O que está por trás da polêmica sobre a coleta dos dados da íris?

Os dados pessoais biométricos, tais como as digitais, a íris, o formato da face e a voz constituem dados pessoais sensíveis. Em razão dos riscos mais elevados que o tratamento desse tipo de dado pessoal pode oferecer, a lei confere a eles regime de proteção mais rigoroso, limitando as hipóteses legais que autorizam o seu tratamento.

Os dados pessoais sensíveis são aqueles aos quais a Lei Geral de Proteção de Dados (“LGPD”) conferiu uma proteção ainda maior, por estarem diretamente relacionados aos aspectos mais íntimos da personalidade. Assim, de acordo com o art. 5º, inciso II, da LGPD, são dados pessoais sensíveis aqueles relativos à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos.

Tais dados podem ser tratados se tiverem o consentimento explícito da pessoa e para um fim definido. Ademais, sem consentimento do titular, a LGPD admite quando for indispensável em algumas situações como obrigação legal, políticas públicas, contratuais e processuais.

Nesse contexto, em novembro de 2024, a Autoridade Nacional de Proteção de Dados (“ANPD”) havia instaurado um processo de fiscalização contra empresa que vinha ofertando criptomoedas em retribuição à coleta de íris de titulares brasileiros. Em janeiro de 2025, após polêmicas sobre o caso, a ANPD decidiu exigir a suspensão da concessão de qualquer tipo de compensação financeira para coleta do dado, além de determinar a indicação do Encarregado de Dados Pessoais pela empresa coletora.

A LGPD estabelece que o consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. No caso de dados sensíveis, essa manifestação precisa ocorrer de maneira específica e destacada, com indicação das finalidades específicas.

De acordo com o entendimento da ANPD, a oferta de contraprestação pecuniária poderia ser interpretada como elemento que interferiria na autonomia do titular, influenciando na decisão quanto à disposição de seus dados pessoais, especialmente em casos nos quais eventual vulnerabilidade e hipossuficiência tornem ainda maior o peso do pagamento oferecido para a sua tomada de decisão. A manifestação da vontade, nesses casos, seria menos autônoma e mais influenciada por fatores externos, sendo o fato agravado pelo tratamento ser caracterizado pela irreversibilidade (não seria possível ao titular revogar o consentimento ou solicitar que seus dados sejam eliminados), uma vez que a empresa fiscalizada afirmou que a única informação mantida pelo controlador é o código de íris, dado que é  anonimizado, portanto, não correspondendo a dado pessoal nos termos da lei após o procedimento de anonimização.

Desde que começou a atuar pelo mundo, há dois anos, a empresa tem sido alvo de questionamentos por parte de autoridades de dados também de outros países. Na União Europeia, em dezembro passado, uma decisão determinou que a empresa permita a exclusão completa dos dados biométricos caso esse pedido seja feito pelo titular.

A compreensão e a aplicação correta das bases legais para o tratamento de dados pessoais, em especial o consentimento, são fundamentais para a conformidade com a LGPD. Ao fomentar um ambiente de transparência e responsabilidade, as empresas não apenas cumprem suas obrigações legais, mas fortalecem a confiança dos clientes, promovendo um relacionamento duradouro e positivo.

Este Boletim foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.