Em março, a Autoridade Nacional de Proteção de Dados (ANPD) identificou indícios de irregularidades no uso de sistemas de identificação biométrica (reconhecimento facial) na venda de ingressos e na entrada de estádios por 23 clubes de futebol. A autoridade também determinou a instauração de processos de fiscalização e expediu medida preventiva para que os clubes de futebol publiquem nas plataformas de venda de ingressos informações adequadas sobre os procedimentos de cadastramento e de identificação biométrica de torcedores no prazo de 20 dias úteis.

Escopo e histórico

Principais objetos da Nota Técnica

A Nota Técnica nº 5/2025/FIS/CGF/ANPD teve como objetivo analisar a conformidade do tratamento de dados biométricos de torcedores, incluindo crianças e adolescentes, por clubes de futebol, no contexto da Lei Geral do Esporte (LGE). A Nota Técnica também avaliou os riscos associados ao uso de reconhecimento facial nos estádios. 

A análise da ANPD se dedicou aos seguintes temas: 

• A conformidade do tratamento de dados sensíveis.
• A elaboração de Relatórios de Impacto à Proteção de Dados (RIPD).
• A transparência e a comunicação aos titulares sobre o tratamento.
• A hipótese legal para o tratamento de dados biométricos.
• O compartilhamento de dados com órgãos de segurança pública.
• O tratamento de dados de crianças e adolescentes.

Não é a primeira vez que a autoridade averigua o tratamento de dados realizado por estádios. Em 2023, ela já havia publicado Nota Técnica com orientações sobre o Projeto Estádio Seguro. O projeto visa facilitar o cruzamento de dados entre o MJSP, CBF e os clubes que desejarem integrar o projeto de forma a ampliar a segurança nos estádios desportivos, recapturar foragidos, recuperar veículos roubados e coibir a prática de cambismo, dentre outras medidas. 

Na ocasião, se discutia a aplicação dos princípios da LGPD no tratamento do projeto uma vez que os tratamentos de dados do Estádio Seguro tinham a finalidade de promover segurança pública, situação na qual a LGPD tem aplicação reduzida. No caso da Lei Geral do Esporte a situação é diferente, o tratamento de dados feito pelos clubes não tem como objetivo a promoção da segurança pública de forma exclusiva, o que atrai a aplicação completa da LGPD de acordo com a ANPD. antes de apresentar os entendimentos da autoridade destacados na Nota Técnica, é preciso considerar o levantamento preliminar feito sobre o uso de reconhecimento facial nos estádios.

O Estado atual do reconhecimento facial dos estádios

AANPD apresenta um capítulo na Nota Técnica sobre o contexto de tratamento de dados biométricos pelos clubes. Esse contexto é baseado primordialmente no estudo “Esporte, dados e direitos: o uso de reconhecimento facial nos estádios brasileiros”, elaborado pelo “O Panóptico”.

Nesse contexto, o uso de reconhecimento facial pelos clubes têm como finalidade: (1) combate ao cambismo; (2) identificar foragidos da justiça e desaparecidos e (3) identificar torcedores envolvidos em práticas inadequadas. detalhamos o fluxo dos três tratamentos abaixo; 

• (1) combate ao cambismo: Os torcedores precisam realizar um cadastramento biométrico no momento da compra do ingresso, sendo solicitados a fornecer não apenas dados pessoais como nome completo, CPF, e-mail e telefone, mas também a biometria facial. Os dados do rosto são posteriormente associados a um identificador único, geralmente o CPF, e vinculada às informações da compra, como o portão de entrada, setor e cadeira. No dia do evento, ao passar pelas catracas, o rosto do torcedor é novamente capturado e comparado com a imagem previamente cadastrada para validar sua identidade, evitando a prática de cambismo. 
• (2) identificar foragidos da justiça e desaparecidos: Essa verificação de identidade nas catracas dos estádios também pode detectar pessoas foragidas, com restrição de ingresso em eventos esportivos e desaparecido a partir do compartilhamento dos dados com órgãos de segurança pública.
• (3) identificar torcedores envolvidos em práticas inadequadas: Os clubes também têm instalado câmeras de reconhecimento facial nos estádios para identificar torcedores envolvidos em condutas inadequadas, como atos de violência, durante os jogos. Em alguns casos, os dados biométricos coletados também são compartilhados com órgãos de segurança pública para outras finalidades, como a identificação de foragidos da justiça. 

Um dos principais pontos de preocupação identificados pela ANPD envolve a falta de clareza quanto às responsabilidades de cada agente de tratamento. Em muitos casos, os clubes delegam a operacionalização de cadastro biométrico a empresas de venda de ingresso, as “Ticketeiras”, onde os torcedores são redirecionados para plataformas externas sem informações precisas sobre quem trata seus dados triviais ou sensíveis e com quais finalidades. 

A autoridade também destaca que  existem indícios de coleta excessiva de dados de crianças e adolescentes, contrariando o art. 158, XII, da Lei Geral do Esporte (LGE), que limita o cadastramento biométrico a maiores de 16 anos, além das recomendações da própria ANPD em notas anteriores, como a Nota Técnica nº 175/2023/CGF/ANPD que avaliou o tratamento de dados do projeto “Estádio Seguro”. 

É nesse cenário que a autoridade irá analisar o tratamento de dados em estádios dos clubes fiscalizados, elaborando entendimentos sobre transparência, tratamento de dados de crianças e adolescentes, bases legais e princípios da LGPD

Destaques da Nota Técnica 

Bases legais para reconhecimento facial

A autoridade destacou que alguns clubes de futebol têm solicitado o consentimento dos torcedores para a coleta de seus dados pessoais, inclusive biométricos, mesmo associando em suas Políticas de Privacidade ou Termos de Uso o cadastramento biométrico às obrigações legais da LGE.

Em sua análise, a autoridade apurou que as entidades esportivas, de modo geral, coletam o consentimento dos torcedores em desconformidade com as normas de proteção de dados pessoais.  Na maioria dos casos pesquisados pela autoridade,  “não é possível identificar se o clube de futebol coleta o consentimento do torcedor como um instrumento jurídico que representa a manifestação livre, informada e inequívoca de sua vontade quanto ao tratamento de seus dados.”. Como o tratamento de dados biométricos é condição necessária para entrar nos jogos, a exigência do consentimento não pode ser considerada uma manifestação livre do titular.

De acordo com a ANPD, a base legal considerada mais adequada  é a de cumprimento de obrigação legal ou regulatória (art. 11, II, a) LGPD). Isto pois a Lei Geral do Esporte impõe expressamente a instalação de sistemas de monitoramento por imagem e identificação biométrica nos recintos esportivos com capacidade superior a 20.000 pessoas (art. 148 LGE). A lei também exige que os espectadores maiores de 16 anos estejam cadastrados em sistemas de controle biométrico como condição de acesso e permanência nos estádios(art. 158, XII LGE). 

Dessa forma, a base legal aplicável ao tratamento de dados biométricos de torcedores pelos clubes é a obrigação legal imposta pela LGE, o que dispensa o consentimento do titular.

Princípio da finalidade e compartilhamento 

A ANPD relembra que a definição da base legal adequada não é suficiente para validar o tratamento de dados pessoais, ela precisa estar de acordo com os princípios da LGPD. No caso do princípio da finalidade, o tratamento deve ter propósitos legítimos, explícitos e informados ao titular, sendo vedado o uso posterior para finalidades incompatíveis com as inicialmente indicadas​.

Embora a Lei Geral do Esporte preveja o uso de identificação biométrica, a ANPD identifica violação ao princípio da finalidade quando dados coletados para controle de acesso dos estádios passam a ser utilizados para identificação de foragidos da justiça ou desaparecidos, por meio de compartilhamento automático e massivo com órgãos de segurança pública. Tal uso, segundo a Autoridade, não encontra amparo legal na LGE e não pode ser feito por entidades privadas de forma ampla e sistemática.

Isto pois a atuação de segurança privada dos clubes descrita pela LGE (como impedir a entrada de torcedores já identificados judicialmente) é diferente da atuação de órgãos de segurança pública (como identificar procurados pela justiça).  

Nas palavras da autoridade:“O tratamento de dados pessoais para fins exclusivos de segurança pública, nesses casos , ocorre apenas parcialmente dentro do regime legal da LGPD e deve ser realizado por órgãos e entidades públicas que possuam a devida competência legal, sendo a operação de tratamento em questão vedada a pessoas jurídicas de direito privado, exceto se for realizada sob tutela de pessoa jurídica de direito público.”

Dessa forma, o compartilhamento sistemático com fins exclusivos de segurança pública é incompatível com a finalidade original da coleta dos dados​ dos estádios no contexto da LGE. 

Transparência no tratamento de dados biométricos

A partir da análise das informações e documentos disponíveis publicamente nos sites de compra de ingressos dos clubes, a  ANPD constata que em geral os clubes não oferecem “informações claras, destacadas, específicas e abrangentes sobre o tratamento de dados biométricos dos torcedores dentro dos ambientes de compra de ingressos”.

Como o tratamento de dados biométricos é condição para a entrada no evento esportivo, a não disponibilização da informação de maneira destacada viola o art 9, §3° da LGPD que estabelece que o titular deve ser informado com destaque quando o tratamento de dados pessoais for condição para o fornecimento de serviço.

Nesse sentido, a ANPD recomenda que os clubes de futebol devem informar, de forma clara e acessível:

• As finalidades específicas para as quais a coleta dos dados biométricos é necessária;
• Quais titulares estão submetidos à exigência da LGE (por exemplo, maiores de 16 anos);
• Os direitos garantidos aos titulares e os meios disponíveis para o exercício desses direitos pelos titulares;
• Detalhes sobre o tratamento dos dados biométricos (como são coletados, armazenados, utilizados etc.);
• A duração do tratamento ;
• Se há compartilhamento dos dados biométricos com outros controladores, inclusive órgãos públicos;
• As finalidades específicas do compartilhamento dos dados;
• A base legal que autoriza tais compartilhamento;

Necessidade de RIPD

A Nota Técnica aponta que a implementação de tecnologias de reconhecimento facial pelos clubes de futebol representa uma atividade de tratamento de dados pessoais de alto risco, o que impõe a obrigatoriedade de elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD). 

De acordo com a LGPD, o uso do reconhecimento facial é caracterizado como uma atividade abrangente, sistemática e baseada em tecnologia emergente, envolve a vigilância de uma zona acessível ao público e é capaz de afetar significativamente direitos fundamentais como a privacidade, a liberdade de locomoção e até mesmo o direito ao lazer. Isso fica ainda mais evidente quando se considera que o uso da tecnologia é obrigatório para o ingresso nos estádios. 

Dessa forma, o tratamento de dados biométricos atende cumulativamente os critérios gerais do art. 4º, I, alíneas “a” e “b” (tratamento de dados em larga escala e que pode afetar direitos fundamentais dos titulares, e os critérios específicos do art. 4º, I, alíneas “a” (tecnologias emergentes) e “b” (vigilância ou controle de zonas acessíveis ao público). Por conta disso, a elaboração do RIPD é obrigatória nesse caso. 

O documento também ressalta que os clubes devem ter realizado essa avaliação antes da implementação dos sistemas de reconhecimento facial, antecipando os riscos e planejando estratégias de mitigação.  Por fim, a ANPD recomenda que os clubes devem não apenas elaborar o RIPD, mas também demonstrar sua efetiva adoção de medidas para proteger os dados tratados.

Tratamento de dados de crianças e adolescentes

Em um primeiro momento, a ANPD mostra que o tratamento de dados biométricos de torcedores menores de 16 anos ocorre sem base legal. Isto pois muitos times relatam coletar dados biométricos de crianças e adolescentes ou são omissos em relação a essa informação. Contudo, a LGE exige biometria apenas para maiores de 16 anos (art. 158, XII) fazendo com que o tratamento dos dados desse público ocorra sem base legal apropriada nos estádios.

Para além da inexistência de obrigação legal específica, a ANPD entende em sua análise preliminar que o cadastramento biométrico desse grupo é desnecessário, tendo em vista a existência de meios menos invasivos para garantir a proteção de dados, privacidade e a segurança nos eventos esportivos. Por conta disso, a autoridade recomendou que “sejam pensadas alternativas alinhadas com os princípios da minimização de dados e proporcionalidade estabelecidos pela LGPD, reduzindo os riscos de violação de privacidade e uso indevido de dados pessoais de crianças e adolescentes”.

A Nota Técnica também destaca que os riscos do reconhecimento facial são ampliados para crianças pois se trata de uma tecnologia com menor acurácia para menores de 13 anos, aumentando a probabilidade de erros de identificação e violações de privacidade. A coleta sistemática ainda expõe esses titulares a processos contínuos de datificação e vigilância, incompatíveis com sua condição de vulnerabilidade​.

Dessa forma, a  autoridade entende que o cadastro obrigatório da biometria de menores de 16 anos vai de encontro ao princípio do melhor interesse da criança pois: 

1. É desnecessário pois existem meios menos invasivos à privacidade e à proteção de dados. 
2. É inadequado pela falta de precisão destes sistemas de reconhecimento facial para a identificação de crianças e adolescentes.
3. É desproporcional pois afeta significativamente o exercício de direitos como os direitos ao lazer, à cultura, à convivência familiar e comunitária, direitos e garantias fundamentais de crianças e adolescentes.

Determinações da Nota Técnica

Em sua conclusão a ANPD reafirma que em geral o tratamento de dados biométricos de torcedores, especialmente por meio de reconhecimento facial, envolve riscos elevados aos direitos fundamentais dos titulares e está em desconformidade com a LGPD em diversos elementos.

Para reconduzir os agentes à conformidade, aANPD aplica medida preventiva de solicitação de regularização para que os clubes adotem as seguintes medidas:

• Interrupção do tratamento de dados de menores de 16 anos;
  
• Realização e publicação de RIPDs do tratamento biométrico;
  
• Readequação das práticas de transparência;
  
• Reavaliação dos contratos com empresas terceirizadas;
  
• Revisão dos mecanismos de consentimento.
  

Por fim, a nota sugere o encaminhamento do documento aos clubes mencionados para ciência das irregularidades e consequente cumprimento das recomendações. 

Segurança pública, reconhecimento facial e dados biométricos 

O uso de reconhecimento facial na segurança pública tem sido amplamente debatido no Brasil devido aos riscos associados à sua implementação. Apesar das promessas de maior controle da população, especialmente de pessoas com mandados de prisão expedidos, os riscos associados a essa tecnologia são muito grandes para justificar sua adoção irrestrita. Pesquisas comprovam a existência de vieses raciais em algoritmos, de modo que pessoas não-brancas estão mais exposta a erros dessas tecnologias. Além disso, pessoas trans também são alvo de equívocos nos sistemas que, utilizados na segurança pública, podem significar a violação do direito de ir e vir, além de outras garantias constitucionais.

Segundo O Panóptico, em janeiro de 2025 havia 364 projetos que utilizam sistemas de reconhecimento facial ao redor do país, demonstrando que o discurso da vigilância massiva seduz o poder público. A expansão desses equipamentos não é acompanhada da devida transparência pública a respeito do tema, como justificativas das contratações, documentos técnicos, relatórios de impacto à proteção de dados e outros mecanismos que garantem o controle social dos contratos.

Se pensarmos na adoção dessas tecnologias em espaços de lazer, como estádios de futebol, a exposição constante de pessoas a riscos envolvendo erros dos sistemas pode trazer consequências individuais e coletivas. A expansão do reconhecimento facial também levanta preocupações sobre vigilância em massa e o enfraquecimento do Estado Democrático de Direito.

Trata-se de uma tecnologia controversa e que tem sido questionada por ativistas de direitos digitais. A campanha Tire Meu Rosto da Sua Mira defende o banimento total do reconhecimento facial na segurança pública brasileira, atuando em diversas frentes para limitar seu uso.

Na Nota Técnica em questão vimos que, não bastasse a controvérsia no uso da tecnologia, o uso de dados e a maneira como esse tipo de tratamento acontecia estava em desacordo com a LGPD. Com a expedição de medidas preventivas, espera-se que os clubes reconduzam tais atividades de tratamento à conformidade à LGPD, evitando riscos aos direitos de torcedores brasileiros. Ficaremos atentos a novas atualizações do caso. 

Para acompanhar mais sobre este e outros temas, acesse o Clube Data, a principal comunidade brasileira de privacidade, proteção de dados e regulação de novas tecnologias.