O seu rosto é um dado de categoria especial. Eis o que o artigo 9.º do RGPD significa para si

A maioria dos dados pessoais ao abrigo do RGPD (o seu nome, e-mail, morada, histórico de navegação) rege-se por regras gerais. Os dados biométricos são diferentes. Nos termos do artigo 9.º, são classificados como dados de «categoria especial», ao lado das informações de saúde, das opiniões políticas e das convicções religiosas. As proteções são muito mais fortes, e as obrigações das empresas que os tratam são proporcionalmente maiores.

O que conta como dado biométrico

O artigo 9.º protege especificamente os «dados biométricos para identificar uma pessoa de forma inequívoca». Isso inclui modelos faciais, impressões vocais, impressões digitais, leituras da íris e qualquer tratamento técnico que transforme características físicas num identificador único.

Repare na ressalva: «para identificar de forma inequívoca». Uma fotografia comum numa rede social não é um dado biométrico na aceção do artigo 9.º. A mesma fotografia tratada por reconhecimento facial para criar um identificador, isso já é um dado biométrico.

Os seus direitos

• Direito ao consentimento explícito. As empresas não podem tratar os seus dados biométricos com base no interesse legítimo. Precisam do seu consentimento explícito, específico e informado, e pode retirá-lo a qualquer momento.
• Direito ao apagamento. Pode exigir a eliminação dos seus dados biométricos, e as empresas têm de cumprir sem demora injustificada (normalmente, no prazo de 30 dias).
• Direito de acesso. Pode pedir uma cópia de todos os dados biométricos que uma empresa tem sobre si.
• Direito à portabilidade. Pode pedir os seus dados num formato estruturado e de leitura automática.
• Direito à limitação. Pode exigir que uma empresa deixe de tratar os seus dados enquanto um litígio é resolvido.

O que as empresas têm de fazer

As empresas que tratam dados biométricos têm obrigações reforçadas: uma avaliação de impacto sobre a proteção de dados (AIPD) antes de iniciar o tratamento, a designação de um encarregado da proteção de dados (EPD) na maioria dos casos, medidas de segurança mais rigorosas e a notificação de violações às autoridades e às pessoas afetadas no prazo de 72 horas.

O local de armazenamento importa. O tratamento na UE mantém os seus dados sob as proteções mais fortes do RGPD. A transferência para países fora da UE exige garantias específicas (cláusulas contratuais-tipo, decisões de adequação) e tem sido objeto de contestações judiciais repetidas (Schrems I, Schrems II).

Como exercer os seus direitos

Qualquer empresa que trate os seus dados biométricos deve disponibilizar uma forma clara de exercer estes direitos, normalmente através de um endereço privacy@ ou de um painel próprio. Se não responder no prazo de 30 dias, pode apresentar reclamação à sua autoridade nacional de proteção de dados. Em Portugal, é a Comissão Nacional de Proteção de Dados (CNPD). Na Roménia, a ANSPDCP. Em França, a CNIL. Na Alemanha, a autoridade de proteção de dados do seu estado federado.

Em suma

O seu rosto não é apenas um dado. No direito europeu, está protegido com a mesma seriedade que o seu historial clínico. As empresas que o tratam com ligeireza estão a violar a lei, e o próprio tem direitos concretos e exequíveis para as obrigar a parar.