LGPD e o seu rosto

No Brasil, o seu rosto não é um dado qualquer. A Lei Geral de Proteção de Dados classifica o dado biométrico como dado pessoal sensível, na mesma categoria de origem racial, convicção religiosa, opinião política e dado de saúde. Essa classificação muda tudo o que vem depois.

Este texto é uma explicação geral, não é orientação jurídica. Para uma decisão concreta, fale com um advogado.

O que muda quando o dado é sensível

Para dado pessoal comum, a LGPD oferece dez bases legais — consentimento, execução de contrato, legítimo interesse e por aí vai. Para dado sensível, a lista encolhe bastante e o legítimo interesse desaparece. Na prática, para um produto de consumo sobra o consentimento, e ele precisa ser específico e destacado: um "aceito os termos" genérico não cobre o tratamento do seu rosto.

Isso tem uma consequência direta e pouco intuitiva: um serviço que monta uma base de rostos raspando fotos públicas da internet não está amparado pela LGPD só porque as fotos eram públicas. Público não é sinônimo de consentido.

Os direitos que você tem sobre o seu rosto

• Confirmação e acesso — saber se alguém trata o seu dado e qual é.
• Eliminação — pedir a exclusão do dado tratado com base em consentimento, e o consentimento pode ser revogado a qualquer momento.
• Revisão de decisão automatizada — se um sistema decidiu algo sobre você sozinho, você pode pedir revisão.
• Portabilidade e informação sobre compartilhamento — com quem o dado foi compartilhado.

A ANPD é a autoridade que fiscaliza e já atuou em casos de biometria em espaços públicos, inclusive determinando a suspensão de coletas feitas sem base legal adequada.

Onde o reconhecimento facial costuma dar errado

Os casos que viraram problema no Brasil têm um padrão: coleta silenciosa. Câmeras em estações e shoppings capturando rostos de quem passa, sem aviso claro, sem alternativa e sem consentimento específico. O argumento de "segurança" não substitui base legal quando o dado é sensível.

Também há o lado do erro. Reconhecimento facial usado para identificação em segurança pública já produziu prisões equivocadas no país, e a taxa de erro não é distribuída de forma uniforme entre grupos. Quando a consequência de um falso positivo é grave, a exigência sobre o sistema tem que ser proporcional.

Como um produto honesto se comporta

Se você for avaliar qualquer serviço de busca facial — o nosso incluído — vale checar quatro coisas:

1. De onde vem a base? Ela foi formada por pessoas que se cadastraram, ou raspada da internet? A resposta separa um produto legal de um problema jurídico.
2. A imagem é armazenada? Não precisa ser. Dá para processar o quadro no aparelho, enviar só a assinatura numérica e descartá-la depois da busca.
3. Dá para sair? Exclusão precisa ser um botão, não um e-mail para o suporte que ninguém responde.
4. O que é proibido fazer com o resultado? Um serviço sério diz explicitamente que não pode ser usado para decisões de emprego, crédito, moradia ou seguro — e nem para localizar alguém que cortou contato.

Fora do Brasil

O desenho é parecido em quase todo lugar. Na Europa, o RGPD coloca a biometria no artigo 9 e exige consentimento explícito; o AI Act ainda proíbe montar bases de reconhecimento com raspagem não direcionada de imagens. Nos Estados Unidos, a BIPA de Illinois é a lei mais dura, com direito de ação individual e indenizações previstas em lei. A direção é a mesma em todos: mais restrição, não menos.