Biometria facial em campo

O Dia Nacional do Futebol é celebrado em 19/07. Paixão nacional, alvo de investimentos bilionários e de acirradas disputas históricas, o esporte entra em uma nova realidade que já começa a afetar torcedores de alguns dos principais times de futebol do Brasil: a obrigatoriedade do cadastro de biometria facial para compra de ingressos e acesso aos estádios.

Tal necessidade é decorrente da Lei Geral do Esporte (Lei nº 14.597/2023), a qual definiu que, no prazo máximo de até dois anos a contar da entrada em vigor da lei – o que ocorreu no final de maio deste ano -, as arenas esportivas com capacidade para mais de 20 mil pessoas deverão contar com meio de monitoramento por imagem das catracas e com identificação biométrica dos espectadores acima de 16 anos.

Essa nova obrigação tem como objetivo identificar pessoas de interesse da justiça e segurança pública, bem como promover ações de combate a atividades ilícitas cometidas durante eventos esportivos. Além disso, com a aplicação de tecnologia de reconhecimento facial busca-se, por exemplo, verificar se o comprador de ingressos para jogos possui mandados de prisão em aberto ou se possui algum impedimento de estar em presente nos jogos, tudo vinculado ao Plano Nacional pela Cultura de Paz no Esporte.

Necessário observar, diante dessa nova realidade, uma série de obrigações e disposições legais a serem observadas pelos clubes e pelos administradores de arenas/estádios. Isso porque, além de todas as obrigações referentes à relação de consumo junto aos espectadores, há que se observar também a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) (“LGPD”), a qual confere uma maior proteção aos dados pessoais sensíveis[1], como é o caso da biometria facial doravante necessária para compra de ingressos e acesso às praças esportivas.

Tendo em vista a aplicabilidade da LGPD sobre o tema, a Autoridade Nacional de Proteção de Dados (ANPD) publicou, em fevereiro, a Nota Técnica nº 5/2025/FIS/CGF/ANPD[2], a qual avaliou o tratamento dos dados biométricos de torcedores pelos clubes de futebol. A nota divulgada concluiu, à época, que grande parte dos clubes ainda não estava adequado à legislação de proteção de dados, em especial quanto à transparência e ao atendimento de direitos dos titulares.

A Autoridade manifestou, ainda, uma série de preocupações quanto à implementação de tecnologias de reconhecimento facial nos estádios, dentre elas o fato de que os torcedores serão expostos à captura massiva de seus dados pessoais e a sua reutilização para finalidades diversas para as quais eles foram coletados inicialmente.

Nesse sentido, a ANPD indicou a necessidade de que, considerando haver um hipotético tratamento de larga escala e de alto risco, os clubes elaborem um relatório de impacto à proteção de dados pessoais (RIPD).

Além disso, destacou-se a preocupação quanto ao compartilhamento dos dados pessoais com terceiros, sejam eles entes privados (como as empresas de vendas de ingressos) ou entes públicos (como órgãos da polícia e autoridades judiciárias), bem como em relação a eventual tratamento discriminatório.

O cenário é bastante complexo e gera uma série de necessárias e inescapáveis discussões. Nesse sentido, importante destacar alguns dos principais pontos de atenção a serem observados pelos clubes de futebol que adotaram, ou adotarão, o reconhecimento facial para acesso em seus jogos, bem como as demais empresas envolvidas no setor, de forma proporcional:

· Atenção ao princípio da transparência: Os clubes de futebol, quando do tratamento de dados pessoais dos seus torcedores, devem assegurar esses tenham acesso a informações sobre o tratamento de seus dados, tanto no que se refere ao cadastro biométrico, quanto em relação aos procedimentos de identificação biométrica por reconhecimento facial em dias de jogos.

Em análise dos sites dos clubes citados pela ANPD em sua nota técnica, notou-se que alguns, apesar de já utilizarem do reconhecimento facial em seus estádios e realizarem atualizações iniciais em seus programas, ainda não disponibilizam adequadamente as informações aos titulares no que diz respeito ao tratamento de dados biométricos, tais como finalidades do tratamento, hipóteses de compartilhamento, entre outras.

· Identificação dos agentes de tratamento: A LGPD define, em sua redação, a existência de dois agentes de tratamento: controladores, os quais são os responsáveis pelas decisões referentes ao tratamento de dados pessoais, e operadores, que realizam o tratamento de dados pessoais em nome dos controladores.

Ainda, em alguns cenários o fluxo de tratamento poderá envolver dois controladores, os quais poderão ser controladores conjuntos ou singulares, situação em que dividem a responsabilidade existente.

Importante destacar que, na maioria dos casos, de modo a operacionalizar o fluxo de reconhecimento facial dos torcedores, os clubes e os administradores dos estádios, fazem parcerias com empresas ticketeiras.

Nesse contexto, e considerando a presença de diversas empresas que irão realizar o tratamento dos dados pessoais e dados pessoais sensíveis dos torcedores (clubes,ticketeiras, administradoras, entre outras), é essencial que os clubes identifiquem corretamente a posição de cada uma das partes, bem como definam, por meio de instrumentos contratuais, as responsabilidades e obrigações de cada uma, identificando e mitigando riscos, selecionando mais rigorosamente seus parceiros.

· Compartilhamento de dados com terceiros: Diante de todo o fluxo relacionado ao reconhecimento facial de torcedores e espectadores, poderá haver o compartilhamento dos dados pessoais com terceiros, como as ticketeiras e o próprio Poder Público.

Nesses cenários, deverão os clubes se atentar para que as finalidades de tal compartilhamento sejam lícitas e fundamentadas na legislação de proteção de dados pessoais. Além disso, como já destacado, os titulares deverão ter ciência de tal compartilhamento.

Importante destacar que, especificamente em relação ao compartilhamento de dados pessoais com o Poder Público, a ANPD manifestou entendimento de que “o compartilhamento de dados pessoais de torcedores com órgãos de segurança pública, para a consecução de finalidades exclusivas de segurança pública e atividades de investigação e repressão de infrações penais, é incompatível com os propósitos específicos do tratamento de dados pessoais resultante do cumprimento das obrigações legais impostas pela Lei Geral do Esporte (…)”.

Dessa forma, essencial que os clubes tenham especial atenção com relação a esse tipo de compartilhamento, avaliando outros instrumentos cabíveis e adequados para eventual tratamento diverso, ajustando hipóteses de tratamento e demais normativos aplicáveis.

· Definição das finalidades de tratamento: Dentre as obrigações decorrentes da LGPD a serem observadas quando dos procedimentos de reconhecimento facial dos espectadores, destaca-se a necessidade de definição das finalidades para os quais os dados vão ser utilizados.

Dentre as finalidades, importante destacar que toda a atividade de tratamento de dados pessoais deverá possuir uma finalidade determinada. Isto é, não se pode tratar dados pessoais sem saber exatamente qual é o objetivo que se pretende atingir com aquele tratamento. Além disso, as finalidades devem ser informadas aos titulares.

· Adoção de robustas medidas de segurança: Tendo em vista o amplo tratamento de dados pessoais pelos clubes, em especial dados pessoais sensíveis, essencial que os clubes e estádios adotem medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

São exemplos de medidas a serem adotadas: controles robustos de acesso aos dados, implementação de sistemas de criptografia confiáveis, realização de testes de vulnerabilidade, atribuição de permissões de acesso adequadas, monitoramento contínuo das atividades dos usuários, aplicação de medidas técnicas e organizacionais para prevenir a remoção não autorizada de dados pessoais, execução de treinamentos customizados e recorrentes para equipes envolvidas, entre outras.

· Não discriminação: O uso de tecnologias de reconhecimento facial gera preocupações relevantes com possíveis efeitos discriminatórios, principalmente em relação a determinados grupos sociais vulneráveis, tendo em vista eventuais erros nos processos de identificação, derivados do uso de algoritmos com vieses discriminatórios e de bases de dados desatualizadas, resultando em limitações a direitos e garantias fundamentais dos titulares.

Dessa forma, essencial que os clubes tenham atenção redobrada quanto às bases de dados utilizadas, verificando sua forma de constituição e as atualizações quando necessárias.

Diante de todo o exposto, e por mais que alguns clubes já tenham se movimentado de modo a se adequar à legislação, muitos ainda se encontram inertes no processo de adequação. Se por um lado é compreensível que as diretorias dos clubes dediquem seus esforços ao seu produto principal, que é o campo de jogo, eventuais infrações relacionadas a violações envolvendo dados pessoais pode gerar prejuízos financeiros relevantes aos clubes, parceiros e demais agentes envolvidos neste ambiente.

Além disso, em um esporte tão popular e midiático no Brasil, a adoção de medidas que mitiguem os riscos relacionados ao tratamento de dados pessoais pode evitar enormes prejuízos quanto a marca dos clubes, amados por milhões de brasileiros.

---

[1] Dado pessoal sensível, segundo definição trazida no art. 5º da LGPD, é todo “dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;”.

[2] A nota técnica da ANPD apontou como interessados os seguintes clubes de futebol: Palmeiras, Flamengo, Vasco, Goiás, Fluminense, Bahia, Sport, Athletico Paranaense, Grêmio, Atlético Mineiro, Botafogo, Náutico, Guarani, Santos, Coritiba, Internacional, Remo, Paysandu, América-RN, Confiança, Fortaleza, Ceará, Cuiabá, São Paulo, Corinthians, América-MG, Avaí, Atlético-GO, Cruzeiro e Vitória.

AUTOR

• Henrique Rocha
• Gabriel Arantes