Sua empresa usa ponto ou biometria? Veja como a LGPD se aplica, quais obrigações sua empresa deve cumprir e como evitar riscos trabalhistas.
Muita empresa já digitalizou o registro de jornada — app, biometria, reconhecimento facial — mas ainda não revisou a forma como trata esses dados à luz da Lei Geral de Proteção de Dados (Lei 13.709/2018). A boa notícia é que a LGPD não proíbe nenhuma dessas tecnologias. O que ela exige é intencionalidade: saber por que cada dado é coletado, documentar a base legal, proteger a informação e respeitar o ciclo de vida completo, do cadastro ao descarte.
Para PMEs, o desafio é duplo: cumprir a obrigação trabalhista de registrar jornada (CLT, art. 74, §2º) e respeitar os princípios de proteção de dados pessoais. Este guia reúne a base legal, as obrigações práticas, os riscos reais de penalidade e um checklist de adequação para que sua empresa trate dados de ponto com segurança.
O controle de ponto coleta dados pessoais dos empregados — e isso, por definição, ativa as obrigações da LGPD. E, segundo essa lei, todo tratamento de dado pessoal no Brasil precisa de uma base legal, e no contexto do registro de jornada a principal é clara: cumprimento de obrigação legal, prevista no art. 7º, inciso II.
A CLT impõe às empresas com mais de 20 trabalhadores a obrigação de anotar horários de entrada e saída (art. 74, §2º). Isso significa que a empresa não precisa pedir autorização ao empregado para registrar o ponto — a lei trabalhista já exige que o faça. A base legal está configurada antes mesmo de o empregado entrar pela porta.
Para dados pessoais comuns — nome, CPF, matrícula, horários — outras duas bases também são aplicáveis: a execução do contrato de trabalho (art. 7º, V), já que jornada é elemento essencial para calcular horas extras e descanso semanal remunerado (DSR); e o legítimo interesse do empregador (art. 7º, IX), que exige um teste de proporcionalidade.
A situação muda quando a empresa usa biometria, como veremos mais abaixo.
Nem todo dado coletado no ponto recebe o mesmo tratamento jurídico. A Lei Geral de Proteção de Dados Pessoais (LGPD) distingue duas categorias — dados pessoais comuns e dados pessoais sensíveis — e essa diferença impacta diretamente as bases legais que podem justificar o tratamento, as medidas de segurança exigidas e o nível de risco para a empresa.
No contexto do controle de ponto, incluem informações como nome e CPF do empregado, matrícula, horários registrados, geolocalização no momento da marcação e endereço IP.
Para esse tipo de dado, o art. 7º da LGPD prevê dez bases legais que autorizam o tratamento, como cumprimento de obrigação legal, execução de contrato e legítimo interesse do controlador.
Em termos práticos, isso significa que a empresa possui mais alternativas jurídicas para justificar o uso desses dados, o que torna o regime de tratamento relativamente mais flexível.
Nesse contexto, a principal categoria é a de dados biométricos utilizados para identificação — como impressão digital, reconhecimento facial, leitura de íris ou reconhecimento de voz.
A LGPD define como dado pessoal sensível aquele sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados referentes à saúde ou à vida sexual, além de dado genético ou biométrico quando vinculado à identificação de uma pessoa (art. 5º, II).
Na prática, isso significa que dados biométricos utilizados para identificação — como impressão digital ou reconhecimento facial — são tratados como dados pessoais sensíveis pela LGPD, estando sujeitos ao regime mais restritivo previsto no art. 11.
Diferentemente do que ocorre com dados pessoais comuns, bases como legítimo interesse e execução de contrato não podem ser utilizadas de forma autônoma para justificar o tratamento de dados sensíveis.
A proteção reforçada existe por razões objetivas: dados biométricos são permanentes (não podem ser trocados como uma senha), possuem alto poder de identificação e, se vazarem, o dano tende a ser irreversível. Um empregado cujos dados de ponto convencionais vazem enfrenta um inconveniente sério; aquele cujos templates biométricos sejam expostos pode enfrentar riscos de uso indevido de sua identidade por toda a vida.
Esse é um dos pontos mais mal compreendidos — e onde muitas empresas erram.
A intuição natural é simples: “se vou coletar dados tão sensíveis, devo pedir autorização ao empregado”. A Lei Geral de Proteção de Dados Pessoais, porém, exige que o consentimento seja livre, informado e inequívoco (art. 5º, XII). Na relação de emprego, a subordinação jurídica típica do vínculo trabalhista coloca em dúvida essa liberdade: na prática, o empregado pode sentir que não tem espaço real para recusar. Por isso, na maioria dos casos, o consentimento é considerado uma base frágil ou inadequada para legitimar o tratamento de dados no contexto laboral, devendo ser evitado quando houver outras bases legais mais apropriadas.
No caso do ponto biométrico, a lei oferece fundamentos mais sólidos.
As bases mais frequentemente utilizadas são:
Na prática, a empresa deve documentar claramente qual dessas bases legais fundamenta o tratamento, bem como demonstrar por que ela se aplica ao seu contexto específico.
A Portaria MTP nº 671/2021 (em vigor desde fevereiro de 2022) é a principal norma que regulamenta o controle de ponto eletrônico no Brasil. Ela criou três modalidades de Registrador Eletrônico de Ponto:
O ponto crucial está no art. 101 da Portaria 671, que é explícito: "o empregador e as empresas envolvidas no tratamento dos dados devem observar as disposições da LGPD". Ou seja, qualquer sistema de ponto eletrônico está submetido à lei de proteção de dados, independentemente do tipo de REP.
A tensão entre as duas normas aparece na questão da retenção. A Portaria exige disponibilidade dos registros para fiscalização; a LGPD exige minimização e descarte. A solução está no próprio art. 16, I da LGPD, que autoriza a conservação de dados para cumprimento de obrigação legal. A prática recomendada é:
| Tipo de dado | Prazo recomendado |
|---|---|
| Registros de jornada (AFD, AEJ, Espelho) | 5 a 7 anos (prescrição trabalhista + 2 anos pós-rescisão) |
| Dados previdenciários | Até 10 anos (Decreto 3.048/99, art. 225) |
| Templates biométricos | Eliminar após desligamento, cessada necessidade probatória |
Quanto ao eSocial, os dados transmitidos não são marcações brutas de ponto — são valores processados como horas extras, adicionais noturnos e DSR, que alimentam eventos como S-1200 e S-2230. A base legal para esse compartilhamento é o cumprimento de obrigação legal.
Dispor de base legal não significa dispor de conformidade. Mesmo quando a base é a obrigação trabalhista, a empresa deve cumprir um conjunto de exigências práticas.
O empregado tem direito a saber quais dados são coletados, com qual finalidade, por quanto tempo serão retidos e com quem serão compartilhados. O aviso de privacidade deve cobrir todos esses pontos e pode ser incluído no contrato de trabalho ou em aditivo específico. Para dados biométricos, recomenda-se um aviso mais detalhado, descrevendo inclusive as medidas de segurança adotadas.
O art. 37 da LGPD exige que o controlador (a empresa) mantenha registro das atividades de tratamento. No contexto do ponto, a atividade "Controle de jornada" deve ser documentada com: categorias de dados coletados, finalidades, bases legais, compartilhamentos, prazos de retenção e medidas de segurança. Diferentemente do GDPR europeu, a LGPD não dispensa empresas menores dessa obrigação.
Para empresas que usam biometria, o RIPD deve ser elaborado antes da implementação. A Resolução ANPD nº 2/2022 classifica como "alto risco" o tratamento em larga escala de dados sensíveis — e uma empresa com dezenas ou centenas de empregados registrando ponto biométrico claramente atende esse critério. O relatório deve documentar: a justificativa para uso da biometria (por que alternativas como crachá ou PIN não são suficientes), o fluxo completo dos dados, os riscos identificados e as medidas de mitigação adotadas.
Os empregados têm direitos garantidos pela LGPD: acesso aos próprios dados, correção de informações incorretas, informação sobre compartilhamentos e eliminação dos dados quando cessada a necessidade legal. A empresa deve garantir um canal de resposta em até 15 dias (art. 19, II). PMEs classificadas como agentes de pequeno porte pela Resolução ANPD nº 2/2022 podem ser dispensadas da nomeação formal de DPO, mas o canal de atendimento é exigível para todos.
O fornecedor do sistema de ponto é um operador de dados nos termos da LGPD — e a empresa (controladora) responde solidariamente por falhas dele (art. 42). O contrato com o fornecedor deve prever: obrigações de segurança, proibição de uso dos dados para outras finalidades, comunicação imediata de incidentes e possibilidade de auditoria. Exigir certificações como ISO 27001 é uma prática recomendável.
Em junho de 2024, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o Radar Tecnológico nº 2 — Biometria e Reconhecimento Facial, analisando aplicações, riscos e vieses dessa tecnologia. O documento destaca que sistemas de reconhecimento facial podem apresentar taxas de erro mais elevadas para determinados grupos populacionais, e que o vazamento de templates biométricos pode gerar roubo de identidade e danos morais e materiais irreversíveis.
Em junho de 2025, a ANPD abriu Tomada de Subsídios sobre Dados Biométricos — prevista na Agenda Regulatória 2025-2026 — para colher contribuições da sociedade sobre regulamentação específica. Assim, uma regulamentação específica está a caminho e empresas que já adotam boas práticas estarão mais preparadas quando as novas regras entrarem em vigor.
Um ponto técnico importante e que merece ser ressaltado: sistemas de biometria nunca devem armazenar imagens brutas — fotos faciais completas ou impressões digitais integrais. O correto é converter a biometria em templates criptografados (hashes) irreversíveis que não permitem reconstrução da imagem original.
O art. 52 da LGPD prevê um escalonamento de sanções: advertência, multa simples de até 2% do faturamento anual (limitada a R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação dos dados e, no limite, proibição total da atividade de tratamento.
Na prática, o risco mais imediato para PMEs não vem da ANPD — cuja atuação sancionatória ainda está em desenvolvimento — mas da Justiça do Trabalho. Ações individuais pedindo dano moral com fundamento na LGPD se tornam cada vez mais frequentes. Sindicatos e o Ministério Público do Trabalho também podem ajuizar ações civis públicas por violações coletivas. E o art. 42 da LGPD é claro: a empresa e o fornecedor do sistema de ponto respondem solidariamente por danos causados aos empregados.
Em caso de incidente de segurança com dados de jornada ou biométricos, a empresa tem 3 dias úteis para comunicar a ANPD (Resolução CD/ANPD nº 15/2024) e deve notificar os empregados afetados se houver risco relevante.
Abaixo fizemos um checklist de adequação da LGPD para o controle de ponto para ajudar a sua empresa a seguir todas as determinações legais e infralegais que tratam do tema.
Por fim, elencamos aqui alguns perguntas frequentes sobre o assunto, com as respectivas respostas.
Não. O controle de jornada é obrigação legal imposta pela CLT (art. 74, §2º), o que configura a base legal do art. 7º, II da LGPD. O empregado deve ser informado sobre como seus dados são tratados, mas não precisa autorizar a coleta.
Não. A biometria é permitida sob as bases do art. 11, II, "a" (obrigação legal) e "g" (prevenção à fraude em sistemas de identificação). A empresa deve adotar medidas de segurança proporcionais ao risco e documentar a justificativa para escolha dessa tecnologia.
O mínimo recomendado é de 5 anos (prescrição trabalhista), sendo prudente manter por 7 anos — incluindo os 2 anos após a rescisão para eventual ajuizamento de ação trabalhista. Dados previdenciários têm prazo próprio de 10 anos. Templates biométricos devem ser eliminados após o desligamento, cessada a necessidade probatória.
Pode solicitar, mas a empresa pode recusar enquanto houver obrigação legal de retenção (art. 16, I da LGPD). Após o prazo prescricional, os dados devem ser eliminados ou anonimizados.
PMEs classificadas como agentes de pequeno porte (Resolução ANPD nº 2/2022) podem ser dispensadas da nomeação formal de DPO. No entanto, devem manter canal de comunicação com titulares. Empresas que usam biometria devem ao menos designar um responsável interno pela proteção de dados.
Sim, desde que haja base legal para o compartilhamento (execução de contrato ou legítimo interesse) e contrato escrito com a empresa de contabilidade prevendo obrigações de segurança e confidencialidade. O compartilhamento com o eSocial tem base em obrigação legal.
Comunicar a ANPD em 3 dias úteis (Resolução CD/ANPD nº 15/2024) e notificar os empregados afetados se houver risco relevante. Acionar o plano de resposta a incidentes e preservar evidências para análise forense. Considerar consulta jurídica imediata, pois a responsabilidade é solidária entre empresa e fornecedor do sistema.
Se a base legal é obrigação legal, a recusa injustificada pode configurar insubordinação. Boa prática: oferecer alternativa a quem demonstre objeção fundamentada, como condição de saúde que impeça leitura biométrica.
A LGPD e o controle de ponto não são antagonistas — eles se complementam quando a empresa age com responsabilidade sobre os dados que coleta. O registro de jornada tem base legal clara, inclusive para biometria; o que a lei exige é que essa base seja documentada, que os empregados sejam informados, que os dados sejam protegidos com medidas técnicas adequadas e que o ciclo de vida da informação seja respeitado até o descarte.
Para PMEs, o caminho mais prático começa pelo mapeamento dos dados, passa pela revisão dos contratos com fornecedores de ponto eletrônico e chega ao treinamento das equipes de RH e DP. A regulamentação específica de biometria pela ANPD — prevista na Agenda 2025-2026 — deve trazer mais clareza nos próximos meses. Empresas que já estiverem estruturadas sairão na frente.
A mywork foi desenvolvida em conformidade com a Portaria 671/2021 e com os requisitos da LGPD — segurança de dados, criptografia de ponta a ponta e controle granular de acessos fazem parte da arquitetura do sistema, não são adicionais. Se você quer entender como isso funciona na prática para a sua empresa, fale com nosso time.
Atualizado em março de 2026. Este conteúdo tem caráter informativo e não substitui consultoria jurídica especializada.
Descubra como a integração da folha de pagamento com a contabilidade impulsiona a eficiência operacional da sua empresa! Vem com a mywork!
Precisa emitir Declaração de Comparecimento na sua empresa? Acesse mywork e conheça as soluções de controle de ponto. Saiba mais!
Descubra como o orçamento empresarial pode impulsionar sua empresa e proteger seus negócios! Clique aqui e venha aprender com a mywork!