Reconhecimento facial do motorista: o que derruba o sistema
A ANPD mandou desligar um sistema de reconhecimento facial em agosto de 2026. O que derrubou não foi falta de aviso, foi existir um jeito manual de fazer igual.
Em 4 de agosto de 2026, a Superintendência de Fiscalização da ANPD assinou o Despacho Decisório nº 2/2026/SFI e mandou desligar um sistema de reconhecimento facial que estava em operação havia três anos. Quem tem ou está avaliando reconhecimento facial do motorista na frota precisa ler o motivo, porque ele não é o que todo mundo imagina.
O caso é de escola pública, não de frota. A Secretaria de Educação do Paraná usava o rosto dos alunos para registrar frequência. Isso importa e não vou disfarçar: o setor público responde por bases legais próprias, e dado de criança tem proteção reforçada. O que atravessa para a empresa privada é o raciocínio, e o raciocínio é o mesmo teste que qualquer frota com câmera apontada para o rosto do motorista vai ter que passar.
O que a ANPD decidiu, exatamente?
Determinou a suspensão imediata do tratamento, não uma multa. A ordem alcança coleta, captura, registro, consulta, comparação, autenticação, uso e compartilhamento, e proíbe retomar a atividade até nova deliberação da própria agência. A secretaria teve dez dias úteis para provar que parou.
O processo foi aberto em 2024. A decisão saiu em 2026. Não é um susto de um dia, é uma investigação que amadureceu e terminou com o sistema fora do ar.
E a medida preventiva não encerra o assunto. O mesmo despacho mandou os autos para a Coordenação-Geral de Sanção avaliar a abertura de processo sancionador, e deixou escrito que descumprir a determinação conta como agravante, enquanto cumprir conta como atenuante na dosimetria.
Por que ter um jeito manual de fazer a mesma coisa derruba a biometria?
Porque prova que ela não era indispensável. A resolução da própria secretaria previa registro manual de frequência em caso de instabilidade técnica. A ANPD leu essa linha e usou contra o sistema: se existe meio menos invasivo de alcançar a mesma finalidade, o tratamento biométrico é excessivo.
Esse é o ponto que ninguém antecipa. A discussão sobre câmera com IA costuma girar em torno de aviso, adesivo, termo assinado e política de privacidade. Nada disso foi o eixo da decisão. O eixo foi um parágrafo escrito pela própria organização, descrevendo como fazer a mesma coisa sem biometria nenhuma.
Traduzindo para a frota: se o seu procedimento diz que, quando a câmera não reconhece o motorista, ele libera a partida com PIN, crachá ou ligação para a central, esse parágrafo existe e está documentado. Ele é a sua contingência operacional e é também a prova de que o rosto não era o único caminho.
O procedimento que a empresa escreveu para quando a câmera falha é o documento que mais enfraquece a exigência da câmera.
A saída não é apagar a contingência. Frota sem plano B para em portaria de cliente às cinco da manhã, e apagar o parágrafo não muda o fato de que a alternativa existe. A saída é conseguir explicar para que serve o rosto numa finalidade que o crachá não atende.
E isso é possível, desde que as finalidades sejam separadas. Saber quem está ao volante para efeito de responsabilidade é uma finalidade. Detectar que quem está ali fechou os olhos por três segundos é outra, e essa não precisa saber o nome de ninguém. Sistema de fadiga funciona sem identificar. Quando as duas coisas viajam juntas no mesmo contrato, a segunda carrega o risco da primeira sem precisar.
Rosto de motorista é dado pessoal sensível?
É. O art. 5º, II da LGPD lista o dado biométrico como dado pessoal sensível, junto com dado de saúde, dado genético e origem racial. Isso não é detalhe de advogado: muda a lista de bases legais disponíveis, que sai do art. 7º e passa para o art. 11, bem mais curta e mais exigente.
O consentimento está lá, no art. 11, inciso I, mas precisa ser específico e destacado para finalidades específicas. E consentimento tem um problema estrutural dentro de uma relação de emprego. O próprio Radar Tecnológico da ANPD sobre biometria registra o caso da autoridade sueca que invalidou o consentimento em escolas por causa do claro desequilíbrio entre titular e controlador.
Numa frota, esse desequilíbrio tem nome e sala. Termo assinado no dia da admissão, no meio da pilha que inclui o contrato de trabalho, é o exemplo de manual do consentimento que não é livre. Vale a mesma lógica dos documentos que precisam estar prontos antes de ligar a câmera no motorista: o papel assinado é o começo da conversa, não o fim dela.
A ordem de desligar alcança o fornecedor da câmera?
Alcança. O despacho estendeu a suspensão a todas as operações realizadas por operadores e suboperadores, independentemente do ambiente tecnológico ou da infraestrutura usada, e colocou na organização fiscalizada o ônus de assegurar a parada em toda a cadeia.
Para provar isso em dez dias úteis, a ANPD pediu uma lista específica. Vale a pena ler ela como pergunta, não como jurisprudência.
| O que a ANPD exigiu como prova | Onde isso costuma travar numa frota |
|---|---|
| Declaração formal de autoridade competente atestando a suspensão integral | Ninguém sabe quem assina, porque a câmera foi comprada pela manutenção |
| Relação das bases de dados biométricos, com localização e responsável pela custódia | O template está em nuvem do fornecedor, e o contrato não diz em qual |
| Data e hora da desativação efetiva da funcionalidade | O desligamento é feito pelo suporte do fornecedor, sem registro devolvido |
| Identificação de operadores e suboperadores envolvidos | O fornecedor subcontrata o processamento de imagem e não informou |
| Comprovação das comunicações formais enviadas a cada um deles | Não existe canal formal, o contato é o vendedor no WhatsApp |
Essa tabela é o motivo pelo qual esse assunto é do gestor de frota, e não só do jurídico. Nenhuma das cinco linhas se resolve com parecer. Todas se resolvem com cadastro, contrato e nome de responsável, exatamente o mesmo tipo de exigência que aparece quando se discute o que cobrar do fornecedor de câmera antes de assinar e quem é o dono dos dados da frota.
Isso vira multa?
Não automaticamente. Medida preventiva não é sanção, e a ANPD escreveu isso com todas as letras. A multa, se vier, corre em processo separado e tem teto no art. 52, II da LGPD: 2% do faturamento no Brasil no último exercício, limitada a cinquenta milhões de reais por infração.
Só que para uma frota o número da multa raramente é o que dói primeiro. O que dói é a frase "vedada a retomada dessas atividades até ulterior deliberação". Se a partida do veículo, a liberação de jornada ou o fluxo de checklist dependem do reconhecimento facial, a ordem de desligar é uma ordem de mudar a operação no mesmo dia, sem data para voltar.
O que dá para fazer nesta semana?
Três coisas, e nenhuma delas exige contratar ninguém.
A primeira é escrever a finalidade de cada câmera em uma frase, separada por finalidade. Identificar condutor é uma. Detectar fadiga é outra. Se as duas estão no mesmo parágrafo do contrato, elas vão cair juntas.
A segunda é procurar o plano B no seu próprio procedimento operacional, achar o trecho que descreve o que fazer quando a câmera não reconhece, e decidir o que fazer com ele. Não é para apagar. É para saber que ele existe antes de outra pessoa achar.
A terceira é responder, sem abrir chamado com o fornecedor, onde ficam os templates faciais dos seus motoristas, quem é o custodiante e quais empresas além da sua tocam neles. Se a resposta demora mais de dez dias úteis, você já sabe o que aconteceria numa fiscalização.
Na sua frota, alguém consegue dizer hoje em qual servidor está o rosto dos motoristas, e quem mais tem acesso a ele?
Fontes: o Despacho Decisório nº 2/2026/SFI foi assinado em 04/08/2026 pelo Superintendente de Fiscalização da ANPD, no Processo nº 00261.007049/2024-06, e se apoia na Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD, cujo item 5.31 trata do registro manual de frequência e da análise de proporcionalidade. A medida preventiva se apoia no Regulamento de Fiscalização da ANPD, e o efeito atenuante do cumprimento no Regulamento de Dosimetria, aprovado pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023. A definição de dado biométrico como dado sensível está no art. 5º, II, os princípios de adequação e necessidade no art. 6º, II e III, as hipóteses de tratamento de dado sensível no art. 11 e o teto das sanções no art. 52, II da Lei nº 13.709, de 14 de agosto de 2018. O caso da autoridade sueca está no Radar Tecnológico sobre biometria e reconhecimento facial da ANPD. Este texto não é parecer jurídico.