O escaneamento facial dentro da sua verificacao de identidade: o que a lei de privacidade biometrica realmente exige de um fornecedor

Voce adicionou uma verificacao de identidade ou de idade porque tanto a lei quanto a sua processadora de pagamentos exigem uma, escolheu um fornecedor cuja pagina de produto usa termos como correspondencia facial ou deteccao de vivacidade, e seguiu em frente. Visto de fora, parece a versao digital de um segurança olhando para uma carteira de motorista: entra uma foto, sai um sim ou um nao. O que essa descricao deixa de fora e o que realmente acontece no meio do caminho, porque comparar uma selfie com a foto de um documento normalmente significa que o software extrai primeiro uma descricao matematica do rosto da pessoa, e varios estados americanos decidiram que esse resultado especifico nao e de forma alguma uma foto comum. E uma categoria de dados separada, regulada de forma mais rigida, com sua propria burocracia de consentimento e sua propria formula de indenizacao, que corre em paralelo a tudo o que voce ja sabe sobre verificacao de idade e retencao de dados.

Nada disso aparece na pagina de precos do fornecedor, e quase ninguem le a norma correspondente antes de assinar o contrato, o que e exatamente o motivo pelo qual os operadores acabam descobrindo isso por meio de um processo judicial, e nao do contrato. As regras abaixo nao foram escritas pensando em classificados adultos, e a maior parte do dinheiro envolvido ate agora veio de plataformas sociais e aplicativos de economia sob demanda, nao de diretorios. Isso nao e motivo para relaxar: a tecnologia que gera a exposicao e o mesmo software de correspondencia facial, muitas vezes vendido pelos mesmos fornecedores, encaixado no mesmo tipo de fluxo de cadastro sobre o qual este setor ja funciona.

O que realmente conta como dado biometrico

Illinois, que tem a versao mais rigida dessa lei, define um identificador biometrico de forma estrita: um escaneamento de retina ou iris, uma impressao digital, uma impressao de voz, ou um escaneamento da geometria da mao ou do rosto. A lei paralela do Texas cobre a mesma lista curta. As duas leis fazem questao de dizer o que nao conta: uma fotografia isolada e excluida, assim como uma amostra de caligrafia ou uma assinatura. Lida rapidamente, isso parece tranquilizador para um diretorio que lida principalmente com fotografias de carteiras de motorista e selfies.

A exclusao nao sobrevive ao contato com a forma como o software de correspondencia realmente funciona. Tribunais federais em Illinois ja decidiram que um modelo de geometria facial extraido de uma fotografia por outro lado isenta ainda e um identificador biometrico coberto pela lei, porque a norma regula o que o software deriva da imagem, nao o arquivo de imagem parado em uma pasta. Uma selfie que um revisor humano olha e descarta e, juridicamente, muito diferente da mesma selfie processada por um motor de correspondencia que a transforma em um conjunto de medidas usadas para compara-la com a foto do documento.

A consequencia pratica e que o rotulo do recurso do seu fornecedor faz a maior parte do trabalho de indicar quais regras se aplicam, e vale a pena fazer a pergunta direta e pouco glamorosa em vez de confiar no texto de marketing: essa verificacao especifica produz e retem um modelo de geometria facial, ou apenas compara duas imagens sem gerar esse dado intermediario? Fornecedores que vendem nesse espaco geralmente conhecem a resposta imediatamente, porque e a mesma resposta que o proprio departamento juridico deles pediu ha anos.

O consentimento que a caixa de selecao do seu fornecedor nao cobre

Illinois exige, por escrito e antes que qualquer escaneamento aconteca, que a pessoa seja informada sobre o proposito especifico da coleta e o tempo exato de retencao dos dados, seguido de uma autorizacao por escrito, que desde uma emenda de agosto de 2024 pode ser dada como uma assinatura eletronica. A aceitacao generica dos termos de servico quase nunca satisfaz isso, nao porque falte uma caixa de selecao, mas porque nao foi redigida para esse proposito especifico: raramente indica um prazo de retencao, e vem junto com dezenas de clausulas sem relacao, em vez de constar sozinha como o aviso especifico que a norma descreve.

A versao do Texas impoe uma estrutura paralela: aviso e consentimento antes da captura do escaneamento, proibicao de vender ou alugar os dados resultantes a terceiros, e um prazo rigido de destruicao de no maximo um ano apos o proposito que justificou a coleta ter sido cumprido. O que acontece com a foto original e o arquivo do documento depois desse ponto e um problema a parte, que este blog ja tratou em detalhes em outro lugar, mas o modelo biometrico criado durante a comparacao esta sujeito a um prazo mais rigido, imposto pela norma, que corre independentemente do cronograma de retencao que voce definiu para o documento em si.

Nenhuma das duas leis permite que um operador aponte para a politica de privacidade do fornecedor e declare o requisito de aviso satisfeito. O dever recai sobre a empresa que esta de fato coletando dados da pessoa, o que e uma pergunta sobre como o seu fluxo de cadastro e desenhado, nao sobre qual marca aparecia no popup em que o anunciante clicou. Se o seu fluxo encaminha a selfie e a foto do documento pelo seu proprio dominio antes de repassa-las ao fornecedor, e voce quem provoca a coleta do ponto de vista do anunciante, seja la o que o contrato com o fornecedor diga sobre quem e tecnicamente responsavel.

O que uma infracao realmente custa

Illinois fixa os danos previstos em lei em 1.000 dolares ou o dano real, o que for maior, para uma infracao negligente, e 5.000 dolares ou o dano real para uma infracao intencional ou temeraria. A suprema corte do estado decidiu ha anos que quem processa nao precisa provar nenhum dano alem da propria falha documental para ganhar a causa: a falta de um aviso ou de uma autorizacao por escrito basta por si so, independentemente de o dado biometrico ter sido usado indevidamente ou nao.

Illinois tentou suavizar a pior versao dessa conta em agosto de 2024, mudando a forma de contar as infracoes de uma vez por escaneamento para uma vez por pessoa, o que faz a diferenca entre uma unica acao e dezenas para o mesmo anunciante que se verifica repetidamente ao longo do tempo. Se essa mudanca tambem alcancava os casos ja em andamento permaneceu uma questao aberta nos tribunais ate esta primavera, quando um tribunal federal de recursos decidiu que ela se aplica tambem aos casos pendentes, entao a contagem por pessoa, mais branda, e agora a regra realmente em vigor, e nao uma promessa futura.

Texas e Washington construiram a mesma ideia de fundo em torno de uma alavanca diferente: nenhum anunciante individual pode processar diretamente o seu diretorio com base na lei biometrica de nenhum dos dois estados, apenas o procurador-geral do estado pode abrir um caso. O Texas fixou seu teto em 25.000 dolares por infracao sem limite total, e foi exatamente esse numero que seu procurador-geral usou para obter 1,4 bilhao de dolares da Meta e 1,375 bilhao de dolares do Google por praticas de dados de reconhecimento facial sem relacao com verificacao de idade ou identidade. Uma acao privada e uma acao de fiscalizacao estatal sao duas formas diferentes da mesma exposicao de fundo, e qual delas se aplica a voce depende inteiramente de onde vivem seus anunciantes, nao de onde sua empresa esta registrada.

O panorama mais amplo da privacidade acrescenta uma terceira camada facil de perder de vista: a maioria dos mais de vinte estados americanos que hoje tem uma lei geral de privacidade do consumidor classifica dados biometricos como uma categoria separada de informacao sensivel, alem do que uma norma biometrica dedicada ja exige. Algumas dessas leis exigem consentimento explicito antes mesmo que esse dado possa ser tratado, outras dao a pessoa o direito de se opor depois, e as obrigacoes de verificacao de idade ja em vigor ja pressupoem que algum tipo de checagem de identidade ou idade esta acontecendo, sem resolver a questao separada de o que uma etapa de correspondencia facial dentro dessa checagem precisa fazer para continuar licita.

O fornecedor nao se coloca automaticamente entre voce e a acao judicial

O exemplo mais claro de como isso se desenrola para um fornecedor de verificacao de identidade especificamente, e nao para uma plataforma social que marca fotos, e o caso Sosa contra Onfido. A Onfido e uma empresa sediada no Reino Unido, sem escritorio em Illinois, que oferece exatamente o tipo de verificacao de identidade por correspondencia facial que um marketplace usa para confirmar que o documento de um novo usuario e genuino. Um residente de Illinois cujo rosto havia sido escaneado por esse processo processou a empresa diretamente, e a Onfido argumentou que seus servidores e todo o seu negocio ficavam fora de Illinois, entao a lei do estado nao poderia alcanca-la. O tribunal federal de recursos discordou: o que importa e onde o rosto da pessoa foi capturado e usado, nao onde estao a infraestrutura ou a sede da empresa. A Onfido fechou acordo por cerca de 28,5 milhoes de dolares.

Esse resultado nao e automatico apenas porque quem processa mora em Illinois. Outro tribunal rejeitou uma acao semelhante contra uma fabricante canadense de aplicativos porque os downloads a partir de Illinois, isoladamente, nao bastavam para ligar a conduta da empresa ao estado. Estar sediado fora de Illinois as vezes funciona como defesa e as vezes nao, e a diferenca geralmente depende de detalhes que o operador controla diretamente: como o fluxo de verificacao e construido, quantas das pessoas afetadas estao de fato naquele estado, e com que profundidade os proprios sistemas da empresa chegam ate la, em vez de onde o negocio esta registrado.

Uma decisao mais recente importa ainda mais para um operador que nunca lida pessoalmente com o escaneamento. Em janeiro de 2026, um tribunal de recursos de Illinois decidiu que uma empresa que simplesmente integra o sistema biometrico de um fornecedor, sem ela mesma adquirir ou controlar o dado biometrico resultante, nao e um coletor nos termos da lei, rejeitando a ideia de que qualquer um cujo produto toque o processo compartilha a mesma exposicao. Lida com clareza, essa decisao significa que a linha que separa um operador com exposicao real de um sem exposicao nao e se um rosto foi escaneado em algum ponto do caminho. E se o proprio operador chega a receber, armazenar ou controlar o modelo geometrico resultante, em vez de apenas ver um resultado de aprovado ou reprovado que o fornecedor devolve.

O que verificar antes da proxima renovacao de contrato

Comece fazendo ao fornecedor a pergunta direta e pouco glamorosa: essa verificacao especifica produz e retem um modelo de geometria facial, ou se limita a comparar duas imagens sem gerar esse dado intermediario? Consiga a resposta por escrito, em vez de deduzi-la do nome comercial do recurso, porque correspondencia facial e deteccao de vivacidade descrevem processos tecnicos muito diferentes dependendo de qual fornecedor os esta vendendo.

Depois confirme, verificando tecnicamente e nao apenas confiando na palavra dada, que a integracao nunca envia o modelo biometrico bruto de volta para os seus proprios sistemas, e que apenas um resultado de verificacao atravessa essa fronteira. Os tribunais estao cada vez mais usando exatamente essa distincao para decidir qual parte da cadeia conta como a que tem exposicao juridica real, o que a torna mais importante do que um paragrafo em um contrato de fornecedor que ninguem le de novo depois de assinar.

Peca o cronograma publico de retencao e destruicao de dados biometricos do fornecedor, ja que tanto Illinois quanto Texas exigem que exista um publicado, e um fornecedor que nao consegue apresenta-lo quando solicitado ja lhe disse algo util sobre o quao cuidadosamente o resto do processo dele foi construido. Onde a politica do fornecedor for vaga ou inexistente, presuma que fechar essa lacuna e responsabilidade sua, e nao dele mais tarde.

Por fim, adicione uma etapa de consentimento independente antes do proprio escaneamento, separada dos termos de servico gerais, que declare o proposito especifico e o prazo exato de retencao em linguagem simples, e verifique onde sua base de anunciantes realmente vive antes de supor que uma lei escrita para um estado nao tem nada a ver com uma empresa registrada em outro. A norma que alcanca voce e decidida pelo endereco dos seus anunciantes, nao pelo seu.