Verificação Biométrica de Identidade e a Lei de Privacidade dos EUA: BIPA, CUBI e o Mosaico Estadual

O Controlo Que O Protege da Fraude e O Expõe a Litígios

O reconhecimento facial tornou-se a resposta por defeito a um problema difícil. Documentos podem ser gerados. Dados podem ser roubados. Comparar uma captura ao vivo do rosto de uma pessoa com a fotografia do seu documento de identidade é um dos poucos controlos que liga um ser humano concreto a uma credencial concreta.

Por isso os fluxos de onboarding nos EUA passaram a incluí-lo. Fundos que verificam investidores, empresas de title que verificam beneficiários efetivos para comunicações federais, sociedades de advogados que integram clientes, gestores de imóveis que avaliam inquilinos — todos captam cada vez mais um rosto e o comparam com um documento.

Cada uma dessas capturas pode criar um identificador biométrico regulado. E, num estado norte-americano, criar um sem a documentação correta dá à pessoa o direito privado de processar, com indemnizações legais que não exigem prova de qualquer dano efetivo.

O resultado é uma tensão genuína. O controlo que melhor defende contra a fraude de identidade sintética é também o que gera o risco de litígio mais concentrado no direito de privacidade norte-americano. Este artigo cobre o que as leis exigem, onde estão as armadilhas e como fazer verificação biométrica sem gerar responsabilidade.

Isto é informação geral sobre uma área do direito em rápida evolução, não aconselhamento jurídico para qualquer situação concreta.

---

Não Existe Regra Federal

A primeira coisa a compreender é a ausência ao centro. Os Estados Unidos não têm uma lei federal abrangente que regule a recolha comercial de dados biométricos. As obrigações aplicáveis ao seu fluxo de verificação decorrem inteiramente do direito estadual, e variam enormemente.

Três estados têm diplomas biométricos próprios. Cerca de mais vinte regulam os dados biométricos como categoria de dados sensíveis, no âmbito de leis abrangentes de privacidade do consumidor. Os restantes tratam-nos apenas através de requisitos de notificação de violações de dados.

A distinção mais consequente neste panorama é se o estado concede às pessoas um direito privado de ação. Apenas um concede.

---

BIPA do Illinois: O Centro de Gravidade

O Biometric Information Privacy Act do Illinois foi aprovado em 2008, anos antes de a maioria das organizações ter qualquer capacidade biométrica. Continua a ser a lei biométrica mais estrita do país e a fonte da esmagadora maioria dos litígios biométricos nos EUA.

O que exige

Consentimento escrito e informado antes da recolha. Uma entidade privada tem de informar a pessoa, por escrito, de que está a ser recolhido ou armazenado um identificador biométrico; informá-la da finalidade específica e do prazo pelo qual será recolhido, armazenado e utilizado; e obter uma autorização escrita.

Uma política de conservação e destruição publicamente disponível. A entidade tem de estabelecer e disponibilizar publicamente uma política escrita com um calendário de conservação e orientações para destruição definitiva, ocorrendo a destruição quando a finalidade inicial estiver satisfeita ou no prazo de três anos após a última interação com a pessoa, consoante o que ocorrer primeiro.

Proibição de venda ou lucro. Uma entidade privada não pode vender, locar, trocar ou de outra forma lucrar com identificadores biométricos.

Restrições à divulgação. A divulgação a terceiros exige, em regra, consentimento ou outro fundamento enumerado. Isto importa diretamente na verificação, porque enviar uma imagem facial a um fornecedor é uma divulgação.

Segurança razoável. O armazenamento tem de usar o padrão razoável de cuidado do setor da entidade, e proteção pelo menos tão exigente como a que aplica a outra informação confidencial e sensível.

Porque gera litígios

O direito privado de ação da BIPA prevê indemnizações legais de 1 000 dólares por violação negligente e 5 000 dólares por violação dolosa ou grosseira, acrescidas de honorários de advogado.

O Supremo Tribunal do Illinois decidiu em 2019 que não é necessário alegar dano efetivo para se ser lesado nos termos do diploma: a violação em si é o dano. Essa decisão removeu o obstáculo de legitimidade que limita a maior parte do contencioso de privacidade.

Uma decisão de 2023 veio depois considerar que os pedidos se constituem a cada leitura separada, e não apenas na primeira, o que produziu uma aritmética de danos capaz de atingir totais absurdos. O legislador do Illinois alterou o diploma em 2024 para limitar o ressarcimento, em regra a um único montante por pessoa e por método de recolha, e para clarificar que uma assinatura eletrónica satisfaz o requisito de autorização escrita. A alteração reduziu materialmente a exposição máxima, mas não reduziu o volume de ações, e as certificações de ações coletivas e os acordos substanciais continuaram.

A isenção para instituições financeiras

A secção 25 da BIPA contém uma isenção para instituições financeiras e suas afiliadas sujeitas ao Título V do Gramm-Leach-Bliley Act.

Esta isenção é significativa e frequentemente mal compreendida. Tem sido lida como abrangendo entidades genuinamente sujeitas às disposições de privacidade do GLBA, o que vai além de «bancos», mas não abrange todas as organizações que tocam em dados financeiros. Um fundo privado, uma agência de title, uma sociedade de advogados ou uma empresa de gestão de imóveis não devem partir do princípio de que a isenção se lhes aplica. Saber se uma entidade concreta cai no âmbito do GLBA é uma questão jurídica específica com uma resposta específica, e vale a pena obtê-la antes de nela confiar.

A questão do fornecedor de tecnologia é ainda outra. Os autores das ações demandam frequentemente tanto a empresa que implementa como o fornecedor da tecnologia biométrica. Um fornecedor que não seja, ele próprio, instituição financeira pode não ter qualquer isenção, mesmo quando o seu cliente tem.

---

Texas, Washington e os Estados com Aplicação pelo Procurador-Geral

Texas. O Capture or Use of Biometric Identifier Act está em vigor desde 2009. Exige aviso e consentimento antes de captar um identificador biométrico para fins comerciais, restringe a divulgação, exige cuidado razoável no armazenamento e impõe a destruição num prazo razoável e, em regra, não superior a um ano após a cessação da finalidade.

A CUBI não tem direito privado de ação. A aplicação cabe ao Procurador-Geral, com coimas até 25 000 dólares por infração. Durante quase toda a sua existência, isso fez dela um risco teórico. Mudou com ações de aplicação de grande visibilidade contra grandes empresas tecnológicas, e o Texas aprovou desde então disposições biométricas adicionais com efeitos em janeiro de 2026. A combinação de coimas substanciais por infração com apetite demonstrado de aplicação faz do Texas uma jurisdição de risco real, apesar da ausência de ações coletivas.

Washington. O diploma biométrico do estado exige aviso e consentimento antes de inscrever um identificador biométrico numa base de dados para fins comerciais, e restringe o uso e a divulgação subsequentes. A aplicação faz-se através do Procurador-Geral, ao abrigo do Consumer Protection Act.

Colorado. As alterações ao Colorado Privacy Act acrescentaram requisitos específicos para biometria, incluindo consentimento, obrigações de política de conservação e disposições sobre biometria em contexto laboral, independentemente de a entidade atingir os limiares gerais de tratamento previstos no diploma. A aplicação cabe ao Procurador-Geral.

Os estados com leis abrangentes de privacidade. Mais de vinte estados têm hoje leis abrangentes de privacidade do consumidor que tratam os dados biométricos usados para identificar uma pessoa como informação pessoal sensível, exigindo em geral consentimento por adesão expressa, respeito pelos direitos de eliminação e avaliações de proteção de dados para tratamentos de risco elevado. O enquadramento da Califórnia prevê ainda um direito privado de ação limitado para violações que envolvam certa informação pessoal, com indemnizações legais por consumidor e por incidente.

O resumo prático: o Illinois determina o risco de ações coletivas, o Texas e Washington determinam o risco regulatório, e as leis abrangentes de privacidade significam que as obrigações biométricas alcançam muito mais estados do que a maioria das equipas de compliance supõe.

---

Quatro Armadilhas Que Apanham Equipas Experientes

Armadilha um: o template, não a fotografia

Todos estes diplomas regulam o identificador biométrico, que inclui a representação matemática derivada da imagem de origem — o template facial ou embedding armazenado no seu sistema.

Isto tem uma consequência que surpreende. Apagar a fotografia de origem não apaga o identificador regulado. Se a sua base de dados vetorial ainda guarda um embedding facial, e as suas cópias de segurança também, continua a armazenar dados biométricos. Uma política de destruição que só alcança os ficheiros de imagem não é uma política de destruição.

Armadilha dois: consentimento enterrado nos termos de serviço

Uma caixa de seleção de aceitação de termos e condições gerais tem sido repetidamente considerada insuficiente. Os diplomas pressupõem consentimento específico e informado, que identifique o que está a ser recolhido, porquê e por quanto tempo.

O padrão conforme é um consentimento biométrico dedicado e bem visível, apresentado no momento da captura, separado dos termos gerais, com o prazo de conservação indicado e com o registo do consentimento conservado como prova.

Armadilha três: sem calendário de conservação escrito

A política de conservação e destruição publicamente disponível é um requisito autónomo da BIPA. Uma organização pode obter consentimento impecável e ainda assim violar o diploma por nunca ter publicado uma política.

A política tem de ser efetivamente pública, acessível sem iniciar sessão, e tem de ser efetivamente cumprida. Um calendário de conservação de três anos publicado, combinado com templates conservados indefinidamente, é pior do que não ter política, porque demonstra conhecimento da obrigação.

Armadilha quatro: assumir que o fornecedor absorve o risco

As indemnizações contratuais não extinguem a responsabilidade legal perante a pessoa. Se o seu fluxo de onboarding capta um rosto, está a recolher dados biométricos, mesmo que seja um fornecedor a tratá-los. O seu consentimento, a sua política de conservação e o seu fundamento de divulgação têm todos de estar corretos do seu lado.

O que a relação com o fornecedor deve dar-lhe é controlo: compromissos contratuais sobre conservação e eliminação, a possibilidade de configurar se os templates são sequer armazenados, segurança documentada e um contrato de tratamento de dados que reflita o fluxo real.

---

A Defesa Mais Forte É Não Conservar o Template

Eis a leitura de arquitetura que mais reduz a exposição: verificação e inscrição são operações diferentes, e apenas uma delas exige armazenamento.

A inscrição cria um registo biométrico persistente para que a pessoa possa ser reconhecida mais tarde. É isto que a maioria dos diplomas biométricos foi escrita para enquadrar, e carrega todo o peso das obrigações de consentimento, conservação, destruição e segurança enquanto o registo existir.

A verificação pontual compara uma captura ao vivo com a fotografia do documento, produz uma pontuação de correspondência e não tem qualquer necessidade continuada dos dados biométricos. A comparação acontece; o resultado é registado; o material biométrico subjacente pode ser destruído.

A maioria dos casos de uso de KYC é do segundo tipo. Precisa de estabelecer, no onboarding, que a pessoa que apresenta o documento é a pessoa nele retratada. Não precisa da capacidade de a reconhecer de novo a partir de uma base de dados facial.

Se o seu sistema conservar apenas o resultado da verificação, o grau de confiança da correspondência, a data e hora e os metadados de auditoria, e destruir o template facial e a imagem captada imediatamente após a comparação, a sua exposição continuada é drasticamente menor. Não há identificador biométrico armazenado que possa ser violado, usado indevidamente, conservado tempo a mais ou divulgado indevidamente. As obrigações de consentimento e informação no momento da recolha continuam a aplicar-se, mas as obrigações continuadas em larga medida desaparecem.

Esta é uma escolha arquitetónica deliberada, não um comportamento por defeito. Muitos sistemas de verificação conservam templates porque é mais fácil e porque permite funcionalidades que ninguém pediu. No ambiente regulatório norte-americano, essa conveniência tem um custo real.

É a abordagem da VeriKYC: fazer a comparação, registar a prova de que um responsável de compliance e um inspetor precisam, e não acumular uma base de dados biométrica sem finalidade de conformidade e com desvantagens jurídicas substanciais.

---

Uma Lista de Verificação Operacional

Mapeie onde são criados dados biométricos. Reconhecimento facial, deteção de vivacidade e autenticação por voz podem todos qualificar-se. Inclua sistemas de fornecedores e quaisquer ferramentas internas.

Determine que leis estaduais se aplicam. A cobertura segue em geral a residência da pessoa, não a localização do seu escritório. Se faz onboarding a nível nacional, parta do princípio de que o Illinois se aplica a algum subconjunto dos seus utilizadores.

Avalie honestamente a isenção do GLBA. Obtenha uma resposta específica para a sua entidade específica, em vez de presumir.

Implemente consentimento autónomo. Separado dos termos gerais, apresentado no momento da captura, indicando o que é recolhido, porquê e o prazo de conservação. Conserve o registo do consentimento.

Publique uma política de conservação e destruição. Publicamente acessível, com calendário definido e orientações de destruição.

Faça a destruição alcançar tudo. Templates, embeddings, imagens em cache, registos e cópias de segurança. Teste que funciona.

Minimize por defeito. Não armazene templates a não ser que um requisito de negócio específico o justifique e o risco tenha sido aceite deliberadamente.

Contrate corretamente com fornecedores. Configuração de conservação, compromissos de eliminação, padrões de segurança, notificação de violações, divulgação de subcontratantes.

Documente a avaliação. Várias leis abrangentes de privacidade exigem uma avaliação de proteção de dados para tratamento de dados sensíveis. Produza-a antes da implementação, e não depois de uma investigação.

---

Conclusão: Ambos os Riscos São Reais

Há uma versão desta análise que conclui que a verificação biométrica é juridicamente perigosa demais para se usar. Essa conclusão está errada e troca um risco gerível por um ingerível.

A alternativa à verificação biométrica é aceitar fotografias de documentos sem confirmar que quem as submete é a pessoa retratada. Num ambiente em que a FinCEN documentou publicamente o uso de documentos de identidade gerados por IA para derrotar controlos de verificação, isso não é uma escolha conservadora. É uma exposição diferente e maior, que se manifesta em violações de sanções, investidores fraudulentos no registo e comunicações federais falsas.

A postura correta é usar o controlo e gerir o risco jurídico de forma deliberada: obter consentimento adequado, publicar e cumprir uma política de conservação, escolher fornecedores que lhe permitam configurar o armazenamento e, sobretudo, não conservar templates biométricos que não tenha razão operacional para guardar.

Acerte na documentação, guarde os dados o menor tempo que a finalidade permitir, e a verificação biométrica torna-se aquilo que deve ser: um controlo forte com exposição jurídica delimitada, em vez de um controlo forte com exposição em aberto.