Atualizado em outubro de 2026

O que é a LGPD

A LGPD (Lei nº 13.709/2018), Lei Geral de Proteção de Dados Pessoais, é a lei brasileira que organiza como empresas, órgãos públicos e profissionais podem coletar, usar, guardar e compartilhar dados pessoais.

Na prática, a lei parte de uma ideia simples: o dado pessoal pertence à pessoa, não à empresa que o coletou. Cabe à empresa justificar por que está tratando aquele dado, por quanto tempo vai guardá-lo e quais medidas adotará para protegê-lo.

Quando isso não acontece, existe uma autoridade responsável por cobrar explicações e, se for o caso, aplicar sanções: a ANPD, hoje chamada de Agência Nacional de Proteção de Dados.

Neste guia, vamos mostrar de forma simples o que a lei exige ao coletar dados pessoais para acesso, quais cuidados são obrigatórios e como colocar tudo isso em prática no dia a dia, além de quais as penalidades para descumprimento da lei.

O que é um dado pessoal 

Para a lei, qualquer informação relacionada a uma pessoa natural identificada ou identificável é considerada um dado pessoal (Art. 5º, I). Isso inclui, por exemplo, nome, CPF, e-mail, telefone, placa de veículo e registros de entrada e saída, quando essas informações estiverem relacionadas ou puderem ser associadas a uma pessoa. Já a biometria exige ainda mais atenção: quando vinculada a uma pessoa natural, é classificada como dado pessoal sensível (Art. 5º, II). Por isso, a coleta e o uso dessas informações devem seguir as regras e os princípios estabelecidos pela LGPD.

Para funcionar dentro da lei, a empresa precisa seguir algumas regras básicas:

• Ter um motivo legal válido para exigir aquele dado (Arts. 7º  e 11);
• Proteger as informações com segurança reforçada contra vazamentos (Arts. 6º, VII e 46);
• Definir um prazo claro para apagar os dados do sistema (Arts. 15 e 16);
• Oferecer um canal fácil para atender aos pedidos e dúvidas dos titulares (Arts. 18 e 41).

Muitas empresas ainda acham que a LGPD só vale para bancos ou gigantes da internet. Mas se a empresa usa biometria dactilar, reconhecimento facial ou foto no crachá, a lei já vale para ela, não importando o tamanho do negócio.

Quais dados o controle de acesso coleta (e por que todos são dados pessoais)

Um sistema de controle de acesso, seja físico (catracas, portas, leitores) ou digital (login em sistemas internos), lida o tempo todo com informações que identificam pessoas. Alguns exemplos do que costuma ser coletado:

• impressão digital, imagem facial ou leitura da palma da mão (dados sensíveis);
• foto de crachá ou de cadastro;
• número de documento (RG, CPF, CNH);
• placa de veículo, no caso de estacionamentos;
• horário e local de entrada e saída, os logs de acesso.

Essas informações podem constituir dados pessoais quando relacionadas ou relacionáveis a uma pessoa natural identificada ou identificável. Não existe “dado pequeno demais” para a lei: o que importa é se aquela informação, sozinha ou combinada com outras, permite identificar ou tornar identificável uma pessoa natural (Art. 5º, I).

Biometria é dado sensível: artigo 11 da LGPD

A LGPD coloca a biometria no grupo dos dados pessoais sensíveis (Art. 5º, II). Ela recebe o mesmo nível de proteção que informações sobre saúde, religião ou raça, categorias que a lei trata com um nível de cuidado bem mais alto do que um simples e-mail ou telefone.

Na prática, isso muda duas coisas fundamentais:

• Regras mais rígidas (Art. 11): Não basta a empresa dizer que quer usar biometria “porque é mais conveniente ou seguro”. Ela precisa se encaixar estritamente nas hipóteses permitidas pelo Artigo 11 da lei.
• Risco irreversível: Vazou uma senha ou e-mail? É possível trocar. Vazou uma digital ou o padrão de um rosto? Não tem como trocar. Por isso, a exigência de segurança na coleta, no armazenamento e no envio desses dados é máxima.

Onde os dados ficam armazenados?

Além de saber quais dados pessoais são coletados, a empresa precisa compreender onde eles ficam armazenados e por onde circulam dentro do sistema de controle de acesso. Dependendo da solução utilizada, informações como cadastros, registros de entrada e saída e dados biométricos podem permanecer no próprio equipamento, em um servidor local ou em ambiente de nuvem.

Também é importante verificar quem pode acessar essas informações, se o fornecedor ou outros terceiros possuem algum tipo de acesso, se existem cópias de segurança e para onde os dados são enviados durante as integrações com outros sistemas.

Mapear esse fluxo permite identificar os agentes envolvidos no tratamento, avaliar riscos, estabelecer medidas de segurança adequadas e definir responsabilidades. Por isso, antes de contratar ou implantar uma solução de controle de acesso, a empresa deve entender não apenas quais dados são coletados, mas onde são armazenados, quem pode acessá-los e durante quanto tempo permanecem disponíveis.

Segurança da informação no controle de acesso

A LGPD determina que os agentes de tratamento adotem medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados, perda, alteração, destruição ou outras formas de tratamento inadequado ou ilícito.

Em sistemas de controle de acesso, essas medidas podem incluir, conforme as características e os riscos de cada operação, controle de acesso ao banco de dados, definição de perfis e permissões de usuários, uso de senhas fortes e mecanismos de autenticação, criptografia quando adequada, registros de acessos administrativos, backups, restrições à exportação de informações e revogação de acessos de ex-funcionários.

Também é importante estabelecer procedimentos para responder a eventuais incidentes de segurança. A LGPD não estabelece uma solução técnica única para todos os casos: as medidas devem ser compatíveis com a natureza dos dados tratados, o contexto e os riscos envolvidos, como veremos mais abaixo.

Controlador, Operador e Fornecedor

Quando uma empresa utiliza um sistema de controle de acesso, é importante entender quem exerce cada papel no tratamento dos dados pessoais.

Em regra, o controlador é quem toma as decisões sobre o tratamento, definindo quais dados serão coletados, para quais finalidades e por quanto tempo serão utilizados. Já o operador realiza o tratamento de dados pessoais em nome e seguindo as orientações do controlador. O fornecedor do equipamento, por sua vez, não é automaticamente um operador apenas por fornecer a tecnologia: sua classificação depende das atividades que efetivamente desempenha. Se tiver acesso, armazenar ou processar dados pessoais em nome do cliente, poderá atuar como operador; se apenas fornecer o equipamento sem participar do tratamento, pode não assumir esse papel.

Por isso, contratos com fornecedores devem deixar claras as responsabilidades de cada parte. A própria ANPD ressalta que a identificação dos agentes deve considerar a atuação concreta de cada organização no tratamento, e não apenas o nome atribuído a ela em contrato. 

Compartilhamento de dados com terceiros 

Em um sistema de controle de acesso, os dados pessoais podem passar por diferentes empresas, como fornecedores de software, serviços de suporte, provedores de nuvem, empresas de segurança ou administradoras de condomínios. Esse compartilhamento deve observar a finalidade do tratamento, a base legal aplicável e os princípios previstos na LGPD, como necessidade, transparência e segurança.

A empresa deve conhecer os terceiros envolvidos, compreender quais dados são acessados, para qual finalidade e por quanto tempo, além de definir adequadamente as responsabilidades dos agentes de tratamento. O acesso de fornecedores e prestadores deve ser limitado ao necessário para a execução de suas atividades, com medidas adequadas para proteger as informações.

Também é importante verificar se o fornecedor utiliza outros prestadores para realizar o tratamento, como serviços de hospedagem em nuvem. Embora a LGPD não defina expressamente a figura do suboperador, a ANPD utiliza esse conceito para se referir ao terceiro contratado pelo operador para auxiliá-lo no tratamento de dados pessoais realizado em nome do controlador.

O que deve ser observado na coleta e tratamento dos dados

Segundo o Art. 6º da LGPD, as atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III – necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V – qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI – transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X – responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

É seguindo essas regras que a empresa pode operar dentro da lei, garantindo que cada etapa do tratamento de dados seja realizada de forma responsável, transparente e compatível com a finalidade informada ao titular. 

Direitos dos titulares

A LGPD, em seu Art. 18, dá aos titulares (funcionários, visitantes, prestadores e qualquer pessoa cujo dado é tratado) uma série de direitos que a empresa precisa estar pronta para atender. Entre os principais direitos, aplicados ao contexto de controle de acesso, temos:

• confirmar se a empresa está tratando seus dados e acessar quais informações estão armazenadas (Art. 18, I e II);
• corrigir dados incorretos ou desatualizados (Art. 18, III);
• pedir a eliminação dos dados (Art. 18, VI);
• revogar consentimento (Art. 18, IX);
• ser informado sobre com quem esses dados são compartilhados (Art. 18, VII).

Para a LGPD, consentimento para o tratamento de dados equivale a uma manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada (Art. 5º, XII).

Prazo de retenção: por quanto tempo guardar os dados

A LGPD adota o princípio da necessidade, segundo o qual o tratamento deve se limitar ao mínimo necessário para atingir sua finalidade. Por isso, não existe um prazo único de retenção para todos os dados de controle de acesso. A empresa deve avaliar cada tipo de informação e definir por quanto tempo sua conservação é necessária, considerando a finalidade da coleta e as hipóteses de conservação previstas nos Arts. 15 e 16 da LGPD. Registros de entrada e saída, por exemplo, podem ter prazos definidos em política interna, de acordo com a finalidade de segurança e eventuais obrigações aplicáveis à organização.

O mesmo cuidado deve ser adotado com os dados biométricos. Quando um funcionário é desligado ou uma pessoa deixa de frequentar determinado ambiente, a empresa deve avaliar se ainda existe justificativa para manter sua biometria armazenada. Se a finalidade que motivou o tratamento tiver sido encerrada e não houver outra hipótese legal que justifique sua conservação, os dados devem ser eliminados. Essa atenção é ainda mais importante porque a biometria vinculada a uma pessoa é considerada dado pessoal sensível pela LGPD.

Por isso, é recomendável estabelecer uma política de retenção e descarte, definindo quais informações são armazenadas, por quanto tempo, por qual motivo e como serão eliminadas, considerando também equipamentos, servidores, sistemas integrados, ambientes em nuvem e cópias de segurança. Dessa forma, a empresa evita manter dados por tempo indeterminado e demonstra a adoção de medidas concretas de conformidade com os princípios da necessidade, prevenção, responsabilização e prestação de contas.

Multas da LGPD em 2026: quanto custa não se adequar

As sanções previstas no Art. 52 da LGPD incluem advertência, publicização da infração, bloqueio ou eliminação dos dados envolvidos, suspensão do funcionamento do banco de dados, suspensão ou proibição de atividades relacionadas ao tratamento e multas. A multa simples pode chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, e é limitada a R$50 milhões por infração, além da possibilidade de multa diária, observados os limites legais.

A aplicação dessas penalidades segue o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4/2023, que considera as características de cada caso para definir a sanção e sua intensidade.

Para agentes de tratamento de pequeno porte, existem regras específicas. A Resolução CD/ANPD nº 2/2022 estabeleceu um regime diferenciado para microempresas, empresas de pequeno porte, startups e outros agentes que se enquadrem nos critérios da norma, prevendo simplificações e prazos diferenciados para determinadas obrigações. Essas flexibilizações, porém, não significam dispensa do cumprimento da LGPD nem imunidade às sanções. Além disso, determinadas flexibilizações podem não ser aplicáveis quando o agente realiza tratamento de alto risco, conforme os critérios estabelecidos pela própria ANPD.

O porte da empresa, portanto, não elimina sua responsabilidade. A primeira sanção aplicada pela ANPD, em 2023, foi justamente contra uma empresa de pequeno porte, o que derruba a ideia de que “isso só acontece com gigantes da tecnologia”.

O que fazer em caso de vazamento ou incidente?

A empresa deve estar preparada para agir diante de incidentes de segurança envolvendo dados pessoais, mantendo procedimentos para identificar, conter, avaliar, mitigar e documentar a ocorrência. De acordo com a Resolução CD/ANPD nº 15/2024, quando o incidente puder causar risco ou dano relevante aos titulares, o controlador deve comunicar a ocorrência à ANPD e aos titulares afetados em até três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, ressalvada a existência de prazo específico previsto em outra legislação. Para agentes de tratamento de pequeno porte, esse prazo é contado em dobro.

A avaliação deve considerar as características e possíveis consequências do incidente. A regulamentação dá atenção especial, entre outras situações, ao envolvimento de dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, informações protegidas por sigilo legal, judicial ou profissional ou dados tratados em larga escala. No controle de acesso, isso é especialmente relevante quando há comprometimento de dados biométricos, classificados pela LGPD como dados pessoais sensíveis.

Além disso, o controlador deve manter o registro do incidente por pelo menos cinco anos, inclusive quando a ocorrência não tiver sido comunicada à ANPD ou aos titulares. Esse registro deve documentar informações como as circunstâncias do ocorrido, os dados e titulares afetados, os riscos identificados e as medidas adotadas para corrigir ou mitigar seus efeitos.

Por isso, é recomendável manter um plano de resposta a incidentes, definindo responsáveis, procedimentos de contenção e investigação, formas de comunicação e medidas para evitar que situações semelhantes voltem a ocorrer.

RIPD: o que é e quando se torna necessário

O RIPD, Relatório de Impacto à Proteção de Dados Pessoais, é um documento que descreve como a empresa trata os dados pessoais, quais riscos foram identificados e quais medidas foram adotadas para reduzi-los. Ele está previsto no artigo 5º, inciso XVII, e no artigo 38 da LGPD, e a ANPD pode exigi-lo a qualquer momento.

Além de servir como documento de defesa em uma eventual fiscalização, o processo de montar o RIPD obriga a empresa a mapear, com detalhe, que dados coleta, por quê, onde ficam guardados e quem tem acesso a eles, facilitando a própria gestão de dados.

Sistemas de biometria em grande escala, como o controle de acesso de uma empresa com centenas de funcionários ou de um condomínio, costumam se enquadrar no perfil de alto risco, o que torna o RIPD altamente recomendável, mesmo quando não é formalmente exigido.

Empresas de pequeno porte contam com um regime simplificado, previsto em resolução própria da ANPD (Art. 55-J, XVIII da LGPD e Resolução CD/ANPD nº 2/2022). Isso não retira a obrigação de ter base legal adequada, segurança da informação e resposta aos direitos dos titulares: essas obrigações valem para empresas de qualquer porte.

9 passos para se adequar à Lei

Agora, vamos às dicas para um bom controle de acesso:

1. Mapeie os dados. Liste tudo o que é coletado pelo sistema de controle de acesso (biometria, fotos, documentos, logs) e onde cada informação fica armazenada;
2. Defina a base legal para cada grupo de titular. Funcionários, visitantes e prestadores podem precisar de bases legais diferentes;
3. Avalie a necessidade do uso de biometria. Antes de adotá-la, verifique se o tratamento é necessário e proporcional à finalidade pretendida, defina a base legal adequada e avalie, quando aplicável, a possibilidade de métodos de identificação menos invasivos. 
4. Revise contratos com fornecedores de tecnologia, deixando claro quem é o controlador e quem é o operador, e quais medidas de segurança são exigidas;
5. Estabeleça prazos de retenção para todos os dados coletados;
6. Nomeie um encarregado (caso aplicável à sua empresa) e divulgue um canal simples de contato para pedidos dos titulares;
7. Avalie a necessidade de um RIPD, principalmente se o volume de dados biométricos tratados for alto;
8. Acompanhe a regulamentação específica de biometria que a ANPD fornece.
9. Treine as pessoas que têm acesso aos dados. Oriente funcionários e prestadores sobre o uso correto das informações e restrinja os acessos conforme cada função.

Perguntas frequentes sobre LGPD e controle de acesso

A biometria é permitida pela LGPD?
Sim. A LGPD classifica os dados biométricos vinculados a uma pessoa natural como dados pessoais sensíveis (Art. 5º, II). Por isso, seu tratamento deve estar enquadrado em uma das hipóteses previstas no Art. 11 da LGPD, além de observar os demais princípios e obrigações da legislação. 

Qual a multa da LGPD para uso de biometria sem base legal?
O tratamento irregular de dados biométricos pode sujeitar a empresa às sanções previstas na LGPD. Entre elas, a multa simples pode chegar a 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitada a R$50 milhões por infração, além da possibilidade de multa diária, conforme o Art. 52, II e III.

Empresa precisa de RIPD para controle de acesso biométrico?
Não existe atualmente uma regra geral que determine a elaboração obrigatória de RIPD para todo sistema de controle de acesso biométrico. A LGPD prevê que a ANPD pode determinar ao controlador a elaboração do relatório, inclusive quando o tratamento tiver como fundamento hipóteses relacionadas a dados pessoais sensíveis (Art. 38). As características da operação devem ser consideradas na avaliação dos riscos do tratamento.

Por quanto tempo posso guardar dados biométricos?
Não existe um prazo único definido pela LGPD para a conservação de dados biométricos. Eles devem ser mantidos enquanto forem necessários para a finalidade que justificou seu tratamento ou enquanto estiver presente alguma das hipóteses que autorizam sua conservação após o término do tratamento, conforme os Arts. 15 e 16 da LGPD. Encerrada a finalidade e não havendo justificativa legal para a conservação, os dados devem ser eliminados.

Conclusão

O controle de acesso é um sistema que lida diariamente com um tipo sensível de dado pessoal: a biometria. Com a ANPD cada vez mais estruturada e ativa, ficar de fora dessa conversa deixou de ser uma opção segura. A boa notícia é que a adequação não precisa virar um projeto gigantesco: começa com um mapeamento simples, uma base legal bem definida e um pouco de disciplina na hora de guardar, transmitir ou apagar os dados.

Aproveite as indicações nesse texto para consultar a Lei na íntegra.