As fraudes com deepfakes cresceram 126% no Brasil em 2025, e o país já concentra quase 39% de todos os casos identificados na América Latina, segundo o Identity Fraud Report 2025-2026 da Sumsub. Diante desse cenário, bancos, fintechs e correspondentes bancários passaram a tratar a biometria facial como camada obrigatória de segurança em onboarding, formalização de crédito e atendimento remoto.
O problema é que biometria também é dado pessoal sensível pela LGPD — e a Autoridade Nacional de Proteção de Dados (ANPD) passou a regular com mais rigor como esse dado é coletado, usado e armazenado. Para quem já sabe que a conformidade não é opcional, é preciso se perguntar como isso afeta sua operação.
Por que a biometria virou alvo prioritário da fiscalização da ANPD
A biometria facial não é, hoje, uma exigência legal para o setor financeiro; não existe uma norma dizendo que todo banco “precisa” usar reconhecimento facial. O que existe é uma adoção em massa da tecnologia como resposta ao crescimento das fraudes, e é exatamente esse uso disseminado que atraiu a atenção da ANPD.
Dados biométricos, como impressão digital, reconhecimento facial, leitura de íris, padrões de voz e comportamento, são classificados como dados pessoais sensíveis pelo artigo 5º, inciso II, da LGPD (Lei 13.709/2018). Isso significa tratamento mais rigoroso, base legal específica e maior exposição em caso de falha. Não à toa, a ANPD incluiu o tema como item 5 da sua Agenda Regulatória para o biênio 2025-2026, instituída pela Resolução CD/ANPD nº 23/2024, com o objetivo declarado de construir regras específicas de coleta, uso e armazenamento de dados biométricos.
Em dezembro de 2025, a autoridade foi além da agenda regulatória e publicou o Mapa de Temas Prioritários para o biênio 2026-2027, documento que orienta onde a fiscalização vai concentrar recursos nos próximos dois anos. Dados biométricos aparecem lado a lado com dados de saúde e dados financeiros como temas de maior risco aos direitos dos titulares.
Vale notar que essa não é uma preocupação isolada do Brasil. Ao estruturar as perguntas da consulta pública sobre biometria, a própria ANPD recorreu a referenciais internacionais como o GDPR europeu e as diretrizes de autoridades como a CNIL (França), a AEPD (Espanha) e a ICO (Reino Unido) — todas com histórico de regras específicas para biometria em contextos como controle de acesso, ambiente de trabalho e escolas. Ou seja: a régua que o setor financeiro brasileiro vai precisar seguir tende a acompanhar um padrão já testado em mercados mais maduros em proteção de dados.
Biometria é conveniência, mas também é risco jurídico se mal implementada
Nenhuma instituição financeira vai abandonar a biometria, ela continua sendo uma das camadas mais eficazes contra fraude de identidade. O ponto de atenção é outro: usar biometria sem estrutura jurídica e técnica adequada substitui um risco (fraude) por outro (sanção regulatória e responsabilização civil).
Isso fica mais claro quando se olha para os pilares que sustentam o tratamento de dados biométricos segundo o artigo 11 da LGPD. Toda coleta precisa de base legal específica (consentimento destacado, prevenção à fraude ou cumprimento de obrigação legal, entre outras hipóteses previstas em lei), além de finalidade definida, necessidade comprovada e transparência ativa com o titular. Na consulta pública que a ANPD conduziu em 2025 sobre o tema, boa parte das 1.594 contribuições recebidas reforçou justamente esses pontos: consenso amplo em torno da classificação da biometria como dado sensível, e preocupação especial com biometria comportamental (voz, digitação, movimento ocular), apontada como de alto risco por permitir perfilamento e inferências sensíveis sobre o titular.
Para o setor financeiro, o risco composto é evidente: uma verificação biométrica malfeita não apenas facilita fraudes como golpes com deepfake e identidade sintética, que já respondem por parte relevante das tentativas de fraude no país, como também expõe a instituição a uma segunda frente de risco, a regulatória. Segurança de dados deixou de ser só uma pauta de TI; é hoje um critério de sobrevivência jurídica para quem trata dado sensível em escala.
O que sabemos sobre as novas diretrizes da ANPD para dados biométricos
O texto final da regulamentação específica ainda não foi publicado, mas o caminho até lá já está bem delineado — e já indica a direção que as empresas precisam seguir desde agora.
Da tomada de subsídios à nota técnica: o histórico do processo
A ANPD abriu, em junho de 2025, uma Tomada de Subsídios sobre Tratamento de Dados Biométricos, organizada em cinco blocos temáticos: definições e princípios, hipóteses legais, tecnologias de reconhecimento facial, segurança e governança, e direitos dos titulares e grupos vulneráveis. A consulta recebeu 1.594 contribuições, majoritariamente do setor privado, e resultou em uma nota técnica publicada no fim de 2025 com os principais pontos de consenso e divergência. A expectativa é que a regulamentação específica seja publicada ainda em 2026.
Fiscalização setorial: por que o setor financeiro está no radar
Enquanto o texto normativo não sai, a ANPD já age pelo lado da fiscalização. O Mapa de Temas Prioritários 2026-2027 elegeu os direitos dos titulares — com destaque explícito para dados biométricos, de saúde e financeiros — como o eixo com maior volume de ações previstas para o biênio. Na prática, isso significa que instituições financeiras que tratam biometria deixaram de correr apenas o risco genérico de fiscalização e passaram a integrar um grupo priorizado, com maior chance de receber ofícios, participar de ciclos de monitoramento e responder a processos administrativos.
O peso financeiro dessa exposição não é pequeno: a LGPD prevê multas de até 2% do faturamento da empresa no exercício anterior, limitadas a R$ 50 milhões por infração, além de sanções não financeiras como bloqueio de dados, suspensão do tratamento e publicização da infração — esta última, desde novembro de 2025, mais visível do que nunca graças ao painel público de fiscalização lançado pela própria ANPD.
Essa atenção ao setor financeiro também não é novidade pontual: já no Mapa de Temas Prioritários do biênio anterior, poder público, plataformas digitais e setor financeiro apareciam como eixos de fiscalização. O que muda agora é o grau de especificidade — antes a atenção era ao setor como um todo, hoje ela mira diretamente o tipo de dado tratado dentro desse setor, com dado biométrico, dado de saúde e dado financeiro nomeados juntos como o núcleo de maior risco.
O consenso que já está formado, mesmo antes do texto final
Mesmo sem a norma publicada, alguns pontos já podem orientar a operação hoje: a classificação da biometria como dado sensível é consenso absoluto; a prevenção à fraude é amplamente aceita como base legal legítima para o tratamento; e a biometria comportamental — voz, digitação, padrões de navegação — tende a receber tratamento mais restritivo por seu potencial de perfilamento. Empresas que já estruturam esses três pontos chegam à publicação da norma com adequação parcial garantida, em vez de correr atrás depois que a regra entrar em vigor.
Inovar com biometria sem sair da rota da ANPD
O desafio real do setor financeiro não é escolher entre inovar com inteligência artificial e biometria ou proteger o cliente de acordo com a LGPD, mas fazer as duas coisas na mesma operação, com evidência de que ambas aconteceram. Um sistema de verificação biométrica que impede fraude, mas não documenta base legal, finalidade e trilha de auditoria, resolve metade do problema e mantém a outra metade em aberto.
É nesse ponto que a estrutura de validação por vídeo se diferencia de uma checagem biométrica isolada. A Nuvidio combina biometria facial, liveness detection e machine learning aplicado à análise de risco dentro de interações em vídeo — seja com atendimento humano, no VideoCall, seja em fluxos totalmente autônomos, no VideoAgreement —, gerando, a cada operação, uma gravação criptografada com validade jurídica e uma trilha de auditoria completa. Isso significa que a mesma camada que impede a fraude também é a evidência que a instituição precisa apresentar caso a ANPD abra um processo de fiscalização — sem depender de reconstrução manual de dados depois do fato.
Conclusão
A ANPD deixou de ser um órgão apenas orientativo e está, na prática, transformando 2026 no ano em que biometria, dado financeiro e fiscalização ativa se cruzam. Para o setor financeiro, isso não muda a necessidade de usar biometria — muda a exigência de fazer isso com base legal clara, governança documentada e evidência auditável desde o primeiro dia da coleta. Quem estrutura essa base agora entra na fase de regulamentação plena com adequação construída, em vez de correndo atrás dela.
Conheça também as soluções da Nuvidio:
- VideoCall: Combine atendimento humano, validações de autenticidade, registros auditáveis e maior segurança jurídica em uma única solução.
- VideoAgreement: Conduza o cliente em uma jornada autônoma com IA para confirmar decisões, registrar consentimentos e formalizar contratações com mais clareza, segurança e rastreabilidade.
- Auditor.IA: Analise interações por voz e vídeo, sinalize riscos de conformidade com mais agilidade e direcione sua equipe para as análises que realmente precisam de atenção.