AGU publica aviso de privacidade sobre biometria facial e efeitos práticos

A Advocacia-Geral da União (AGU) publicou um aviso de privacidade relativo ao uso de biometria facial para controle de acesso, documento disponibilizado em 19/10/2026 e atualizado na mesma data, com objetivo imediato de explicitar práticas e bases legais adotadas pelo órgão.

Contexto

O uso de reconhecimento facial por órgãos públicos tem crescido como instrumento de controle de acesso e segurança institucional, ao mesmo tempo em que intensifica debates sobre proteção de direitos fundamentais, tratamento de dados pessoais sensíveis e transparência administrativa. No Brasil, a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018 — LGPD) passou a ser o marco regulatório central para tratamentos que envolvem dados biométricos, classificados como dados pessoais sensíveis. Para administrações públicas, a adoção de tecnologias biométricas levanta questões sobre a base legal adequada, a necessidade de avaliação de impacto, a minimização de dados e a garantia dos direitos dos titulares.

A publicação de um aviso de privacidade por órgão federal como a AGU insere-se nesse contexto: visa informar titulares sobre finalidades, bases legais e medidas de proteção, e orienta agentes internos sobre conformidade. Avisos desse tipo têm sido exigidos tanto por orientação da Autoridade Nacional de Proteção de Dados (ANPD) quanto pela própria jurisprudência e literatura administrativa, que cobram transparência e proporcionalidade no emprego de reconhecimento facial.

O que foi decidido

Embora não se trate de decisão judicial, o aviso da AGU funciona como ato administrativo de transparência que delineia o enquadramento do tratamento de imagens faciais no âmbito do órgão. O documento apresenta as finalidades do tratamento (controle de acesso), a natureza dos dados coletados (biométricos faciais), os direitos dos titulares e as medidas de segurança aplicadas. Na prática, o aviso formaliza o posicionamento do controlador público quanto à legitimidade do processamento e à disponibilização de informações previstas na LGPD.

Do ponto de vista jurídico-prático, a publicação representa três vetores essenciais: primeiro, afirmação de uma base de legitimidade administrativa para o tratamento; segundo, compromisso público com princípios de proteção de dados; terceiro, instrumento para dar transparência e viabilizar o exercício de direitos pelos titulares (acesso, eliminação, portabilidade, entre outros).

Base normativa e precedentes

• Art. 5, CF/88 — proteção da intimidade, vida privada, honra e imagem como garantias constitucionais relacionadas ao uso de dados biométricos.
• Lei 13.709/2018 (LGPD) — norma matriz para tratamento de dados pessoais, incluindo:
  • Art. 5 — definição de dados pessoais e dados pessoais sensíveis (inclui biometria);
  • Art. 6 — princípios aplicáveis ao tratamento (finalidade, adequação, necessidade, transparência, segurança);
  • Art. 7 — hipóteses de tratamento de dados pessoais (ex.: cumprimento de obrigação legal ou exercício regular de atribuições do poder público);
  • Art. 11 — regras específicas para tratamento de dados pessoais sensíveis e as exceções previstas;
  • Art. 18 — direitos dos titulares sobre seus dados.
• Papel da ANPD — atuação regulatória e fiscalizatória prevista na LGPD, incluindo orientação sobre práticas de governança e elaboração de normas complementares.
• Jurisprudência consolidada do tribunal — orienta exigência de avaliação de impacto e transparência em tratamentos biométricos, embora posições possam variar conforme a matéria concreta.

Impacto prático

• Para gestores públicos: o aviso serve como referência para procedimentos internos de compliance e para justificar juridicamente a implantação de sistemas de reconhecimento facial; exige que o órgão demonstre a necessidade, minimização de dados e aplicação de medidas de segurança da informação.
• Para controladores e DPOs (encarregados): impõe a obrigação de operacionalizar rotinas de atendimento a direitos dos titulares, conservar registros de tratamento e preparar instrumentos de avaliação de impacto à privacidade (DPIA), conforme princípios da LGPD.
• Para titulares (servidores, visitantes): passa a existir um canal formal de informação sobre finalidade, base legal e mecanismo para reclamação ou pedido de exercício de direitos; aumenta a previsibilidade sobre o uso de suas imagens.
• Para advogados e litigantes: o aviso será peça relevante em demandas relativas a eventual vazamento, tratamento inadequado ou uso indevido de biometria; servirá como prova documental do dever de transparência do controlador.
• Para procedimentos licitatórios e contratos tecnológicos: exigirá cláusulas contratuais robustas sobre subcontratação, segurança, retenção e eliminação de dados, além de auditorias e relatórios de conformidade.

O que observar

• Avaliação de impacto: é imperativo que o órgão realize e documente Avaliação de Impacto à Proteção de Dados (DPIA) sempre que o tratamento apresentar risco elevado aos direitos dos titulares.
• Base legal: verificar e justificar a hipótese de tratamento (ex.: cumprimento de obrigação legal ou exercício regular de atribuições públicas) e, se adotado, avaliar se o consentimento é realmente aplicável ou desejável em ambiente público.
• Minimização e retenção: definir politicas claras sobre coleta limitada, prazo de conservação e critérios de eliminação das imagens/biometrias.
• Segurança e fornecedores: contratos com prestadores devem prever medidas técnicas e organizacionais, responsabilidade por incidentes e obrigação de notificação em caso de vazamento.
• Direitos dos titulares: operacionalizar canais eficientes para atendimento de solicitações previstas no art. 18 da LGPD; registrar respostas e fundamentos legais.
• Fiscalização e contencioso: manter documentação que comprove a observância dos princípios da LGPD e das normas administrativas, ante eventual atuação da ANPD ou demandas judiciais.

O aviso de privacidade da AGU é, portanto, mais que um documento descritivo: constitui peça central de governança de dados que deverá orientar ações, contratos e defesas administrativas e judiciais envolvendo biometria facial.