Reconhecimento facial no condomínio é permitido? (LGPD)

O reconhecimento facial é permitido em condomínio?

Sim. A LGPD não proíbe o uso de reconhecimento facial em condomínios, mas o coloca sob regras mais exigentes do que as de um dado comum. Como a biometria facial é dado sensível, o tratamento precisa de base legal específica, finalidade legítima e medidas de segurança proporcionais ao risco.^[1] Na prática, o que muda não é a permissão — é o tamanho da conta de responsabilidade que o condomínio assume ao cadastrar o rosto de cada pessoa.

Por que o dado facial é "sensível" e o que isso muda

O dado facial é sensível porque identifica a pessoa de forma única e permanente — e, ao contrário de uma senha, não pode ser trocado se vazar. O art. 5º, II, da LGPD classifica como sensível o dado biométrico vinculado a uma pessoa natural, e o art. 11 restringe as hipóteses em que esse tratamento é lícito.^[1] Na rotina do condomínio, isso significa: base legal mais estreita, dever reforçado de segurança e obrigação de oferecer alternativa a quem não quer usar o rosto como chave.

Reconhecimento facial não é a mesma coisa que CFTV

São categorias jurídicas diferentes, e confundi-las gera erro. A câmera de CFTV comum registra imagens, mas não vincula automaticamente o rosto a uma identidade — costuma ser tratada como dado pessoal comum, em geral sob a base do legítimo interesse. O reconhecimento facial faz o passo a mais: processa a imagem e a transforma em dado biométrico para identificar. Como ensina a doutrina especializada, a imagem só vira dado biométrico quando passa por esse processamento técnico específico.^[2] Por isso o facial sai do regime do CFTV e entra no regime — mais rígido — dos dados sensíveis.

Quem é o responsável: o condomínio ou o fornecedor?

O condomínio é o controlador dos dados — é ele quem decide a finalidade e os meios do tratamento — e o fornecedor do sistema é o operador, que processa os dados em nome do condomínio. Perante os moradores e a ANPD, o responsável principal é o condomínio, representado pelo síndico. Especialistas do setor condominial são diretos: o síndico é, legalmente, o principal responsável pelos dados coletados, e precisa agir com cautela na escolha da empresa e na definição do tempo de guarda.^[3]

Qual base legal autoriza a biometria facial no condomínio

O tratamento de dado biométrico só é lícito se estiver amparado por uma das hipóteses do art. 11 da LGPD — e, entre elas, não está o legítimo interesse.^[2] Essa é a diferença que mais pega o síndico de surpresa: a base que sustenta o CFTV não serve para o facial. Escolher a base legal certa é o primeiro passo de conformidade, antes de qualquer contrato.

O consentimento como base mais segura

Para a maioria dos condomínios, o consentimento livre, informado e inequívoco do morador é o caminho mais seguro.^[2] Livre significa sem coação; informado, que a pessoa entendeu o que aceita; inequívoco, que houve manifestação clara. O consentimento pode ser revogado a qualquer momento, de forma gratuita e facilitada — e, quando isso acontece, o condomínio precisa parar de usar o dado e oferecer outra forma de acesso.^[4]

Por que o "legítimo interesse" não vale para o facial

O legítimo interesse é base legal para dados comuns (art. 7º), mas o art. 11, que rege os dados sensíveis, não o prevê.^[2] É comum fornecedores e condomínios invocarem a hipótese da "garantia da prevenção à fraude e à segurança do titular" (art. 11, "g") para justificar o facial. Essa base existe, mas tem um limite expresso na própria lei: não se aplica quando prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados.^[2] Apoiar-se nela sem necessidade comprovada é risco.

O teste de necessidade: é mesmo o único jeito?

Antes de adotar o facial, o condomínio deve fazer uma avaliação crítica: esse tratamento é realmente o único modo de fazer o controle de acesso? Indicar uma base legal não basta — a operação precisa respeitar os princípios do art. 6º da LGPD, com destaque para necessidade e adequação.^[2] Se senha, tag ou cartão resolvem o controle de acesso com risco menor à privacidade, fica difícil sustentar que a biometria é indispensável. Esse raciocínio é o que separa um sistema defensável de um sistema questionável.

O morador pode recusar o reconhecimento facial

Sim, o morador pode recusar — e o condomínio é obrigado a oferecer uma alternativa de acesso. O reconhecimento facial não pode ser imposto como única forma de entrar no próprio prédio onde se mora.^[4] Esse é, na prática, o ponto que mais gera conflito em assembleia — e o que mais expõe o condomínio quando ignorado.

A obrigação de oferecer alternativa de acesso

O Instituto Brasileiro de Defesa do Consumidor (Idec) considera desproporcional impor a biometria como único meio de acesso, devendo o condomínio oferecer um meio alternativo que não dependa exclusivamente do dado biométrico.^[2][4] Senha, cartão magnético, tag ou sistemas híbridos cumprem esse papel. A alternativa não pode ser deliberadamente inconveniente como forma de empurrar o morador para o facial.

A maioria da assembleia não derruba o direito individual

Aprovar o facial em assembleia não obriga quem votou contra a entregar o rosto. A vontade da maioria não se sobrepõe à vontade do titular que se nega a ter sua biometria tratada.^[2] A deliberação coletiva legitima a contratação do sistema, mas o consentimento é individual: cada morador decide por si. Tratar o resultado da assembleia como autorização automática de todos é um erro comum que abre espaço para contestação judicial.

O morador pode mudar de ideia depois?

Pode. Quando o consentimento é a base legal, o titular tem direito de revogá-lo a qualquer momento, de forma gratuita e facilitada — e também de pedir a exclusão dos seus dados, salvo obrigação legal de retê-los.^[4] Na prática, a remoção costuma ser feita de modo informal, por e-mail ou mensagem, sem protocolo nem comprovante de exclusão.^[3] Esse é exatamente o tipo de fragilidade que o condomínio precisa eliminar para se proteger.

E os funcionários do condomínio?

O dado biométrico de funcionário, coletado para ponto ou acesso, também exige base legal própria e finalidade restrita ao vínculo de trabalho. Vale o mesmo princípio do morador: coletar o mínimo necessário, guardar com segurança e descartar quando a relação termina.

Direitos do morador e o que o condomínio precisa garantir

O morador é titular dos dados e tem direitos que o condomínio precisa conseguir atender: ser informado de forma transparente, acessar seus dados, corrigi-los, revogar o consentimento e pedir a exclusão.^[4] Garantir esses direitos não é cortesia — é condição de licitude do tratamento.

Transparência: o morador precisa saber o que é coletado

Antes de iniciar o tratamento, o condomínio deve informar de maneira clara o que coleta, com qual finalidade, por quanto tempo guarda e quem tem acesso.^[2] A coleta de rosto por foto enviada em grupo de mensagens, sem qualquer aviso formal, é o oposto da transparência exigida — e é prática difundida que precisa ser corrigida.^[3]

Finalidade e minimização: só o necessário, só para o que foi dito

O tratamento só pode ocorrer para finalidade legítima, específica e informada (art. 6º, I), e o condomínio deve se limitar aos dados estritamente necessários para essa finalidade.^[2] "Controle de acesso" é finalidade legítima; usar os mesmos dados para monitorar horários e hábitos de circulação dos moradores extrapola o que foi declarado e configura desvio de finalidade.

Prazo de retenção: por quanto tempo guardar o rosto

Os dados biométricos não podem ser mantidos para sempre. O condomínio deve definir e cumprir um prazo de descarte após o fim da relação com o titular — saída do morador, desligamento do funcionário — ou após cessar a necessidade. A LGPD não fixa um prazo específico para esse tipo de dado, deixando a regulamentação a cargo da ANPD, que ainda não publicou orientação detalhada.^[3] Na ausência de regra fechada, a boa prática é definir o prazo em contrato e em política interna, e exigir comprovação de exclusão.

Segurança: como o rosto fica protegido

Dado biométrico exige proteção técnica reforçada: criptografia, controle de acesso ao banco de dados e registros de auditoria. A própria fragilidade do mercado mostra por que isso importa — há casos noticiados de vazamento de dados faciais de moradores, expostos em fóruns na internet, incluindo nome, CPF, placa e imagem do rosto.^[3] Diferentemente de uma senha, o rosto não pode ser trocado depois de vazado, o que torna o incidente especialmente grave.^[4]

O contrato com o fornecedor de biometria

O contrato entre condomínio (controlador) e fornecedor (operador) precisa ir além das cláusulas comerciais — porque a responsabilidade pelo tratamento permanece com o condomínio mesmo quando o fornecedor é quem armazena os dados.^[2] Assinar um contrato genérico sem cláusulas de proteção de dados não transfere o risco; apenas o deixa sem cobertura.

A cadeia de responsabilidade costuma ser confusa

Em geral, o sistema é operado por duas empresas: uma fornece os equipamentos (câmeras e sensores) e outra guarda os dados.^[3] Isso cria uma cadeia em que nem sempre se sabe quem efetivamente está com os dados. O contrato precisa deixar claro quem armazena, onde, e quem responde por um incidente — sob pena de o condomínio descobrir, tarde demais, que não tem a quem cobrar.

Cláusulas que não podem faltar

Contratos de tecnologia condominial raramente trazem, por padrão, as cláusulas que a LGPD exige. É responsabilidade do síndico — e do conselho, quando houver — pedir um aditivo específico antes de autorizar a coleta. O contrato deve prever, no mínimo:

• Finalidade restrita: uso exclusivo para controle de acesso condominial, sem uso secundário pelo fornecedor
• Local de armazenamento: onde os dados ficam (servidor do condomínio, nuvem do fornecedor, nuvem de terceiro) e em quais países, já que transferência internacional tem regras próprias
• Prazo de retenção e descarte: quando e como os dados são eliminados, com comprovação de exclusão após saída do morador ou rescisão
• Vedação de uso próprio: proibição expressa de o fornecedor usar a biometria para treinar modelos, criar perfis ou qualquer fim além do serviço contratado
• Medidas de segurança: criptografia, controle de acesso, registros de auditoria e procedimento de resposta a incidentes
• Notificação de incidente: obrigação de o fornecedor avisar o condomínio imediatamente em caso de violação de segurança

Relatórios periódicos de quem guarda os dados

Diante da falta de orientação fechada da ANPD, a representação nacional de condomínios (Abrascond) orienta os síndicos a exigir relatórios periódicos das empresas que guardam os dados, detalhando medidas de segurança, fluxo de tratamento, acessos e eventuais incidentes.^[3] A recomendação prática é aprovar em assembleia um modelo de relatório e incluí-lo como obrigação contratual junto à fornecedora.^[3]

Riscos de multa e a atuação da ANPD

O descumprimento das regras de proteção de dados pode gerar sanção administrativa aplicada pela ANPD, que vão de advertência a multa. Para o condomínio, o risco real não é apenas financeiro — é também reputacional e de relação com os moradores.

De quanto pode ser a multa

Condomínios que não demonstrarem capacidade de armazenar corretamente as imagens de rostos podem ser multados em até R$ 50 milhões por infração, conforme alerta especialista em tecnologia e sociedade citado em reportagem sobre o tema.^[3] O teto é elevado e raramente se aplicaria a um condomínio em cheio, mas sinaliza a seriedade do regime — e o fato de que a omissão tem preço.

Como a fiscalização da ANPD funciona hoje

A LGPD atribui à ANPD zelar pelo cumprimento da lei e aplicar sanções após denúncia formal.^[3] Na prática, a fiscalização ocorre majoritariamente a partir de denúncias, não de auditoria ativa.^[3] Para o titular, isso significa um caminho concreto: morador que tem pedido de exclusão ignorado ou suspeita de vazamento pode registrar denúncia junto à ANPD, pelo portal gov.br/anpd.^[5]

A regulamentação ainda está em construção

A ANPD reconhece a crescente adoção do reconhecimento facial e abriu uma tomada de subsídios sobre o tratamento de dados biométricos, com bloco temático dedicado a tecnologias de reconhecimento facial, para subsidiar futura regulação.^[5] Enquanto não há norma específica fechada, o condomínio deve se guiar pelos princípios da LGPD e pela boa prática — e acompanhar a regulação que está por vir, porque ela tende a tornar as exigências mais detalhadas, não menos.

Checklist de conformidade antes de implantar o reconhecimento facial

Use este passo a passo como roteiro de decisão. Cada item resolvido reduz o risco de incidente e de questionamento. Se algum não puder ser cumprido, é sinal de que o condomínio ainda não está pronto para coletar biometria.

1. Aplicar o teste de necessidade. Avaliar se senha, cartão ou tag não resolvem o controle de acesso com risco menor. Registrar por que o facial é necessário.
2. Levar o tema à assembleia. Pauta específica, convocação regular e registro em ata. A assembleia legitima a contratação, não substitui o consentimento individual.
3. Definir a base legal. Em geral, consentimento livre, informado e inequívoco. Documentar a base escolhida e por quê.
4. Garantir alternativa de acesso. Oferecer meio não biométrico (senha, cartão, tag) a quem recusar, sem torná-lo inconveniente de propósito.
5. Definir a finalidade e minimizar a coleta. Declarar que o uso é só controle de acesso; coletar apenas o necessário; vedar monitoramento de hábitos.
6. Estabelecer prazo de retenção e descarte. Definir quando os dados são eliminados (saída do morador, desligamento) e como se comprova a exclusão.
7. Revisar o contrato com o fornecedor. Aditivo de LGPD com finalidade restrita, local de armazenamento, vedação de uso próprio, segurança e notificação de incidente.
8. Exigir relatórios periódicos. Aprovar um modelo de relatório e incluí-lo como obrigação contratual da empresa que guarda os dados.
9. Informar os moradores com transparência. Comunicar o que se coleta, finalidade, prazo, quem acessa e como exercer direitos.
10. Definir canal de exercício de direitos. Criar forma simples e registrada para o morador acessar, corrigir, revogar e pedir exclusão dos dados.
11. Adotar medidas de segurança. Criptografia, controle de acesso ao banco e plano de resposta a incidente.
12. Avaliar o impacto antes de implantar. Em condomínios grandes, registrar uma avaliação de risco e considerar o encarregado de dados (DPO).

Tabela: o que muda entre CFTV e reconhecimento facial

A tabela resume por que o facial exige mais do que o CFTV — e ajuda o síndico a explicar a diferença em assembleia.

O que registrar na ata e na política interna

Documentar é o que comprova diligência se houver questionamento. Na ata da assembleia, registrar a deliberação sobre a contratação, a finalidade aprovada e a decisão de oferecer alternativa de acesso. Numa política interna simples, registrar a base legal, o prazo de retenção, as medidas de segurança e o canal de exercício de direitos. Esse conjunto de registros é a melhor defesa do condomínio perante a ANPD e perante o próprio morador.