Ponto com reconhecimento facial: Segurança contra fraude sem descuidar da LGPD

Para que serve o reconhecimento facial no ponto:

Todo método de registro tem um ponto fraco. O crachá passa de mão em mão, a senha é emprestada, o PIN é anotado num papel. O reconhecimento facial existe para responder uma pergunta que os outros métodos não respondem: Quem estava na frente do aparelho na hora da batida era mesmo a pessoa registrada?

Ele é útil sobretudo em três situações: Equipe grande que entra no mesmo horário, onde ninguém confere quem bateu; turno noturno ou fim de semana, com pouca supervisão; e empresa que já teve problema com batida de favor e precisa de prova.

O que ele não faz é dispensar o controle humano. O sistema confirma uma identidade com uma margem de erro, e o desenho certo é o que trata a dúvida com transparência, em vez de fingir certeza.

Como o reconhecimento facial funciona, sem mistério:

O sistema não guarda uma fotografia para comparar com outra. No cadastro, o rosto é transformado num descritor, uma lista de 128 números que representa as proporções do rosto. Na batida, a câmera gera um descritor novo e o sistema mede a distância entre os dois. Distância pequena é a mesma pessoa; distância grande, não.

Há dois modos de uso, com riscos diferentes:

• Verificação, um para um: A pessoa já entrou com a própria conta e o rosto confirma que é ela. Funciona como um segundo fator.
• Identificação, um para muitos: Num quiosque na entrada, o rosto é comparado com todos os cadastros da empresa para descobrir quem é. É mais prático e exige mais cuidado com a semelhança entre duas pessoas.

O TexPonto usa os dois. O descritor é calculado no próprio aparelho, e só os números seguem para o servidor da plataforma, que faz a comparação. A imagem da câmera não é enviada para isso, e nenhum dado biométrico vai para serviço de terceiros.

O que a LGPD exige do ponto com reconhecimento facial:

O artigo 5º, II, da LGPD classifica o dado biométrico como dado pessoal sensível, e o artigo 11 limita as hipóteses em que ele pode ser tratado. Para o ponto, a empresa empregadora é a controladora do dado e precisa ter as respostas para quatro perguntas antes de ligar o recurso:

1. Finalidade: Para que o rosto é usado. No ponto, comprovar a jornada, impedindo que outra pessoa registre em nome do titular.
2. Base legal: A prevenção à fraude e o cumprimento da obrigação de controlar a jornada estão entre as hipóteses do artigo 11. A empresa decide e documenta a sua.
3. Transparência: A pessoa precisa ser informada de que o dado é coletado, para quê e por quanto tempo.
4. Segurança e prazo: O dado é protegido e guardado só enquanto serve à finalidade.

A política de privacidade do TexPonto descreve como cada uma dessas respostas funciona dentro do sistema. Veja a política de privacidade do TexPonto.

Como o TexPonto trata o cadastro facial:

O cadastro é feito pelo RH ou pela administração, na tela de cadastro facial: A pessoa fica diante da câmera, o sistema captura de uma a três amostras e guarda a média delas como descritor. A fotografia usada no cadastro não é guardada.

• Declaração de ciência e consentimento: O cadastro só é salvo com a caixa marcada em que quem cadastra declara que a pessoa foi informada sobre a coleta e a finalidade e consentiu. A trava existe na tela e no servidor, e a declaração fica na trilha de auditoria com o nome de quem cadastrou, a data e o texto vigente.
• Cifra: O descritor é guardado cifrado, e cada registro é amarrado à empresa e à pessoa. Copiar o descritor de uma linha para outra no banco não troca o rosto de ninguém: A leitura falha.
• Histórico: Atualizar ou remover um cadastro facial guarda um registro do que existia antes, para que uma troca indevida de rosto possa ser apurada.
• Remoção: O cadastro pode ser removido a qualquer momento, por exemplo no desligamento ou a pedido da pessoa, e deixa de valer na hora.

Na hora da batida, e quando a câmera falha:

Quando a empresa liga a confirmação facial, quem tem rosto cadastrado confirma o rosto antes de registrar pelo próprio acesso. A confirmação vale por dois minutos e serve para uma única batida, o que impede reaproveitar uma confirmação antiga.

No quiosque da entrada, a identificação procura o rosto entre os cadastros da empresa. Quando dois cadastros ficam parecidos demais para decidir, o sistema recusa e diz que houve ambiguidade, sem revelar com quem, em vez de arriscar registrar a batida na pessoa errada. Cada identificação gera um desafio de uso único que a batida precisa apresentar, e há limite de tentativas por endereço.

A empresa pode ligar, além disso, a foto da batida: Uma foto tirada no momento do registro, visível só para a administração na tela de fotos das batidas. Essas fotos são apagadas automaticamente depois do prazo de retenção, que é de 90 dias por padrão e pode ser ajustado entre 7 e 365 dias.

O que o TexPonto não faz com o reconhecimento facial:

• Não obriga o uso. A confirmação facial e a foto da batida são escolhas da empresa, desligadas até alguém ligar. O reconhecimento facial faz parte dos planos Profissional e Empresarial.
• Não decide a base legal pela empresa. O sistema registra a declaração de quem cadastra, mas a política interna e a informação à equipe são da empresa controladora.
• Não usa o rosto para outra coisa. O descritor serve só para confirmar a identidade na batida.
• Não garante acerto absoluto. Nenhum reconhecimento facial garante. Por isso a recusa por ambiguidade, a trilha de auditoria e a revisão do RH existem.

Se a equipe registra fora da empresa, leia o que vale ao bater ponto pelo celular. Para a norma do registro eletrônico, veja o que a Portaria 671 exige.