LGPD em Sistemas AV: Gravação, Biometria, Câmera e Como Adequar Salas e Plenários

Quando a LGPD entrou em vigor, em 2020, os órgãos federais correram para adequar bancos de dados, sistemas de RH e portais de transparência. Sistemas audiovisuais ficaram fora do escopo — embora capturem rotineiramente dado pessoal (imagem, voz) e, em vários cenários, dado pessoal sensível (biometria facial, voz tratada para identificação). A lacuna virou risco quando a ANPD (Autoridade Nacional de Proteção de Dados) estruturou a fiscalização e o TCU passou a auditar a adequação.

Na Netfocus, apoiamos órgãos da administração federal na adequação de sistemas AV à LGPD — diagnóstico de risco, base legal, retenção, controles técnicos e RIPD. Este artigo consolida o que é cosmético e o que é estrutural.

Por que sistemas AV entram no escopo da LGPD

A confusão começa em uma leitura superficial: "isso é equipamento, não banco de dados". A LGPD, porém, define tratamento de dados pessoais de forma ampla — coleta, armazenamento, classificação, transmissão, modificação e eliminação. Toda câmera que registra imagem em arquivo trata dado pessoal. Todo microfone que grava voz, idem. Todo sistema biométrico, com o agravante de tratar dado pessoal sensível (art. 5º, II).

Imagem é dado pessoal

Imagem que permite identificar pessoa natural é dado pessoal. Câmera de plenário, de sala de reunião, de auditório com plateia, PTZ com tracking individual — todas disparam o regime da LGPD. A publicidade da sessão (tratada adiante) muda a base legal, não o fato de haver tratamento.

Voz é dado pessoal

Voz que permite identificar a pessoa também é dado pessoal — microfone de mesa em reunião gravada, de plenário, ambiente em sala de crise. Voz processada para reconhecimento de locutor sobe um degrau e vira dado sensível.

Biometria é dado pessoal sensível

Biometria facial, vocal, de íris ou digital é, por definição legal, dado pessoal sensível (art. 5º, II). Reconhecimento facial em sala de controle, biometria de acesso a área restrita, biometria vocal para autenticação — todos exigem base legal específica do art. 11 e, em geral, RIPD.

Bases legais aplicáveis em órgão público

A maior fonte de confusão em projetos AV é assumir que consentimento é a base legal padrão. No setor privado, frequentemente é; em órgão público, raramente. A LGPD oferece dez hipóteses para dados não sensíveis (art. 7º) e oito para sensíveis (art. 11) — consentimento é apenas uma, com requisitos (livre, informado, inequívoco) que dificilmente se satisfazem em ambiente institucional.

Execução de políticas públicas (art. 7º, III e art. 23)

É a base mais comum em órgãos públicos. Captação de plenário para transmissão, registro de sessão deliberativa, gravação de audiência pública — tudo pode se enquadrar como execução de políticas públicas previstas em lei, regulamento ou regimento. O órgão deve documentar finalidade e respaldo normativo.

Cumprimento de obrigação legal ou regulatória (art. 7º, II)

Quando lei orgânica, regimento interno ou ato normativo determina a gravação — sessões legislativas, audiências judiciais, sessões de pregão eletrônico —, a base é cumprimento de obrigação legal. Costuma ser a mais sólida, porque o tratamento decorre de norma vinculante.

Exercício regular de direitos (art. 7º, VI)

Aplicável a gravações cuja finalidade é instruir processo administrativo, defesa em juízo ou produção de prova. CFTV de área comum e gravação de atendimento ao cidadão para auditoria de qualidade entram nesta hipótese, com retenção limitada à finalidade.

Tutela da saúde (art. 11, II, "f")

Para dado sensível em contexto de saúde — telemedicina em órgão público de saúde, gravação de atendimento clínico —, há base específica no art. 11, restrita a procedimentos conduzidos por profissionais ou serviços de saúde.

Quando consentimento ainda faz sentido

Consentimento permanece útil em cenários estritamente voluntários — webinar opcional, biometria facultativa para conveniência do servidor (fila rápida, com alternativa não biométrica). Sempre que a participação é compulsória ou o órgão tem hierarquia sobre o titular, consentimento é base frágil e tende a não resistir a fiscalização.

Os 6 cenários AV mais sensíveis em órgão público

A análise de risco deve começar pelos cenários de maior exposição. Estes seis concentram a quase totalidade dos achados nos diagnósticos que fazemos.

Cenário 1 — Gravação de plenário público

Sessão deliberativa, audiência pública, julgamento aberto. Base legal: obrigação legal ou execução de política pública, sustentada pelo princípio constitucional da publicidade (art. 37, CF). O risco está no uso secundário: alimentar IA generativa, treinar reconhecimento de voz, reaproveitar em campanha de comunicação. Cada uso secundário exige base legal própria.

Cenário 2 — Videoconferência interna

Reunião gravada de equipe, comitê interno, treinamento corporativo. Base legal típica: execução de política pública ou exercício regular de direitos. Exige aviso prévio na convocação e na própria sala virtual ("esta reunião está sendo gravada"). Retenção deve estar definida — guardar indefinidamente sem finalidade viola o princípio da necessidade.

Cenário 3 — Reconhecimento facial em sala de controle

Centros de operação que usam IA para identificar pessoas em câmeras de espaço público. Dado sensível em larga escala — exige RIPD, base legal robusta no art. 11, controles fortes (criptografia, segregação) e revisão periódica. É o cenário com maior probabilidade de fiscalização.

Cenário 4 — Biometria de acesso

Catraca biométrica, leitor digital em sala restrita, reconhecimento facial na entrada do prédio. Dado sensível, com base legal usualmente na prevenção à fraude e segurança do titular em autenticação (art. 11, II, "g"), na proteção da vida ou incolumidade física (art. 11, II, "e") ou no exercício regular de direitos. RIPD recomendado em grande volume ou área de alta sensibilidade.

Cenário 5 — Microfone ambiente sempre ligado

Sala de crise, sala de operações 24x7, sala de reunião com captação contínua. Alto risco: tratamento sem evento de início claro, sem indicador para o titular, frequentemente sem retenção definida. Mesmo com base legal de execução de política pública, exige indicador físico de gravação, segregação de armazenamento e retenção curta.

Cenário 6 — Câmeras PTZ com tracking automatizado

Câmeras motorizadas que seguem o orador em plenário ou auditório. O tracking em si captura imagem de pessoa identificável — dado pessoal comum. Se o rastreamento usa reconhecimento facial individual (e não detecção genérica de figura humana), passa a tratar dado sensível e exige RIPD. O que a IA embarcada faz está detalhado em câmeras PTZ com IA.

Plenário público — princípio da publicidade versus LGPD

Um dos pontos mais discutidos no setor é a tensão aparente entre o princípio constitucional da publicidade (art. 37, CF) e a LGPD. Não há antinomia — há complementaridade, desde que se entenda o desenho.

A sessão pública é, por definição, tratamento legítimo. Imagem e voz de parlamentares, autoridades e cidadãos que participam da sessão têm base legal sólida (obrigação legal e execução de política pública). Não é necessário consentimento individual — seria incoerente exigi-lo de quem exerce mandato público.

Onde mora o risco

O risco aparece quando a gravação é reutilizada para finalidade diversa da que justificou a captação. Três exemplos:

• Treinamento de modelo de IA — usar gravações de plenário para treinar reconhecimento de voz ou modelo de linguagem exige base legal própria, distinta da captação original;
• Marketing institucional — usar trecho da sessão em peça publicitária do órgão é finalidade nova e demanda análise específica;
• Compartilhamento com terceiros — entregar arquivo bruto a empresa privada (mesmo prestadora de serviço) exige instrumento jurídico com cláusulas LGPD, e o operador deve assumir compromissos de proteção equivalentes aos do órgão.

O recorte prático para o gestor: captar e transmitir é tranquilo; reutilizar é o terreno onde a adequação se prova.

Para a infraestrutura de transmissão — câmeras PTZ, encoders, switchers, legendagem automática — ver infraestrutura de TV Câmara; para o registro oficial com cadeia de custódia e retenção, ver gravação de sessões e audiências.

Videoconferência interna — quando gravar é legítimo

Reunião interna de equipe é o cenário mais cotidiano e o que mais erra na adequação. O padrão recomendado tem cinco elementos.

Aviso prévio explícito

A convocação deve indicar que haverá gravação e com qual finalidade. Não vale aviso genérico em política institucional; precisa constar no convite específico.

Indicador visual durante a sessão

O sistema deve exibir indicador claro de que está gravando — as plataformas profissionais oferecem isso nativamente. Não desative o indicador.

Finalidade documentada

Por que está gravando? Memória institucional, ata audiovisual, treinamento posterior, instrução de processo. A finalidade documentada determina a retenção.

Retenção definida e mínima

Reunião operacional: 30 a 90 dias. Reunião deliberativa com decisão em ata: o tempo necessário à finalidade (frequentemente até a homologação ou a execução da decisão). Retenção indefinida sem justificativa viola o princípio da necessidade.

Eliminação verificável

Ao fim do prazo, a gravação deve ser eliminada de forma auditável (log de exclusão, política de retenção automatizada na ferramenta). "Achei que tinha apagado" não passa em auditoria.

Em sala híbrida com participantes presenciais, o desenho técnico precisa contemplar microfones, câmeras e gravação local — ver salas híbridas em 2026.

Reconhecimento facial — alta sensibilidade exige RIPD

Reconhecimento facial é o tratamento AV com maior risco regulatório: é objeto de orientações da ANPD e de discussão judicial e legislativa sobre seu uso em espaços públicos. Em órgão público, a régua é alta.

Um recorte muda a análise: tratamento para fins exclusivos de segurança pública, defesa nacional ou investigação criminal fica fora do escopo da LGPD (art. 4º, III) e segue legislação específica. O §1º do mesmo artigo, porém, manda observar os princípios gerais e os direitos do titular — finalidade, proporcionalidade e controles continuam exigíveis, e o órgão deve documentar em qual regime cada sistema opera.

Quando usar é defensável

• Sala de controle com perímetro restrito e finalidade específica (segurança nacional, controle aéreo, monitoramento crítico);
• Acesso a área de alta sensibilidade onde método alternativo seria insuficiente;
• Investigação criminal com base legal específica e ordem judicial.

Quando é frágil

• "Conveniência" para servidores em entrada comum — biometria facultativa pode até funcionar, mas é dado sensível e gera fricção alta com a ANPD;
• Análise comportamental em espaço público sem finalidade específica e proporcional;
• Reconhecimento facial em câmeras de espaço público aberto ao cidadão sem RIPD e sem norma autorizativa.

RIPD — Relatório de Impacto à Proteção de Dados

Para reconhecimento facial em órgão público, RIPD é praticamente obrigatório. O documento descreve finalidade, base legal, escopo, fluxo de dados, riscos, medidas mitigadoras e avaliação de proporcionalidade. É a peça que sustenta a defesa do órgão em fiscalização ou juízo. O encarregado (DPO) aprova; a alta administração homologa.

Retenção e descarte — prazos por categoria

Retenção é onde mais se acumula passivo de não conformidade. A regra geral da LGPD: dado pessoal só pode ser mantido pelo tempo necessário à finalidade. Em sistemas AV, isso vira tabela por categoria — os prazos abaixo são ordens de grandeza usuais, não prescrições legais.

O ponto crítico não é o número exato — é a existência da política, a verificabilidade da eliminação e a coerência com a finalidade declarada. Auditoria da ANPD ou do TCU vai perguntar: qual o prazo, onde está documentado, como se comprova a eliminação? Sem as três respostas, o órgão está em risco.

Controles técnicos exigidos

A LGPD não traz catálogo prescritivo de controles — adotou abordagem baseada em risco. Mas as orientações da ANPD e a prática de mercado convergem em um conjunto mínimo para sistemas AV com tratamento sensível ou volumoso.

Controle técnico é metade da equação; a outra metade é gestão de identidade, custódia de chaves e disciplina de operação. Criptografia sem custódia adequada da chave é teatro. Para segurança em fluxos sobre IP, ver nosso guia de cibersegurança em AV-over-IP.

Direitos dos titulares e como atender

Os direitos do titular (art. 18) aplicam-se integralmente a sistemas AV. Em órgão público, alguns têm operacionalização específica.

Acesso aos próprios dados

O titular pode pedir cópia das gravações em que apareça. A LGPD prevê declaração completa em até 15 dias (art. 19), mas, perante o Poder Público, prazos e procedimentos seguem a legislação específica a que remete o art. 23, §3º. Em qualquer caso, o órgão precisa de processo para localizar a gravação, isolar o trecho e entregar — frequentemente após anonimizar terceiros na mesma cena.

Anonimização de imagem ou voz

Aplicável quando o titular pede que sua imagem seja desfocada ou a voz alterada em material que será publicado. Em sessão pública de plenário com parlamentar, o pedido é frágil — prevalece a publicidade. Em reunião interna disponibilizada institucionalmente, o pedido é defensável.

Eliminação

Em gravações sob consentimento, a eliminação por pedido do titular é direito imediato. Em gravações sob obrigação legal ou execução de política pública (a maioria dos casos AV em órgão), a eliminação só ocorre ao fim do prazo de retenção. O órgão deve responder explicando a base legal que sustenta a manutenção.

Implicação operacional em arquivo de plenário

Plenários públicos têm acervo histórico de décadas. Pedidos de eliminação por ex-parlamentares esbarram em finalidade arquivística e princípio da publicidade — base sólida para manutenção. Mas o órgão deve responder formalmente, fundamentado e no prazo. Resposta automática "não" é o que gera notificação da ANPD.

Como referenciar LGPD em termo de referência AV

Se o órgão vai contratar projeto, integração ou operação AV, o termo de referência é onde a adequação à LGPD deixa de ser intenção e vira obrigação contratual. Cláusulas mínimas:

Identificação de papéis

Definir explicitamente que o órgão é controlador dos dados tratados pelo sistema e o contratado é operador (no sentido da LGPD), com obrigação de seguir as instruções do controlador e adotar medidas de proteção.

Responsabilidade compartilhada de controles

O operador (integrador, NOC, manutenção) responde pelos controles sob sua gestão — credenciais de equipamento, criptografia configurada, log de acesso da plataforma. O controlador responde por base legal, retenção e atendimento aos titulares. A cláusula deve mapear quem responde pelo quê.

Requisitos de controles obrigatórios

Especificar no edital os controles exigidos (criptografia em repouso, TLS, RBAC, log auditável) com nível de exigência claro. Evite redação genérica como "segurança adequada" — vira terreno para discussão.

Notificação de incidente

Cláusula que obrigue o operador a notificar o controlador em prazo definido (típico: 24 horas) em caso de incidente com risco aos titulares. A LGPD obriga o controlador a comunicar a ANPD em prazo regulamentado pela autoridade; sem prazo curto no contrato, o controlador não consegue cumprir.

Auditabilidade

Direito do controlador de auditar (diretamente ou via terceiro) os controles do operador, com periodicidade definida. Em contratos de NOC AV, é o que viabiliza a fiscalização técnica.

Devolução / eliminação ao fim do contrato

Definir o destino dos dados ao fim da vigência: devolução em formato auditável e eliminação verificável nos sistemas do operador, com declaração formal.

Para o desenho completo do termo de referência em integração AV, ver como elaborar termo de referência de integração audiovisual. Para a fiscalização do contrato, especialmente SLA e métricas, ver SLA e garantia em contratos AV para governo.

Erros comuns na adequação LGPD de parque AV

Confundir consentimento com base legal padrão

Em órgão público, consentimento raramente cabe — a relação institucional retira a "liberdade" exigida pela LGPD. Forçar consentimento gera adequação cosmética que não resiste a fiscalização.

Retenção indefinida por padrão

Sistema AV que grava e armazena indefinidamente, sem política, viola o princípio da necessidade. A definição de retenção por categoria é controle nuclear.

Falta de RIPD em cenário sensível

Reconhecimento facial, biometria volumosa, microfone ambiente sempre ligado — todos demandam RIPD. Operar sem o documento é exposição direta.

Encarregado (DPO) ausente do projeto AV

O DPO costuma ser convocado ao final, com o sistema já implantado. Boa prática: envolvê-lo desde o termo de referência, na base legal e na retenção.

Operador sem cláusulas LGPD no contrato

Contrato antigo de manutenção AV, herdado de antes de 2020, raramente tem cláusulas LGPD. Aditivar é mais barato que tratar incidente sem instrumento jurídico claro.

Sem registro de operações de tratamento

A LGPD obriga (art. 37) controlador e operador a manter registro das operações de tratamento. Para parque AV, isso significa inventário de sistemas com captura, finalidade, base legal, retenção e categoria de titular. Sem esse documento, a fiscalização para no primeiro pedido.

Roteiro mínimo de adequação para parque AV existente

Para órgãos que estão começando a tratar LGPD no parque AV, o caminho com melhor relação esforço/retorno tem seis passos:

1. Inventário — mapear todos os sistemas que capturam imagem, voz ou biometria; identificar volume, criticidade e categoria de titular;
2. Análise de base legal — para cada sistema, definir base legal aplicável e documentar a justificativa em registro de operações;
3. Política de retenção — definir prazo por categoria, com mecanismo de eliminação verificável;
4. Controles técnicos — implementar o conjunto mínimo (criptografia, log, RBAC, segregação) priorizando sistemas sensíveis;
5. RIPD onde aplicável — biometria, reconhecimento facial, microfone ambiente permanente — produzir RIPD com aprovação do encarregado e homologação da alta administração;
6. Cláusulas em contratos de operadores — aditivar contratos vigentes e estruturar editais futuros com cláusulas LGPD claras.

Executado com disciplina, o roteiro reduz materialmente o risco regulatório e profissionaliza a operação AV. Em parque distribuído, ele casa com a estrutura de NOC e a fiscalização por métricas — quem já tem governança operacional madura tem o terreno semipronto. Quem não tem ganha duas frentes: governança da operação e governança dos dados.

O ponto que insistimos com gestores: adequação LGPD em parque AV não é projeto único — é regime permanente. O inventário muda com novas salas, a base legal pede revisão quando a finalidade evolui, a retenção pede auditoria, o RIPD pede atualização. Tratar como entregável fechado é a receita para a não conformidade voltar pela porta dos fundos. Para ver como o desenho técnico incorpora privacidade desde o projeto, consulte integração audiovisual; para o caso particular dos dados de votação nominal, votação eletrônica em plenárias.

Matheus Lourencatto — Engenharia Netfocus. Integração audiovisual para o governo federal desde 2009: 150+ projetos entregues em 50+ órgãos, SICAF ativo e SLA contratual de 4h. Fale com a engenharia →

Publicado em 26 Fev 2024 · Revisado em 22 Set 2026