Prezados,
é lícito fornecer registro eletrônico de ponto biométrico de servidores de um setor (sem individualização) por via de solicitação da LIC?
Não viola a segurança e a privacidade?
Atenciosamente
Victor Hugo Domingues
Secretário de Controle de Balneário Camboriú
Oi Victor, acho que isso pode gerar controvérsias, mas na minha opinião não vejo como uma violação a segurança ou privacidade. Entendo que como funcionário público, sendo pago pela sociedade, minha folha de ponto deve refletir o meu salário. Eu não me importaria que meu controle de ponto fosse disponibilizado, pois atuar como servidor “público” não é algo privado. Além disso, a nossa segurança está sempre em xeque: se alguém nos seguir, saberá nossa rotina de qualquer jeito.
Mas é claro que podem haver opiniões diferentes.
Oi, Victor. Você está se referindo a Lei de Acesso à informação (LAI)?
De qualquer forma, a Ouvidoria-Geral da União já se manifestou a favor ds publicidade do registro de ponto dos servidores, mesmo que individualizada. Basicamente, pelos motivos que @MSCruz explicitou acima. #Tmj WC
1 curtida
Para a Lei Geral de Proteção de Dados (LGPD) Lei 13.709, de 14 de agosto de 2018, o dado biométrico é um dado pessoal sensível e o artigo 11 traz as situações na qual o “tratamento de dados pessoais sensíveis” é permitido e, para este tipo específico, o “processamento” deveria ocorrer apenas mediante “consentimento do titular”, mas há exceção para o ponto eletrônico por biometria:
Art. 11. g, § 2º Nos casos de aplicação do disposto nas alíneas “a” e “b” do inciso II do caput deste artigo pelos órgãos e pelas entidades públicas, será dada publicidade à referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei, e lá no Art. 11, II, está escrito:
I - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
Agora vamos analisar o Art. 23:
Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação) , deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, desde que:
I - sejam informadas as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos;
Bem, até aqui temos o entendimento do direito de utilização de dado biométrico. No entanto, não se pode esquecer que dado biométrico é efetivamente um “dado pessoal sensível” e por essa razão exige cuidados. Que cuidados são esses?
O art. 6 diz o seguinte:
Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
[…]
E esse é o ponto onde eu queria chegar e alertar: Existe em algum processo de licitação o devido cuidado para que a contratação com empresas que processarão dados biométricos de servidores para fins de ponto eletrônico, por exemplo, não coletem esses dados biométricos de forma a posterior utilização incompatível?
E que utilização incompatível poderia ser essa?
Aqui uma informação pouco conhecida: Sistemas de coleta de dados biométricos não deveriam coletar a imagem biométrica, mas guardar apenas o “hash” (resumo) matemático, chamado de “template” para futura comparação com o dado biométrico original/real de seu portador.
Explico melhor:
A leitura biométrica, por exemplo, da impressão digital, deve fazer uma aproximação estatística do padrão lido ao vivo, com o padrão (template) anteriormente armazenado e jamais realizar a comparação da imagem lida com outra imagem real guardada sobre seu dado biométrico. Se as empresas coletarem nossos dados biométricos na forma original, isso permitiria a construção de modelos para reproduzir esse dado biométrico, por exemplo, na construção de falsas identidades biométricas:
“[…]
Talvez o problema mais sério com a identificação biométrica seja a natureza insubstituível das características físicas. Isso pode ser pensado como o lado sombrio do não-repudio. Se um cartão de identificação vinculado a um PIN for perdido, o cartão perdido ou roubado podem ser cancelados e novos cartões emitidos para o usuário original. Feito isso, o usuário original pode repudiar quaisquer outras transações feitas com a identidade roubada. No entanto, se um falsificador conseguir duplicar um ID biométrico, como um baseado em impressões digitais, não será possível cancelar as impressões esquecidas e emitir novas. O não-repúdio pode então se tornar uma maldição vitalícia. Os indivíduos não podem substituir suas impressões digitais. […]”
Ou seja, é necessário o devido cuidado contratual com os futuros processadores de dados biométricos para que sejam guardados apenas os dados biométricos (template) e não o dado original!
Voltando a LGPD em seu art 6.:
Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
[…]
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
[…]
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
[…]"
Alguém já tinha parado para pensar sobre isso?
Abraço a todos,
JB
Certified Biometrics Professional
Certified Privacy and Data Protection
@jb_moura, pelo que eu entendi, o objeto da LAI é à frequência dos servidores, não seu padrão biométrico. E a informação de frequência, com raras exceções (Oficiais de Inteligência, por exemplo) é pública.
Isso, errei, quis me referir à LAI
ótimos apontamentos, muito obrigado!