dados biométricos LGPD•

10 de setembro de 2026

•

Together Team

Biometria nos bancos: quando a prevenção à fraude passa a coletar dados demais

Biometria nos bancos aparece em abertura de conta, recuperação de acesso, autorização de operações e investigação de fraude. Selfie, prova de vida, reconhecimento facial, impressão digital, voz e padrões de comportamento podem aumentar a segurança. Também podem criar uma base de dados difícil de substituir, com efeitos que permanecem muito depois de uma transação. A decisão não deve ser reduzida à pergunta “funciona contra fraude?”. A instituição precisa demonstrar por que aquele dado é necessário, como será protegido e o que acontece quando o sistema erra.

A LGPD classifica o dado biométrico vinculado a uma pessoa natural como dado pessoal sensível. O artigo 11, inciso II, alínea “g”, admite o tratamento sem consentimento quando ele for indispensável para garantir a prevenção à fraude e a segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. A própria alínea resguarda os direitos mencionados no artigo 9º e exclui sua aplicação quando prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais. Para biometria nos bancos, essa hipótese é relevante, mas não funciona como autorização geral para coletar qualquer biometria, em qualquer etapa e por prazo indefinido.

A Agência Nacional de Proteção de Dados mantém uma iniciativa regulatória específica sobre dados biométricos na Agenda 2025-2026. A tomada de subsídios realizada em 2025 discutiu transações financeiras, biometria comportamental, prevenção a fraude, transparência, retenção e alternativas. A Nota Técnica nº 23/2025 consolidou convergências e divergências das contribuições. O próprio documento esclarece que a tomada de subsídios não representa o posicionamento final da ANPD. Por isso, projetos de biometria nos bancos devem usar o texto como sinal de pontos que exigem governança, não como regulamento já concluído.

Biometria nos bancos começa antes do resultado aprovado ou negado

No uso biométrico, a jornada possui várias camadas. A câmera captura uma imagem ou vídeo. Um sistema pode avaliar prova de vida, extrair características, gerar um template matemático, comparar o material com outra fonte e produzir um resultado. Além disso, ficam metadados, logs, indicadores de dispositivo, tentativas, horários e justificativas de decisão.

Esses elementos não são equivalentes. Uma fotografia comum é um dado pessoal e pode se tornar parte de um tratamento biométrico quando um sistema extrai características para identificar ou autenticar alguém. O template derivado merece controle próprio. O resultado “aprovado” ou “reprovado” também pode afetar o acesso do cliente a um serviço, ainda que a equipe de atendimento nunca veja a imagem bruta.

A instituição precisa mapear a cadeia inteira. Quem captura a amostra? Quem gera o template? A comparação ocorre no banco ou em um fornecedor? A imagem original é descartada? O fornecedor usa o material para melhorar o modelo? Quais registros ficam para investigar fraude ou contestar uma decisão? Sem essas respostas, biometria nos bancos vira uma caixa-preta contratual e técnica.

A finalidade precisa ser específica

No desenho de biometria nos bancos, “segurança” é uma finalidade ampla demais para organizar o tratamento. O banco deve descrever o problema concreto: confirmar que a pessoa está presente durante a abertura da conta, comparar a selfie com um documento, recuperar acesso após troca de aparelho, autorizar uma operação de risco ou detectar padrões que indicam tomada de conta.

Cada finalidade pode exigir dados, precisão e retenção diferentes. A prova de vida usada uma vez não precisa seguir necessariamente o mesmo ciclo do template usado em autenticações futuras. O material de uma contestação pode ter fundamento de retenção distinto daquele captado apenas para concluir um cadastro. Dados coletados para autenticação não devem entrar automaticamente em treinamento de modelos ou análise comercial.

Quando tudo é reunido sob a expressão prevenção a fraudes, a instituição perde a capacidade de aplicar necessidade. Também dificulta a transparência, porque o aviso ao cliente passa a prometer muitos usos sem explicar nenhum deles.

Quando a coleta passa do necessário

O princípio da necessidade limita o tratamento ao mínimo necessário para a finalidade, com dados pertinentes, proporcionais e não excessivos. Em biometria nos bancos, o excesso pode aparecer de várias formas:

exigir selfie em toda ação, mesmo quando o cliente já está autenticado por fatores suficientes;
guardar imagem bruta e template sem justificar por que ambos são necessários;
manter amostras depois que o cadastro foi validado, sem finalidade documentada;
usar biometria coletada para segurança em treinamento de modelo sem avaliação própria;
combinar reconhecimento facial, voz e comportamento por conveniência, sem comparar o ganho real;
compartilhar dados com mais fornecedores do que a operação exige;
impedir qualquer alternativa mesmo quando a tecnologia falha com determinado cliente;
conservar registros de tentativas por prazo uniforme, independentemente do risco e do resultado.

Não existe um número mágico de fatores ou um prazo único aplicável a todas as instituições. A avaliação de biometria nos bancos precisa relacionar risco da operação, possibilidade de fraude, eficácia do método, impacto sobre o titular e opções menos intrusivas. A justificativa deve ser escrita antes da implantação, não criada depois de uma reclamação.

Prevenção à fraude não elimina os outros princípios

Em biometria nos bancos, o artigo 11, inciso II, alínea “g”, da LGPD exige indispensabilidade no contexto descrito pela lei. Mesmo quando essa hipótese é adequada, finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e prestação de contas continuam aplicáveis.

Isso muda a pergunta feita pela equipe. Em vez de “a lei permite biometria para fraude?”, o projeto deve perguntar: qual risco concreto exige este tratamento, qual parte do fluxo depende dele e quais dados são indispensáveis? A resposta pode variar entre a abertura de uma conta com sinais de fraude documental e a simples consulta de saldo por um aparelho já reconhecido.

A Nota Técnica nº 23 registra convergência entre contribuições sobre necessidade, proporcionalidade, finalidade legítima e salvaguardas fortes na aplicação da hipótese de prevenção a fraude. Registra também divergências sobre testes de balanceamento, alcance da hipótese e exigência de alternativas não biométricas. Essa diferença importa. A ANPD ainda não transformou essas contribuições em uma regra final específica sobre biometria.

Consentimento não é solução automática

É comum supor que uma tela de aceite resolve o tratamento. Para dados sensíveis, o consentimento, quando usado, deve ser livre, informado, inequívoco, específico e destacado, para finalidades específicas. Ele também pode ser revogado, observadas as consequências dos tratamentos já realizados sob seu amparo. Em uma relação bancária, a liberdade da escolha pode ser questionada quando a recusa impede acesso a serviço essencial ou não há caminho equivalente. Isso não torna o consentimento a base preferencial para prevenção à fraude.

Por outro lado, a hipótese de prevenção à fraude não depende de consentimento quando seus requisitos estão presentes. Pedir consentimento onde a instituição considera o tratamento indispensável pode confundir o cliente: a interface oferece uma escolha que, na prática, não existe. Na biometria nos bancos, o desenho correto começa pela definição da hipótese legal e da finalidade, não pelo botão da tela.

Se houver usos adicionais, como treinamento de um modelo do fornecedor ou pesquisa de novas funcionalidades, eles não devem ser escondidos dentro da autenticação. Cada uso precisa de avaliação própria. Biometria nos bancos não pode transformar uma necessidade pontual de segurança em autorização permanente para reaproveitar dados sensíveis.

Transparência sem ensinar o fraudador

Em biometria nos bancos, o cliente precisa saber qual tipo de dado é usado, para que serve, se haverá armazenamento, com quem é compartilhado, quais são os critérios de retenção e como exercer direitos. Em biometria comportamental, essa informação é especialmente importante porque a coleta pode ocorrer de forma contínua e pouco perceptível, por exemplo na análise de digitação, movimento do aparelho ou padrão de navegação.

Transparência não exige publicar parâmetros capazes de enfraquecer o controle antifraude. A Nota Técnica registra contribuições que defendem equilíbrio entre informação ao titular e proteção de segredos comerciais e mecanismos de segurança. É possível explicar categorias de sinais, finalidade, efeitos e canal de contestação sem revelar limites internos ou regras exploráveis por criminosos.

Uma frase como “usamos seus dados para sua segurança” é insuficiente. O aviso deve ajudar o cliente a entender o tratamento e a consequência prática. Se um resultado biométrico pode bloquear acesso ou exigir validação adicional, isso também precisa aparecer na jornada.

Biometria comportamental amplia a área invisível

Além do rosto, da voz e da impressão digital, instituições podem analisar características comportamentais: velocidade de digitação, pressão sobre a tela, forma de segurar o aparelho, deslocamento do cursor ou padrão de interação. A Nota Técnica nº 23 registra contribuições que tratam a biometria comportamental como dado sensível e apontam riscos associados à coleta contínua, às inferências e à baixa percepção pelo titular. Como se trata da consolidação de manifestações, o texto não deve ser lido como definição normativa final para todo cenário.

Para o banco, a cautela prática é clara. Primeiro, identifique se o sistema apenas produz um sinal de risco agregado ou cria um perfil capaz de individualizar a pessoa. Depois, documente quais características são coletadas, com que frequência, durante quais sessões e por quanto tempo. Avalie se o fornecedor consegue reutilizar o perfil em outros clientes ou contextos.

Biometria nos bancos se torna mais difícil de governar quando o dado não está em uma foto visível, mas em centenas de sinais captados silenciosamente. A equipe de privacidade precisa participar do desenho do antifraude, não apenas revisar o aviso depois da contratação.

Alternativas reduzem exclusão e melhoram a resposta a erros

No caso da biometria nos bancos, a LGPD não contém uma obrigação universal de oferecer sempre uma alternativa não biométrica. A necessidade dessa opção depende do contexto, da hipótese legal, da finalidade, de normas setoriais, do risco e do efeito sobre o cliente. Mesmo assim, avaliar alternativas é um controle importante de proporcionalidade, acessibilidade e continuidade.

Reconhecimento facial pode falhar por iluminação, câmera, envelhecimento, deficiência, condições de saúde ou diferenças de desempenho entre grupos. Um cliente pode não conseguir concluir a prova de vida. Outro pode ter o rosto alterado após acidente. Se o único caminho repete indefinidamente o mesmo teste, a instituição transforma uma falha técnica em exclusão financeira.

A alternativa pode combinar atendimento assistido, confirmação em canal já autenticado, análise documental reforçada ou outros fatores. Ela não precisa reduzir a segurança. Precisa oferecer uma forma real de revisar o caso. O banco também deve medir falso positivo, falso negativo, abandono, reversões e grupos mais afetados.

Segurança deve considerar que biometria não é senha

Uma senha comprometida pode ser alterada. Rosto, íris, impressão digital e muitos padrões comportamentais não podem ser substituídos da mesma maneira. Por isso, a arquitetura deve minimizar a exposição e limitar o valor do dado em caso de incidente.

Medidas possíveis incluem criptografia, segregação entre amostras e templates, controle de acesso por função, gestão de chaves, logs, limitação de exportação, separação de ambientes e descarte seguro. Templates devem, quando tecnicamente possível, ser protegidos para reduzir interoperabilidade e reconstrução. Equipes que precisam apenas do resultado da autenticação não deveriam acessar a imagem bruta.

Conforme a modalidade biométrica, o canal e o modelo de ameaças, a análise de risco pode recomendar testes contra apresentação de foto, vídeo, máscara, replay de voz ou conteúdo sintético. Em operações críticas, a instituição também pode adotar fatores e sinais independentes, além de revisão para situações ambíguas. São controles técnicos a dimensionar no caso concreto, não uma lista universal criada pela Nota Técnica nº 23/2025. Biometria nos bancos funciona melhor quando integra uma arquitetura de autenticação e análise de risco coerente com a operação.

A LGPD convive com regras setoriais do Banco Central

Para instituições incluídas em seu âmbito, a Resolução CMN nº 4.893/2021 exige política de segurança cibernética orientada à confidencialidade, à integridade e à disponibilidade de dados e sistemas. Na biometria nos bancos, essa política deve alcançar os componentes, ambientes e prestadores envolvidos no fluxo. A norma também disciplina a contratação de processamento, armazenamento e computação em nuvem, mantendo a instituição contratante responsável pela segurança, pelo sigilo e pelo cumprimento da legislação e da regulamentação. A versão vigente da página oficial do Banco Central já incorpora as alterações posteriores.

O âmbito precisa ser conferido conforme o tipo de instituição. A própria Resolução CMN nº 4.893/2021 exclui, entre outras categorias, as instituições de pagamento, que devem observar a regulamentação emitida pelo Banco Central aplicável a elas, como a Resolução BCB nº 85/2021. Essas normas não escolhem a hipótese legal da LGPD nem autorizam automaticamente um tratamento biométrico. Elas acrescentam exigências setoriais de governança, segurança, contratação e continuidade. Em biometria nos bancos, privacidade e segurança cibernética precisam ser analisadas em conjunto, com responsabilidades documentadas para o controlador e seus prestadores.

Retenção precisa ser dividida por componente

Na biometria nos bancos, definir que “os dados ficam por cinco anos” ou por qualquer prazo uniforme raramente resolve a análise. A amostra de cadastro, o template, o resultado da prova de vida, o log de autenticação, a evidência de uma contestação e os dados de uma investigação têm finalidades distintas.

A matriz de retenção deve listar cada componente, finalidade, hipótese legal, evento inicial, prazo ou critério de término, forma de eliminação e exceções aplicáveis. Também deve indicar o que ocorre quando a conta não é aberta, quando o cliente encerra a relação, quando o fornecedor muda ou quando uma finalidade deixa de existir.

Limitar retenção não significa apagar evidências necessárias para defesa ou cumprimento regulatório sem análise. Significa não manter tudo porque algum registro pode ser necessário. A separação permite preservar o que tem fundamento e eliminar o restante.

O fornecedor faz parte do risco

Muitos bancos contratam empresas especializadas para prova de vida, comparação facial, leitura documental ou biometria comportamental. O contrato não pode se limitar a disponibilidade e taxa de acerto.

A avaliação deve cobrir localização do processamento, suboperadores, transferências internacionais, isolamento entre clientes, uso para treinamento, descarte, resposta a incidentes, auditoria, suporte a direitos e devolução dos dados ao fim da relação. Também precisa esclarecer quem decide os parâmetros e quem analisa contestações.

Se o fornecedor entrega apenas um resultado sem evidência suficiente para revisão, o banco pode ter dificuldade para explicar uma negativa. Se usa amostras para melhorar produto próprio, pode existir uma finalidade adicional e uma divisão de responsabilidades que precisa ser examinada. Biometria nos bancos não deixa de ser responsabilidade da instituição porque o modelo roda na nuvem de terceiro.

Direitos e contestação precisam chegar ao antifraude

Um titular pode pedir acesso e correção, questionar compartilhamentos e solicitar eliminação nas hipóteses previstas pela LGPD, como dados desnecessários, excessivos, tratados em desconformidade ou tratados com consentimento, observadas as exceções legais de conservação. O artigo 20 também permite solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Outras reclamações sobre bloqueios, fraude ou atendimento podem seguir canais próprios e não devem ser confundidas automaticamente com esse direito. A resposta de privacidade não deve ficar isolada no encarregado se o dado está em uma plataforma antifraude.

O inventário e o contrato precisam permitir localizar amostras, templates, logs e resultados associados ao cliente. A equipe também deve separar o que pode ser fornecido do que revelaria controles sensíveis ou dados de terceiros, justificando eventuais limitações. Correções devem se propagar para evitar que o erro reapareça em nova tentativa.

O artigo da TOGETHER sobre biometria de voz aprofunda autenticação, alternativas e retenção em canais de atendimento. No setor bancário, esses controles precisam ser integrados à abertura de conta, aplicativo, cartões, pagamentos e central de fraude.

Checklist antes de ampliar a biometria nos bancos

Antes de lançar ou expandir um projeto, a instituição deve responder:

Qual fraude ou risco concreto o tratamento pretende reduzir?
Por que o dado biométrico é indispensável nessa etapa?
Quais alternativas menos intrusivas foram comparadas?
Quais amostras, templates, sinais, metadados e logs serão produzidos?
Qual hipótese legal sustenta cada finalidade?
O cliente entende coleta, armazenamento, compartilhamento e efeitos?
Como funcionam contestação, revisão e caminho assistido?
Quais grupos podem sofrer mais erros ou barreiras?
Qual é a retenção de cada componente?
O fornecedor reutiliza dados, contrata suboperadores ou transfere informações?
Quais testes de segurança e fraude foram realizados?
A ANPD pode exigir um RIPD neste tratamento, inclusive por envolver dados sensíveis? Mesmo sem determinação específica, o risco recomenda produzir o documento antes da implantação?
Quem acompanha eficácia, erros, reclamações e novas finalidades?

As respostas devem integrar a documentação de risco. A LGPD permite que a ANPD determine a elaboração de Relatório de Impacto à Proteção de Dados Pessoais, inclusive em operações com dados sensíveis. Separadamente, preparar um RIPD antes de tratamentos biométricos de maior risco é uma recomendação preventiva de governança. Em projetos de biometria nos bancos, o documento pode organizar finalidade, indispensabilidade, riscos, salvaguardas, alternativas e critérios de revisão. A Nota Técnica nº 23/2025 registra contribuições favoráveis a essa prática, mas não representa uma posição regulatória final da Agência. Por isso, a governança da biometria nos bancos precisa ser revisada quando houver novo fornecedor, mudança de modelo, expansão de canal, alteração relevante na fraude ou aumento de reclamações.

Como a TOGETHER pode apoiar

A TOGETHER realiza consultoria em LGPD para mapear fluxos biométricos, revisar hipóteses legais, comparar alternativas, avaliar fornecedores, estruturar retenção e organizar evidências de necessidade. A análise de biometria nos bancos conecta essas decisões ao risco concreto de cada jornada. O trabalho aproxima privacidade, produto, segurança, fraude, jurídico e atendimento antes que a tecnologia seja incorporada à rotina.

Com DPO as a Service, a instituição pode manter acompanhamento contínuo de reclamações, mudanças de modelo, novos usos, incidentes e revisões contratuais. Esse apoio ajuda a evitar que uma solução implantada para um risco específico seja ampliada silenciosamente para outras finalidades.

Prevenção a fraudes e proteção de dados não são objetivos opostos. O problema surge quando a segurança é usada como justificativa genérica, sem delimitar coleta, retenção e responsabilidade. Biometria nos bancos pode ser adequada e necessária em situações concretas. Para permanecer legítima, precisa continuar explicável, limitada, segura e revisável durante todo o ciclo de vida.