Reconhecimento Facial e Biometria no Ponto: Seus Dados Podem Ser Coletados Sem Autorização?

Bater o ponto colocando o dedo em um leitor. Olhar para uma câmera na catraca da empresa antes de entrar. Falar uma frase para um sistema de reconhecimento de voz. Esses gestos, hoje comuns em muitas empresas brasileiras, envolvem a coleta de um tipo de informação muito mais delicado do que parece: o seu dado biométrico.

Diferente de uma senha ou de um crachá, sua digital, seu rosto e sua voz não podem ser trocados se caírem em mãos erradas. Por isso, a lei brasileira trata esse tipo de dado de forma especial, e a empresa não pode simplesmente coletar essas informações do jeito que quiser.

Neste guia, você vai entender, de forma simples e direta, quando o uso de biometria pela empresa é legal, quando é abusivo, o que fazer se sua empresa não seguir as regras e quais direitos você tem, inclusive à indenização por dano moral, caso seus dados sejam usados de forma indevida ou vazados.

Sumário

• O que é dado biométrico e por que ele é um dado sensível
• Quando a empresa PODE coletar sua biometria
• Quando a coleta é ilegal ou abusiva
• O que a empresa é obrigada a informar a você
• Reconhecimento facial em catracas e câmeras de segurança
• Vazamento de dados biométricos: um risco maior do que parece
• Você pode se recusar a dar sua digital ou seu rosto?
• Direito a indenização por dano moral
• O papel da ANPD na fiscalização das empresas
• Seus direitos como titular dos dados
• O que fazer se a empresa não seguir as regras
• Depois da demissão: a empresa precisa excluir seus dados
• Passo a passo prático para se proteger
• Perguntas frequentes

O que é dado biométrico e por que ele é considerado um dado sensível

Dado biométrico é qualquer informação relacionada a características físicas, fisiológicas ou comportamentais únicas de uma pessoa. Os exemplos mais comuns no ambiente de trabalho são:

• Impressão digital;
• Reconhecimento facial (mapeamento do rosto);
• Reconhecimento de voz;
• Leitura de íris ou retina;
• Geometria da mão.

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) classifica o dado biométrico como dado pessoal sensível, no mesmo grupo de informações sobre saúde, origem racial, convicção religiosa e orientação sexual (art. 5º, II, e art. 11 da LGPD).

Isso não é acaso. Um dado sensível, se usado de forma indevida, pode gerar discriminação, constrangimento ou exposição da pessoa. Por isso, a lei exige cuidados redobrados de quem coleta e trata esse tipo de informação, inclusive o seu empregador.

Quando a empresa PODE coletar sua biometria

A empresa não está proibida de usar biometria. Existem, basicamente, duas situações em que esse tratamento de dados é permitido pela LGPD.

1. Cumprimento de obrigação legal (controle de ponto)

A CLT (Consolidação das Leis do Trabalho), no art. 74, §2º, e a Portaria MTE nº 671/2021, que regulamenta o registro eletrônico de jornada, admitem a biometria como um dos métodos válidos de marcação de ponto.

Nesse caso, a base legal para o uso do seu dado biométrico é o cumprimento de obrigação legal, prevista na própria LGPD. A empresa não precisa, a princípio, pedir seu consentimento específico apenas para bater o ponto.

2. Consentimento específico, informado e destacado

Se a empresa quer usar a mesma biometria para qualquer outra finalidade que vá além do controle de jornada, como liberar o acesso a áreas restritas, alimentar um sistema de segurança patrimonial ou até um software de “análise comportamental”, ela precisa de um novo consentimento seu.

Esse consentimento precisa ser, conforme o art. 11, I, da LGPD:

• Específico: para aquela finalidade em particular, não genérico;
• Informado: você precisa saber exatamente o que vai acontecer com o dado;
• Destacado: não pode estar escondido em letras miúdas dentro do contrato de trabalho.

Um exemplo prático: a empresa pode usar sua digital para o ponto com base na obrigação legal. Mas se ela quiser usar essa mesma digital para liberar sua entrada na garagem ou no restaurante da empresa, isso é uma finalidade diferente e exige autorização separada.

Quando a coleta é ilegal ou abusiva

Mesmo quando a base legal é a obrigação de controlar a jornada, a empresa continua tendo várias obrigações. Ela é ilegal ou abusiva quando:

• Usa o dado biométrico para finalidade diferente da informada, sem novo consentimento;
• Compartilha seus dados biométricos com terceiros sem justificativa e sem avisar você;
• Não informa, de forma clara, que está coletando sua biometria;
• Coleta mais dados do que o necessário para a finalidade (por exemplo, guardar a imagem facial completa quando bastaria um código numérico derivado dela);
• Não tem nenhuma medida de segurança para proteger essas informações contra vazamento;
• Mantém os dados guardados mesmo depois de não precisar mais deles.

Esses deveres decorrem dos princípios da LGPD, especialmente o da transparência (art. 6º, VI) e o da minimização (art. 6º, III), além do dever de adotar medidas de segurança previsto no art. 46.

O que a empresa é obrigada a informar a você

Antes ou no momento da coleta da sua biometria, a empresa deveria te informar, de forma clara e acessível:

1. Que tipo de dado biométrico está sendo coletado;
2. Para qual finalidade específica (ponto, acesso, segurança);
3. Por quanto tempo os dados ficarão armazenados;
4. Se os dados serão compartilhados com alguma empresa terceirizada (por exemplo, a fornecedora do sistema de ponto);
5. Como você pode exercer seus direitos como titular dos dados;
6. Quais medidas de segurança são usadas para proteger essas informações.

Na prática, isso costuma vir em uma política de privacidade interna ou em um termo específico sobre tratamento de dados biométricos. Se você nunca viu nenhum documento assim na sua empresa, isso já é um sinal de alerta.

Reconhecimento facial em catracas e câmeras de segurança

Um caso muito comum hoje em dia é o uso de reconhecimento facial em catracas de entrada, substituindo o crachá ou a digital. A câmera “olha” para o seu rosto, compara com um banco de imagens e libera (ou não) a passagem.

Esse uso pode ser legítimo quando limitado ao controle de acesso e feito com transparência. O problema aparece quando a empresa vai além:

• Usa as câmeras de reconhecimento facial para monitorar produtividade ou tempo de permanência em determinados setores;
• Cruza os dados faciais com outras bases (redes sociais, por exemplo) sem autorização;
• Instala câmeras com reconhecimento facial em banheiros, vestiários ou áreas de descanso, o que também pode violar a intimidade do trabalhador prevista no art. 5º, X, da Constituição Federal.

Imagine uma trabalhadora que descobre, por acaso, que o sistema de câmeras da empresa usa reconhecimento facial para gerar relatórios de “tempo parado na estação de trabalho”, sem que ninguém tenha explicado isso a ela. Esse é um exemplo típico de tratamento de dado sensível sem informação adequada, que pode configurar violação à LGPD e à privacidade no trabalho.

Vazamento de dados biométricos: um risco maior do que parece

Se a sua senha vaza, você troca a senha. Se o seu cartão vaza, você cancela o cartão. Mas se o seu banco de digitais ou o mapeamento do seu rosto vaza, não existe como “trocar” essa informação. Ela é sua para sempre.

Por isso, a doutrina jurídica e boa parte da jurisprudência trabalhista consideram o vazamento de dados biométricos um dano mais grave do que o vazamento de outros dados pessoais comuns, como nome ou telefone.

Um exemplo real do tipo de situação que gera processos: uma empresa que armazena o banco de digitais dos funcionários em um sistema desatualizado, sem criptografia, e sofre um ataque hacker que expõe essas informações na internet. Os trabalhadores afetados podem, nesse caso, buscar indenização por dano moral, já que a exposição de um dado biométrico é irreversível e pode ser usada para fraudes futuras.

A LGPD prevê expressamente, no art. 42, a responsabilidade civil de quem trata os dados por danos causados ao titular. Combinado com o art. 5º, X, da Constituição Federal e o art. 223-B da CLT, sobre dano extrapatrimonial, isso abre caminho para ações trabalhistas de indenização.

Você pode se recusar a dar sua digital ou seu rosto?

Essa é uma das dúvidas mais comuns, e a resposta não é um simples “sim” ou “não”. Depende muito do contexto.

Quando a recusa pode ser considerada insubordinação

Se a empresa:

• Informou corretamente sobre a coleta;
• Tem uma política de privacidade clara sobre o uso da biometria;
• Adota medidas de segurança adequadas;
• Usa a biometria apenas para a finalidade legal do controle de ponto;

Nesse cenário, uma recusa pura e simples, sem nenhum motivo concreto, pode ser tratada pelo empregador como uma forma de insubordinação, já que o registro de ponto é uma obrigação legal e a biometria é um método válido para isso.

Quando você tem argumentos fortes para recusar

Por outro lado, se a empresa:

• Não informou nada sobre a coleta de dados biométricos;
• Não tem política de proteção de dados nem medidas mínimas de segurança;
• Oferece a biometria como único método, sem alternativa (como cartão, senha ou ponto manual), e você tem uma objeção fundamentada;
• Você tem uma condição de saúde ou física relacionada ao dado biométrico que te causa constrangimento em expor;

Nesses casos, você tem argumentos sólidos para recusar e pedir um método alternativo de marcação de ponto. Uma eventual demissão por justa causa motivada apenas por essa recusa é questionável e pode ser revertida na Justiça do Trabalho, especialmente se ficar comprovado que a empresa não cumpriu as exigências da LGPD.

O TST (Tribunal Superior do Trabalho) já analisou casos semelhantes envolvendo monitoramento excessivo e coleta de dados sem informação adequada, reconhecendo, em situações assim, o direito à reparação do trabalhador.

Direito a indenização por dano moral

Você pode ter direito a uma indenização por dano moral quando a empresa:

• Coleta sua biometria sem informar e sem base legal válida;
• Usa seus dados biométricos para finalidade diferente da autorizada;
• Compartilha seus dados com terceiros sem consentimento;
• Sofre um vazamento de dados por falta de segurança adequada;
• Expõe você a situações constrangedoras por meio do uso indevido da biometria (como divulgar imagens do reconhecimento facial).

O valor da indenização varia conforme a gravidade do caso, a extensão do dano e a capacidade econômica da empresa. Casos de vazamento tendem a ter indenizações mais altas, justamente pela impossibilidade de reverter a exposição do dado.

Vale lembrar que essa ação por dano moral corre na Justiça do Trabalho, de forma independente de qualquer fiscalização administrativa que a ANPD venha a fazer.

O papel da ANPD na fiscalização das empresas

A ANPD (Autoridade Nacional de Proteção de Dados) é o órgão responsável por fiscalizar o cumprimento da LGPD no Brasil. Ela pode aplicar multas administrativas às empresas que descumprem a lei, de até 2% do faturamento, limitadas a R$ 50 milhões por infração (art. 52 da LGPD).

É importante entender uma coisa: a multa da ANPD é aplicada ao infrator, mas não substitui e nem impede que você, individualmente, processe a empresa na Justiça do Trabalho pedindo indenização pelo dano que sofreu.

São duas frentes diferentes: uma é a punição administrativa e institucional, outra é a reparação individual pelo prejuízo causado a você.

Seus direitos como titular dos dados

A LGPD, no art. 18, garante uma série de direitos a quem teve seus dados coletados, incluindo você como trabalhador. São eles:

• Confirmação da existência de tratamento dos seus dados;
• Acesso aos dados que a empresa tem sobre você;
• Correção de dados incompletos, inexatos ou desatualizados;
• Eliminação dos dados tratados com base no consentimento;
• Informação sobre com quem seus dados foram compartilhados;
• Revogação do consentimento, quando essa for a base legal usada.

Na prática, você pode, a qualquer momento, pedir formalmente à empresa (de preferência por escrito) que informe quais dados biométricos seus ela guarda, para que servem e com quem foram compartilhados.

O que fazer se a empresa não seguir as regras

Se você suspeita que sua empresa está coletando ou usando sua biometria de forma indevida, alguns passos ajudam a proteger seus direitos:

1. Peça por escrito (e-mail ou aplicativo de mensagens) a política de privacidade da empresa sobre o uso de dados biométricos;
2. Guarde prints e comunicações relacionadas ao assunto, inclusive respostas evasivas ou a ausência de resposta;
3. Verifique se existe algum aviso, cartaz ou termo assinado sobre a coleta desses dados no momento da admissão;
4. Anote datas e situações em que você percebeu uso da biometria além do controle de ponto;
5. Procure um advogado trabalhista se a empresa se recusar a explicar o uso dos dados, se houver um vazamento, ou se você for demitido por se recusar a fornecer biometria em um contexto onde a empresa não cumpriu a LGPD.

Esses registros são fundamentais como prova em uma eventual ação judicial, seja para reverter uma demissão injusta, seja para pedir indenização por dano moral.

Depois da demissão: a empresa precisa excluir seus dados

Um ponto que muitos trabalhadores desconhecem: depois do fim do contrato de trabalho, a empresa não pode guardar seus dados biométricos indefinidamente.

A regra geral da LGPD é que o dado deve ser eliminado quando não for mais necessário para a finalidade que justificou sua coleta (art. 15 e 16 da LGPD), respeitando os prazos legais de guarda de documentos trabalhistas.

Isso significa que, findo o vínculo empregatício e passado o prazo de guarda de eventuais registros de ponto (usados como prova em possíveis ações trabalhistas), a empresa deveria eliminar o banco de digitais, as imagens faciais ou qualquer outro dado biométrico armazenado sobre você.

Se você já foi demitido e desconfia que seus dados biométricos ainda estão sendo guardados pela ex-empresa sem necessidade, você pode, com base no seu direito de eliminação (art. 18, VI, da LGPD), solicitar formalmente essa exclusão.

Passo a passo prático para se proteger

Resumindo o que você pode fazer, hoje, para proteger seus dados biométricos no trabalho:

1. Observe se a empresa informou, de forma clara, sobre a coleta de biometria;
2. Pergunte se existe uma política de privacidade específica sobre esse tema;
3. Questione qualquer uso da sua biometria para finalidade diferente do ponto ou do acesso autorizado;
4. Guarde documentos e conversas sobre o assunto;
5. Não assine nenhum termo de “aceite” sem entender exatamente o que está sendo autorizado;
6. Ao sair da empresa, peça a confirmação da exclusão dos seus dados biométricos;
7. Diante de qualquer sinal de vazamento, uso indevido ou coleta sem informação, procure orientação jurídica especializada.

Perguntas frequentes

1. A empresa pode usar reconhecimento facial no ponto sem me avisar?

Não. Mesmo quando a base legal é o cumprimento de obrigação legal (controle de jornada), a empresa é obrigada a informar de forma clara que está coletando esse dado, conforme o princípio da transparência da LGPD.

2. Posso recusar dar minha digital para bater o ponto?

Depende do contexto. Se a empresa cumpriu todas as exigências da LGPD e não oferece alternativa, a recusa pode ser vista como insubordinação. Se a empresa não informou nada ou não tem segurança adequada, você tem argumentos fortes para recusar e pedir outro método.

3. O que acontece se minha empresa vazar meus dados biométricos?

Você pode buscar indenização por dano moral na Justiça do Trabalho, já que dados biométricos vazados não podem ser “trocados” como uma senha, o que agrava o dano.

4. A empresa pode compartilhar minha biometria com outra empresa?

Somente com consentimento específico, informado e destacado, ou outra base legal válida. Compartilhamento sem autorização pode gerar direito a indenização.

5. Depois que eu for demitido, a empresa precisa apagar meus dados biométricos?

Sim. Passado o prazo legal de guarda de documentos trabalhistas, a empresa deve eliminar seus dados biométricos, já que eles deixam de ser necessários para a finalidade original.

6. Denunciar a empresa para a ANPD impede que eu processe na Justiça do Trabalho?

Não. São duas frentes independentes. A ANPD pode aplicar multa administrativa à empresa, enquanto você pode buscar reparação individual pelo dano sofrido em uma ação trabalhista própria.

7. Como faço para saber quais dados biométricos meus a empresa guarda?

Você pode solicitar formalmente, por escrito, com base no seu direito de acesso previsto na LGPD (art. 18), que a empresa informe quais dados possui, para que finalidade e com quem foram compartilhados.

Precisa de ajuda para proteger seus direitos?

Se você identificou que sua empresa coleta dados biométricos sem informar corretamente, usa sua digital ou seu rosto para finalidades além do combinado, sofreu um vazamento de dados ou foi demitido por se recusar a fornecer biometria em condições irregulares, você não precisa lidar com isso sozinho.

A RINA Advogados é especializada em Direito do Trabalho, sempre do lado do empregado, e pode avaliar gratuitamente o seu caso para verificar se você tem direito a indenização por dano moral ou a reverter uma demissão injusta.

Entre em contato agora mesmo com a equipe da RINA Advogados e faça uma avaliação gratuita da sua situação. Quanto antes você buscar orientação, mais fácil é reunir provas e garantir seus direitos.