LGPD e Controle de Acesso: o que sua empresa precisa fazer

Quando uma empresa instala um leitor biométrico para controle de acesso, ela passa a coletar e processar dados biométricos — uma categoria sensível explicitamente protegida pela Lei Geral de Proteção de Dados (Lei 13.709/2018). O artigo 11 da LGPD exige que o tratamento de dados sensíveis seja amparado por uma base legal específica, e a escolha errada expõe a empresa a sanções administrativas da ANPD e ações de indenização.

A base legal mais utilizada para dados biométricos em controle de acesso é o consentimento do titular (art. 11, I) — mas atenção: o consentimento precisa ser livre, informado, inequívoco e documentado. Não basta um aviso no mural. O colaborador deve assinar um termo específico que descreva quais dados são coletados, com qual finalidade, por quanto tempo e quem tem acesso. Em relações de emprego, a ANPD orienta cautela com o consentimento como base legal, pois há desequilíbrio de poder — o trabalhador pode sentir-se coagido. A base alternativa é o legítimo interesse (art. 11, II, f), desde que documentado em um Relatório de Impacto à Proteção de Dados (RIPD).

O princípio da minimização (art. 6º, III) exige coletar apenas os dados estritamente necessários para a finalidade declarada. Para controle de acesso, isso significa armazenar o template biométrico (um vetor matemático derivado da digital ou do rosto) e o log de entrada/saída — não a imagem da digital ou foto facial em alta resolução. Templates criptografados atendem ao princípio e reduzem o risco em caso de vazamento. Bons sistemas de controle de acesso armazenam apenas o template, nunca a imagem bruta.

A retenção dos dados deve ter prazo definido. Logs de acesso são normalmente retidos por 12 a 24 meses para fins de auditoria interna e exigências trabalhistas — mas dados biométricos do colaborador desligado devem ser excluídos imediatamente após o término do vínculo. O sistema de controle de acesso precisa permitir exclusão granular por colaborador, com registro de que a exclusão ocorreu (trilha de auditoria).

Por fim, se a empresa tiver mais de 10 funcionários ou tratar dados sensíveis como regra — e o controle biométrico de acesso se enquadra — é recomendável nomear um Encarregado de Proteção de Dados (DPO) e manter o RIPD atualizado. Sistemas de controle de acesso que geram relatórios de conformidade em PDF, com log de eventos por titular e exportação para auditorias, simplificam significativamente esse processo.