Imagem, voz e biometria: os dados sensíveis que sua empresa coleta todo dia

A foto no crachá. A gravação “esta ligação está sendo gravada”. A digital na catraca, o reconhecimento facial na portaria, a voz que destrava o aplicativo do banco. Imagem e voz viraram moeda corrente na operação de qualquer empresa — e uma dúvida jurídica importante mora aí, como destacou um bom artigo da Be Compliance: esses dados são “sensíveis” perante a LGPD?

A resposta correta é a que dá trabalho: depende da finalidade. E errar essa classificação derruba a base legal inteira do tratamento.

A regra, em uma frase

Imagem e voz são sempre dados pessoais (identificam alguém — art. 5º, I, da LGPD). Eles se tornam dados sensíveis quando usados como biometria: quando o corpo da pessoa vira chave de identificação. A mesma foto pode ser as duas coisas:

• Foto no crachá, gravação de atendimento, retrato no site institucional → dado pessoal comum.
• Reconhecimento facial na entrada, digital no ponto, biometria de voz no telefone → dado sensível (art. 5º, II — “dado biométrico”).

Por que a diferença é uma armadilha

Para dados sensíveis, as regras apertam de verdade: a base do “legítimo interesse” não existe (art. 11 da LGPD não a prevê). Ou seja: aquela justificativa genérica que sustenta boa parte do tratamento corporativo simplesmente não vale para biometria. A empresa precisa de consentimento específico e destacado, ou de outra hipótese do art. 11 — como cumprir obrigação legal ou trabalhista.

Traduzindo para o dia a dia do RH:

• Ponto por digital ou face? É biometria — dado sensível. Exige base do art. 11, aviso claro, e proteção reforçada. E vale perguntar: a alternativa menos invasiva (crachá, senha, app) não resolveria? O princípio da necessidade cobra essa resposta.
• Câmeras na recepção? Imagem comum na finalidade de segurança — mas com aviso visível, prazo de retenção definido e acesso controlado.
• Gravação de reuniões e treinamentos? Dado comum, mas ainda pessoal: precisa de finalidade declarada e descarte programado.

O elefante na sala: deepfake

Há um motivo extra, recém-chegado, para tratar voz e imagem como ouro: elas viraram matéria-prima de golpe. Com um minuto de áudio público, clona-se a voz de um diretor — já contamos aqui o caso da videochamada falsa que custou US$ 25 milhões à engenharia Arup. Cada vídeo institucional, cada gravação de treinamento que vaza, é insumo para o crime. Minimizar coleta e controlar acesso deixou de ser só conformidade: é defesa.

Checklist rápido: para cada uso de imagem/voz na sua empresa — qual a finalidade? é biometria? qual a base legal? quem acessa? quando será apagado? Cinco perguntas, uma linha de resposta cada. Se alguma ficar em branco, você achou seu risco.

Fontes

• Be Compliance: LGPD e o uso de imagem e voz — são dados sensíveis?
• LGPD, arts. 5º e 11 (dado biométrico e hipóteses para dados sensíveis): planalto.gov.br