Reconhecimento facial em aeroportos e empresas: governança técnica sob a LGPD

Introdução

O reconhecimento facial deixou de ocupar um papel restrito à autenticação em dispositivos pessoais. Hoje, integra fluxos operacionais de alta criticidade: embarque e acesso a áreas controladas em aeroportos, portarias corporativas, centros de dados, instalações industriais, condomínios empresariais e sistemas de gestão de visitantes.

O ganho de fluidez não elimina uma questão central: um sistema biométrico não pode ser avaliado apenas por uma alegação de acurácia. A operação precisa demonstrar finalidade legítima, necessidade, proporcionalidade, segurança, qualidade dos dados e capacidade de lidar com erros sem impor consequências indevidas às pessoas.

A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018) classifica como dado pessoal sensível o dado biométrico vinculado a uma pessoa natural, nos termos de seu artigo 5º, II. Essa classificação não proíbe o uso de reconhecimento facial, mas impõe uma análise mais rigorosa sobre o tratamento, a proteção e a governança das informações.

Em ambientes críticos, a pergunta correta não é apenas se a tecnologia funciona. É preciso responder por que ela é necessária, qual decisão ela influencia, quais alternativas existem, quem acessa os registros, por quanto tempo os dados permanecem disponíveis e como o titular pode contestar um resultado incorreto.

Este artigo apresenta práticas de governança e engenharia para apoiar decisões de implementação. Não substitui a avaliação jurídica, regulatória e operacional aplicável a cada caso concreto.

1. Verificação e identificação: riscos distintos

O desenho da solução começa pela definição do modo de operação.

Na verificação 1:1, o sistema compara a face capturada com um registro vinculado a uma identidade previamente declarada. É o caso de um colaborador que apresenta um crachá, matrícula ou credencial digital e utiliza a biometria como fator adicional de autenticação.

Na identificação 1:N, o sistema compara uma imagem com uma base de múltiplas pessoas para tentar descobrir quem é o indivíduo. Por envolver busca em uma base mais ampla e, potencialmente, pessoas que não iniciaram uma solicitação de autenticação, essa modalidade tende a ampliar os impactos de privacidade, segurança e discriminação.

Em aeroportos, convém separar fluxos com finalidades e competências diferentes, tais como:

• validação de embarque associada a passagem, documento e autorização de viagem;
• acesso a áreas operacionais ou restritas;
• conferência documental;
• controles migratórios e fronteiriços sujeitos a normas e competências próprias;
• atividades de segurança pública e investigação, que não devem ser confundidas automaticamente com a operação comercial aeroportuária.

Nas empresas, o perímetro pode ser mais delimitado, mas os riscos continuam relevantes. Uma catraca de alto fluxo processa grande volume de pessoas; uma sala de servidores pode atender poucas pessoas, porém proteger ativos de elevado impacto. Também é necessário distinguir empregados, prestadores, visitantes e clientes, pois suas relações com o controlador, expectativas de privacidade e alternativas de acesso podem ser diferentes.

O mapeamento deve cobrir todo o ciclo de vida: captura da imagem, análise de qualidade, extração de características, geração do template biométrico, comparação, decisão de autorização, geração de logs, eventual retenção de imagens e descarte. Cada etapa precisa de uma finalidade definida, responsável, prazo de retenção e controle de segurança correspondente.

2. Bases legais e princípios da LGPD

O artigo 11 da LGPD estabelece hipóteses para o tratamento de dados pessoais sensíveis. A escolha da base legal não pode ser genérica nem decorrer apenas da conveniência tecnológica. O controlador deve documentar a finalidade do tratamento, o risco que busca mitigar, as alternativas analisadas e a razão pela qual um meio menos intrusivo não atende adequadamente à necessidade operacional.

O consentimento pode ser aplicável em cenários específicos, desde que cumpra os requisitos legais. Contudo, exige análise cautelosa em relações assimétricas, como as de emprego, ou quando a pessoa não dispõe de alternativa efetiva. A simples existência de um aviso não transforma uma escolha inexistente em consentimento válido.

A implantação deve refletir os princípios do artigo 6º da LGPD: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização. Na prática, isso requer ao menos:

1. registro das operações de tratamento e dos fluxos de dados;
2. definição dos papéis de controlador, operador e, quando aplicável, responsabilidades compartilhadas;
3. política de retenção, descarte e cópias de contingência;
4. controles de acesso, segregação de funções e trilhas de auditoria;
5. canal para atendimento dos direitos dos titulares;
6. procedimentos de resposta a incidentes;
7. reavaliações periódicas de desempenho, proporcionalidade e segurança.

Materiais orientativos da Autoridade Nacional de Proteção de Dados (ANPD) sobre dados sensíveis, segurança e relatórios de impacto reforçam a necessidade de medidas técnicas e administrativas compatíveis com os riscos do tratamento. Para operações biométricas de grande escala ou com efeito relevante sobre pessoas, a documentação de governança não deve ser tratada como mera formalidade de compliance.

3. Acurácia não é um número isolado

Percentuais de acurácia apresentados por fornecedores devem ser interpretados como resultados obtidos sob condições determinadas de teste. Eles não representam garantia automática de desempenho em um portão de embarque, em uma catraca sujeita a contraluz ou em um acesso com alto movimento de pessoas.

A avaliação técnica deve incluir, conforme o caso:

• FAR (False Acceptance Rate): proporção de tentativas indevidas que foram aceitas;
• FRR (False Rejection Rate): proporção de usuários legítimos rejeitados;
• taxa de falha de captura ou de qualidade insuficiente;
• precisão e revocação, especialmente em operações de identificação 1:N;
• curvas de desempenho e análise do limiar de decisão;
• resultados por iluminação, ângulo, distância, oclusão, movimento e características do equipamento.

Avaliações públicas, como as realizadas pelo Face Recognition Vendor Test (FRVT) do National Institute of Standards and Technology (NIST), podem servir como referência comparativa. Elas, porém, não dispensam testes controlados e monitoramento no ambiente em que a solução será efetivamente operada. Câmeras, lentes, posicionamento, conectividade, configuração, fluxo de pessoas e qualidade das imagens influenciam diretamente o resultado.

Um critério maduro de aceitação não pergunta somente “qual é a acurácia?”. Ele define qual FAR é tolerável para aquele ativo, qual FRR é aceitável para o fluxo, quantas exceções exigirão atendimento humano e qual dano pode decorrer de um falso positivo ou falso negativo.

Normas técnicas de biometria, qualidade de amostras, avaliação de desempenho e interoperabilidade podem apoiar a especificação de requisitos. Antes de incorporá-las a contratos ou editais, a organização deve validar quais referências estão vigentes, quais são aplicáveis ao caso de uso e se há adoção nacional pertinente pela ABNT.

4. Arquitetura proporcional e minimização de dados

Em muitos cenários corporativos, a verificação 1:1 é menos invasiva do que a identificação 1:N. A pessoa apresenta um identificador, e a face atua como elemento adicional de confirmação. Esse modelo reduz a necessidade de pesquisar continuamente uma base completa de indivíduos.

O processamento local, no dispositivo ou na borda da rede (edge computing), também pode reduzir transferências de imagens e templates para ambientes centralizados. Não se trata, porém, de uma garantia automática de segurança. Dispositivos locais exigem endurecimento de configuração, atualização de software e firmware, proteção física, gestão de chaves, monitoramento e proteção contra adulteração.

A arquitetura deve separar, sempre que possível, as funções de:

• captura e checagem de qualidade;
• geração e armazenamento do template biométrico;
• comparação biométrica;
• decisão de autorização;
• registro, auditoria e investigação de eventos.

O template biométrico não deve ser tratado como uma senha comum. Mesmo que a implementação procure impedir sua reversão direta para uma fotografia, ele continua sendo dado sensível e pode permitir correlação, vinculação indevida ou abuso quando exposto. Por isso, exige proteção criptográfica adequada, segregação em relação aos dados cadastrais, controles de chave, menor privilégio e mecanismos de substituição ou revogação quando tecnicamente viáveis.

Os logs devem conter somente o necessário para auditoria: data e hora, identificador técnico da transação, dispositivo, resultado, versão do algoritmo e eventual intervenção humana. Acumular imagens em registros operacionais sem necessidade demonstrável amplia a superfície de exposição e dificulta a minimização.

5. RIPD e gestão integrada de riscos

O artigo 38 da LGPD prevê que a ANPD pode determinar a elaboração de relatório de impacto à proteção de dados pessoais. Ainda que não exista uma determinação específica para uma operação, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é uma prática recomendável em usos biométricos com alto risco: aeroportos, controle de acesso em larga escala, identificação 1:N, monitoramento contínuo ou tratamento que possa afetar grupos vulneráveis.

O relatório deve registrar, de forma verificável:

• finalidade, contexto e escopo do tratamento;
• categorias de titulares e dados envolvidos;
• fluxo da captura ao descarte;
• base legal e justificativa de necessidade;
• fornecedores, integrações, suboperadores e transferências;
• riscos de fraude, acesso indevido, erro, discriminação e uso secundário;
• controles técnicos e administrativos adotados;
• risco residual, responsáveis e decisão de aprovação.

Essa análise deve dialogar com a gestão de segurança da informação. Entre as ameaças relevantes estão ataques de apresentação, como uso de foto, vídeo ou máscara; repetição de transações; comprometimento de endpoints; abuso de privilégios; interceptação de interfaces de programação; exposição de templates e indisponibilidade do serviço.

6. Decisões automatizadas, exceções e revisão humana

Uma falha de reconhecimento pode impedir um embarque, bloquear o acesso de um empregado a uma área crítica ou gerar uma suspeita indevida. O artigo 20 da LGPD prevê o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular, observados os limites legais aplicáveis.

Por isso, a operação deve prever um procedimento de exceção (fallback) compatível com o risco. Em uma empresa, ele pode envolver credencial alternativa, validação documental ou confirmação por responsável autorizado. Em ambiente aeroportuário, o fluxo precisa observar requisitos de segurança e regras da autoridade competente, mas uma falha algorítmica não deve, por si só, ser convertida em acusação automática.

A equipe de atendimento e segurança deve diferenciar situações como imagem insuficiente, não reconhecimento, credencial expirada e tentativa suspeita. A comunicação não deve expor detalhes que facilitem fraude, mas precisa permitir a resolução legítima do problema. Revisões relevantes devem gerar trilhas de auditoria, com indicação de quem decidiu, em que momento e com base em quais elementos.

7. Equidade, monitoramento e drift

O desempenho de um sistema pode variar por qualidade da imagem, iluminação, ângulo, uso de acessórios, características do equipamento e composição dos dados de teste. Estudos e avaliações técnicas internacionais apontam que diferenças demográficas e condições de captura podem afetar resultados de algoritmos, sempre de acordo com os protocolos e conjuntos de dados examinados.

No contexto brasileiro, o princípio da não discriminação exige investigar disparidades relevantes antes e durante a operação. A validação deve usar dados representativos e tratados legitimamente, com finalidade de teste claramente delimitada. Não é recomendável coletar atributos sensíveis de forma indiscriminada apenas para produzir estatísticas.

Também há risco de drift: mudanças no ambiente, na população, na iluminação, no uniforme, no posicionamento da câmera ou na versão do algoritmo podem alterar os resultados ao longo do tempo. Contratos e rotinas operacionais devem prever monitoramento de FAR, FRR, falhas de captura, contestações, incidentes e desempenho por cenários relevantes. Atualizações de modelo exigem testes de regressão e documentação de versão.

8. Retenção, descarte e fornecedores

Não há justificativa automática para reter imagens faciais ou templates indefinidamente. A política deve distinguir o template biométrico, a imagem de captura, os logs de acesso e os registros de visitantes. Cada categoria deve ter prazo ou critério de retenção vinculado à finalidade, a obrigações aplicáveis, à auditoria e à apuração de incidentes.

Ao término da finalidade, o descarte deve ser seguro e alcançar cópias de contingência conforme a política de backup. Sempre que possível, integrações devem compartilhar respostas de autorização e identificadores técnicos, e não replicar imagens ou templates em múltiplos sistemas.

Na contratação, o fornecedor deve informar arquitetura, localização do processamento, suboperadores, matriz de responsabilidades, procedimento de incidente, política de eliminação, histórico de versões e metodologia de testes. Alegações de desempenho só devem ser aceitas quando vierem acompanhadas de cenário, amostra, limiar, métrica e data da avaliação.

Os controles mínimos incluem criptografia em trânsito e em repouso, gestão segura de chaves, autenticação multifator administrativa, RBAC baseado em menor privilégio, segmentação de rede, gestão de vulnerabilidades, atualização controlada e plano de continuidade. Certificações podem contribuir para a avaliação, mas não substituem diligência técnica, requisitos contratuais e auditoria proporcional ao risco.

Checklist executivo antes da produção

• Base legal, finalidade, necessidade e proporcionalidade documentadas.
• RIPD elaborado quando o risco justificar ou quando solicitado pela ANPD.
• Métricas de desempenho testadas no ambiente real, com limiares formalmente aprovados.
• Fluxo alternativo e revisão humana disponíveis para exceções relevantes.
• Templates, chaves e dados cadastrais segregados e protegidos.
• Retenção, descarte e backups sujeitos a regras auditáveis.
• Avisos de privacidade acessíveis e canal de atendimento ao titular definido.
• Testes de apresentação fraudulenta, APIs, endpoints e continuidade executados.
• Contratos com operadores e suboperadores contendo obrigações de segurança, incidente, auditoria e eliminação.
• Processo de revalidação previsto para mudanças de câmera, ambiente, integração ou algoritmo.

Conclusão

O padrão de maturidade para reconhecimento facial em aeroportos e empresas não se resume a um algoritmo mais preciso. Trata-se de um sistema sociotécnico, no qual engenharia, segurança, operação, privacidade e governança precisam funcionar de forma integrada.

A solução mais defensável é aquela que usa biometria somente quando necessária, prefere arquiteturas menos intrusivas quando suficientes, reduz a retenção, testa o desempenho no cenário real, protege os templates, monitora resultados e preserva mecanismos humanos de correção. Em ambientes críticos, eficiência e conformidade não são objetivos concorrentes: ambas dependem de disciplina técnica, prestação de contas e gestão contínua de riscos.