Depois da verificação de identidade: o que acontece com o documento e quem é responsável se ele vazar

Quando a verificação de identidade já está funcionando no seu diretório, parece que a parte difícil ficou para trás. O widget de upload funciona, as taxas de aprovação e reprovação parecem razoáveis, os anunciantes que importam conseguiram passar. O que ninguém lhe entrega nesse momento é um plano para a pilha de documentos que a verificação acabou de gerar, porque um sistema de verificação não consome um documento de identidade e o faz desaparecer. Ele produz uma fotografia de um rosto e uma fotografia de um documento oficial, e as duas agora existem em algum lugar, nos servidores de alguém, por um período que ninguém de fato decidiu de propósito.

Isto não é um argumento contra a verificação. A lei já resolveu essa questão, e pular a checagem é, de longe, o erro mais caro. É um argumento sobre a etapa logo depois do sinal verde de aprovação, que foi justamente a etapa que prejudicou seriamente várias empresas em 2025 e 2026, nenhuma das quais havia deixado de verificar. Elas fizeram tudo certo na verificação e depois deixaram o arquivo resultante parado em algum lugar até que a pessoa errada o encontrasse.

O documento não desaparece quando a verificação é aprovada

Do ponto de vista do anunciante, o fluxo de verificação parece simples: tirar uma selfie, fotografar um documento, esperar alguns segundos, ser aprovado. Por baixo disso, essa transação cria um artefato, as imagens propriamente ditas, que viaja de um formulário de upload até um mecanismo de comparação e volta com um resultado. Se esse artefato é apagado no instante em que a comparação termina, ou mantido por um dia, um mês ou indefinidamente, é uma decisão de design, e a maioria dos sistemas tende, por padrão, a guardar as coisas, porque apagar em um cronograma definido é um recurso que alguém precisa construir e manter, enquanto não fazer nada é gratuito.

O custo desse padrão veio a público em julho de 2025, quando um vazamento no aplicativo de segurança para encontros Tea expôs cerca de 72.000 imagens, incluindo aproximadamente 13.000 fotografias de documentos oficiais e selfies de verificação enviadas antes de fevereiro de 2024. A própria política de privacidade do Tea afirmava que as fotos de verificação eram apagadas imediatamente após o uso. Não eram: as imagens estavam paradas em um repositório de armazenamento em nuvem sem proteção adequada, um sistema legado que ninguém tinha voltado a esvaziar depois que o produto migrou para um sistema mais novo.

A lição não tem nada a ver especificamente com aplicativos de encontros e tem tudo a ver com o mecanismo, que é genérico para qualquer negócio que terceiriza uma verificação por trás de um widget. Uma política de privacidade é uma promessa, não um fato sobre a sua infraestrutura. Se você não consegue dizer o número exato de dias entre um anunciante enviar um documento e esse documento desaparecer de todos os sistemas que o tocaram, incluindo backups, você não sabe de fato qual é a sua política, apenas o que ela diz.

Um segundo incidente no mesmo ano mostrou a outra forma comum de isso dar errado: encaminhar algo sensível por um sistema de uso geral em vez de um sistema dedicado. O vazamento do Discord em outubro de 2025 foi rastreado até um fornecedor terceirizado de suporte ao cliente que havia sido comprometido, porque os recursos de contestação da verificação de idade, incluindo fotos de documentos oficiais enviadas pelos usuários, eram encaminhados pelo mesmo sistema de tickets usado para reclamações comuns. O Discord confirmou que cerca de 70.000 imagens de documentos e selfies foram expostas, junto com nomes, nomes de usuário, e-mails e dados limitados de cobrança, e desde então parou completamente de encaminhar documentos pelo suporte geral.

Por que perder um documento vinculado ao seu diretório é mais grave do que perder o documento sozinho

Um documento oficial vazado, por si só, já é um problema real para a pessoa da foto, mas um documento vazado que um conjunto de dados também rotula como pertencente a um anunciante verificado em um site de classificados adultos é um problema de outra ordem, porque o rótulo é o dano. O rótulo associa a essa pessoa um fato sobre a sua vida que ela não escolheu tornar público, e é essa combinação que transforma uma notificação de vazamento rotineira em um processo judicial, ou, em alguns casos documentados, em extorsão dirigida à pessoa cujos dados vazaram, e não à empresa que os perdeu.

Os reguladores já tratam esse tipo de associação como sensível por si mesma, independentemente de qualquer foto ou mensagem específica. Sob o RGPD (GDPR), dados que revelam a vida sexual ou a orientação sexual de uma pessoa fazem parte do pequeno grupo de categorias especiais que exigem uma base legal muito mais rigorosa para qualquer tratamento. A autoridade de proteção de dados da Noruega multou o aplicativo de encontros Grindr em cerca de seis milhões e meio de euros em dezembro de 2021, decisão mantida em recurso em 2025, especificamente porque compartilhar com parceiros de publicidade o simples fato de que alguém era usuário do Grindr já foi considerado capaz de revelar orientação sexual. Não foi preciso vazar nenhuma mensagem nem nenhuma foto para que a multa se aplicasse; o próprio fato de ser membro já era o dado sensível.

O mesmo raciocínio se aplica a um diretório de classificados quase sem adaptação. Um documento oficial que um conjunto de dados vazado também marca como pertencente a um anunciante verificado na sua plataforma é dado pessoal somado a um fato de vida inferido que o titular nunca concordou em tornar público, e todo arcabouço de responsabilidade construído em torno de vazamentos de dados trata essa combinação como mais grave do que o vazamento comum de números de cartão de uma loja. Isso explica boa parte do motivo pelo qual as multas e os processos judiciais nesse canto da internet são mais altos do que as manchetes de vazamento que a maioria dos negócios presume que não se aplicam a eles.

Na prática, isso deveria mudar o que conta como segurança adequada do seu lado, mesmo quando é o fornecedor que guarda o arquivo. Um banco de dados de senhas e um banco de dados que associa um documento oficial à condição de membro verificado na plataforma não carregam o mesmo dever de cuidado, e nem um regulador nem um jornalista vão tratá-los da mesma forma depois de um incidente. Vale a pena decidir, antes que algo aconteça, que essa segunda categoria recebe um padrão mais alto do que aquele que a sua política geral aplica hoje aos dados de clientes, porque depois de um incidente não é o momento em que essa decisão é tomada bem.

A armadilha da retenção: multado pelo que você guardou, tenha ou não vazado

Os casos do Tea e do Discord envolvem, ambos, um vazamento, ou seja, um invasor externo precisou fazer alguma coisa. A autoridade de proteção de dados da Espanha mostrou o outro caminho para o mesmo resultado em março de 2026, quando multou a Yoti, um dos fornecedores especializados em verificação de identidade e de idade, em novecentos e cinquenta mil euros sem que houvesse qualquer vazamento. A Yoti foi multada simplesmente pelo que vinha guardando, arquivado, à espera de que ninguém perguntasse.

Vale a pena examinar o detalhamento de perto, porque cada item descreve um hábito comercial comum e bem-intencionado, e não uma má conduta evidente. Quinhentos mil euros diziam respeito à forma como os dados biométricos eram tratados sob as regras de categoria especial do RGPD. Duzentos mil euros diziam respeito ao desenho do consentimento: os usuários podiam passar pela tela da política de privacidade sem nunca abri-la, e já vinham marcados por padrão para que seus dados biométricos fossem reutilizados em pesquisa interna, a menos que encontrassem e desmarcassem uma caixa. Os duzentos e cinquenta mil euros restantes diziam respeito a uma retenção considerada excessiva, incluindo dados de geolocalização mantidos por cinco anos depois de já terem cumprido sua única função, que era determinar qual regra de idade se aplicava no cadastro, e modelos biométricos mantidos durante todo o tempo em que a conta permanecesse ativa mais três anos adicionais após o último uso.

Cada uma dessas escolhas de retenção tinha uma justificativa que soava razoável: geolocalização para o caso de uma regra precisar ser reconferida, modelos biométricos para o caso de um anunciante recorrente precisar ser reverificado, acesso para pesquisa a fim de melhorar o produto. Uma justificativa que soa razoável não é o mesmo que um prazo de retenção vinculado a uma finalidade específica e declarada, e o regulador multou uma empresa construída em torno de fazer a verificação corretamente por confundir as duas coisas. A Yoti está recorrendo, e a aplicação da multa teria sido suspensa em abril de 2026 enquanto o recurso corre, portanto trate o caso como um alerta em andamento, não como um assunto encerrado, mas o raciocínio de que o prazo de retenção precisa acompanhar uma finalidade, e não uma conveniência, não é a parte que está sendo contestada no recurso.

A leitura operacional é simples de enunciar e fácil de ignorar: o contrato com o seu fornecedor deveria definir um prazo de retenção em dias, vinculado a uma finalidade declarada, para cada categoria de dado que a verificação produz. Se um fornecedor não consegue lhe dar esse número por escrito, é porque ele também não decidiu isso, e nenhum dos dois vai conseguir defender essa posição depois, seja perante um regulador, seja perante um anunciante perguntando para onde foi o seu documento.

O que realmente perguntar a um fornecedor de verificação antes de assinar

Na maioria dos arranjos, não é você quem opera o software de verificação. Quem opera é um fornecedor especializado, o que é a divisão de trabalho correta: verificações de identidade que realmente identificam anúncios falsos são uma disciplina estreita e carregada de responsabilidade legal, que uma equipe pequena não deveria tentar construir do zero. Mas, pela legislação de proteção de dados, o operador que decidiu que a verificação deveria acontecer geralmente continua sendo o controlador, enquanto o fornecedor é o operador de tratamento (processor), e um erro do fornecedor ainda recai sobre a responsabilidade do controlador perante a pessoa cujo documento vazou. Isso faz do contrato com o fornecedor, e não de um chamado de suporte aberto depois que algo já deu errado, o lugar certo para essas perguntas.

Pergunte primeiro se a verificação devolve apenas um resultado de aprovado ou reprovado mais uma pontuação de confiança, ou se a imagem real passa e chega a repousar, em algum momento, na sua própria infraestrutura. Um fornecedor construído em torno de um modelo de verificar e descartar, que compara o documento e o apaga dentro da mesma transação em vez de armazená-lo para depois, elimina a maior parte desse risco pela própria arquitetura, em vez de depender de uma promessa de política que precisa ser confiada e reconferida.

Peça a janela exata de exclusão em dias, prevista no contrato e não apenas citada em uma página de marketing, e pergunte o que acontece com os backups. Um sistema que apaga a cópia ativa em um cronograma definido, mas mantém um backup de noventa dias, tem, na prática, um prazo de retenção de noventa dias, não importa o que o número de destaque diga, e foi exatamente nessa brecha que as imagens do Tea sobreviveram além da exclusão que supostamente deveriam ter sofrido.

Pergunte quem notifica quem, e em quantas horas, se o próprio fornecedor sofrer um vazamento. Pode ser você, e não o fornecedor, quem deve um relatório ao regulador, e um prazo de notificação de setenta e duas horas não pode ser cumprido em um vazamento do qual você só toma conhecimento na terceira semana. Tenha essa resposta pronta antes de precisar dela: é quase o mesmo dossiê que um fornecedor de pagamentos já exige antes de aprovar sua conta, então documentá-la uma vez serve aos dois propósitos. Estabeleça, no contrato, um prazo mais curto para o fornecedor do que aquele que você deve ao seu próprio regulador, para que sobre tempo de agir antes que o seu prazo vença.

Pergunte, por fim, o que o fornecedor faz com a imagem para finalidades além da própria verificação: treinamento de modelos, bancos de dados de fraude compartilhados com outros clientes, pesquisa interna. Exija um sim ou não claro por escrito, em vez de aceitar o silêncio como resposta, porque foi exatamente o silêncio disfarçado de opção padrão pré-marcada que permitiu que o desenho de consentimento para pesquisa da Yoti se sustentasse por tanto tempo, até que um regulador olhasse de perto.

O que fazer, na prática, neste trimestre

Nada disso é motivo para verificar com menos cuidado. É motivo para ser tão deliberado sobre como os dados saem dos seus sistemas, e dos sistemas do seu fornecedor, quanto você já precisou ser sobre como eles entram. Os operadores prejudicados na próxima rodada de multas e manchetes de vazamento não serão os que nunca verificaram um documento; serão os que verificaram corretamente e nunca perguntaram o que aconteceu depois.

Comece ainda este mês pedindo, por escrito, o cronograma de retenção do seu fornecedor atual, em dias, para cada categoria de dado que a verificação produz, e não em adjetivos como brevemente ou conforme necessário. Se ele não conseguir apresentar esse número, a própria incapacidade de responder já é a conclusão, e ela diz mais sobre o risco que você está carregando do que qualquer material de marketing jamais dirá.

Encerre qualquer fluxo de trabalho em que um atendente de suporte, um responsável por análise de contestações, ou você mesmo, acabe recebendo uma foto de documento por e-mail ou por um sistema de tickets geral, em vez de pelo canal dedicado de verificação. Se um fluxo assim existir em qualquer parte da sua operação, ele é quase certamente a sua maior exposição isolada, e, ao contrário da maioria das correções neste negócio, fechá-lo não custa nada além da decisão de fazê-lo.

Inclua um prazo máximo de retenção e um prazo de notificação de vazamento na próxima renovação do contrato, por escrito, e agende, a cada dois trimestres, uma verificação da prática real do fornecedor, não apenas da sua página de política. Uma promessa verdadeira no dia em que você assinou o contrato não tem garantia de continuar verdadeira um ano depois, e a maioria dos negócios multados ou vazados em 2025 e 2026 descobriu isso por meio de um regulador ou de um hacker, em vez de por sua própria revisão.