Achar pessoa pela foto: é legal?

Serviços de busca facial, como o BuscaX e o PimEyes, prometem mostrar onde uma foto de rosto aparece na internet: basta enviar a imagem e o sistema devolve páginas e perfis com rostos parecidos. “Achar pessoa pela foto” e “encontrar pessoa por foto” somam milhares de buscas por mês no Brasil. Usar o rosto de alguém para descobrir quem é e onde aparece é lícito? A resposta depende de quem usa, para quê e com qual base legal, porque o dado biométrico é dado pessoal sensível na Lei Geral de Proteção de Dados (LGPD).

resposta curta

O dado biométrico vinculado a uma pessoa é dado sensível e só pode ser tratado nas hipóteses do art. 11 da LGPD. A LGPD alcança o serviço de busca que atende pessoas no Brasil (art. 3º) e a empresa que usa a ferramenta, que devem assegurar a conformidade do tratamento dos dados.

atenção

Este texto trata do uso de dados biométricos por particulares e empresas. O reconhecimento facial feito para fins exclusivos de segurança pública tem regra própria na LGPD (art. 4º, III), explicada no artigo sobre o Smart Sampa. O artigo não avalia a conformidade de nenhum serviço específico.

Como funciona um app de busca por foto

O usuário envia a foto de um rosto e o sistema compara as características desse rosto com as dos rostos presentes nas imagens que reuniu da internet. As imagens são obtidas em sites de notícias, blogs, fóruns e, em alguns serviços, redes sociais. O aplicativo devolve as correspondências mais parecidas, com o link de origem. Para a LGPD, quase todas essas etapas são tratamento de dados pessoais: coleta, classificação, processamento, armazenamento e difusão (art. 5º, X).

Há dois grupos de pessoas envolvidos. O primeiro é quem usa o serviço. O segundo, mais numeroso, é formado por quem teve o rosto indexado sem saber e pode aparecer no resultado da busca de um desconhecido.

Por que o reconhecimento facial envolve dado sensível

A LGPD classifica como dado pessoal sensível o “dado genético ou biométrico, quando vinculado a uma pessoa natural” (art. 5º, II). O rosto usado para identificar alguém é dado biométrico. A ANPD, ao abrir a discussão sobre o tema, afirmou que esses dados são altamente sensíveis por sua natureza única e que, ao lado do ganho em segurança e prevenção a fraudes, o reconhecimento facial amplia riscos aos titulares, como os impactos de erros dos sistemas e os efeitos discriminatórios sobre grupos vulneráveis (Nota Técnica nº 17/2025/CON1/CGN/ANPD).

O dado sensível só pode ser tratado nas hipóteses do art. 11 da LGPD:

com consentimento do titular, dado de forma específica e destacada, para finalidades específicas (art. 11, I);
sem consentimento, só quando indispensável para: cumprir obrigação legal ou regulatória; execução de políticas públicas; estudos por órgão de pesquisa; exercício regular de direitos em contrato ou processo; proteção da vida ou da incolumidade física; tutela da saúde; ou prevenção à fraude e segurança do titular na identificação e autenticação de cadastro em sistemas eletrônicos (art. 11, II, a a g).

O legítimo interesse, base comum para dados pessoais em geral (art. 7º, IX), não aparece nessa lista, e não permite o tratamento de dados biométricos. A regra vale para qualquer tratamento que revele dados sensíveis e possa causar dano ao titular (art. 11, § 1º). Por isso, um serviço que identifica pessoas pelo rosto precisa demonstrar em qual dessas hipóteses se apoia em relação às pessoas que aparecem nos resultados, e não só em relação ao usuário que enviou a foto.

Foto pública na internet pode ser usada?

É o argumento mais comum desses serviços: as imagens já estavam públicas. A LGPD trata do tema, mas com limites:

o tratamento de dados de acesso público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização (art. 7º, § 3º);
o consentimento previsto no art. 7º é dispensado para dados tornados manifestamente públicos pelo próprio titular, resguardados seus direitos e os princípios da lei (art. 7º, § 4º);
o uso posterior desses dados para novas finalidades exige propósitos legítimos e específicos e a preservação dos direitos do titular (art. 7º, § 7º).

Quem publica uma foto numa rede social a disponibiliza para ser vista naquele contexto. Transformá-la em referência biométrica para que qualquer pessoa descubra quem ela é e onde mais aparece é uma finalidade nova, que precisa passar por esses filtros e, por envolver dado sensível, pelas hipóteses do art. 11. Valem também os princípios da finalidade, da adequação e da necessidade (art. 6º, I a III) e da transparência (art. 6º, VI): o titular deve ter informação clara sobre quem trata seus dados.

Quem usa e qual regra se aplica

Quem	Situação	Regra principal
Pessoa física, uso pessoal	Busca por curiosidade ou para conferir um perfil, sem fim econômico.	Fora da LGPD (art. 4º, I). Continua sujeita ao Código Civil (arts. 12, 20 e 21) e ao Código Penal (art. 147-A).
Serviço de busca facial	Indexa rostos e oferece a busca a pessoas no Brasil.	LGPD, mesmo com sede no exterior (art. 3º, II). Dado sensível: hipóteses do art. 11.
Empresa que usa a ferramenta	Checagem de candidatos, clientes, fornecedores ou empregados.	Controladora (art. 5º, VI). Art. 11, princípios do art. 6º, revisão de decisão automatizada (art. 20) e sanções do art. 52.
Órgão de segurança pública	Identificação para policiamento e investigação.	Exceção do art. 4º, III, com princípios e direitos do titular e lei específica (art. 4º, § 1º).

O uso pessoal está liberado?

A LGPD não se aplica ao tratamento feito por pessoa natural “para fins exclusivamente particulares e não econômicos” (art. 4º, I). Quem pesquisa um rosto por curiosidade não responde perante a ANPD por isso. Mas a exceção vale só para o usuário, desde que respeitada a legislação aplicável:

Constituição. A intimidade, a vida privada, a honra e a imagem são invioláveis, com direito a indenização por dano material ou moral (art. 5º, X). A proteção de dados pessoais é direito fundamental (art. 5º, LXXIX).
Código Civil. A vida privada é inviolável, e o juiz pode adotar as providências para impedir ou fazer cessar o ato contrário (art. 21). A publicação, a exposição ou a utilização da imagem de alguém pode ser proibida, sem prejuízo da indenização, se atingir a honra, a boa fama ou a respeitabilidade, ou se tiver fins comerciais (art. 20).
Código Penal. Perseguir alguém, reiteradamente e por qualquer meio, invadindo ou perturbando sua esfera de liberdade ou privacidade, é crime de perseguição, com pena de reclusão de 6 meses a 2 anos e multa (art. 147-A). Descobrir a identidade, o trabalho ou os perfis de alguém a partir de uma foto pode ser um passo dessa conduta.

Empresas: checar candidatos, clientes e empregados pelo rosto

A situação muda quando a busca é feita por uma empresa, por exemplo no recrutamento, na análise de clientes ou fornecedores, ou para conferir quem é um empregado fora do trabalho. Aqui não há fim exclusivamente particular: a empresa decide sobre o tratamento e passa a ser controladora (art. 5º, VI). Com isso:

precisa enquadrar o uso numa das hipóteses do art. 11, sem o legítimo interesse;
deve limitar o tratamento ao necessário para uma finalidade legítima e informada (art. 6º, I a III) e não pode usá-lo para fins discriminatórios ilícitos ou abusivos (art. 6º, IX), ponto sensível quando os sistemas erram mais com alguns grupos;
se a decisão for tomada só com base no resultado automatizado, o titular pode pedir a revisão (art. 20);
responde por dano causado em violação à legislação de proteção de dados (art. 42) e fica sujeita às sanções da ANPD, que incluem multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio, eliminação dos dados e proibição do tratamento (art. 52, II, V, VI e XII). Veja como funcionam as sanções da ANPD.

Para documentar os riscos e as medidas antes do uso, o instrumento é o relatório de impacto à proteção de dados. A ferramenta também deve constar da política de uso de inteligência artificial da empresa, com o que é permitido, quem aprova e o que fica proibido. O mesmo raciocínio vale para a biometria na portaria, tratada no artigo sobre LGPD em condomínios.

O que a ANPD está fazendo sobre biometria

Em 2024, a ANPD publicou o estudo “Biometria e reconhecimento facial”, da série Radar Tecnológico. Depois, incluiu “Dados Pessoais Sensíveis – Dados Biométricos” como item 5 da Agenda Regulatória do biênio 2025-2026 (Resolução CD/ANPD nº 23/2024) e abriu tomada de subsídios sobre o tema (Nota Técnica nº 17/2025/CON1/CGN/ANPD). Segundo a nota, as diretrizes devem dar mais clareza sobre contextos legítimos de uso, hipóteses legais, princípios e medidas a adotar pelos agentes de tratamento. Para empresas que já usam reconhecimento facial, vale acompanhar o resultado e revisar os processos quando houver regulamento ou guia.

A ANPD também já agiu num caso concreto de biometria. Em processo de fiscalização sobre a coleta de imagens da íris para criar uma identidade digital, a autoridade determinou, como medida preventiva, a suspensão de qualquer compensação financeira pela coleta no Brasil, por entender que o pagamento pode comprometer a livre manifestação de vontade de quem consente. Em março de 2025, o Conselho Diretor manteve a medida, recusou a troca da base legal do consentimento para a prevenção à fraude (art. 11, II, g) sem mudança real nas circunstâncias do tratamento e fixou multa diária de R$ 50 mil em caso de descumprimento (Processo nº 00261.006742/2024-53).

O que dizem as decisões sobre biometria e reconhecimento facial

ANPD, decisão administrativaProcesso nº 00261.006742/2024-53, Conselho Diretor, Voto nº 11/2025/DIR-IM/CD, 24/03/2025 (votos no portal da ANPD)

Manteve a suspensão da compensação financeira pela coleta de imagens da íris, dado pessoal sensível, e considerou inadmissível trocar a base legal do consentimento por outra sem mudança genuína nas circunstâncias do tratamento. Multa diária de R$ 50 mil em caso de descumprimento.

Tribunal de Justiça de São Paulo, decisão de câmaraApelação nº 1090663-42.2018.8.26.0100, 8ª Câmara de Direito Público, Rel. Des. Antonio Celso Faria, j. 10/05/2023 (consulta de jurisprudência do TJSP)

Em ação civil pública, a concessionária de uma linha de metrô de São Paulo captava, sem prévia autorização, imagens dos passageiros por portas interativas dos trens, para detectar características dos usuários com fins publicitários e comerciais. O tribunal manteve a condenação, reconheceu dano moral coletivo e elevou a indenização para R$ 500 mil. Os embargos de declaração foram rejeitados em 29/11/2023.

Decisões das turmas do STJAREsp 2.130.619/SP, Segunda Turma, Rel. Min. Francisco Falcão, j. 07/03/2023 (Informativo 766 do STJ)

O vazamento de dados pessoais comuns não gera dano moral presumido. O acórdão distingue esses dados dos sensíveis, definidos no art. 5º, II, da LGPD, que dizem respeito à intimidade da pessoa e exigem tratamento diferenciado.

Decisões das turmas do STJREsp 2.121.904/SP, Terceira Turma, Rel. Min. Nancy Andrighi, j. 11/02/2025 (ementa no portal do STJ)

O vazamento de dados sensíveis fornecidos em contrato de seguro de vida gera dano moral presumido e responsabilidade objetiva da seguradora.

Lidas em conjunto, as decisões apontam na direção de que dado biométrico é sensível, a coleta sem autorização válida gera responsabilidade e, quando o dado sensível é exposto, o dano tende a ser presumido.

O que fazer

Se você encontrou seu rosto num serviço de busca facial

Guarde a prova. Capturas de tela com data, endereço da página e o resultado em que você aparece.
Peça a eliminação ao serviço. O titular pode exigir do controlador a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD (art. 18, IV). Procure o canal do encarregado ou de privacidade indicado pelo serviço.
Leve à ANPD. Sem resposta adequada, o titular pode peticionar contra o controlador perante a ANPD (art. 18, § 1º).
Peça a remoção também na origem. A busca aponta para a página onde a foto está. Os pedidos à rede social ou ao site de origem correm em paralelo.
Avalie a via judicial. O juiz pode determinar que a lesão cesse, com perdas e danos (Código Civil, arts. 12 e 21). Se a busca fizer parte de uma perseguição, registre ocorrência: o crime depende de representação da vítima (Código Penal, art. 147-A, § 3º).

Se a sua empresa pensa em usar reconhecimento facial

Defina a finalidade. Para que serve, que decisão apoia e por que não há meio menos invasivo (LGPD, art. 6º, I a III).
Indique a hipótese legal do art. 11. Por escrito, antes de começar. Se a base for o consentimento, ele deve ser específico e destacado.
Faça o RIPD. Riscos de erro, de discriminação e de vazamento, com as medidas de mitigação.
Mantenha revisão humana. Nenhuma decisão sobre candidato, cliente ou empregado só com base no resultado automatizado (art. 20).
Proteja e descarte. Medidas de segurança (art. 46), prazo de guarda curto e plano para incidentes de segurança.
Atualize a política interna e o aviso de privacidade. Com o papel do encarregado e o canal para os titulares.

Perguntas frequentes

Procurar uma pessoa pela foto pode ser crime?

Depende do uso. Perseguir alguém de forma reiterada, por qualquer meio, invadindo ou perturbando sua esfera de liberdade ou privacidade é crime de perseguição, com pena de reclusão de 6 meses a 2 anos e multa (Código Penal, art. 147-A). A ação depende de representação da vítima (art. 147-A, § 3º). Na esfera civil, a vida privada é inviolável e a lesão a direito da personalidade gera indenização (Código Civil, arts. 12 e 21).

A LGPD vale para quem usa o app só por curiosidade?

A LGPD não se aplica ao tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos (art. 4º, I). Essa exceção protege o uso pessoal, não o serviço: a empresa que oferece a busca facial a pessoas no Brasil está sujeita à LGPD, mesmo com sede ou servidores no exterior (art. 3º, II).

Foto pública na internet pode ser usada para reconhecimento facial?

O fato de a foto estar acessível não libera qualquer uso. O tratamento de dados de acesso público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização, e o uso para nova finalidade exige propósito legítimo e específico (LGPD, art. 7º, §§ 3º e 7º). Quando a foto é usada para identificar a pessoa pelo rosto, o dado biométrico é sensível e o tratamento segue as hipóteses do art. 11.

A empresa pode usar busca facial para checar candidatos ou clientes?

Ao fazer isso, a empresa passa a ser controladora de dados sensíveis e precisa de uma das hipóteses do art. 11 da LGPD, que não inclui o legítimo interesse. Também deve respeitar finalidade, necessidade e não discriminação (art. 6º, I, III e IX) e permitir a revisão de decisões tomadas só por tratamento automatizado (art. 20). A infração sujeita a empresa às sanções da ANPD, inclusive multa (art. 52).

Como pedir que um site de busca facial pare de mostrar meu rosto?

O titular pode pedir ao controlador a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD (art. 18, IV) e, sem resposta, peticionar contra ele na ANPD (art. 18, § 1º). Também pode pedir ao juiz as providências para fazer cessar a lesão à vida privada e reclamar perdas e danos (Código Civil, arts. 12 e 21).