LGPD: primeira multa por uso indevido de dado biométrico no ponto

Contexto

A Lei Geral de Proteção de Dados (LGPD), instituída pela Lei nº 13.709/2018, estabelece diretrizes rigorosas para o tratamento de dados pessoais no Brasil. Em um cenário onde a tecnologia avança rapidamente, a utilização de dados biométricos, como impressões digitais e reconhecimento facial, tornou-se comum em sistemas de controle de ponto. Contudo, a recente aplicação de uma multa por uso indevido de dados biométricos sinaliza um alerta para empresas que não estão em conformidade com a legislação.

O caso em questão envolveu uma empresa que utilizava dados biométricos de seus funcionários para controle de ponto sem a devida base legal, conforme exigido pela LGPD. A Autoridade Nacional de Proteção de Dados (ANPD) determinou a penalidade, destacando a gravidade do uso inadequado de informações sensíveis, que podem levar a consequências severas tanto para os indivíduos quanto para as organizações.

Base legal para o uso de dados biométricos

Segundo a LGPD, dados biométricos são classificados como dados pessoais sensíveis e, portanto, requerem um tratamento especial. O artigo 5º, inciso II, da LGPD define dados pessoais como informações relacionadas a uma pessoa natural identificada ou identificável. Já o artigo 9º estabelece que o tratamento de dados sensíveis, incluindo dados biométricos, só pode ser realizado mediante o cumprimento de determinadas condições, como:

• Consentimento do titular;
• Cumprimento de obrigação legal ou regulatória;
• Execução de contrato;
• Proteção da vida ou da incolumidade física;
• Interesse legítimo do controlador, desde que respeitados os direitos do titular.

Além disso, a Portaria MTP 671/2021, que regulamenta o uso de dados biométricos no controle de ponto, estabelece diretrizes adicionais que as empresas devem seguir, incluindo a necessidade de garantir a segurança e a privacidade dos dados coletados. A Consolidação das Leis do Trabalho (CLT), nos artigos 58 a 75, também aborda aspectos relacionados ao controle de jornada, mas não contempla diretamente a proteção de dados, o que torna a LGPD um complemento essencial para a legislação trabalhista.

Aplicação prática no departamento pessoal

Para que as empresas evitem sanções e garantam a conformidade com a LGPD, é fundamental adotar práticas seguras no tratamento de dados biométricos. A seguir, apresentamos algumas medidas que podem ser implementadas no departamento pessoal:

1. Mapeamento de dados: Realizar um levantamento detalhado dos dados biométricos coletados, identificando a finalidade e a base legal para o tratamento.
2. Consentimento: Implementar um processo claro e transparente para obter o consentimento dos funcionários, garantindo que eles compreendam como seus dados serão utilizados.
3. Segurança da informação: Adotar medidas de segurança eficazes, como criptografia e controle de acesso, para proteger os dados biométricos contra acessos não autorizados.
4. Treinamento: Capacitar a equipe de recursos humanos e demais colaboradores sobre a LGPD e a importância da proteção de dados pessoais.
5. Política de privacidade: Elaborar e divulgar uma política de privacidade que detalhe como os dados biométricos são coletados, utilizados, armazenados e descartados.

Essas ações não apenas ajudam a evitar multas, mas também promovem uma cultura de respeito à privacidade e à proteção de dados dentro da organização.

O que fica em aberto

Apesar dos avanços na regulamentação do uso de dados biométricos, ainda existem questões controversas e pontos que carecem de maior clareza na jurisprudência. Entre eles, destacam-se:

• Definição de consentimento: A interpretação do que constitui um consentimento válido pode variar, levando a incertezas sobre a adequação das práticas adotadas pelas empresas.
• Direitos dos titulares: A aplicação prática dos direitos dos titulares (como acesso, retificação e eliminação de dados) ainda gera dúvidas, especialmente em relação a dados biométricos.
• Responsabilidade solidária: A responsabilidade por eventuais vazamentos de dados e a aplicação de penalidades entre controladores e operadores de dados ainda carecem de definição mais clara.

A ANPD continua a trabalhar para esclarecer essas questões, mas é essencial que as empresas se mantenham atualizadas sobre as mudanças na legislação e nas orientações da autoridade reguladora.

Fontes primárias

• CLT (Planalto)
• MTE — gov.br/trabalho
• TST
• ANPD — Autoridade Nacional de Proteção de Dados
• Segurança da Informação — Governo Digital

Perguntas frequentes