Publicado em 19 de maio de 2026 · Conformidade · ~9 min de leitura

LGPD Biometria Facial em Condomínio e Empresa: Guia 2026

Atualizado em

Biometria facial é dado pessoal sensível (LGPD Art. 11). Em 2025, os Decretos federais 12.561 e 12.564 elevaram o tema ao centro do Estado Digital brasileiro, e a ANPD abriu Tomada de Subsídios pra publicar guia normativo. Esse guia explica como condomínios e empresas podem usar reconhecimento facial em conformidade — sem inviabilizar o projeto.

Por que biometria facial virou tema regulatório central

A LGPD (Lei 13.709/2018) classifica dados biométricos como dados pessoais sensíveis no Art. 11 — categoria mais protegida da lei. Por que? Porque dado biométrico é único e imutável: se vaza, não dá pra trocar como uma senha. Uma vez que o template facial de uma pessoa cai em mãos erradas, ela carrega a vulnerabilidade pela vida toda.

Em 2025, três eventos sinalizaram um movimento regulatório mais amplo em torno da biometria no Brasil:

  • Decretos 12.561/2025 (23/07/2025) e 12.564/2025 (24/07/2025): embora endereçados a setores específicos — o 12.561/2025 condiciona a concessão, manutenção e renovação de benefícios da seguridade social da União (INSS e benefícios assistenciais) à existência de cadastro biométrico, considerando como tal o constante da base da CIN (Carteira de Identidade Nacional); o 12.564/2025 regulamenta o art. 2º-I da Lei 10.820/2003, estabelecendo procedimentos de verificação biométrica, consentimento e uso de assinaturas eletrônicas/digitais em operações de crédito consignado. Sinalizam uma tendência regulatória federal mais ampla que tende a influenciar normativas futuras pra setor privado (incluindo controle de acesso em condomínios e empresas).
  • ANPD abriu Tomada de Subsídios sobre Tratamento de Dados Biométricos de 2/junho/2025 a 2/julho/2025, com mais de 1.500 contribuições. A Nota Técnica 23/2025 da ANPD consolidou os entendimentos e orienta empresas sobre tecnologias de identificação biométrica. Guia normativo específico (resolução) é esperado pra 2026.
  • PL 2.379/2025 (em tramitação na Câmara — consulte o andamento atualizado em camara.leg.br) propõe alterar a LGPD pra garantir ao cidadão o direito a uma alternativa de identificação sem biometria facial, salvo exigência legal expressa. Caso seja aprovado nos termos atualmente propostos, plataformas digitais e ambientes físicos (incluindo condomínios) precisariam oferecer alternativa não-biométrica. Como qualquer PL, o texto pode ser alterado durante a tramitação — vale acompanhar a versão final.

Resultado: condomínios e empresas que adotam reconhecimento facial sem adequação LGPD operam num risco regulatório alto — multa potencial de 2% do faturamento anual (limite R$ 50M/infração) + responsabilização do controlador, e possivelmente do operador (instalador). Adicionalmente, o cenário regulatório está em evolução — não é apenas LGPD estática.

Base legal: o que justifica coletar biometria

A LGPD (Art. 7º e 11º) lista bases legais pra tratamento de dados pessoais. Pra biometria, as 3 mais comuns são:

1. Consentimento (Art. 7º I + 11º I)

Funcionário ou morador concorda explicitamente. Tem que ser específico, informado, livre, destacado de outras cláusulas. Pode ser revogado a qualquer momento. Risco: em relação trabalhista assimétrica (empregador vs empregado), consentimento pode ser questionado em juízo como "viciado".

2. Cumprimento de obrigação legal (Art. 7º II)

Pra controle de ponto eletrônico, essa é a base legal padrão — CLT Art. 74 + Portaria 671/2021 obrigam controle de jornada. Empregador não precisa de consentimento do funcionário pra registrar o ponto. Limite: só vale pra ponto. Não cobre controle de acesso pra áreas onde o funcionário não tem obrigação de bater ponto.

3. Legítimo interesse (Art. 7º IX + balanceamento)

Pra controle de acesso — em empresa ou condomínio — legítimo interesse de segurança patrimonial é a base mais usada. Boa prática consolidada exige balanceamento documentado entre interesse do controlador e direitos do titular (prática conhecida como LIA — Avaliação de Legítimo Interesse). Ausência desse balanceamento documentado expõe o controlador a questionamento regulatório em eventual fiscalização da ANPD.

Os 6 princípios da LGPD aplicados a biometria

Independente da base legal, todo tratamento de biometria precisa observar os princípios do Art. 6º:

  1. Finalidade: coletar APENAS pra propósito declarado. Coletou pra ponto? Não pode reutilizar pra controle de acesso sem nova base legal.
  2. Adequação: meios proporcionais à finalidade. Foto facial pra reconhecer no facial OK; foto facial pra alimentar IA de marketing não-OK.
  3. Necessidade / Minimização: coletar apenas o mínimo necessário. Sistemas modernos guardam só o template biométrico (vetor matemático irreversível), não a imagem bruta. Sistemas legados que guardam fotos são imediatamente não-conformes.
  4. Livre acesso: titular pode consultar seus dados, prazo de retenção, com quem foram compartilhados.
  5. Qualidade dos dados: precisão e atualização. Template biométrico precisa funcionar — se sistema falha 30% das vezes, qualidade está comprometida.
  6. Transparência: informação clara, precisa e facilmente acessível. Política de Privacidade, regulamento interno (condomínio), termo de aviso no local da captura.

Direitos do titular (e o que isso obriga você a fazer)

O Art. 18 da LGPD lista direitos do titular. Pra biometria, os mais relevantes:

  • Direito à confirmação e acesso — titular pode pedir comprovação de que seus dados estão sendo tratados e cópia. Obriga você a: ter processo formal de resposta em até 15 dias.
  • Direito à correção — se template biométrico está desatualizado (mudança facial significativa), titular pede atualização.
  • Direito à anonimização ou eliminação — titular pediu pra sair? Você deleta o template. Obriga você a: ter processo de eliminação em sistemas Control iD, Hikvision, etc. Não basta excluir do banco — tem que confirmar que template foi expurgado de backups também.
  • Direito à informação sobre uso compartilhado — com quem você compartilhou os dados? Se enviou pro fabricante via nuvem (alguns sistemas fazem), titular tem direito de saber.
  • Direito à revogação do consentimento — se base legal é consentimento, pode ser revogado. Tratamento cessa imediatamente.

DPIA (Relatório de Impacto): quando é recomendado

Importante: a elaboração do DPIA é responsabilidade de DPO ou consultor jurídico/LGPD especializado — a Alltec não emite parecer LGPD nem elabora DPIA. Podemos indicar parceiros confiáveis no Ceará e fornecer dados técnicos do sistema (criptografia em uso, prazos de retenção configurados, controles de acesso aos dados, logs de auditoria) que normalmente alimentam o relatório elaborado pelo DPO/consultor.

O DPIA (ou RIPD — Relatório de Impacto à Proteção de Dados Pessoais) é o documento que avalia riscos do tratamento de dados sensíveis. A ANPD recomenda DPIA em tratamento de biometria em larga escala — pra condomínios, "larga escala" é normalmente acima de 100 moradores ou áreas com fluxo alto.

Os componentes típicos que o DPO/consultor documenta no DPIA são:

  • Descrição do tratamento (o que, como, por quê, onde)
  • Identificação dos riscos (vazamento, uso indevido, viés algorítmico)
  • Medidas de mitigação (criptografia, controle de acesso, retenção mínima)
  • Garantias dos direitos do titular
  • Análise da necessidade e proporcionalidade

Adequação prática pra condomínio

Roteiro pra implantar reconhecimento facial em condomínio sem virar problema na ANPD:

  1. Decisão coletiva em assembleia — pauta específica, votação formal, ata registrada em cartório. Isso documenta a base legal (legítimo interesse pra segurança patrimonial).
  2. Inclusão no Regimento Interno — cláusula sobre coleta de biometria, finalidade, retenção, direitos dos moradores.
  3. Política de Privacidade do condomínio — documento público (no portal ou no app), explicando tratamento de dados.
  4. Termo de Adesão — assinado por cada morador no cadastro biométrico. Não é "consentimento" stricto sensu (base legal é legítimo interesse), mas é boa prática.
  5. Aviso visível no local da captura — placa "Coleta de imagem facial pra controle de acesso. Mais informações: [QR Code pra Política de Privacidade]".
  6. Escolha do sistema — só sistemas que armazenam template e não imagem bruta. Linha Control iD (iDFace Max, iDBlock) é segura nesse critério.
  7. Designar DPO (encarregado) — pode ser síndico, administradora ou DPO externo. ANPD exige ter o canal de contato declarado.
  8. Processo de eliminação — quando morador sai, template é deletado em até X dias (definir prazo no regulamento).

Adequação prática pra empresa

Pra empresas (corporativo, comercial, indústria), o roteiro é similar com adaptações:

  • Base legal: cumprimento de obrigação legal (controle de ponto via CLT/Portaria 671) OU legítimo interesse (controle de acesso a áreas restritas).
  • Política de Privacidade da empresa deve incluir seção específica sobre biometria.
  • Termo de Aviso no contrato de trabalho — explicar que sistema de ponto coleta biometria.
  • Processo de eliminação pós-desligamento — template deletado em até 30 dias após rescisão contratual (boa prática).
  • DPO designado — empresas com >250 funcionários praticamente obrigadas a ter DPO. Pequenas/médias podem usar DPO externo.
  • DPIA recomendado pra empresas com >100 funcionários ou múltiplos pontos de captura.

Penalidades e casos reais

As sanções da LGPD (Art. 52) são escalonadas:

  1. Advertência (com prazo de adequação)
  2. Multa simples — até 2% do faturamento anual, limitada a R$ 50 milhões por infração
  3. Multa diária — pra obrigações continuadas descumpridas
  4. Publicização da infração — danoso reputacional
  5. Bloqueio dos dados — congelamento até regularização
  6. Eliminação dos dados — apagar o que foi coletado

A atividade sancionatória da ANPD passou a ser exercida com mais frequência desde 2023, atingindo tanto entes públicos quanto privados. Com a publicação da Nota Técnica 23/2025 consolidando entendimentos sobre tratamento de dados biométricos e a conclusão da Tomada de Subsídios em julho/2025, o tema biometria seguiu como prioridade regulatória declarada da agenda 2026. O registro oficial de sanções aplicadas pela ANPD pode ser consultado em gov.br/anpd; casos específicos e jurisprudência atualizada devem ser analisados por advogado especialista em proteção de dados.

Como a Alltec ajuda no projeto

A Alltec não é consultoria LGPD — somos integrador de sistemas. Mas entregamos o projeto técnico em conformidade desde a especificação:

  • Indicamos sistemas que armazenam template (não imagem bruta) — linha Control iD é referência
  • Configuramos retenção e exclusão de dados conforme política definida
  • Treinamos a equipe local sobre operação do sistema com respeito aos princípios LGPD
  • Indicamos parceiros DPO confiáveis no Ceará pra DPIA e documentação formal

Veja nosso guia completo de controle de acesso pra entender a integração técnica.

Perguntas frequentes

Biometria facial em condomínio é permitida pela LGPD?

Sim, com base legal explícita (consentimento ou legítimo interesse com balanceamento), informação clara aos moradores, política de privacidade, direito de exclusão e DPIA recomendado.

Empresa pode coletar biometria sem consentimento explícito?

Em ponto eletrônico, sim — base legal é cumprimento de obrigação legal (CLT Art. 74 + Portaria 671). Em controle de acesso, base é legítimo interesse com balanceamento documentado.

O que é DPIA e quando é obrigatório?

Relatório de Impacto à Proteção de Dados. Recomendado pra biometria em larga escala (>100 pessoas). ANPD pode exigir durante fiscalização.

Quanto é a multa por violação?

Até 2% do faturamento anual, limitada a R$ 50M/infração. Em condomínio sem CNPJ, critério específico da ANPD.

Posso armazenar a foto facial do morador?

Não — princípio da minimização. Sistemas modernos guardam só o template biométrico (vetor irreversível), não a imagem bruta.

Síndico pode ser pessoalmente responsabilizado?

Pode ser, dependendo do caso — a LGPD (Art. 42) responsabiliza o controlador (condomínio), representado pelo síndico (Código Civil Art. 1.348), com hipóteses de corresponsabilização em omissão na governança de dados. Boas práticas mitigadoras: documentar decisão coletiva (ata), contratar operador com cláusulas LGPD no contrato, designar DPO. Análise concreta exige advogado especializado em proteção de dados.

Pronto pra implantar controle de acesso facial alinhado à LGPD?

A Alltec entrega projeto técnico alinhado à LGPD desde a especificação (criptografia em uso, prazos de retenção configurados, controle de acesso aos dados, logs de auditoria). Linha Control iD (iDFace Max + iDBlock), suporte presencial em Fortaleza/CE, treinamento da equipe local. O parecer jurídico e a elaboração da DPIA ficam por conta de DPO ou advogado especializado — podemos indicar parceiros no Ceará.

Falar com especialista Ver guia de Controle de Acesso

Leituras relacionadas:

Fale conosco