Rosto virou senha: quem paga se a biometria falhar?

Você abre uma conta olhando para a câmera. Autoriza uma operação com o próprio rosto. Entra num aplicativo sem digitar senha nenhuma. É rápido, é prático — mas existe uma diferença gigantesca entre senha e rosto: senha vazada, você troca. Rosto, não.

Biometria é dado pessoal — e de um tipo especial

A Lei Geral de Proteção de Dados não trata dado biométrico como um dado qualquer. O artigo 5º, inciso II, da LGPD inclui expressamente o “dado genético ou biométrico, quando vinculado a uma pessoa natural” na categoria de dado pessoal sensível — ao lado de informações sobre saúde, origem racial, convicção religiosa e orientação sexual. Essa classificação não é burocrática: dados sensíveis só podem ser tratados sob as hipóteses restritas do artigo 11 da LGPD, mais estreitas do que as bases legais gerais aplicáveis a um dado pessoal comum. Isso significa que empresas que usam sua biometria para autenticação carregam um nível de responsabilidade mais alto do que carregariam ao guardar, por exemplo, seu nome ou telefone.

Reconhecimento facial é infalível?

Não. Sistemas biométricos podem falhar, e fraudadores desenvolvem constantemente técnicas para tentar enganar esses mecanismos de autenticação — de fotos e vídeos manipulados a golpes de engenharia social que induzem a própria vítima a validar uma operação fraudulenta com o próprio rosto. Por isso, nenhuma empresa deveria tratar biometria como argumento definitivo e automático: “a operação passou pelo reconhecimento facial, então obrigatoriamente foi você.” Uma contestação de fraude exige análise técnica e das circunstâncias concretas, não apenas a checagem de que existe um registro biométrico associado à transação.

O banco pode usar meu rosto para qualquer finalidade?

Não. O tratamento de dados pessoais — sensíveis com mais razão ainda — precisa ter base jurídica específica e observar princípios como finalidade, adequação, necessidade e segurança, todos previstos no artigo 6º da LGPD. Uma empresa possuir seu dado biométrico não lhe dá liberdade ilimitada para usá-lo em qualquer contexto além daquele para o qual você forneceu essa informação.

E se houver vazamento de dados biométricos?

Incidentes envolvendo dados sensíveis exigem atenção redobrada por parte de quem os trata. Os artigos 46 a 49 da LGPD estabelecem deveres de segurança para os agentes de tratamento, e o artigo 48 prevê o dever de comunicar à Autoridade Nacional de Proteção de Dados e ao próprio titular, em prazo razoável, incidentes que possam acarretar risco ou dano relevante. Dependendo das circunstâncias, a instituição também pode ter que adotar medidas concretas para reduzir o dano causado ao consumidor.

Quem responde quando o golpe acontece por dentro do próprio banco?

Aqui entra uma das teses mais consolidadas do Direito do Consumidor brasileiro aplicado a bancos: a Súmula 479 do Superior Tribunal de Justiça, segundo a qual “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.” Na prática, isso significa que o banco só se livra dessa responsabilidade se comprovar a inexistência de defeito na prestação do serviço, ou a culpa exclusiva do próprio consumidor ou de um terceiro — conforme prevê o artigo 14, § 3º, do Código de Defesa do Consumidor.

O STJ já aplicou esse raciocínio especificamente a casos envolvendo vazamento de dados: no julgamento do REsp 2.077.278/SP, relatado pela ministra Nancy Andrighi em outubro de 2023, a Corte reconheceu a responsabilidade de uma instituição financeira pelo chamado “golpe do boleto”, quando dados bancários vazados pela própria instituição foram usados por um golpista para enganar o cliente — reforçando que o tratamento inadequado de dados sigilosos, em violação ao artigo 43 da LGPD, pode configurar defeito no próprio serviço bancário. A mesma lógica se aplica, com ainda mais força, quando o dado mal protegido é biométrico: a combinação entre falha de segurança da instituição e uso indevido de um dado sensível abre caminho tanto para responsabilização pelo CDC quanto pela LGPD ao mesmo tempo.

Recebi um pedido de reconhecimento facial durante uma ligação. É golpe?

É sinal de alerta sério. Golpistas frequentemente conduzem vítimas a realizar procedimentos que parecem legítimos, usando urgência e autoridade fingida para convencer alguém a validar biometricamente uma operação fraudulenta. Nunca faça autenticação sensível — biometria, senha, código de segurança — simplesmente porque uma pessoa desconhecida ligou dizendo ser do banco. Encerre o contato e utilize apenas os canais oficiais da instituição para verificar qualquer solicitação.

Posso contestar uma transação autenticada com meu rosto?

Pode, sim — e deve, se realmente não reconhece a operação. A existência de um registro de autenticação biométrica é um elemento que entra na apuração, mas não transforma automaticamente qualquer contestação em mentira do consumidor. Peça protocolo formal da reclamação e informações claras sobre o procedimento de investigação que a instituição vai seguir.

O que guardar diante de suspeita de fraude

Horário exato da operação contestada, notificações recebidas, extratos, mensagens trocadas com a instituição, protocolos de atendimento, informações sobre o aparelho utilizado na operação, eventuais alertas de login em local ou dispositivo não reconhecido, e boletim de ocorrência quando já houver fraude confirmada. Evite formatar o celular imediatamente se ele puder conter registros relevantes para a investigação.

Para entender os termos

• Dado pessoal sensível (art. 5º, II, LGPD): categoria de dado — incluindo o biométrico — sujeita a regras mais rígidas de tratamento, por revelar informação especialmente delicada sobre a pessoa.
• Fortuito interno: risco inerente à própria atividade do fornecedor, que não afasta sua responsabilidade — tese consolidada na Súmula 479 do STJ para fraudes em operações bancárias.
• Responsabilidade objetiva (art. 14, CDC): obrigação de indenizar que não depende de prova de culpa, cabendo ao fornecedor provar excludentes específicas para se livrar dela.
• Incidente de segurança (arts. 46-49, LGPD): evento que compromete a segurança de dados pessoais tratados por uma empresa, gerando deveres de prevenção, comunicação e mitigação de danos.

Por que isso importa

A conveniência da biometria tem um custo que raramente aparece no momento em que a empresa oferece o recurso como novidade tecnológica: ao contrário de uma senha, um rosto vazado ou clonado não pode ser trocado. Isso deveria significar, na prática, um padrão de segurança e responsabilidade mais alto para quem coleta e usa esse dado — não apenas um argumento de marketing sobre “mais praticidade e mais segurança” repetido sem que a segunda metade da frase seja realmente comprovada.

O problema estrutural é que a mesma tecnologia vendida como prova irrefutável de identidade (“passou pelo reconhecimento facial, então é você”) é também a que mais facilita que o consumidor tenha sua contestação de fraude rejeitada de forma automática, sem investigação real. A lei já garante o caminho inverso — responsabilidade objetiva do banco, exigências rígidas para tratamento de dado sensível, dever de investigar cada contestação individualmente —, mas cabe ao consumidor conhecer esse caminho e insistir nele, porque a tendência natural de qualquer sistema automatizado é tratar sua própria conclusão como definitiva, mesmo quando não é.

O conteúdo tem finalidade informativa e não substitui orientação jurídica individualizada, porque situações semelhantes podem produzir respostas diferentes conforme os fatos e documentos do caso.

Da redação, postado em 06 de setembro de 2026, às 16h21. Matéria revisado pelo Editor André Luiz Guimarães, revisão jurídica da Dra. Mariana Rodrigues Valle Guimarães, inscrita na OAB/RJ 205702.

Sugestões de temas, entre em contato com a redação