LGPD, biometria e ponto eletrônico: quanto tempo guardar a imagem
Quando a empresa adota reconhecimento facial no ponto eletrônico, a primeira preocupação costuma ser "funciona direito?". A segunda, que aparece meses depois — às vezes só quando chega uma notificação —, é "por quanto tempo posso ficar com essa imagem?".
A resposta não é simples, mas tem lógica. E entender essa lógica evita dois erros opostos: guardar mais do que precisa (risco de autuação) e apagar antes da hora (risco trabalhista).
Por que a imagem do ponto é um dado sensível
A LGPD classifica dado biométrico como dado sensível. Isso significa que ele recebe tratamento mais rigoroso do que um nome ou um número de telefone. Para usar, a empresa precisa de base legal explícita — no contexto trabalhista, a base mais sólida é o legítimo interesse do empregador combinado com a obrigação legal de manter o registro de jornada.
O que muda na prática: você não pode simplesmente "ter" a imagem sem justificar para que ela serve e por quanto tempo vai ficar armazenada. Isso precisa estar documentado — no contrato de trabalho, no aviso de privacidade ou num termo específico de consentimento, dependendo de como o seu jurídico estruturou a base legal.
A selfie capturada no momento da batida não é só uma foto. É um dado sensível vinculado a um registro de jornada, e a empresa responde por ela enquanto estiver nos servidores.
Quanto tempo guardar
Aqui entram duas réguas diferentes, e você precisa respeitar a mais longa das duas.
A primeira é trabalhista. A Portaria 671/2021 do Ministério do Trabalho exige que os registros de ponto sejam conservados por pelo menos cinco anos. Esse prazo existe porque é o período em que um ex-funcionário pode ingressar com reclamatória trabalhista. Se a empresa não tiver o espelho de ponto completo, a presunção pode virar contra ela.
A segunda é a LGPD. Ela diz que o dado pessoal — incluindo o dado sensível — deve ser eliminado assim que a finalidade que justificou a coleta for encerrada, salvo obrigação legal que justifique manter.
Juntando as duas: enquanto existir risco trabalhista ativo, a obrigação legal de guardar o registro prevalece. Passado o prazo prescricional, a finalidade se encerra e o dado precisa ser eliminado. Guardar a imagem indefinidamente, "só por precaução", não tem amparo — e é exatamente o tipo de conduta que a Autoridade Nacional de Proteção de Dados (ANPD) pode questionar numa fiscalização.
Na prática, o prazo mais conservador e defensável é de cinco anos a partir da data de desligamento do funcionário. Após esse período, a imagem não tem mais base legal para ficar armazenada.
Como fazer o descarte de forma segura
Descartar dado sensível não é deletar o arquivo e esvaziar a lixeira. A LGPD exige que o descarte seja feito de modo a impedir a recuperação. Para imagens armazenadas em servidor, isso significa sobrescrita segura ou destruição criptográfica — dependendo da infraestrutura do fornecedor.
Alguns passos práticos para organizar esse processo na sua empresa:
- Mapeie onde a imagem fica. Se você usa um sistema terceirizado, pergunte ao fornecedor: onde a imagem é armazenada, por quanto tempo ele a retém por padrão e qual é o processo de exclusão. Isso deve estar no contrato de processamento de dados (o chamado DPA, ou Acordo de Processamento de Dados).
- Defina o gatilho de descarte. O mais simples é a data de desligamento do funcionário acrescida do prazo de cinco anos. Coloque isso no seu processo de offboarding.
- Registre o descarte. Guarde um log de que a exclusão foi feita, com data e responsável. Se a ANPD perguntar, você precisa provar que descartou — não apenas dizer que descartou.
- Revise os dados de funcionários ativos periodicamente. Imagens de colaboradores que ainda trabalham na empresa também precisam de base legal contínua. Se a empresa parou de usar reconhecimento facial mas as imagens ficaram no servidor, isso já é um problema.
- Atualize o aviso de privacidade. O funcionário tem direito de saber por quanto tempo o dado dele será mantido. Se o prazo mudou ou nunca foi informado, corrija agora.
O que acontece se a empresa não faz nada disso
A ANPD pode autuar por duas razões distintas: guardar dado sem base legal e não eliminar quando a finalidade acabou. As sanções vão de advertência a multa calculada sobre o faturamento da empresa. Além disso, o funcionário pode pedir a exclusão dos dados dele a qualquer momento — e a empresa precisa conseguir atender esse pedido com rastreabilidade.
No campo trabalhista, o risco é inverso: se a empresa apagou o registro antes do prazo, ela perde a prova mais importante numa ação de horas extras.
Guardar na hora certa e descartar na hora certa não são objetivos opostos. São dois lados da mesma política de retenção de dados.
Como o baterponto trata esse ciclo
No baterponto, a selfie capturada no momento da batida fica vinculada ao registro daquele funcionário naquela empresa. O registro em si é imutável — ninguém apaga uma batida — e o histórico de correções fica preservado com o antes e o depois. Para a gestão do ciclo de retenção da imagem, a empresa define junto ao contrato de processamento de dados por quanto tempo o dado biométrico fica armazenado e qual é o processo de exclusão ao final do prazo. Isso permite que o RH ou o DPO da empresa construa a política de descarte sobre uma base rastreável, sem depender de planilha ou processo manual para saber o que ainda está guardado.