Reconhecimento facial no controle de acesso: critérios técnicos e LGPD

Defina o problema que a biometria precisa resolver

Antes de escolher o leitor, descreva a dificuldade atual: credenciais compartilhadas, identificação demorada, exceções sem registro ou outro problema observado. Registre quem é afetado e em qual passagem isso ocorre. Compare a proposta facial com uma alternativa sem biometria, considerando o trabalho da recepção e o risco que cada opção deixa para a operação.

Recomendamos separar usuários recorrentes de pessoas que comparecem uma única vez. O mesmo método não precisa ser aplicado a todos os percursos. Planeje um atendimento alternativo para quem não conseguir utilizar o leitor e submeta as condições de uso e de recusa à avaliação jurídica do empreendimento. Esse desenho deve anteceder a coleta de rostos para uma demonstração.

O guia de fundamentos do controle de acesso predial organiza identidade, regra, barreira e evento. Aqui, o foco é decidir se a identificação facial faz sentido e quais evidências pedir para adotá-la.

Separe a comparação facial da autorização de passagem

A verificação compara a amostra apresentada com uma referência determinada, como no confronto com o cadastro indicado por uma credencial: é a relação um para um (1:1). A identificação procura uma correspondência entre vários cadastros, relação um para muitos (1:N). O Radar Tecnológico de biometria da ANPD diferencia essas funções e descreve o template biométrico, representação extraída das características da face.

Peça ao fornecedor que indique qual modo será entregue. No roteiro do projeto, trate como etapas separadas a correspondência facial, a consulta à permissão e a passagem física. Um teste com pessoa reconhecida, mas sem autorização para aquela porta ou horário, deve demonstrar o resultado esperado e seu registro.

Em edifícios compartilhados, defina também quais cadastros entram na pesquisa de cada ponto. A organização das áreas e dos poderes administrativos é detalhada no artigo sobre controle de acesso em condomínios corporativos.

Peça evidências de desempenho e de resistência a ataques

Na avaliação 1:1 do National Institute of Standards and Technology (NIST), falso positivo é a associação incorreta de imagens de pessoas diferentes; falso negativo é a falha em associar imagens da mesma pessoa. A documentação aponta a influência de iluminação e posição da câmera nos falsos negativos e apresenta diferenças de desempenho entre grupos demográficos. Fonte: NIST, Face Recognition Technology Evaluation — FRTE 1:1.

Para o escopo de compra, solicite versão do algoritmo, modo de comparação, configuração de decisão, condições de ensaio e métricas separadas para os erros. Não aceite um percentual isolado de “acurácia” como descrição completa. Relacione o relatório apresentado ao conjunto efetivamente ofertado e depois verifique esse conjunto no local.

A detecção de ataques de apresentação (PAD, de Presentation Attack Detection) é outra função. O estudo NIST IR 8491 avaliou algoritmos passivos de software sobre imagens 2D e encontrou desempenho variável conforme o tipo de apresentação. Seus resultados não constituem comprovação universal de proteção de um terminal. Fonte: NIST, FATE Part 10.

Se a proposta mencionar “prova de vida”, peça a descrição do recurso, suas limitações e os ensaios que sustentam a alegação. Defina com o fornecedor testes autorizados e controlados, sem envolver pessoas ou dados alheios ao piloto. A aceitação deve registrar o que foi demonstrado e o que ficou fora da avaliação.

Documente a base legal antes do cadastro

Pela Lei Geral de Proteção de Dados Pessoais (LGPD), a biometria vinculada a uma pessoa natural é dado pessoal sensível. O tratamento exige enquadramento no art. 11. Quando utilizada, a hipótese de consentimento requer manifestação específica e destacada para finalidades determinadas; o consentimento deve ser livre e informado. Há outras hipóteses no artigo, com condições próprias. Fonte: LGPD, arts. 5º e 11.

O Guia de Legítimo Interesse da ANPD esclarece que essa base do art. 7º não se aplica a dados sensíveis. Para a hipótese de prevenção à fraude e segurança do titular do art. 11, II, g, o guia orienta avaliar a prevalência dos direitos e liberdades por teste de balanceamento. A simples indicação de “segurança do prédio” não encerra essa análise.

Como preparação para a avaliação jurídica, reúna finalidade, população atendida, alternativas, dados coletados, empresas envolvidas e riscos identificados. Defina quem decide sobre o tratamento e quem o executa. O art. 5º distingue controlador e operador por essas funções, e o art. 46 exige medidas técnicas e administrativas de proteção desde a concepção. Este roteiro técnico não determina a base legal de um caso concreto nem certifica conformidade.

Sugerimos que a aprovação do projeto registre as decisões do responsável por privacidade e do jurídico, inclusive a avaliação da necessidade de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Não trate a ficha comercial do equipamento ou a assinatura de um termo genérico como substitutos desse trabalho.

Mapeie onde ficam imagens, templates e eventos

Desenhe o caminho do cadastro até o descarte: terminal, controladora, servidor, aplicação em nuvem, suporte e cópias de segurança. Pergunte quais componentes recebem a fotografia, quais armazenam o template e quais guardam apenas o evento. A existência de um template não deve ser tomada como prova de anonimização: confira se ele continua associado ou associável a alguém. A distinção legal depende da possibilidade de identificação, conforme a LGPD.

O Radar da ANPD destaca riscos ligados a compartilhamento, finalidades secundárias e falta de transparência. Como resposta prática no projeto, recomendamos uma relação de dados por componente, com finalidade, acesso administrativo, retenção proposta e procedimento de exclusão. Essas decisões devem ser justificadas e validadas pela equipe responsável por privacidade; não há um prazo único definido neste artigo.

Peça evidências de proteção das comunicações e do armazenamento, gestão de contas, rastreio de exportações e acesso de suporte. Identifique fornecedores envolvidos e locais de hospedagem para análise aplicável. No teste de desligamento, confira separadamente a revogação da passagem e o tratamento dos dados nas diferentes cópias: são entregas distintas.

Valide o percurso completo antes de ampliar o uso

O quadro abaixo é um roteiro editorial proposto para discussão com integrador, segurança, facilities e privacidade. Os critérios e a amostra precisam ser definidos para o empreendimento; uma demonstração curta não comprova taxas raras de erro.

Considere um cenário hipotético: um terminal funciona na demonstração, mas usuários autorizados precisam repetir a tentativa no hall durante a incidência de luz da tarde. A equipe registra horário, condição e ocorrências, pede avaliação da instalação e repete o ensaio após a correção. Até demonstrar o resultado acordado, mantém o atendimento alternativo previsto. Não transforma a primeira demonstração em aceite do prédio inteiro.

Inclua no piloto as condições de uso e a diversidade de pessoas que precisam ser atendidas, com participação e tratamento de dados devidamente aprovados. Registre limitações da amostra. Use o processo de comissionamento com testes, evidências e aceite para controlar correções e responsabilidades. Os procedimentos de saída e emergência permanecem sujeitos ao projeto de segurança da edificação.

Compare propostas pelo que será demonstrado e entregue

Para discutir um projeto de controle de acesso predial com a MB Control, reúna pontos de passagem, perfis de usuários, dificuldades atuais e decisões de privacidade já tomadas. Inclua a alternativa de atendimento e as funções que precisam ser comprovadas.

Solicite escopo com equipamentos e versões, modo de comparação, dependências de rede e servidor, licenças, integração, proteção dos dados, treinamento, testes e documentação. Peça que restrições de funcionamento e responsabilidades de terceiros estejam explícitas. O aceite deve deixar a operação capaz de atender uma recusa, encaminhar um incidente e comprovar a revogação de acesso sem improviso.

Fontes técnicas e legais consultadas

Consulta em 8 de outubro de 2026. O roteiro de projeto, o quadro e o cenário hipotético são elaboração editorial. Estudos de desempenho têm escopo próprio e não atestam uma instalação específica.

• LGPD — texto consolidado no Planalto: conceitos, dados sensíveis e proteção desde a concepção.
• ANPD — Guia de Legítimo Interesse: dados sensíveis e avaliação da hipótese do art. 11, II, g.
• ANPD — Radar Tecnológico nº 2, Biometria e Reconhecimento Facial: conceitos e riscos.
• NIST — FRTE 1:1 Verification: erros de comparação, qualidade e diferenças demográficas.
• NIST — FATE Part 10, NIST IR 8491: avaliação de detecção de ataques de apresentação.