ANPD suspende o uso de reconhecimento facial em escolas públicas do Paraná

1. Contexto do caso e amarração com ação judicial em curso

Em 4 de agosto de 2026, a Superintendência de Fiscalização da Agência Nacional de Proteção de Dados (“SFI/ANPD”) determinou, por meio do Despacho Decisório nº 2/2026/SFI, a suspensão imediata do tratamento de dados biométricos de crianças e adolescentes da rede pública estadual de ensino do Paraná. A medida atinge o “Escola Paraná Biometria”, sistema que, desde 2023, condiciona o registro de frequência escolar ao reconhecimento facial dos estudantes, por meio de fotografias capturadas em sala de aula pelos próprios professores e processadas pela Celepar e pela Valid Soluções. A decisão tem amparo na Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD, que reconstrói, com bastante detalhe, os mais de dois anos de tramitação do processo de fiscalização instaurado a partir de denúncia recebida em 2024.

A discussão, contudo, não se restringe à esfera administrativa. Desde abril de 2025, o Ministério Público do Estado do Paraná (“MPPR”) move a Ação Civil Pública nº 0004208-55.2025.8.16.0058 contra o Estado do Paraná, a Celepar e a Valid perante a 1ª Vara da Fazenda Pública de Campo Mourão. A ação questiona a implementação do reconhecimento facial para registro de frequência nas escolas estaduais e aponta, entre outras questões, possível violação aos princípios da LGPD, ausência de base legal adequada para o tratamento de dados sensíveis e irregularidades na forma como pais e responsáveis foram informados sobre a operação. 

Junto com o Instituto Alana, a Data Privacy Brasil requereu ingresso nessa ação como amicus curiae, em manifestação construída com apoio técnico da Privacy International, com o objetivo de aprofundar, entre outros pontos, a incidência do princípio da necessidade sobre o tratamento biométrico, os parâmetros aplicáveis a operações de alto risco e os impactos da adoção de tecnologias de vigilância no ambiente escolar. A manifestação já chamava atenção para uma distinção central ao caso: a legitimidade da finalidade de registrar frequência não responde, por si só, à necessidade de utilizar dados biométricos para alcançá-la. É preciso justificar por que essa finalidade exige o tratamento de uma categoria de dado especialmente sensível e por que alternativas menos invasivas seriam insuficientes para a realização dessa atividade.

Durante a instrução da ação, o Juízo de Campos Mourão/PR determinou a participação de órgãos federais com atribuições relacionadas à controvérsia, entre eles a ANPD. Essa decisão administrativa da ANPD, entretanto, não decorre dessa intimação e resulta de procedimento autônomo, instaurado anteriormente, mas há, indubitavelmente, uma sobreposição evidente quanto ao objeto: tanto a ação civil pública quanto o processo de fiscalização examinam o uso de reconhecimento facial pela SEED/PR para o registro de frequência e sua compatibilidade com as regras de proteção de dados pessoais. 

Antes de adentrarmos na análise técnica da Nota, é importante ressaltar que a decisão administrativa não vincula o Poder Judiciário nem substitui a análise própria da ação civil pública. Tanto a Nota Técnica e o Despacho Decisório, porém, acrescentam à controvérsia uma avaliação produzida pela autoridade competente para fiscalizar a aplicação da LGPD, após instrução própria e acesso à documentação apresentada pelo controlador. O quadro existente quando a tutela de urgência foi inicialmente apreciada, portanto, não é o mesmo: além das alegações do Ministério Público e das justificativas apresentadas pelos réus, há agora uma conclusão técnica da ANPD segundo a qual as irregularidades identificadas e os riscos associados à continuidade do tratamento justificam sua suspensão preventiva e o encaminhamento dos autos para avaliação de eventual instauração de processo administrativo sancionador. 

2. Análise da decisão da ANPD

a) Bases legais

Definição da base legal adequada à finalidade do tratamento 

A Nota Técnica retoma um entendimento que a ANPD já vinha desenvolvendo em manifestações anteriores: para uma mesma finalidade de tratamento, o controlador deve definir apenas uma hipótese legal aplicável  Como afirma a Autoridade no item 5.10 da Nota, “a ANPD tem se posicionado sobre a necessidade de o controlador definir apenas uma hipótese legal para uma mesma finalidade do tratamento”. Observa-se que a Agência busca aqui enfrentar uma discussão ainda presente na interpretação da LGPD sobre a possibilidade de cumulação de bases legais para sustentar uma mesma atividade de tratamento. Não se trata, portanto, de acumular fundamentos possíveis para uma mesma operação, mas de identificar aquele que efetivamente corresponde à finalidade perseguida e às condições concretas do tratamento. Esse entendimento já aparecia, entre outros documentos, na Nota Técnica nº 5/2025/FIS/CGF/ANPD, sobre o tratamento de dados biométricos de torcedores, inclusive crianças e adolescentes, no contexto da Lei Geral do Esporte, e na Nota Técnica nº 28/2025/FIS/CGF/ANPD, que trata a definição da hipótese legal como uma das decisões centrais atribuídas ao controlador. A nova manifestação, portanto, não se mostra relevante  apenas por aplicar esse raciocínio ao caso concreto, mas por reforçar uma linha interpretativa da Autoridade sobre um tema que, de certa forma, ainda comportava uma controvérsia. 

No caso da SEED/PR, a fundamentação apresentada ao longo do processo variou entre execução de políticas públicas, cumprimento de obrigação legal ou regulatória e o próprio art. 14 da LGPD. Para a ANPD, essa oscilação não é apenas formal. A definição da hipótese legal é parte da própria estruturação do tratamento e deve estar vinculada à finalidade que se pretende alcançar. Quando o controlador passa a sustentar a mesma atividade com fundamentos diferentes ao longo do tempo, fica menos claro quais são as condições jurídicas daquele tratamento e quais direitos podem ser exercidos pelos titulares. No caso de estudantes e responsáveis, isso também afeta a transparência sobre a forma como os dados biométricos estão sendo utilizados. A leitura da ANPD, portanto, aponta para a necessidade de que a base legal seja definida desde o início da operação, e não reconstruída posteriormente para justificar um tratamento que já está em curso. 

Limites do art. 11, II, “a”, da LGPD 

Entre os fundamentos apresentados pela Secretaria está o art. 11, II, “a”, da LGPD, que autoriza o tratamento de dados pessoais sensíveis, sem consentimento, quando indispensável ao cumprimento de obrigação legal ou regulatória pelo controlador.

A Nota Técnica separa duas questões que aparecem sobrepostas na justificativa da SEED/PR: a obrigação de registrar a frequência escolar e a escolha pelo reconhecimento facial como meio para realizar esse registro. A Resolução GS/SEED nº 2.865/2023 não identifica obrigação jurídica anterior que imponha ao Estado do Paraná a coleta de dados biométricos de estudantes para controle de presença. É o próprio ato administrativo que introduz essa exigência e torna o cadastramento biométrico parte da rotina escolar.

Essa distinção preserva a função limitadora da LGPD sobre as escolhas tecnológicas do Poder Público. A obrigação de registrar frequência não contém, em si, uma determinação de identificar biometricamente os estudantes. A própria Resolução admite o registro manual em determinadas situações, o que confirma que a atividade administrativa pode ser executada sem reconhecimento facial. Admitir que a Administração pudesse criar, por ato próprio, a obrigação de tratar dados sensíveis e utilizar essa mesma obrigação como fundamento para o art. 11, II, “a”, produziria uma circularidade: a escolha administrativa pelo meio tecnológico passaria a justificar sua própria indispensabilidade. A análise da ANPD exige o percurso inverso. Primeiro se identifica a obrigação jurídica que deve ser cumprida e depois se examina se o tratamento de dados sensíveis é efetivamente indispensável para cumpri-la. 

Execução de políticas públicas e tratamento de dados sensíveis 

A SEED/PR também vinculou o reconhecimento facial à execução de política pública educacional, afirmando que a tecnologia seria utilizada para otimizar a gestão e conferir maior precisão ao registro de frequência. A Nota Técnica chama atenção, primeiro, para a inadequação do art. 7º, III, indicado pela Secretaria em parte da documentação apresentada. Como a operação envolve dados biométricos, classificados pela LGPD como dados pessoais sensíveis, a hipótese aplicável deve ser buscada no art. 11. Para a execução de políticas públicas, a referência pertinente é o art. 11, II, “b”, que admite o tratamento compartilhado de dados sensíveis necessários à execução, pela Administração Pública, de políticas públicas previstas em leis ou regulamentos. 

A distinção entre o art. 7º, III, e o art. 11, II, “b”, ocupa parte importante da análise da ANPD. Para dados pessoais não sensíveis, o art. 7º, III, admite políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios e instrumentos congêneres. O art. 11, por sua vez, não reproduz essa abertura para o tratamento de dados sensíveis. A Nota Técnica lê essa diferença como uma escolha deliberada do legislador por um regime mais restritivo, compatível com os riscos associados a essa categoria de dados. Aqui, a ANPD examina a Resolução GS/SEED nº 2.865/2023. Embora seja um ato administrativo normativo, a Agência entende que a Resolução, isoladamente, não oferece fundamento suficiente para sustentar, nos termos do art. 11, II, “b”, uma operação dessa dimensão: tratamento biométrico em larga escala de crianças e adolescentes, realizado de forma cotidiana em toda a rede estadual. Na leitura adotada pela Nota Técnica, operações dessa natureza devem estar apoiadas em norma de maior densidade, preferencialmente lei formal ou regulamento editado nos limites de uma delegação legislativa, justamente porque envolvem uma intervenção particularmente intensa sobre direitos fundamentais. 

Esse fundamento merece ser lido em conjunto com a preocupação mais ampla da LGPD em limitar a discricionariedade do Poder Público no tratamento de dados pessoais. A existência de uma política pública não autoriza, por si, qualquer operação de tratamento que possa ser apresentada como útil à sua execução. O art. 23 vincula a Administração à finalidade pública e ao interesse público, enquanto o art. 11 estabelece condições específicas quando estão em jogo dados sensíveis. No caso, portanto, não basta afirmar que o controle de frequência integra a política educacional, mas é necessário demonstrar também que o tratamento biométrico encontra respaldo normativo adequado e permanece dentro dos limites materiais da finalidade que pretende atender. 

Cumprimento de obrigação legal, proporcionalidade e meios menos intrusivos

Tanto a Nota Técnica nº 55/2024, que deu origem ao processo de fiscalização, quanto a Nota Técnica nº 4/2026 colocam a necessidade e a proporcionalidade no centro da análise sobre o reconhecimento facial utilizado pela SEED/PR. Desde a instauração do processo, a ANPD já apontava que o tratamento de dados de crianças e adolescentes deveria ocorrer de forma minimamente invasiva e ser proporcional à necessidade concreta da política pública. Na ocasião, a Autoridade identificou o reconhecimento facial como método mais invasivo do que o registro manual de frequência e formulou expressamente duas questões que orientariam a fiscalização: se uma tecnologia dessa natureza seria proporcional ao fim exclusivo de verificar presença e se existiriam outros meios menos invasivos capazes de alcançar a mesma finalidade. 

A instrução posterior não apresentou elementos capazes de responder satisfatoriamente a essas questões. A SEED/PR relacionou o sistema à economia de tempo em sala de aula, à maior precisão do registro e à redução de eventuais fraudes, mas não demonstrou, por meio de estudos realizados após a implementação, a extensão desses ganhos nem a insuficiência de alternativas menos intrusivas. A própria regulamentação estadual preserva o registro manual em algumas situações, evidenciando que o reconhecimento facial não é condição técnica para que a frequência seja aferida. 

Esse ponto também encontra respaldo nas orientações nacionais para o uso de tecnologias na educação. No Referencial para Desenvolvimento e Uso Responsável de Inteligência Artificial na Educação, publicado pelo Ministério da Educação em 2026, sistemas de reconhecimento facial em ambientes escolares são expressamente classificados como não recomendados, em razão dos riscos associados à exposição e ao tratamento de dados pessoais de crianças e adolescentes. No tratamento específico do controle de frequência, o documento é ainda mais direto: recomenda que a política institucional desestimule o emprego de ferramentas baseadas em reconhecimento facial e priorize métodos manuais ou sistemas digitais convencionais que não impliquem coleta massiva de dados biométricos. O documento orientador do MEC para a educação básica segue na mesma direção ao estabelecer, entre seus princípios de proteção de dados e não vigilância, a rejeição de sistemas biométricos para controle ou vigilância massiva, reservando sua utilização a situações específicas.

As orientações do MEC deixam mais clara a diferença entre digitalização e intensificação do tratamento de dados. A modernização do registro de frequência não pressupõe a criação de uma base biométrica de estudantes: há soluções digitais capazes de cumprir a mesma função sem converter características corporais em identificadores permanentes. Para uma atividade ordinária da gestão escolar, a opção por um mecanismo mais invasivo demanda uma justificativa proporcional ao risco que introduz, especialmente quando os titulares são crianças e adolescentes. 

a. Melhor interesse da criança – art. 14

A SEED/PR também apresentou o art. 14 da LGPD como fundamento para o tratamento de dados biométricos dos estudantes, sob o argumento de que o reconhecimento facial permitiria acompanhar de forma mais eficiente a assiduidade e a permanência escolar. A ANPD afasta essa interpretação. O art. 14 não cria uma hipótese legal autônoma: o tratamento continua dependendo de uma das bases previstas nos arts. 7º ou 11 da LGPD e, além disso, deve observar e fazer prevalecer o melhor interesse da criança e do adolescente no caso concreto. 

O melhor interesse, portanto, não funciona como uma justificativa adicional para ampliar as possibilidades de tratamento. Ele opera no sentido contrário: restringe as escolhas do controlador quando elas impõem riscos ou interferências desproporcionais aos direitos de crianças e adolescentes. A discussão deixa de ser apenas sobre aquilo que a Administração considera útil para a gestão escolar e passa a exigir uma avaliação da operação a partir da posição dos próprios estudantes. É importante que o melhor interesse seja compreendido, simultaneamente, como direito substantivo, regra procedimental e princípio interpretativo. Como direito, assegura a toda criança que seu interesse seja considerado de forma primária nas decisões que a afetem. Como regra procedimental, exige que essa consideração seja incorporada ao processo decisório e possa ser demonstrada posteriormente, com documentação suficiente para permitir prestação de contas. Como princípio interpretativo, determina que, diante de mais de uma interpretação juridicamente possível, seja privilegiada aquela que melhor proteja crianças e adolescentes. 

A aplicação dessa leitura ao caso do Paraná muda o ponto de observação da política. Argumentos como economia de tempo, maior eficiência do registro ou facilidade de acompanhamento da frequência descrevem benefícios para a gestão escolar. Não demonstram, por si, de que forma o tratamento cotidiano de dados biométricos atende ao melhor interesse dos estudantes. Para isso, seria necessário incorporar à própria decisão sobre a tecnologia os efeitos sobre privacidade, proteção de dados, autonomia, igualdade e desenvolvimento, bem como a existência de alternativas que produzam menor interferência nesses direitos. 

A Lei nº 15.211/2025, o ECA Digital, reforça uma abordagem preventiva da proteção de crianças e adolescentes, orientada pela proteção integral e pelo melhor interesse. Em estudo sobre o conceito de “acesso provável”, Zanatta, Rodrigues e Mendonça (2026) argumentam que os direitos de crianças e adolescentes devem ser considerados desde a concepção e por padrão, e não apenas quando um dano já se materializou. A premissa é particularmente relevante em contextos marcados por assimetrias, nos quais a tecnologia é definida por terceiros e crianças e adolescentes têm pouca ou nenhuma capacidade de interferir sobre as condições em que seus dados serão tratados. A escola pública é um exemplo claro dessa situação: a criança não escolhe a infraestrutura de identificação adotada pelo Estado nem negocia, em condições equivalentes, os termos em que participará del 

A Nota Técnica aponta que esse tipo de avaliação não aparece de forma suficiente na documentação da SEED/PR. O RIPD não enfrentou adequadamente riscos ligados ao monitoramento permanente dos estudantes, à normalização da vigilância biométrica no ambiente escolar, a erros e discriminações, à expansão das finalidades do sistema e à possível vinculação dos dados a outras bases governamentais. A questão, portanto, não é saber se o melhor interesse foi mencionado pelo controlador, mas se ele efetivamente orientou o processo de escolha, implementação e avaliação da tecnologia.

Sob essa perspectiva, o art. 14 também impõe uma exigência procedimental. Se o melhor interesse deve prevalecer, o controlador precisa ser capaz de demonstrar como chegou à conclusão de que determinada operação de tratamento o atende: quais interesses da criança foram considerados, quais riscos foram identificados, quais alternativas foram comparadas e por que a solução escolhida foi considerada a mais adequada. No caso paranaense, a documentação analisada pela ANPD não permite reconstruir esse percurso. A referência ao melhor interesse aparece na justificativa do tratamento, mas não com a densidade necessária para mostrar que os direitos dos estudantes condicionaram, desde o início, a decisão de adotar o reconhecimento facial.

b. Medidas de segurança 

A existência de uma base legal adequada não esgota as obrigações do controlador. Quando a operação envolve dados biométricos de crianças e adolescentes em larga escala, a própria natureza do tratamento exige medidas de segurança compatíveis com o nível de risco produzido. A Nota Técnica parte dos arts. 46 e 47 da LGPD para lembrar que controladores e operadores devem proteger os dados contra qualquer forma de tratamento inadequado ou ilícito. Quanto maior o risco associado à operação, maior deve ser a capacidade do controlador de demonstrar que suas salvaguardas são suficientes para enfrentá-lo.

Nesse contexto, a ANPD apresenta alguns parâmetros mínimos esperados para o tratamento como controles rigorosos de acesso aos dados biométricos, autenticação multifator para pessoas autorizadas, criptografia dos dados tanto em repouso quanto durante sua transmissão, registros que permitam rastrear os acessos e operações realizadas e auditorias periódicas. Também deve existir uma política clara de retenção e eliminação de dados, capaz de impedir que dados biométricos permaneçam armazenados quando deixarem de ser necessários para a finalidade que justificou sua coleta.

Contudo, a questão central identificada pela fiscalização foi a distância entre afirmar a existência dessas medidas e demonstrar sua implementação. O RIPD e as respostas encaminhadas pela SEED/PR mencionavam genericamente controles de acesso, mecanismos criptográficos, segurança de redes e monitoramento, mas não permitiam compreender de forma suficientemente precisa a arquitetura de controles de segurança da operação. Segundo a ANPD, não foram apresentadas informações adequadas sobre segregação dos ambientes em que os dados biométricos eram mantidos, localização física e lógica das informações, pessoas autorizadas a acessá-las, distribuição de responsabilidades entre os agentes de tratamento, compartilhamentos entre sistemas e procedimentos de monitoramento e auditoria.

Há ainda uma dimensão importante de responsabilidade entre controlador e operador. A Nota chama atenção para o fato de a política de segurança da SEED/PR ter sido baseada na política da Celepar, que atua como operadora na atividade analisada. Essa relação não transfere a responsabilidade do controlador. De acordo com o art. 39 da LGPD, compete à SEED/PR orientar os operadores e verificar o cumprimento das instruções e das normas de proteção de dados. A contratação de infraestrutura ou de fornecedores especializados não reduz o dever da Secretaria de conhecer, controlar e demonstrar como os dados dos estudantes são protegidos ao longo de toda a cadeia de tratamento.

Esse ponto ajuda a compreender uma nuance importante da conclusão da Agência. O que se conclui é que a SEED/PR não conseguiu apresentar evidências suficientes para demonstrar que os sistemas utilizados estavam estruturados de forma compatível com a natureza, a escala e os riscos do tratamento. Essa insuficiência probatória é relevante à luz dos princípios da segurança, da prevenção e da responsabilização e prestação de contas.

i. Anonimização e uso de hash

Outro argumento examinado pela ANPD envolve a utilização de hash no tratamento dos dados biométricos. A Secretaria apresentou a técnica como uma salvaguarda capaz de impedir a recuperação da imagem original. Entretanto, a Nota Técnica diferencia a impossibilidade de reconstruir visualmente uma fotografia da efetiva anonimização do dado.

O ponto é particularmente relevante para sistemas biométricos. Isto pois um identificador derivado da face pode deixar de reproduzir a aparência do estudante e, ainda assim, continuar apto a distingui-lo de outras pessoas, autenticar sua identidade, ser comparado com novas amostras ou estabelecer vínculos entre diferentes bases de dados. Nessas hipóteses, a transformação reduz determinados riscos, mas o dado continua relacionado a uma pessoa identificada ou identificável.

Por isso, a Agência trata o uso de hash no caso como uma forma potencial de pseudonimização, cuja eficácia depende de avaliação concreta dos riscos de reidentificação. Seria necessário esclarecer, entre outros aspectos, qual tecnologia é efetivamente empregada, se se trata de função criptográfica, template biométrico, vetor de características ou outro identificador derivado, bem como analisar sua possibilidade de correlação com outros dados e bases. A documentação apresentada não permitiu realizar essa avaliação.

Dessa forma, a alegada irreversibilidade do hash da imagem não retira automaticamente a natureza sensível da informação nem afasta as obrigações da LGPD. Em biometria, justamente porque as características utilizadas para identificar uma pessoa são persistentes e pouco substituíveis, a impossibilidade de “voltar” à fotografia original não elimina os riscos de comprometimento, correlação, reprodução ou uso incompatível desses dados. A utilização de técnicas de pseudonimização podem integrar uma estratégia de mitigação mas não substitui outras medidas de segurança e mitigação dos riscos.

c. Prestação de contas

A Nota também dedica atenção à capacidade da SEED/PR de documentar e demonstrar como a operação funcionava, articulando o princípio da responsabilização e prestação de contas previsto no art. 6º, X, da LGPD.

Um dos principais problemas foi a não apresentação do Registro das Operações de Tratamento de Dados Pessoais (ROT) referente ao reconhecimento facial, apesar das solicitações feitas durante a fiscalização. A ausência do registro torna mais difícil verificar como os dados circulam entre a SEED/PR, a Celepar, a Valid e os demais sistemas envolvidos, quem executa cada operação e quais regras orientam o ciclo de vida das informações. A Agência ressalta que a apresentação do ROT é também uma forma de demonstração da regularidade da atividade perante a agência.

No caso concreto, a questão produziu uma consequência adicional. A ANPD entendeu que a omissão reiterada no fornecimento de documentos e informações necessários à fiscalização poderia caracterizar a infração de obstrução à atividade de fiscalização. Essa conclusão aparece, ao final da Nota Técnica, como uma das cinco condutas irregulares atribuídas ao controlador e foi um dos elementos considerados para o encaminhamento do processo para instauração de procedimento sancionador.

i. Relatório de Impacto à Proteção de Dados

A análise do Relatório de Impacto à Proteção de Dados Pessoais talvez seja um dos pontos em que a Nota Técnica melhor explicita a dimensão prática da prestação de contas. O RIPD apresentado havia sido elaborado em janeiro de 2021 sem evidências de revisão do documento capaz de incorporar as mudanças ocorridas na operação ou de reavaliar os riscos produzidos pela tecnologia.

Para a ANPD, um relatório de impacto não pode funcionar como um catálogo abstrato de ameaças e controles. Deve permitir visualizar o  tratamento de dados, identificar os riscos específicos em cada etapa e demonstrar como determinada salvaguarda responde a cada um deles, quem é responsável por sua implementação e quais mecanismos permitem verificar sua eficácia. Em outras palavras, o RIPD deve possibilitar que terceiros reconstruam o raciocínio que levou o controlador a considerar determinado risco aceitável.

A matriz de riscos apresentada pela SEED/PR foi considerada excessivamente concentrada em riscos tradicionais de segurança da informação, como vazamentos e acessos indevidos. Permaneceram pouco desenvolvidos riscos diretamente relacionados aos direitos e liberdades dos titulares: erros de identificação, vieses algorítmicos, vigilância permanente, normalização do monitoramento biométrico, utilização compulsória da biometria no ambiente escolar e utilização secundária dos dados.

A crítica ao RIPD também teve um caráter metodológico na análise da ANPD. Um relatório de impacto elaborado antes da implementação deve continuar acompanhando a operação à medida que surgem novas informações sobre desempenho, riscos, fornecedores e formas de utilização dos dados. Em uma tecnologia aplicada cotidianamente a crianças e adolescentes, a prestação de contas depende justamente dessa capacidade de revisão e aprendizado contínuo.

ii. Auditoria e Mecanismos de controle

A necessidade de documentação se projeta também sobre as atividades de monitoramento e auditoria. Questionada pela ANPD, a SEED/PR informou que diferentes unidades internas seriam responsáveis pelo monitoramento dos sistemas, pela proteção das bases e pela realização de auditorias. Não foram apresentados, porém, documentos capazes de demonstrar de maneira objetiva a execução dessas atividades.

A insuficiência aparece em diferentes pontos da operação. A Nota não encontrou evidências de testes independentes de robustez do sistema, auditorias periódicas sobre o algoritmo, avaliações de acurácia especificamente voltadas à população infantojuvenil ou monitoramento contínuo destinado a identificar perda de desempenho e vieses discriminatórios ao longo do tempo. Também não ficou demonstrado de que maneira o controlador verificava se os operadores efetivamente eliminavam as fotografias após o tratamento, impediam sua retenção indevida ou deixavam de reutilizá-las para finalidades secundárias.

Esse aspecto aproxima segurança e prestação de contas. Não basta contratar obrigações de exclusão ou prever auditorias em políticas internas; é necessário criar mecanismos que permitam verificar se essas obrigações são cumpridas na prática. Diante da ausência de documentação objetiva e do não fornecimento do registro das operações, a ANPD entendeu que não havia sido demonstrada a realização efetiva das ações de monitoramento e atualização das medidas de mitigação de riscos alegadas pela Secretaria.

d. Dados biométricos de crianças e adolescentes

i. Dever estrito de necessidade e finalidade

A discussão sobre o princípio da necessidade reaparece na Nota Técnica sob uma perspectiva particularmente importante para dados biométricos: mesmo quando existe uma finalidade adequada, o controlador deve limitar o tratamento ao mínimo necessário para alcançá-la. Esse entendimento também foi explicitado no guia sobre Legítimo Interesse publicado pela Agência. Na ocasião, o princípio da necessidade deve ser contemplado em duas dimensões.  A primeira está conectada à limitação do uso de dados necessários à finalidade e a sua segunda dimensão está conectada à análise da existência de outros meios razoáveis para o atingimento dessa finalidade sem a realização de tratamento dos dados (ANPD, 2024, p.25).

No caso da SEED/PR, isso significa perguntar não apenas se o controle de frequência é necessário à política educacional, mas se é necessário tratar a biometria facial de crianças e adolescentes para realizar essa atividade. 

A Secretaria apresentou como benefícios a redução do tempo utilizado pelos professores para registrar presença, maior precisão e diminuição de possíveis fraudes. A ANPD entendeu, contudo, que não foram apresentados estudos posteriores à implementação capazes de demonstrar a dimensão desses ganhos ou de comprovar que alternativas menos invasivas não alcançariam resultado semelhante. O fato de a própria regulamentação estadual admitir, em determinadas circunstâncias, o registro manual reforçou essa dúvida sobre a indispensabilidade da biometria.

A Nota identifica outra tensão relacionada ao princípio da finalidade. Embora o sistema tenha sido estruturado para o registro de frequência escolar, a SEED/PR também associou seu uso à identificação de pessoas não autorizadas, incidentes com pessoas e objetos e “comportamentos de risco”. Para a ANPD, essas justificativas introduzem finalidades distintas daquela originalmente apresentada aos estudantes e responsáveis, ampliando o potencial de utilização do sistema para funções de vigilância e segurança. Essa expansão coloca em risco os princípios da finalidade e da transparência, pois dados coletados para aferir presença não podem ser automaticamente convertidos em infraestrutura genérica de monitoramento do ambiente escolar.

O período de retenção também foi alvo de preocupação. A Secretaria informou que os dados biométricos seriam mantidos enquanto o estudante permanecesse regularmente matriculado. Considerando a duração da educação básica obrigatória, a Nota aponta que essa lógica poderia resultar na manutenção de informações biométricas durante aproximadamente 14 anos. A longa permanência de um dado biométrico utilizado diariamente para uma atividade administrativa ordinária reforça a necessidade de demonstrar por que a manutenção dessa informação é indispensável durante todo esse período.

ii. Questionamentos acerca da acurácia e efetividade da tecnologia

Em relação à acurácia e efetividade do reconhecimento facial, a Nota Técnica chama atenção para o fato de que a face de crianças e adolescentes não apresenta a mesma estabilidade morfológica observada na idade adulta. Durante o desenvolvimento, alterações decorrentes do crescimento podem modificar os pontos utilizados pelos sistemas automatizados para realizar comparações biométricas, o que afeta o desempenho da tecnologia ao longo do tempo.

A Agência cita estudos que indicam degradação progressiva da acurácia à medida que aumenta o intervalo entre a imagem originalmente cadastrada e aquela posteriormente utilizada para reconhecimento. Nesse sentido, as consequências podem ser relevantes. No ambiente escolar, um falso positivo ou falso negativo pode resultar no registro equivocado da presença de um estudante, gerar constrangimentos ou produzir efeitos sobre medidas administrativas, disciplinares e até políticas vinculadas à frequência escolar.

O problema se torna mais significativo diante da ausência de avaliações específicas sobre o sistema utilizado no Paraná. Segundo a Nota, não foram apresentadas análises suficientes sobre taxas de falso positivo e falso negativo, desempenho entre diferentes grupos demográficos ou comportamento do algoritmo diante das transformações faciais próprias da infância e da adolescência. Também não foram demonstrados testes independentes de robustez ou mecanismos contínuos capazes de detectar degradação de desempenho e vieses ao longo do tempo.

A ANPD também observou que sistemas dessa natureza dependem, em alguma medida, de verificação humana para confirmar correspondências problemáticas. Sem supervisão, erros podem passar a ser incorporados à rotina. Com supervisão, por outro lado, surge retrabalho que pode reduzir justamente o ganho de tempo utilizado para justificar a adoção da tecnologia.

Dessa forma, a Agência reforça que quando o sistema é aplicado de forma massiva a uma população que irá crescer, como as crianças e adolescentes, sua confiabilidade deve ser demonstrada de maneira compatível com as consequências que eventuais erros podem produzir. No caso analisado, a ANPD concluiu que essa demonstração não foi realizada de forma suficiente.

e. Conclusão e determinações

Ao consolidar a fiscalização, a Nota Técnica identifica cinco grupos de irregularidades:

• Ausência de hipótese legal adequada: tratamento de dados biométricos de estudantes sem fundamento jurídico compatível com o art. 11 da LGPD.
• Tratamento desnecessário, desproporcional e excessivo: utilização de reconhecimento facial para registro de frequência apesar da existência de alternativas menos invasivas capazes de atingir finalidade semelhante.
• Insuficiência das medidas de segurança e governança: ausência de demonstração adequada da eficácia dos controles de segurança, das boas práticas e dos mecanismos de governança aplicados à operação.
• Inobservância do melhor interesse: falta de demonstração concreta de que a adoção do reconhecimento facial considerou e fez prevalecer o melhor interesse de crianças e adolescentes.
• Obstrução à atividade fiscalizatória: não fornecimento reiterado de documentos e informações solicitados pela ANPD durante o processo de fiscalização.

Diante dessas conclusões e da continuidade cotidiana do tratamento de dados biométricos, a área técnica entendeu presentes os requisitos para adoção de uma medida preventiva. O fumus boni iuris decorre das possíveis violações à LGPD identificadas durante a fiscalização, enquanto o periculum in mora está associado à continuidade e à renovação do tratamento: a cada dia letivo, novas operações são realizadas e, a cada período escolar, novos estudantes passam a integrar o sistema.

A própria ANPD ressalta que essa providência possui natureza preventiva e não sancionatória, não se confundindo com a aplicação antecipada de uma sanção administrativa.

O Despacho Decisório nº 2/2026/SFI acolheu a fundamentação da Nota Técnica e estabeleceu, em síntese:

1- Suspensão imediata do tratamento biométrico: ficam suspensas as operações destinadas à verificação e ao registro de frequência escolar mediante reconhecimento facial. O tratamento não poderá ser reiniciado até nova deliberação da ANPD.

2- Prazo para comprovação: a SEED/PR deverá demonstrar o cumprimento da medida no prazo de dez dias úteis.

3- Abertura de processo sancionador: os autos foram encaminhados à Coordenação-Geral de Sanção para avaliação da instauração de processo administrativo sancionador.

4- Encaminhamento ao Ministério Público: a Nota Técnica deverá ser remetida ao Ministério Público do Estado do Paraná para relacionar a controvérsia ao caso já submetido ao Judiciário estadual.

Conclusão 

A decisão da ANPD não estabelece uma proibição geral ao uso de reconhecimento facial em escolas, nem afirma que todo tratamento biométrico de crianças e adolescentes seja necessariamente ilícito. Seu alcance é mais específico e, ao mesmo tempo, particularmente relevante: uma finalidade administrativa legítima não torna automaticamente legítimo qualquer meio tecnológico escolhido para alcançá-la.

No caso paranaense, registrar a frequência dos estudantes é uma atividade inerente à gestão educacional. O que a fiscalização coloca em questão é a passagem entre essa finalidade e a decisão de construir uma infraestrutura biométrica de larga escala para executá-la.  A conclusão da fiscalização foi de que essa passagem aconteceu sem a devida observância aos requisitos da LGPD.

A Nota Técnica altera o contexto em que a controvérsia do uso de reconhecimento facial será examinada na ação civil pública proposta pelo tema. Há agora uma manifestação da agência reguladora responsável pela fiscalização da LGPD que concluiu pela existência de irregularidades suficientemente relevantes para justificar a interrupção preventiva do reconhecimento facial destinado ao controle de frequência. 

Continuaremos a acompanhar o caso. 

Até a próxima!

Referências Bibliográficas: 

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Hipóteses legais de tratamento de dados pessoais: legítimo interesse. Guia orientativo. Versão 1.0. Brasília, DF: ANPD, fev. 2024 

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Superintendência de Fiscalização. Despacho Decisório nº 2/2026/SFI. Processo nº 00261.007049/2024-06. Brasília, DF: ANPD, 4 ago. 2026.

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Nota Técnica nº 4/2026/CPDP/CGF/SFI/ANPD. Processo nº 00261.007049/2024-06. Brasília, DF: ANPD, 31 jul. 2026.