Questão de Segurança da Informação — ICP e Autoridades Certificadoras — CESPE / CEBRASPE 2023

Biometria e proteção de dados pessoais: o fim do tratamento

❌ ERRADO. A afirmação está incorreta porque o tempo de guarda dos dados biométricos não deve ser sempre indeterminado: a Lei Geral de Proteção de Dados Pessoais (LGPD) determina que os dados pessoais devem ser eliminados após o término do tratamento, salvo hipóteses legais de conservação. A coleta de dados biométricos exige consentimento específico e destacado, mas isso não autoriza a guarda perpétua — a empresa deve observar os princípios da necessidade, adequação e finalidade, eliminando os dados quando a finalidade for alcançada ou quando a relação com o titular se encerrar.

A biometria é uma técnica de autenticação que utiliza características físicas ou comportamentais únicas do indivíduo, como impressões digitais, reconhecimento facial ou íris. No contexto da segurança da informação, ela é um método de autenticação por "aquilo que você é", ao lado de senhas ("o que você sabe") e tokens ("o que você tem"). Por ser um dado pessoal sensível, o tratamento de dados biométricos é rigorosamente regulado pela LGPD, que exige consentimento específico e destacado para finalidades determinadas.

A LGPD estabelece princípios fundamentais que orientam todo o tratamento de dados pessoais, incluindo os biométricos. Entre eles, destacam-se a finalidade (realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular), a necessidade (limitação ao mínimo necessário para a realização das finalidades) e a adequação (compatibilidade do tratamento com as finalidades informadas). Esses princípios impedem a guarda indeterminada de dados: se a finalidade foi cumprida ou a relação contratual se encerrou, não há mais justificativa para manter os dados.

A LGPD prevê expressamente o término do tratamento de dados pessoais, que ocorre, entre outras hipóteses, quando a finalidade é alcançada ou quando os dados deixam de ser necessários ou pertinentes ao alcance da finalidade específica almejada. Após o término do tratamento, os dados devem ser eliminados, salvo nas hipóteses de conservação legalmente previstas, como o cumprimento de obrigação legal ou regulatória, o uso exclusivo do controlador, o exercício regular de direitos em processo judicial ou a preservação do crédito. A guarda indeterminada de dados biométricos, sem finalidade, viola frontalmente esses dispositivos.

Na prática, uma empresa que coleta dados biométricos de funcionários para controle de ponto deve definir um prazo de retenção compatível com a finalidade (por exemplo, enquanto durar o contrato de trabalho e pelo prazo legal de guarda de documentos trabalhistas). Ao término da relação, os dados devem ser eliminados ou anonimizados, salvo se houver obrigação legal de conservá-los por período determinado. A afirmação do enunciado, ao dizer que o tempo de guarda deve ser "sempre indeterminado" e que a empresa "não precisa eliminar" os dados após o encerramento da relação, contraria a LGPD e os princípios de proteção de dados.

A pegadinha da banca está em inverter a lógica da proteção de dados: o candidato pode pensar que, por serem dados sensíveis, a guarda deve ser maior, quando na verdade a regra é a eliminação após o término do tratamento. A LGPD não estabelece prazos máximos de guarda, mas condiciona a conservação à existência de finalidade ou obrigação legal — nunca à guarda perpétua.

Gabarito: letra E (ERRADO).