LGPD biometria ponto eletrônico: qual base legal usar
Quando você coloca reconhecimento facial ou digital no ponto eletrônico, está coletando dado biométrico. A LGPD chama isso de dado sensível — a categoria que tem tratamento mais restrito na lei, junto com saúde, origem étnica e convicção religiosa. Isso significa que a régua é mais alta, e "o funcionário aceitou" não é resposta suficiente para a fiscalização.
O problema é que muita empresa chega nesse ponto sem saber qual base legal declara no aviso de privacidade. Assina um termo genérico de consentimento, acha que está coberta e segue. Só descobre o furo quando o funcionário revoga o consentimento no dia seguinte — e a lei permite que ele faça isso.
Por que consentimento é a base mais frágil aqui
A LGPD permite tratar dado sensível com consentimento, mas coloca uma condição que complica tudo numa relação de emprego: o consentimento precisa ser livre. Livre de verdade, sem pressão.
Num vínculo empregatício isso é difícil de sustentar. O funcionário que se recusa a dar o consentimento pode alegar que teve medo de represália. A Autoridade Nacional de Proteção de Dados (ANPD) já sinalizou que, em relações assimétricas como a de emprego, o consentimento raramente é considerado livre — e portanto raramente serve como base legal válida.
Se o seu aviso de privacidade depende só de consentimento para coletar biometria no ponto, você está sobre areia.
A base legal que sustenta o controle de jornada
A LGPD traz outra base legal para dado sensível que se encaixa bem aqui: o cumprimento de obrigação legal ou regulatória pelo controlador.
A obrigação de registrar a jornada de trabalho existe na CLT. Para empresas com determinado número de funcionários, o uso de sistema eletrônico de ponto é exigido pela Portaria 671/2021 do Ministério do Trabalho e Emprego. Ou seja: você não está coletando biometria por capricho — está cumprindo uma exigência legal de controle de ponto.
Essa base legal não depende de o funcionário aceitar ou revogar. Ela existe porque a lei manda registrar a jornada, e o dado biométrico é o meio que a empresa escolheu para garantir que o registro é fidedigno.
Isso não elimina todas as obrigações. Você ainda precisa:
- Informar o funcionário sobre o que coleta, para que usa e por quanto tempo guarda.
- Ter uma política de privacidade ou aviso interno que descreva o tratamento.
- Garantir que o dado biométrico não vai ser usado para nada além do controle de jornada sem uma nova base legal.
- Nomear um encarregado (DPO) se o volume de tratamento de dados sensíveis justificar.
Mas o fundamento do tratamento fica em pé mesmo que o funcionário diga que não quer.
O que fazer na prática antes de ligar a biometria
Antes de ativar reconhecimento facial ou digital no seu sistema de ponto, siga esta sequência:
- Documente a base legal escolhida. Escreva no aviso de privacidade: "tratamos dado biométrico com fundamento no cumprimento de obrigação legal de registro de jornada, nos termos da legislação trabalhista vigente." Simples e direto.
- Revise o aviso de privacidade. Ele precisa descrever quais dados biométricos são coletados, a finalidade (controle de jornada), o prazo de retenção e com quem o dado é compartilhado (se for o caso).
- Entregue o aviso antes de coletar. O funcionário precisa receber a informação antes de bater o primeiro ponto com biometria — não junto com a folha de pagamento do mês seguinte.
- Defina o prazo de retenção. Dado biométrico não fica guardado para sempre. Um critério razoável é manter pelo mesmo período que você guarda os registros de ponto, respeitando os prazos prescricionais trabalhistas.
- Não use o dado para outra coisa. Se a base legal é controle de jornada, usar a mesma biometria para controle de acesso a áreas restritas exige avaliação separada — pode precisar de outra base legal ou de um novo aviso.
Quando o consentimento ainda faz sentido
Consentimento não é inútil — ele só não deve ser a única base legal quando há obrigação legal por trás.
Você pode usá-lo como camada adicional de transparência: "além da obrigação legal, obtemos seu consentimento para uso da selfie na verificação de identidade." Isso reforça a relação de confiança com o funcionário sem criar dependência de uma base que ele pode revogar.
O erro é inverter a lógica — apoiar tudo no consentimento e torcer para que ninguém revogue.
Como isso funciona no baterponto
No baterponto, a selfie com prova de vida é uma configuração que a empresa escolhe ligar ou não. Quando está ativa, o funcionário tira a foto no próprio celular no momento da marcação — sem hardware adicional, sem leitor de digital instalado na parede. O registro sai imediatamente com um Número Sequencial de Registro (NSR) na tela do funcionário, e a batida é imutável: ninguém apaga nem edita depois. Se houver necessidade de correção, o próprio funcionário abre um pedido, o gestor aprova ou recusa, e o histórico do antes e do depois fica registrado. Isso significa que o dado biométrico serve como prova nos dois sentidos — para a empresa e para o trabalhador — o que é exatamente o que a base legal de obrigação legal pressupõe: um registro sério, não uma ferramenta de vigilância unilateral.