A cena é familiar em qualquer obra de médio e grande porte: trabalhadores encostam o dedo na catraca ou olham para uma câmera de reconhecimento facial ao entrar no canteiro. O sistema registra presença, controla acesso a áreas restritas e alimenta a folha de ponto. Simples, eficiente, aparentemente inofensivo.
Só que, pela Lei Geral de Proteção de Dados (Lei 13.709/2018), dado biométrico é dado pessoal sensível (art. 5º, II). Isso significa que ele recebe a categoria de proteção mais alta da legislação brasileira, com bases legais restritas, obrigações adicionais de transparência e a exigência de elaboração de RIPD (Relatório de Impacto à Proteção de Dados Pessoais). E a ANPD já deixou claro que está de olho.
Caso real (agosto/2026): a ANPD determinou a suspensão imediata do uso de reconhecimento facial em escolas estaduais do Paraná. A decisão apontou falta de base legal adequada, desproporcionalidade (existiam alternativas menos invasivas), falhas de segurança e ausência de evidências de controle sobre fornecedores. O governo estadual tem 10 dias para comprovar a interrupção. O caso foi encaminhado à área de sanções. (Fonte: G1, 06/08/2026)
O precedente é direto e aplicável a canteiros de obra: se o reconhecimento facial em escolas foi considerado desproporcional, imagine em um canteiro onde o crachá com QR code ou o cartão de proximidade cumprem a mesma função de controle de acesso.
Por Que Dado Biométrico É Diferente
A LGPD, em seu art. 5º, II, lista dado biométrico como dado pessoal sensível, ao lado de origem racial, convicção religiosa, opinião política e dados de saúde. O raciocínio é simples: uma senha pode ser trocada, uma impressão digital, não. Se o template biométrico de um trabalhador vaza, ele carrega essa vulnerabilidade pela vida inteira.
O Radar Tecnológico nº 2 da ANPD (junho/2024), dedicado inteiramente a Biometria e Reconhecimento Facial, reforça esse entendimento e detalha os riscos: discriminação algorítmica, vigilância desproporcional, vazamento irreversível e uso secundário não autorizado dos dados.
A cena é familiar em qualquer obra de médio e grande porte: trabalhadores encostam o dedo na catraca ou olham para uma câmera de reconhecimento facial ao entrar no canteiro. O sistema registra presença, controla acesso a áreas restritas e alimenta a folha de ponto. Simples, eficiente, aparentemente inofensivo.
Só que, pela Lei Geral de Proteção de Dados (Lei 13.709/2018), dado biométrico é dado pessoal sensível (art. 5º, II). Isso significa que ele recebe a categoria de proteção mais alta da legislação brasileira, com bases legais restritas, obrigações adicionais de transparência e a exigência de elaboração de RIPD (Relatório de Impacto à Proteção de Dados Pessoais). E a ANPD já deixou claro que está de olho.
Caso real (agosto/2026): a ANPD determinou a suspensão imediata do uso de reconhecimento facial em escolas estaduais do Paraná. A decisão apontou falta de base legal adequada, desproporcionalidade (existiam alternativas menos invasivas), falhas de segurança e ausência de evidências de controle sobre fornecedores. O governo estadual tem 10 dias para comprovar a interrupção. O caso foi encaminhado à área de sanções. (Fonte: G1, 06/08/2026)
O precedente é direto e aplicável a canteiros de obra: se o reconhecimento facial em escolas foi considerado desproporcional, imagine em um canteiro onde o crachá com QR code ou o cartão de proximidade cumprem a mesma função de controle de acesso.
Por Que Dado Biométrico É Diferente
A LGPD, em seu art. 5º, II, lista dado biométrico como dado pessoal sensível, ao lado de origem racial, convicção religiosa, opinião política e dados de saúde. O raciocínio é simples: uma senha pode ser trocada, uma impressão digital, não. Se o template biométrico de um trabalhador vaza, ele carrega essa vulnerabilidade pela vida inteira.
O Radar Tecnológico nº 2 da ANPD (junho/2024), dedicado inteiramente a Biometria e Reconhecimento Facial, reforça esse entendimento e detalha os riscos: discriminação algorítmica, vigilância desproporcional, vazamento irreversível e uso secundário não autorizado dos dados.
A ANPD Está Regulamentando Biometria Agora
A regulamentação de dados biométricos é o Item 5 da Agenda Regulatória da ANPD para 2025-2026 (Resolução CD/ANPD nº 23/2024). Em junho de 2025, a Agência abriu Tomada de Subsídios pública sobre o tema, que recebeu contribuições até agosto de 2025. A Nota Técnica nº 23/2025 consolidou os resultados e subsidiará a normativa específica em desenvolvimento.
Isso significa que, até o final de 2026, o Brasil provavelmente terá regras específicas para uso de biometria, incluindo critérios de necessidade, proporcionalidade, alternativas menos invasivas e requisitos de segurança. Construtoras que implementaram catracas biométricas sem avaliação prévia terão que se adequar.
Para acompanhar o que a ANPD planeja fiscalizar nos próximos dois anos: O Mapa de Fiscalização da ANPD para 2026-2027: o que sua empresa precisa saber antes de estar na mira.
Bases Legais: O Que Justifica a Biometria no Canteiro
Diferentemente de dados pessoais comuns (que podem ser tratados por legítimo interesse, execução de contrato, entre outras bases), dados sensíveis como biometria só podem ser tratados nas hipóteses restritas do art. 11 da LGPD. As mais relevantes para o contexto de canteiro de obra são:
O ponto central que a ANPD sinalizou no caso do Paraná: "a conveniência fundamentada na praticidade não é capaz de sustentar a necessidade exigida" pela LGPD. Se existe alternativa menos invasiva (crachá, QR code, cartão de proximidade), a biometria precisa de justificativa robusta para ser mantida.
O teste de necessidade e proporcionalidade: antes de implementar (ou manter) biometria no canteiro, a construtora deve responder:
(1) A finalidade pode ser atingida por meio menos invasivo?
(2) Os benefícios da biometria superam os riscos para os trabalhadores?
(3) Há alternativa oferecida a quem não deseja fornecer dados biométricos?
Se a resposta para (1) for sim e para (2) for incerta, a biometria é desproporcional.
O RIPD É Obrigatório Para Biometria no Canteiro
O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é exigido sempre que o tratamento pode gerar "risco relevante" aos titulares (art. 38, LGPD). A ANPD já definiu que tratamento de dados sensíveis em larga escala é, automaticamente, tratamento de alto risco. Um canteiro com 200, 500 ou 1000 trabalhadores cujas digitais são coletadas diariamente se enquadra sem margem para dúvida.
O RIPD para biometria em canteiro deve documentar:
Descrição do tratamento: quais dados biométricos são coletados (digital, face, palma), por qual sistema, para qual finalidade específica.
Análise de necessidade e proporcionalidade: por que a biometria é necessária? Alternativas foram avaliadas e descartadas por quais razões?
Riscos identificados: vazamento do template biométrico, uso secundário, discriminação, vigilância desproporcional.
Medidas mitigadoras: criptografia do template, controle de acesso ao sistema, política de retenção, plano de resposta a incidentes.
Bases legais aplicáveis: qual hipótese do art. 11 fundamenta o tratamento.
Alternativa para recusa: como o trabalhador que não consente pode acessar o canteiro (crachá alternativo, por exemplo).
Para um guia completo de como elaborar o RIPD na prática: RIPD passo a passo: como conduzir uma Avaliação de Impacto à Proteção de Dados na sua empresa.
Medidas Técnicas e Organizacionais Obrigatórias
Independentemente da base legal escolhida, o art. 46 da LGPD exige que o controlador adote medidas de segurança proporcionais ao risco. Para dados biométricos, o padrão é elevado:
Medidas técnicas
Armazenamento local (edge), não em nuvem: sempre que possível, o template biométrico deve ficar no dispositivo (catraca), não em servidor centralizado. Isso reduz a superfície de ataque.
Criptografia do template: AES-256 em repouso. O dado nunca deve ser armazenado em texto claro.
Exclusão automática após desligamento: quando o trabalhador sai da obra, o template é apagado em até 48 horas. Retenção sem finalidade é ilegal.
Logs de acesso auditáveis: registrar quem consultou os dados biométricos, quando e por quê.
Segregação de rede: o sistema de controle de acesso biométrico não deve compartilhar rede com sistemas administrativos ou financeiros.
Medidas organizacionais
Termo de ciência claro e acessível: informar ao trabalhador, em linguagem simples, quais dados são coletados, para quê, por quanto tempo e quais seus direitos.
Alternativa não biométrica obrigatória: oferecer crachá ou cartão como opção para quem não deseja fornecer biometria. A ANPD já sinalizou que a ausência de alternativa invalida o consentimento.
Treinamento dos responsáveis pelo sistema: quem administra a catraca biométrica precisa saber que está lidando com dados sensíveis.
Contrato com fornecedor do sistema: o fabricante da catraca/câmera é operador de dados nos termos da LGPD. O contrato precisa ter cláusulas de proteção de dados, limitação de finalidade e obrigação de exclusão.
Para entender como estruturar a relação com fornecedores de tecnologia nesse contexto: Gestão de fornecedores e LGPD: como mapear, contratar e monitorar operadores de dados com segurança.
Fluxo de Conformidade: Do Canteiro ao Compliance
O Que a ANPD Vai Perguntar em uma Fiscalização
Com base nos precedentes (caso Paraná, caso Worldcoin/World, caso farmácias), podemos antecipar as perguntas que a ANPD faria a uma construtora fiscalizada:
Pergunta da ANPD
Resposta esperada (se conforme)
Qual a base legal para o tratamento de dados biométricos?
Art. 11, II, "b" (obrigação legal/regulatória) ou "d" (exercício regular de direitos), com justificativa documentada no RIPD.
Foi elaborado RIPD?
Sim, com análise de necessidade, proporcionalidade, riscos e medidas mitigadoras.
Existe alternativa para trabalhadores que não desejam fornecer biometria?
Sim, crachá com QR code/cartão de proximidade como opção equivalente.
Os trabalhadores foram informados de forma clara?
Sim, via termo de ciência em linguagem acessível, entregue no momento da admissão.
Por quanto tempo os dados são retidos?
Durante a vigência do contrato de trabalho + prazo legal (5 anos para registros trabalhistas). Template biométrico apagado em 48h após desligamento.
Quais medidas de segurança protegem os dados?
Criptografia AES-256, armazenamento local, segregação de rede, logs auditáveis, controle de acesso por perfil.
O fornecedor do sistema foi avaliado?
Sim, contrato com cláusulas LGPD, limitação de finalidade e obrigação de exclusão.
Perguntas típicas da ANPD em fiscalização de uso de biometria (compilação com base em precedentes)
Se sua construtora não consegue responder a essas perguntas hoje, é hora de agir. Para começar a estruturar o programa de proteção de dados da empresa como um todo: Como estruturar um programa de proteção de dados na sua empresa.
O Caminho Prático: Biometria Sim, Mas Com Governança
A mensagem não é que construtoras devem abandonar a biometria. É que devem tratá-la com o nível de governança que a lei exige para dados sensíveis. A biometria pode ser mantida quando: (1) há justificativa documentada de necessidade; (2) o RIPD foi elaborado; (3) existem medidas técnicas adequadas; (4) há alternativa para quem não deseja fornecer; (5) o fornecedor foi avaliado.
O custo de adequação é baixo comparado ao risco. Um RIPD bem elaborado, um termo de ciência claro, uma política de retenção definida e a oferta de alternativa não biométrica resolvem 80% da exposição. O que a ANPD está punindo não é o uso da tecnologia em si, mas a ausência de governança sobre ela.
Para entender a diferença entre segurança da informação (proteger o sistema) e proteção de dados (proteger a pessoa): Segurança da Informação e Proteção de Dados: Entenda as Diferenças e Como Funcionam Juntas.
E para treinamento das equipes que operam esses sistemas diariamente: Como implementar um programa de conscientização em segurança da informação que realmente funciona.
Fontes e Referências
LGPD (Lei 13.709/2018), arts. 5º (II), 11, 38, 46 e 48.
ANPD, Radar Tecnológico nº 2: Biometria e Reconhecimento Facial (jun/2024). Disponível em: gov.br/anpd
ANPD, Tomada de Subsídios: Dados Biométricos (jun-ago/2025). Item 5 da Agenda Regulatória 2025-2026. Fonte: gov.br/anpd
ANPD suspende reconhecimento facial em escolas do Paraná (ago/2026). Fonte: G1/Globo
Resolução CD/ANPD nº 30/2025: Mapa de Temas Prioritários 2026-2027.
Resolução CD/ANPD nº 15/2024: Comunicação de incidentes de segurança.
ANPD suspende coleta de íris pela World (2025): multa de R$ 50 mil/dia. Fonte: Confidata Blog.
Porter (mai/2026): "Controle de acesso por biometria: o que diz a ANPD em 2026". Fonte: porter.com.br
Perguntas Frequentes
A biometria em canteiro de obra é proibida pela LGPD?
Não é proibida. Mas é regulada com rigor. Dado biométrico é dado sensível (art. 5º, II) e só pode ser tratado nas hipóteses do art. 11 da LGPD. Além disso, exige RIPD, medidas de segurança reforçadas, transparência ao trabalhador e oferta de alternativa. O que a ANPD pune é o uso sem governança: sem base legal definida, sem avaliação de proporcionalidade e sem alternativa para o titular.
Posso usar o consentimento do trabalhador como base legal?
É possível, mas arriscado. Na relação de trabalho, há desequilíbrio de poder entre empregador e empregado. A ANPD e a doutrina entendem que o consentimento pode não ser verdadeiramente "livre" nesse contexto (o trabalhador pode temer represálias se recusar). Por isso, é mais seguro fundamentar o tratamento em outra base legal do art. 11 (como exercício regular de direitos em contrato de trabalho) e, mesmo assim, oferecer alternativa não biométrica.
Preciso oferecer alternativa ao trabalhador que não quer usar biometria?
Sim. A ANPD tem sinalizado consistentemente que a ausência de alternativa menos invasiva é um dos fatores que tornam o tratamento desproporcional. Na prática, basta oferecer crachá com QR code ou cartão de proximidade como meio alternativo de acesso. O trabalhador não pode ser prejudicado por recusar a biometria (não pode ser impedido de trabalhar, sofrer atrasos ou ser tratado de forma diferenciada).
Por quanto tempo posso guardar os dados biométricos?
Somente enquanto houver finalidade legítima. Para controle de acesso ao canteiro, a finalidade cessa quando o trabalhador é desligado ou a obra termina. O template biométrico deve ser eliminado em prazo curto (recomendamos até 48 horas após o fim do vínculo). Registros de ponto (horários, sem o dado biométrico em si) devem ser retidos pelo prazo trabalhista de 5 anos. Não confunda: reter o registro de ponto é diferente de reter a impressão digital.
O que acontece se os dados biométricos vazarem?
O impacto é permanente. Diferentemente de uma senha, o trabalhador não pode "trocar" sua impressão digital ou seu rosto. A construtora deve comunicar a ANPD em até 3 dias úteis (Resolução CD/ANPD nº 15/2024) e os titulares afetados. Além da sanção administrativa (multa de até R$ 50 milhões), a empresa responde civilmente por danos morais presumidos (precedente STJ 2025: vazamento de dados pessoais que viabiliza fraude configura dano moral in re ipsa).
