Dayana Caroline Costa

É cada vez mais comum nos depararmos com indivíduos capturando selfies nas ruas, em restaurantes, bares e outros ambientes públicos. Contrariamente ao que se poderia presumir, muitas dessas capturas têm finalidade que transcende o simples compartilhamento em redes sociais. Trata-se, na verdade, de prática voltada para atender às exigências de diversos aplicativos, os quais condicionam o acesso e uso de suas plataformas ao compartilhamento da biometria de seus usuários para fins de autenticação por reconhecimento facial.
A verificação e autenticação de usuários por meio da biometria, quando realizada de maneira criteriosa e nos momentos adequados, se traduz como uma medida complementar eficaz para reforçar a segurança em aplicativos. Esse recurso pode ser utilizado para o que chamamos, dentro do universo de prevenção à fraude, de etapa adicional de autenticação, caso a verificação primária não tenha sido bem sucedida ou tenha apresentado algum sinal de risco à plataforma. Entretanto, o uso desenfreado dessa tecnologia pode resultar em um fenômeno emergente no mercado e que pode ser nomeado como “fadiga da biometria”.
Este termo tenta traduzir a apatia e exaustão mental experimentada por usuários devido à constante e intrusiva demanda por seus dados biométricos. A coleta constante dessas informações pode tornar a ação tão automática a ponto de desvincular o usuário da tomada de decisões conscientes e informadas sobre sua privacidade, levando-o a compartilhar seus dados pessoais biométricos sem compreender as finalidades da coleta e os riscos associados.
A fadiga da biometria impacta diretamente a experiência do usuário, adicionando  fricção à utilização da plataforma. Além disso, a insistência na biometria para quase todos os eventos de um aplicativo pode excluir usuários por diversas razões, que vão desde o uso de dispositivos mais simples que não detêm tecnologias eficazes de autenticação biométrica, até usuários com pouca familiaridade com tecnologia.
Em casos mais graves, o impeditivo para o uso de identificadores biológicos pode estar ligado a limitações de suas informações biométricas ou deficiências físicas, como é o caso de indivíduos com deficiências físicas ou visuais. Inclusão e acessibilidade são temas que precisam ser considerados pelas plataformas.
A biometria representa uma categoria de dado pessoal tão singular que, uma vez comprometida, passa a estar associada permanentemente a riscos consideráveis, já que, por suas características únicas, não pode jamais ser alterada pelo titular. Em um cenário de acesso indevido aos dados biométricos, o indivíduo se torna suscetível a golpes e fraudes. Essa criticidade nem sempre é avaliada pelo usuário ou, mesmo quando o é, nem sempre existem alternativas viáveis para se opor a essa prática e simplesmente acessar sua conta ou validar uma transação por Pix.
Essa característica de imutabilidade da biometria, aliada aos riscos associados a esse tipo de dado, levou a Lei Geral de Proteção de Dados Pessoais (<a href="https://www.jota.info/tudo-sobre/lgpd?non-beta=1">LGPD</a>)<a href="#_ftn1" name="_ftnref1">[1]</a> a classificar a biometria como um tipo de dado pessoal sensível<a href="#_ftn2" name="_ftnref2">[2]</a>, exigindo maior cautela em seu tratamento.
Nesse contexto, o princípio da minimização de dados<a href="#_ftn3" name="_ftnref3">[3]</a>, disposto na LGPD, ganha especial relevância ao lidar com informações biométricas, indicando que a coleta desses dados deve ocorrer apenas quando estritamente necessária, devendo o agente de tratamento buscar métodos menos intrusivos para alcançar os mesmos objetivos. Ou seja, a empresa que faz uso de dados biométricos deve ser capaz de demonstrar sua essencialidade e a não capacidade de atingimento dos mesmos resultados ou finalidades de negócio sem a coleta desse tipo de informação.
A regra traz um cenário desafiador diante da existência de outras tecnologias que podem alcançar os mesmos objetivos de forma menos invasiva e com igual ou superior segurança para usuários, suas contas e plataformas em geral, como é o caso da identidade por localização, por exemplo.
A relevância desse tema é reconhecida pela própria Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/anpd?non-beta=1">ANPD</a>), que na publicação da primeira edição do <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-10-de-5-de-dezembro-de-2023-530258528">Mapa de Temas Prioritários </a>(MTP)<a href="#_ftn4" name="_ftnref4">[4]</a> destacou como prioridade deste biênio a fiscalização sobre o uso de sistemas de reconhecimento facial. Para além da ANPD, outras entidades também compartilham a compreensão da criticidade associada a esse tipo de dado e têm aplicado sanções a empresas que exigem a coleta de dados biométricos sem aplicação de critérios adequados<a href="#_ftn5" name="_ftnref5">[5]</a>.
As fiscalizações e processos judiciais, tanto em âmbito nacional quanto internacional, são frequentes contra empresas que adotam uma abordagem indiscriminada na gestão de dados biométricos ou que negligenciam o tratamento conforme as regulamentações. Essa situação não apenas mina a confiança dos usuários nessa tecnologia, mas também instila apreensão nas empresas que a utilizam, considerando os impactos financeiros e de reputação que podem ser determinantes.
Além dos desafios regulatórios, de privacidade e àqueles associados à experiência do usuário, o uso de biometria de reconhecimento facial também têm enfrentado desafios técnicos devido ao avanço da chamada <a href="https://www.jota.info/tudo-sobre/inteligencia-artificial">Inteligência Artificial</a> Generativa. Cada vez mais a infalibilidade da biometria vem sendo questionada diante do uso de técnicas conhecidas como deepfakes, que conseguem, de forma assustadora, reproduzir imagens e vídeos de usuários para validar transações, autenticar eventos e mesmo aplicar golpes de engenharia social.
Outro aspecto a ser ponderado é a credibilidade que os usuários atribuem às empresas responsáveis pela guarda de seus dados biométricos. Uma pesquisa desenvolvida pela GetApp<a href="#_ftn6" name="_ftnref6">[6]</a> apontou que a confiança na habilidade das empresas de tecnologia para proteger esses dados sofreu uma drástica queda. A parcela daqueles que expressam uma confiança significativa nas empresas de tecnologia nesse quesito declinou de 28% em 2022 para 5% em 2024, ao passo que a parcela que simplesmente "não confia" nelas quase dobrou, aumentando de 22% para 42%.
Para contornar todos esses desafios e manter o uso de dados biométricos, sem, contudo, deixar de garantir a segurança e privacidade de seus usuários, o uso desse tipo de recurso de segurança requer uma abordagem criteriosa e estratégica. Para garantir a eficácia sem gerar fadiga para o usuário, é fundamental integrar a biometria a outras tecnologias de autenticação, deixando-a como etapa adicional de autenticação e não como a primeira e/ou única camada.
Uma solução viável consiste em adotar soluções capazes de distinguir usuários legítimos de fraudadores com precisão e eficácia, o que pode ser atingido utilizando fatores como o padrão único de comportamento de localização do usuário e dados de identificação de dispositivos como meio seguro de garantir sua autenticação e verificação.
Esse tipo de tecnologia opera em segundo plano, sem requerer ação direta do usuário, e tampouco interfere na experiência de uso, ou seja, não adiciona fricção e não exige que o usuário tenha conhecimento sobre o tema para ativar a solução de prevenção à fraude. Nesse contexto, uma autenticação que engloba elementos como localização, dados de dispositivo e outras informações menos intrusivas surge como a primeira linha de defesa. A identificação de usuários de alto risco por meio desses métodos permite uma abordagem mais seletiva para a validação por biometria.
A estratégia de autenticação deve ser guiada pelo princípio da minimização de dados, evitando a coleta indiscriminada de informações biométricas. A aplicação de critérios específicos para determinar quais usuários e quais eventos exigem autenticação por biometria é crucial. Apenas em situações consideradas mais críticas, de acordo com uma análise de riscos, a validação biométrica deve ser acionada.
Essa abordagem não apenas reforça a segurança, mas também se alinha com as diretrizes de privacidade, evitando a sobrecarga do usuário e mitigando riscos associados à fadiga da biometria. Ao estabelecer critérios claros e seletivos para a aplicação dessa tecnologia, as organizações podem oferecer uma experiência mais fluida e segura, capaz de promover a confiança dos usuários em ambientes digitais cada vez mais complexos, além de sujeitá-las a riscos mais controlados. Ao mesmo tempo, é possível trazer economia à empresa através da redução de gastos com tecnologias de biometria, demandas regulatórias e  prejuízos decorrentes de fraudes.
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Lei nº 13.709 de 14 de agosto de 2018. Disponível em: <a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm</a>. Acesso em 03.03.2024
<a href="#_ftnref2" name="_ftn2">[2]</a> LGPD, Art. 5º Para os fins desta Lei, considera-se: II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
<a href="#_ftnref3" name="_ftn3">[3]</a> Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
<a href="#_ftnref4" name="_ftn4">[4]</a> O documento estabelece os temas que terão prioridade para fins de estudos e planejamento das atividades de fiscalização pelos próximos dois anos. Disponível em: <a href="https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-10-de-5-de-dezembro-de-2023-530258528">https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-10-de-5-de-dezembro-de-2023-530258528</a>. Acesso em 03.03.2024
<a href="#_ftnref5" name="_ftn5">[5]</a>   <a href="https://idec.org.br/release/denuncias-de-consumidores-faz-idec-notificar-cinco-empresas-por-uso-obrigatorio-de-biometria">https://idec.org.br/release/denuncias-de-consumidores-faz-idec-notificar-cinco-empresas-por-uso-obrigatorio-de-biometria</a> e <a href="https://teletime.com.br/28/11/2023/idec-questiona-claro-e-vivo-por-exigencia-de-biometria-facial/?amp">https://teletime.com.br/28/11/2023/idec-questiona-claro-e-vivo-por-exigencia-de-biometria-facial/?amp</a>
<a href="#_ftnref6" name="_ftn6">[6]</a> Disponível em: <a href="https://www.getapp.com/resources/biometric-technology-challenges/">https://www.getapp.com/resources/biometric-technology-challenges/</a>. Acesso em 03.03.2024

harry-cunningham-1-Osp6CvhXc-unsplash (1)

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Uso excessivo do reconhecimento facial já gera impactos negativos na experiência, segurança e privacidade

A &#8216;fadiga da biometria&#8217;, seus desafios e alternativas para autenticar usuários

A 'fadiga da biometria', seus desafios e alternativas para autenticar usuários

Uso excessivo do reconhecimento facial e biometria já gera impactos negativos na experiência, segurança e privacidade