual demora na comunicação e as medidas adotadas para reverter ou mitigar os efeitos do prejuízo. Nem todo incidente precisa ser comunicado: antes, é necessário avaliar os critérios de risco e dano relevante previstos na regulamentação.
Dado o caráter sensível e irreversível da biometria, a tendência é que incidentes envolvendo esse tipo de dado sejam avaliados com maior rigor quanto à gravidade do risco e à adequação das medidas de segurança adotadas pela empresa antes e depois do vazamento. Isso inclui questionar se a empresa adotava criptografia adequada, controles de acesso restritos e políticas de retenção compatíveis com a sensibilidade da informação tratada.
Quando o vazamento biométrico pode gerar indenização
O titular cujo dado biométrico foi exposto sem sua autorização, ou em decorrência de falha de segurança da empresa controladora, não fica sem amparo. A LGPD, em diálogo com o Código de Defesa do Consumidor e com o regime geral de responsabilidade civil, prevê o direito à reparação pelos danos patrimoniais, morais, individuais ou coletivos decorrentes de violação à legislação de proteção de dados. Isso não significa, porém, que todo vazamento biométrico gere automaticamente dano moral indenizável: a natureza sensível do dado torna o incidente juridicamente mais grave, mas a análise deve considerar a irregularidade do tratamento ou da segurança, a natureza e extensão da exposição, o risco concreto criado, eventual utilização fraudulenta e o nexo causal.
No caso da biometria, a natureza sensível e permanente do dado tende a ser um fator relevante na avaliação do dano sofrido: diferentemente de uma informação que pode ser “corrigida” ou “substituída”, a exposição de um padrão biométrico gera uma condição de vulnerabilidade contínua, já que a pessoa carrega consigo, para sempre, o mesmo dado que foi exposto. Esse caráter de exposição permanente, a perda de controle sobre a própria identidade biométrica e o receio fundado de uso fraudulento futuro são elementos que podem ser considerados na análise do abalo moral sofrido pelo titular, além de eventuais prejuízos materiais concretos, como fraudes efetivamente consumadas.
Em eventual disputa, as medidas técnicas e administrativas efetivamente adotadas pela empresa — compatíveis com a sensibilidade dos dados que optou por coletar — e a existência de consentimento específico e destacado (ou de outra hipótese legal aplicável) serão elemento central da análise. Como muitos desses registros permanecem sob controle do próprio agente de tratamento, sua documentação de segurança, governança e resposta ao incidente pode assumir especial relevância probatória, sem que isso represente uma inversão automática e universal do ônus da prova em qualquer disputa envolvendo dados sensíveis.
Considerações finais
A biometria une conveniência e vulnerabilidade em um mesmo dado: é justamente por ser única e imutável que ela funciona tão bem como mecanismo de autenticação — e é por essa mesma razão que sua exposição indevida representa um risco qualificado ao titular. A LGPD reconheceu essa peculiaridade ao classificar o dado biométrico como sensível, exigindo consentimento específico e destacado (ou outra base legal expressamente prevista) para sua coleta, e impondo à empresa controladora deveres reforçados de segurança, transparência e comunicação em caso de incidente.
Cada caso de coleta ou vazamento de dados biométricos possui particularidades próprias — o setor envolvido, a forma de obtenção do consentimento, a extensão do incidente e os danos concretamente sofridos. Por isso, recomenda-se que o titular que suspeite ter tido seus dados biométricos coletados irregularmente ou expostos em um incidente de segurança busque orientação jurídica especializada, para avaliar as circunstâncias específicas do caso e as medidas cabíveis para a proteção de seus direitos.
Perguntas frequentes
Biometria é dado pessoal sensível pela LGPD?
Sim, quando o dado biométrico está vinculado a uma pessoa natural. A LGPD inclui expressamente dados genéticos e biométricos nessa categoria, submetendo seu tratamento às hipóteses mais restritas do art. 11.
Se minha biometria vazar, tenho direito automático a indenização?
Não automaticamente. A natureza sensível e potencialmente duradoura da biometria aumenta a gravidade do incidente, mas a responsabilidade e a indenização dependem das circunstâncias, da irregularidade ou falha de segurança, dos riscos ou danos produzidos e do nexo causal.
A empresa precisa comunicar todo vazamento de biometria à ANPD?
Não necessariamente todo incidente. A comunicação é obrigatória quando o evento puder acarretar risco ou dano relevante aos titulares. Nessa hipótese, a Resolução CD/ANPD nº 15/2024 estabelece prazo de três dias úteis para comunicação à ANPD e aos titulares, ressalvada legislação específica.
Uma biometria vazada pode ser trocada como uma senha?
A característica física da pessoa não pode ser simplesmente substituída, razão pela qual incidentes biométricos merecem atenção especial. Isso não significa, porém, que qualquer dado biométrico vazado possa ser automaticamente reutilizado para enganar todos os sistemas de autenticação.
O que posso exigir da empresa depois de um incidente biométrico?
O titular pode exercer os direitos previstos na LGPD, pedir informações sobre o tratamento e o incidente, conhecer as providências adotadas e questionar eventual tratamento irregular. Dependendo do caso, também pode peticionar perante a ANPD e buscar reparação judicial por danos comprovadamente decorrentes da violação.
A empresa pode coletar biometria sem consentimento?
Em determinadas situações, sim. Consentimento específico e destacado é uma das bases do art. 11, mas não a única; a LGPD prevê outras hipóteses, inclusive tratamento indispensável à prevenção de fraude e à segurança do titular em processos de identificação e autenticação eletrônica. A empresa ainda precisa respeitar finalidade, necessidade, transparência e segurança.
Fontes oficiais consultadas
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
