Na última semana, dois alertas se cruzaram. Em 28 de outubro, o INSS desmentiu mensagens que circulam nas redes ameaçando bloquear benefícios de quem não fizesse um “cadastro biométrico”. Segundo a autarquia, essa opção sequer existe. As mensagens levam a páginas falsas que capturam dados pessoais para fraudes posteriores.
Dias depois, reportagem da Agência O Globo informou que uma empresa de tecnologia antifraude, a Certiface, já registrou mais de 3,6 milhões de rostos com restrições no Brasil, ligados a tentativas de fraude de identidade. Em setembro, o Mapa da Fraude da Serasa Experian havia apontado 2,86 milhões de tentativas de fraude de identidade barradas no primeiro semestre de 2026, alta de 32,9% sobre o mesmo período de 2025. O mesmo levantamento descreveu o chamado “golpe do sósia”: o criminoso usa motores de comparação facial para encontrar, em bases de rostos vazados, pessoas reais com até 99% de semelhança com ele, e então assume a identidade de quem tem mais chance de passar na validação.
O rosto virou a chave de abertura de conta, empréstimo, linha telefônica e benefício. E essa chave pode ser copiada, emprestada ou fabricada com inteligência artificial. É por isso que o tema importa agora: a pergunta deixou de ser se a biometria será fraudada e passou a ser quem responde quando ela for.
A lei autorizou a coleta pela segurança. Então cobra segurança
A Lei Geral de Proteção de Dados classifica o dado biométrico como dado pessoal sensível (art. 5º, II). Ao mesmo tempo, permite seu tratamento sem consentimento quando indispensável para garantir a prevenção à fraude e a segurança do titular em processos de identificação e autenticação de cadastros em sistemas eletrônicos (art. 11, II, “g”).
Repare na lógica. A lei abre a porta para a coleta do rosto justamente por sua função de proteção. Quem invoca essa base legal assume, por coerência, o dever de entregar a proteção prometida. Não faz sentido coletar um dado sensível em nome da segurança e, diante da fraude, alegar que a segurança não era sua responsabilidade.
Os dispositivos seguintes fecham o raciocínio. O art. 46 impõe aos agentes de tratamento medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações ilícitas. O art. 44 considera irregular o tratamento que não oferece a segurança que o titular pode esperar, considerados o modo de realização, os riscos esperados e as técnicas disponíveis à época. Seu parágrafo único responsabiliza o controlador ou o operador que, por não adotar as medidas do art. 46, der causa ao dano.
Nas relações de consumo, o art. 14 do Código de Defesa do Consumidor estabelece que o fornecedor de serviços responde, independentemente de culpa, pelos danos causados por defeitos na prestação do serviço. No setor bancário, a Súmula 479 do STJ consolidou que as instituições financeiras respondem objetivamente por danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.
Minha posição: a selfie aprovada não encerra a discussão
Tenho visto uma defesa cada vez mais comum: “a biometria foi aprovada, logo foi o titular”. Esse argumento inverte o problema. Se o sistema aprovou um sósia, um rosto sintético ou alguém que segurava a foto de outra pessoa, o que falhou foi o serviço, não o titular que nunca esteve ali.
O critério das “técnicas disponíveis à época”, do art. 44, pesa contra quem ficou parado. As próprias recomendações do mercado antifraude, publicadas pela Serasa Experian, falam em prevenção em camadas: biometria combinada com prova de vida, validação documental, cruzamento de dados e análise do dispositivo. Se a técnica em camadas existe e é recomendada publicamente, a empresa que em 2026 ainda aprova um cadastro só com a comparação de uma selfie terá dificuldade para sustentar que ofereceu a segurança esperada.
Isso não significa carta branca ao titular. Quem envia selfie com documento para uma falsa vaga de emprego contribui para o risco, e esse comportamento será examinado caso a caso. Mas a engenharia social é risco previsível de quem escolhe o rosto como senha. Previsível, portanto gerenciável. E o que é gerenciável integra o negócio.
Há ainda um ponto que diferencia a biometria de qualquer outra credencial. Senha vazada se troca. Rosto vazado, não. Por isso a gestão de incidentes com bases biométricas exige rigor redobrado, inclusive quanto ao dever de comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante (art. 48 da LGPD).
O que fazer agora
Para pessoas físicas
- Não envie selfie, foto de documento ou selfie segurando documento por aplicativo de mensagem, rede social, link ou QR Code. Biometria só nos aplicativos e sites oficiais.
- Desconfie de qualquer pedido inesperado de reconhecimento facial. O INSS informou que não envia servidores às casas para prova de vida e não pede senhas, dados bancários ou transferências.
- Monitore seu CPF e verifique contas, compras ou empréstimos que você não reconhece.
- Se for vítima, registre boletim de ocorrência, conteste a operação pelos canais oficiais da empresa e guarde todas as provas.
- Use os direitos da LGPD: confirmação de tratamento, acesso aos seus dados e informação sobre com quem eles foram compartilhados (art. 18, I, II e VII). Isso ajuda a entender como o cadastro fraudulento foi aprovado.
Para empresas que usam biometria
- Mapeie todos os pontos em que o rosto é usado como chave: abertura de conta, ativação de linha, cadastro de paciente, acesso a plataforma, controle de ponto.
- Documente a base legal e a necessidade. Para dados sensíveis, mantenha relatório de impacto pronto, já que a ANPD pode exigi-lo (art. 38).
- Abandone o fator único. Combine biometria, prova de vida, validação documental e sinais do dispositivo.
- Revise o contrato com o fornecedor de biometria. Ele é, em regra, operador e deve seguir as instruções do controlador, que precisa fiscalizar o cumprimento (art. 39). Inclua deveres de segurança, auditoria e notificação de incidentes.
- Crie um fluxo rápido para quem afirma “não fui eu”, com preservação de registros e resposta fundamentada. Esse fluxo reduz dano, litígio e exposição regulatória.
Conclusão
A biometria é uma boa ferramenta de autenticação. O erro está em tratá-la como prova absoluta de autoria. A LGPD permitiu que empresas coletassem o rosto das pessoas para protegê-las da fraude. Quando a fraude passa pelo rosto, a pergunta jurídica correta não é se o titular estava lá, mas se o sistema fez o que a lei e o mercado esperavam dele. Rosto não é assinatura. E quem decidiu usá-lo como senha precisa estar pronto para responder quando a senha for copiada.
Referências
- Lei nº 13.709/2018 (LGPD), arts. 5º, II; 11, II, “g”; 18; 38; 39; 44; 46; 48: texto atualizado, Câmara dos Deputados
- Lei nº 8.078/1990 (CDC), art. 14: Planalto
- Súmula 479 do STJ: STJ
- INSS alerta para golpes que usam informação falsa sobre biometria (28/10/2026): Mercado & Consumo
- Golpe da biometria: conheça a nova ameaça (Agência O Globo, 01/11/2026): Tribuna do Sertão
- Golpe do sósia, Mapa da Fraude 1º semestre de 2026: Serasa Experian
