Biometria, imagem e dados

A catraca biométrica foi adotada pelo setor como solução operacional. Na lei de proteção de dados, ela é a operação mais sensível que uma academia realiza.

Por que a digital é diferente

A Lei 13.709/2018 define, no art. 5º, II, dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A digital, a leitura facial e a leitura da palma são dados biométricos. Não por interpretação extensiva: pelo enquadramento direto do inciso.

A consequência é de regime. O art. 7º lista dez bases legais para o tratamento de dados pessoais em geral, entre elas a execução de contrato (inciso V) e o legítimo interesse (inciso IX). O art. 11 estabelece hipóteses mais estreitas para o dado sensível: em síntese, consentimento específico e destacado, para finalidades específicas, ou as hipóteses do inciso II — entre elas o cumprimento de obrigação legal ou regulatória, a tutela da saúde em procedimento por profissionais de saúde, e o exercício regular de direitos.

Note o que não está no art. 11: o legítimo interesse. A base que sustentaria facilmente um controle de acesso comum não está disponível para o dado biométrico.

O princípio que decide a questão

Mesmo com consentimento, incide o art. 6º, III — princípio da necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades.

A pergunta que a academia precisa conseguir responder. A finalidade da catraca é controlar o acesso de quem está em dia e impedir o acesso de quem não está. Cartão, código, QR no aplicativo e carteirinha cumprem essa finalidade. Se meios menos invasivos atendem, a coleta de dado biométrico tende a ser considerada excessiva em relação à finalidade — e é exatamente esse o teste do art. 6º, III. A academia que usa biometria precisa ter uma resposta sobre por que o meio menos invasivo não serve, e essa resposta precisa ser sobre a finalidade, não sobre conveniência ou custo.

O que a estrutura da lei sugere, descrito como desenho possível:

Oferecer alternativa real ao aluno que não quer fornecer biometria — cartão ou código —, sem prejuízo, sem custo adicional e sem tratamento diferenciado. É o que transforma o consentimento em consentimento livre, na exigência do art. 5º, XII
Consentimento específico e destacado para a biometria, separado do contrato de matrícula, com finalidade descrita
Armazenamento em template — a representação matemática — em lugar da imagem da digital, quando a tecnologia o permitir, com medidas de segurança do art. 46
Eliminação ao término do vínculo, na forma dos arts. 15 e 16, com registro da eliminação
Contrato com o fornecedor do sistema, definindo os papéis de controlador e operador (arts. 37 a 39) e vedando uso para finalidade própria
Atenção à biometria de menor: dado sensível de criança reúne dois regimes reforçados ao mesmo tempo — o art. 11 e o art. 14, §1º, que exige consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal

Câmeras

A imagem de pessoa identificável é dado pessoal. O sistema de imagens de uma academia trata dados de alunos, de funcionários e de visitantes, continuamente.

O que a operação exige

Base legal definida, aviso visível na entrada e nas áreas monitoradas (art. 9º), prazo de retenção definido, política de acesso — quem pode ver, com registro — e medidas de segurança (art. 46).

O que não se sustenta

Câmera em vestiário, sanitário ou área de troca, em qualquer hipótese. Acesso livre da equipe às gravações. Retenção indefinida. Uso das imagens para finalidade diversa da segurança — inclusive marketing.

Um ponto em que os dois interesses se encontram. O prazo de retenção é o que determina se a gravação ainda existe quando uma alegação de acidente aparece — e ela costuma aparecer semanas depois, com o prazo prescricional de cinco anos do art. 27 do CDC ao fundo. Prazo curto demais destrói a prova que defenderia a academia; prazo longo demais é tratamento excessivo. O equilíbrio depende do caso e é matéria de análise, mas a decisão precisa ser consciente e escrita — não o padrão de fábrica do equipamento.

Avaliação física e dados de saúde

A avaliação física produz um conjunto de dados que a academia costuma tratar como técnico e a lei trata como dado de saúde — sensível, na definição do art. 5º, II: composição corporal, pressão, frequência cardíaca, limitações, histórico de lesão, condições informadas no questionário de aptidão.

Acesso restrito a quem precisa dele para prescrever o treino. Recepção e área comercial não precisam
Finalidade delimitada: avaliar e prescrever. Usar o dado para abordagem comercial é outra finalidade, e não se ampara na primeira
Sigilo profissional do profissional de educação física, na forma da regulamentação da profissão, somando-se à LGPD
Prazo de guarda definido, considerando que o histórico serve à prescrição e, eventualmente, à defesa da academia em discussão sobre lesão
Atestado de aptidão: o que a academia precisa saber é se há impossibilidade de prática, não qual é o diagnóstico — ponto tratado na página sobre cancelamento

O caso que merece atenção específica. Campanha comercial segmentada por dado da avaliação física — abordar alunos por percentual de gordura, por objetivo declarado de perda de peso, por limitação física — é uso de dado sensível para marketing, situação em que as hipóteses do art. 11 são estreitas e o consentimento específico e destacado tende a ser a única base cogitável. Uma campanha por frequência de uso, ou por tempo de matrícula, está em posição inteiramente diferente. E há uma dimensão que não é jurídica: abordagem comercial baseada em dado corporal do aluno é o tipo de prática que gera reclamação pública além da jurídica.

Aplicativo, wearable e integrações

A academia moderna opera com aplicativo próprio, integração com relógio e pulseira, e sistemas de terceiros. Cada fluxo é uma operação de tratamento com participantes definidos:

Papéis definidos: quem é controlador e quem é operador em cada integração (arts. 5º, VI e VII, e 37 a 39)
Dados de atividade e frequência cardíaca coletados por wearable são, em boa medida, dados de saúde
Compartilhamento informado: o aluno precisa saber, no momento da coleta, com quem os dados são compartilhados e para quê (art. 9º)
Transferência internacional, quando o sistema é estrangeiro, com as exigências dos arts. 33 a 36
Encerramento: o que acontece com os dados quando o aluno sai, e quando o contrato com o fornecedor termina

Imagem para marketing

Prática difundida: foto e vídeo de aula, de aluno treinando, de resultado antes e depois, publicados nas redes da academia.

Autorização própria e específica para uso de imagem em publicidade, separada do contrato de matrícula e do consentimento de dados operacionais
Direito de imagem do art. 20 do Código Civil, que é direito de personalidade e não se confunde com a base legal de tratamento de dados — são duas autorizações, não uma
Revogabilidade: o aluno pode retirar a autorização, e a academia precisa ter procedimento para atender
Menor de idade: autorização do responsável, com o cuidado adicional do art. 14 da LGPD e do melhor interesse
"Antes e depois": além da imagem, veicula informação sobre o corpo e a evolução física do aluno — o que aproxima a publicação do dado de saúde, e exige autorização consciente do que está sendo divulgado

A solução prática é simples e quase nunca adotada. Uma autorização de imagem separada, de um parágrafo, com opção de recusa e sem prejuízo algum para quem recusa, colhida na matrícula e revogável. Ela resolve a questão inteira — e a sua ausência significa que cada publicação depende de um consentimento que ninguém pediu.

Obrigações gerais

Aviso de privacidade no site, no aplicativo e na recepção, com finalidades, bases legais, compartilhamentos e prazos (art. 9º)
Encarregado indicado na forma do art. 41, com o contato divulgado publicamente
Procedimento para atender o titular — acesso, correção, eliminação, portabilidade, revogação de consentimento (art. 18) — com prazo e responsável
Registro das operações de tratamento (art. 37)
Medidas de segurança técnicas e administrativas (art. 46), com atenção reforçada à base biométrica
Plano de resposta a incidente, com a comunicação do art. 48 — e, tratando-se de base com dado biométrico e de saúde, a avaliação do risco relevante tende a ser mais severa

Uma observação sobre o vazamento de base biométrica. Senha se troca; digital não. É a razão pela qual o legislador submeteu o dado biométrico a regime mais estreito, e é o que torna a avaliação de um incidente nessa base especialmente séria. A qualificação de um incidente concreto e a definição do dever de comunicar dependem de exame individual e são atividades privativas de advocacia, na forma do art. 1º da Lei 8.906/1994.

Este texto descreve a estrutura da LGPD aplicada à atividade. A base legal adequada a cada tratamento, a validade de um consentimento concreto, o prazo de retenção apropriado e a qualificação de um incidente dependem do desenho real da operação e dos documentos. Nada aqui constitui parecer.

Continuar: equipe e CREF Abrir o checklist da academia