LGPD em condomínios: câmeras e biometria

Todo condomínio trata dados pessoais: cadastro de moradores e veículos, registro de visitantes e prestadores, imagens das câmeras, biometria ou reconhecimento facial na portaria, dados de funcionários e informações de inadimplência. A Lei Geral de Proteção de Dados (LGPD) se aplica a tudo isso. A boa notícia para o síndico é que a ANPD criou um regime simplificado que alcança os condomínios, desde que o tratamento não seja de alto risco.

resposta curta

A LGPD se aplica ao condomínio, que pode se enquadrar como agente de tratamento de pequeno porte: o regulamento da ANPD inclui os entes privados despersonalizados (Resolução CD/ANPD nº 2/2022, art. 2º, I). Com isso, não é obrigado a ter encarregado, mas precisa de um canal para o atendimento dos titulares (art. 11), e tem prazos em dobro (art. 14). A biometria é dado sensível e exige base legal própria (LGPD, arts. 5º, II, e 11).

atenção

A convenção, o regimento interno e as deliberações da assembleia definem as regras de acesso, imagens e uso das áreas comuns. As medidas de proteção de dados devem ser compatíveis com esses documentos.

Quem é quem: condomínio, síndico e administradora

Na LGPD, controlador é quem toma as decisões sobre o tratamento de dados, e operador é quem trata dados em nome do controlador (art. 5º, VI e VII). No condomínio, as decisões cabem aos seus órgãos, como a assembleia e o síndico, que representa o condomínio (Código Civil, art. 1.348, II). A administradora e as empresas de portaria e segurança, quando tratam dados em nome do condomínio, atuam como operadoras, e o contrato com elas deve tratar disso.

O condomínio como agente de pequeno porte

O Regulamento da ANPD para agentes de tratamento de pequeno porte inclui, além de micro e pequenas empresas, as pessoas naturais e os entes privados despersonalizados que atuam como controladores ou operadores (Resolução CD/ANPD nº 2/2022, art. 2º, I). O STJ trata o condomínio como ente despersonalizado (REsp 1.736.593/SP, Terceira Turma, julgado em 11/02/2020). Enquadrado, o condomínio:

não é obrigado a indicar encarregado, mas deve manter um canal de comunicação com os titulares; indicar um encarregado conta como boa prática (art. 11);
pode manter o registro das operações de tratamento de forma simplificada (art. 9º; LGPD, art. 37);
pode adotar uma política simplificada de segurança da informação (art. 13);
tem prazo em dobro para atender pedidos dos titulares e para comunicar incidentes, salvo quando houver risco à integridade física ou moral dos titulares (art. 14).

O regime simplificado não vale para quem realiza tratamento de alto risco (art. 3º, I). É de alto risco o tratamento que reúne um critério geral (larga escala ou possibilidade de afetar significativamente direitos) e um específico, como o uso de dados sensíveis, de crianças, adolescentes ou idosos, ou de tecnologias emergentes (art. 4º). Grandes condomínios com biometria ou reconhecimento facial devem fazer essa avaliação. A dispensa também não isenta o condomínio das bases legais, dos princípios e dos direitos dos titulares (art. 6º), e a ANPD pode exigir as obrigações dispensadas conforme o risco (art. 16).

Câmeras de segurança

A imagem de uma pessoa identificável é dado pessoal (LGPD, art. 5º, I). O uso de câmeras para a segurança do condomínio pode se apoiar no legítimo interesse do controlador, que não prevalece quando os direitos e liberdades fundamentais do titular exigem a proteção dos dados (art. 7º, IX). Os princípios da finalidade e da necessidade orientam o uso (art. 6º, I e III):

câmeras voltadas às áreas comuns e de acesso, com aviso de que o local é monitorado;
acesso às gravações restrito a quem precisa, com registro de quem acessou;
prazo definido de guarda das imagens;
entrega de imagens apenas para a finalidade de segurança ou para o exercício de direitos, como em processo judicial ou administrativo (art. 7º, VI).

Biometria e reconhecimento facial

Dado biométrico é dado pessoal sensível (art. 5º, II). Sem consentimento, só pode ser tratado quando indispensável, entre outras hipóteses, para a prevenção à fraude e à segurança do titular em processos de identificação e autenticação, salvo se prevalecerem os direitos e liberdades fundamentais do titular (art. 11, II, g). Na prática, o condomínio precisa:

justificar por que a biometria é necessária para a finalidade de controle de acesso;
proteger os dados biométricos com medidas de segurança adequadas (art. 46);
exigir do fornecedor do sistema, por contrato, segurança, sigilo e eliminação dos dados ao fim do contrato;
avaliar se, com a biometria, o tratamento passou a ser de alto risco.

Inadimplentes, cadastros e grupos de mensagens

A informação sobre débitos é necessária para a cobrança e para a prestação de contas, mas a forma importa. O STJ considerou que medida com o propósito de expor ostensivamente a condição de inadimplência do condômino ofende a dignidade humana (REsp 1.564.030/MG, Terceira Turma, julgado em 09/08/2016). A LGPD reforça o limite: o tratamento deve se restringir ao mínimo necessário para a finalidade (art. 6º, III). Listas afixadas em áreas comuns ou enviadas a grupos de mensagens dificilmente se justificam por esse critério. Veja o que o condomínio pode e não pode fazer com o inadimplente.

Vazamento de dados dos moradores

Se o cadastro de moradores, a biometria ou as imagens vazarem, o condomínio deve avaliar o incidente pelos critérios da ANPD e, se for o caso, comunicá-lo à ANPD e aos moradores em 3 dias úteis, prazo contado em dobro para agentes de pequeno porte (Resolução CD/ANPD nº 15/2024, arts. 5º, 6º e 9º). Todo incidente deve ser registrado (art. 10). Os detalhes estão no artigo sobre vazamento de dados.

Checklist do síndico

Mapeie os dados: moradores, veículos, visitantes, prestadores, funcionários, imagens, biometria.
Defina a base legal e a finalidade de cada tratamento.
Avalie o risco: biometria, reconhecimento facial e grandes volumes pedem atenção especial.
Crie um canal para os titulares ou indique um encarregado.
Revise os contratos com administradora, portaria, segurança e fornecedores de sistemas.
Defina regras de acesso e guarda de imagens e cadastros, e leve à assembleia o que depender dela.
Tenha um plano para incidentes, com responsável e registro.

Perguntas frequentes

A LGPD se aplica ao condomínio?

Sim. O condomínio trata dados pessoais de moradores, visitantes, prestadores e funcionários, e decide como esses dados são usados. O regulamento da ANPD para agentes de pequeno porte inclui expressamente os entes privados despersonalizados que atuam como controladores (Resolução CD/ANPD nº 2/2022, art. 2º, I), e o STJ trata o condomínio como ente despersonalizado (REsp 1.736.593/SP).

O condomínio precisa ter encarregado de dados (DPO)?

O agente de tratamento de pequeno porte não é obrigado a indicar encarregado, mas deve manter um canal de comunicação com os titulares (Resolução CD/ANPD nº 2/2022, art. 11). Indicar um encarregado conta como boa prática. A dispensa não vale se o tratamento for de alto risco (art. 3º, I).

O condomínio pode usar biometria na portaria?

A biometria é dado pessoal sensível (LGPD, art. 5º, II). A LGPD admite o tratamento sem consentimento quando indispensável para a prevenção à fraude e à segurança do titular em processos de identificação e autenticação, salvo se prevalecerem os direitos e liberdades do titular (art. 11, II, g). É preciso respeitar finalidade e necessidade (art. 6º) e avaliar se o tratamento é de alto risco.

O condomínio pode divulgar a lista de inadimplentes?

A informação sobre débitos é necessária para a cobrança e a prestação de contas, mas medidas com o propósito de expor ostensivamente a inadimplência do condômino ofendem a dignidade, segundo o STJ (REsp 1.564.030/MG). A LGPD exige que o tratamento se limite ao necessário para a finalidade (art. 6º, III).

E se houver vazamento de dados dos moradores?

Se o incidente puder afetar significativamente os titulares e envolver, por exemplo, dados sensíveis como biometria, dados de crianças ou idosos, dados financeiros ou senhas, o condomínio deve comunicá-lo à ANPD e aos moradores. O prazo é de 3 dias úteis, contado em dobro para agentes de pequeno porte (Resolução CD/ANPD nº 15/2024, arts. 5º, 6º e 9º).