Clarisse Monte Serrat

Dayana Caroline Costa

Sara Coraini

Um dos grandes desafios enfrentados pelas empresas durante seu processo de adequação à Lei Geral de Proteção de Dados Pessoais – LGPD (Lei nº 13.709/2018) refere-se à identificação da base legal mais adequada para justificar o tratamento dos dados pessoais e dados pessoais sensíveis.
Em especial, a base legal do consentimento (artigos 7º, I e 11, I da LGPD) demanda das empresas um esforço adicional tendo em vista a grande dificuldade de comprovação do cumprimento dos requisitos necessários para sua validade legal, bem como dificuldades da sua gestão.
Diante deste contexto, buscando meios para validar o consentimento, algumas empresas enxergaram na coleta da biometria do titular a grande solução para esse desafio. Mas seria essa a melhor alternativa? Quais os riscos decorrentes da coleta de biometria para fins de validação do consentimento? Para responder a essas perguntas são necessárias algumas reflexões iniciais sobre a base legal do consentimento.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>Conforme disposto no artigo 5º, XII da LGPD, para que o consentimento do titular seja válido, ele deve atender aos seguintes requisitos:
Livre: segundo a  Guideline 05/2020<a href="#_ftn1" name="_ftnref1">[1]</a> do órgão consultivo europeu European Data Protection Board (EDPB)<a href="#_ftn2" name="_ftnref2">[2]</a> consentimento livre é aquele que implica a escolha e controle real do titular do dado, ou seja, o titular não pode se sentir compelido a aceitar o tratamento de seus dados e, tampouco, ser prejudicado caso opte por não fornecer o consentimento.
Informado: o consentimento informado é aquele em que o titular tem acesso claro, preciso e fácil às informações relacionadas ao tratamento dos seus dados pessoais previamente à concessão do consentimento.
Inequívoco: o consentimento inequívoco revela a evidente concordância do titular quanto ao tratamento de seus dados pessoais. Essa manifestação deve ser clara e não deve haver dúvidas sobre sua anuência ao tratamento. A EDPB acrescenta que a manifestação do titular pode decorrer de uma ação afirmativa, o que implica dizer que o controlador pode coletar o consentimento do titular de forma oral ou até mesmo mediante um comportamento que demonstre sua concordância de forma óbvia.
Além disso, quando o tratamento envolver dados pessoais sensíveis, o consentimento deverá observar requisitos adicionais determinados pelo artigo 11, I da LGPD, quais sejam:
Específico: o controlador deverá especificar exatamente a finalidade do tratamento para o dado pessoal sensível, segregando a coleta do consentimento de outros assuntos para que haja uma granularidade nas solicitações do consentimento e o titular tenha a possibilidade de consentir para as finalidades do tratamento que ele entenda ser a mais adequada.
Destacado: significa dizer que para que o tratamento ocorra não basta uma ação afirmativa por meio de uma atitude de comportamento do titular. Para ser destacado, o consentimento deve decorrer necessariamente de uma declaração escrita em que o titular concorda que o controlador trate os seus dados.
Compreendidos os requisitos para tornar válido o consentimento, compreende-se também os motivos que levaram algumas empresas a equivocadamente adotar a biometria como forma de garantir a comprovação de que o titular concorda com o tratamento de seus dados.
Isso porque, a depender do contexto, como, por exemplo, durante uma venda realizada em um ambiente físico, pode ser aparentemente inviável solicitar ao titular a assinatura de um documento ou cadastro e acesso a alguma plataforma que possibilite a coleta de seu consentimento. Essas dificuldades são compreensíveis.
<blockquote class="jota-article__eye">Todavia, optar pela adoção da coleta de biometria para validar um tratamento baseado em consentimento não é, definitivamente, o melhor caminho.</blockquote>
Ao adotar essa dinâmica as empresas estão realizando a coleta de um outro dado pessoal considerado como sensível pela LGPD, o qual demanda maiores cautelas e precisa ser justificado por uma base legal que autorize seu tratamento. No contexto relatado, além da coleta biométrica trazer maiores riscos pelo seu potencial discriminatório, pode ser considerada excessiva, inadequada e sem base legal que justifique o tratamento.
A coleta do dado biométrico para fins de validação do consentimento fere os princípios da finalidade (art. 6º, I), adequação (art. 6º, II)  e necessidade (art. 6º, III) e possui potencial para ferir outros princípios da LGPD como segurança (art. 6º, VII) e não discriminação (art. 6º, IX).
Nesta linha, o Parecer 03/2012 do Article 29 Data Protection Working Party<a href="#_ftn3" name="_ftnref3">[3]</a>, dispõe que os dados biométricos: “(...) só podem ser tratados se existir uma base jurídica e se o tratamento for adequado, pertinente e não excessivo relativamente à finalidade para que são recolhidos e/ou tratados posteriormente”.
Há outras formas para coleta do consentimento do titular que são menos invasivas e geram menos riscos, tanto ao titular quanto à empresa e atendem plenamente ao que dispõe a LGPD.
Assim, a organização deve se valer de meios menos agressivos que sejam igualmente capazes de demonstrar que o titular consentiu com o tratamento, como, por exemplo, uma declaração escrita pelo próprio titular ou por meio de um clique em uma checkbok, desde que presentes todos os requisitos do consentimento válido e atendidos todos os princípios da LGPD.
Ainda, especificamente sob a ótica do princípio da segurança, a coleta de biometria para validação do consentimento traz riscos relevantes à empresa e nenhum benefício.
Isso porque medidas técnicas e organizacionais mais complexas deverão ser implementadas para proteger a gestão desses dados biométricos, os quais, por serem imutáveis podem gerar danos irreparáveis ao titular, já que são dados insubstituíveis e uma vez comprometidos por algum vazamento ou incidente de segurança, não há como recuperá-los: “se um dado biométrico for comprometido, estará comprometido para sempre.” (PRABHAKAR; PANKANTI e JAIN, 2003).
A adoção da base legal do consentimento impõe imensuráveis desafios às empresas e para atender a seus árduos requisitos sem trazer maiores riscos ao tratamento ou comprometer os princípios e disposições da LGPD, as empresas precisam se valer de criatividade e disposição para encontrar outros meios menos invasivos de validar o consentimento sem que seja necessária a coleta de dados pessoais sensíveis como dados biométricos, os quais, sem dúvida, apenas oneram ainda mais a empresa e comprometem sua adequação à LGPD.
<hr />
<div id="teste3-99b6e4ed7825b47581be" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('teste3-99b6e4ed7825b47581be', 'UA-53687336-1').createForm();</script> 
<script type="text/javascript">
setTimeout(function(){
 const btn = document.getElementById("rd-button-knf3ol7n")
 const check = document.getElementById("rd-checkbox_field-knhwxg2c")
 btn.disabled = true;
 btn.style.opacity = 0.7;
 check.addEventListener("click", function() {
 if (check.checked){
 btn.disabled = false;
 btn.style.opacity = 1;
 } else {
 btn.disabled = true;
 btn.style.opacity = 0.7;
 }
 });
}, 3000);
</script>
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> EDPB. Guidelines 05/2020 on consent under Regulation 2016/679, 04 may 2020. Disponível em: &lt;<a href="https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf">https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf</a>&gt;. Acesso em 14 de março de 2021.
<a href="#_ftnref2" name="_ftn2">[2]</a> O Conselho Europeu de Proteção de Dados é um órgão europeu independente cujo objetivo é garantir a aplicação consistente do Regulamento Geral de Proteção de Dados e promover a cooperação entre as autoridades de proteção de dados da UE.
<a href="#_ftnref3" name="_ftn3">[3]</a> Article 29 Data Protection Working Party. Opinion 3/2012 on developments in biometric technologies, 27 apr. 2012. Disponível em: &lt;<a href="https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf">https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf</a>&gt;. Acesso em 14 de março de 2021.

44923921714_b2569b4cbb_c

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

A adoção da base legal do consentimento impõe imensuráveis desafios às empresas

Coleta de biometria para fins de validação do consentimento

A adoção da base legal do consentimento impõe imensuráveis desafios às empresas