O argumento comercial é sempre o mesmo e é sedutor: com a impressão digital ninguém empresta o cartão, ninguém se esquece do código e ninguém pica o ponto pelo colega. Parece que se resolvem de uma vez três problemas antigos. Na prática, o controlo de acesso biométrico em empresas resolve um problema de conveniência e cria um problema de outra natureza — porque uma impressão digital não se substitui como se substitui um cartão perdido.
Antes de aprovar um projeto destes, convém separar duas utilizações que costumam ser vendidas em conjunto e que têm riscos muito diferentes: abrir uma porta e registar o tempo de trabalho.
Controlo de acesso biométrico em empresas: abrir portas não é registar o ponto
Abrir uma porta com biometria protege um espaço concreto. Pode justificar-se quando o que está do outro lado exige uma barreira forte: uma sala de cofres, um armazém de produtos controlados, uma zona técnica crítica. É uma utilização limitada, com poucas pessoas envolvidas e uma finalidade defensável.
Registar o tempo de trabalho com biometria é outra coisa. Abrange toda a gente, todos os dias, várias vezes por dia, e a finalidade — saber a que horas alguém entrou — pode ser alcançada por muitos meios menos intrusivos. É precisamente por existirem alternativas eficazes que este uso é o mais difícil de justificar.
Esta distinção é a primeira pergunta a fazer a qualquer fornecedor: para que finalidade concreta é a biometria indispensável, e o que impede que se atinja o mesmo resultado sem ela.
Porque é que um dado biométrico é diferente
Um cartão perdido bloqueia-se e emite-se outro. Um código comprometido muda-se. Uma impressão digital ou um modelo de rosto acompanham a pessoa para o resto da vida. Se o sistema que os guarda for comprometido, não há substituição possível.
Há ainda um detalhe técnico que muda a avaliação de risco e que vale a pena perguntar. Alguns sistemas guardam o modelo biométrico centralmente, numa lista à qual se comparam todas as leituras. Outros guardam o modelo apenas no cartão ou no telemóvel do próprio, e o leitor limita-se a confirmar que a pessoa corresponde ao que traz consigo. A segunda arquitetura reduz muito a exposição, porque não existe nenhuma lista central para atacar. É uma pergunta que quase ninguém faz e que devia estar em qualquer caderno de encargos.
Também é útil confirmar se o que fica guardado é a imagem da impressão digital ou apenas um modelo matemático derivado dela, se esse modelo pode ser apagado a pedido e se essa eliminação é demonstrável.
Alternativas menos intrusivas que costumam bastar
Antes de chegar à biometria, há um escalão intermédio que resolve a maioria dos casos.
Cartão ou chaveiro por aproximação. Simples, barato, revogável de imediato. O receio de que se empreste resolve-se com regras e com registo, não com biometria.
Código pessoal. Funciona bem em portas de baixo risco e não exige equipamento caro.
Telemóvel como credencial. O equipamento pessoal já está protegido por código ou pela biometria do próprio aparelho, que nunca sai dele. A empresa não guarda dado biométrico nenhum e continua a ter uma credencial difícil de emprestar.
Duas condições em vez de uma. Cartão mais código, para as portas que realmente importam. Duas coisas simples valem, muitas vezes, mais do que uma complicada.
Para o registo de tempo de trabalho, a combinação que costuma resolver o problema real — saber quem estava mesmo no posto — é outra: controlo de assiduidade com registo pelo telemóvel do próprio, fotografia no momento do registo e verificação da posição no local de serviço. Não guarda dados biométricos, não exige leitores instalados em cada posto e funciona em serviços dispersos, que é onde os leitores fixos falham por completo.
Saber quem entrou ao serviço e quem não registou entrada não exige leitores biométricos em cada posto.
O que a biometria não resolve
Vale a pena desmontar duas expectativas.
A primeira é a de que a biometria elimina a fraude no registo de presenças. Reduz uma forma concreta de fraude — o registo feito por outra pessoa — mas não impede que alguém registe a entrada e se ausente logo a seguir. A cobertura real de um posto verifica-se com rondas cumpridas e com contacto com a central, não com o momento da picagem.
A segunda é a de que os leitores funcionam sempre. Dedos gastos por trabalho manual, mãos molhadas, luvas, frio, poeira, luz direta sobre um leitor de rosto: em ambientes industriais e em exteriores as taxas de rejeição sobem, e cada rejeição é uma pessoa parada à porta a chamar alguém. Se não houver um método alternativo previsto, cria-se um estrangulamento à hora de entrada — e o método alternativo acaba quase sempre por ser um cartão, o que levanta a pergunta de para que serviu o leitor.
Cautelas antes de instalar
Se, avaliadas as alternativas, a biometria continuar a parecer necessária, há um conjunto de precauções mínimas:
- Ter por escrito a finalidade, limitada e concreta, e a justificação de por que razão as alternativas não servem.
- Restringir o uso às portas que o exigem, em vez de estender a solução a todo o edifício por comodidade.
- Prever sempre um método alternativo para quem não consiga ou não deva usar o leitor, sem que isso o exponha perante os colegas.
- Informar as pessoas de forma clara sobre o que é recolhido, onde fica e durante quanto tempo.
- Definir quem administra o sistema, com contas nominais, e manter registo de quem consulta o quê.
- Prever a eliminação dos modelos quando a pessoa sai, no mesmo dia.
E a cautela que não é opcional: este é um domínio em que o enquadramento de proteção de dados é particularmente exigente, muda com o tempo e é interpretado de forma diferente consoante o contexto e o setor. Qualquer projeto deve ser validado previamente com a autoridade de proteção de dados competente e com assessoria jurídica. Este texto não é assessoria jurídica.
E as visitas?
Nos átrios de receção aparece com frequência a ideia de captar dados biométricos de visitantes. É raro justificar-se. Uma visita entra pontualmente e o que a empresa precisa é de saber quem entrou, a quem se dirige, a que horas entrou e a que horas saiu — o que se resolve com um registo de visitas, um crachá temporário e a devolução do crachá à saída.
Se o objetivo é ter prova do que aconteceu numa entrada concreta, o registo escrito com hora e responsável, associado ao livro de ocorrências digital, é mais útil e muito menos arriscado do que uma base de rostos de visitantes. E se o cliente quiser acompanhar o movimento, dá-se-lhe acesso ao portal do cliente em vez de instalar equipamento adicional.
Um registo com autor, hora e fotografia prova o que aconteceu à porta sem recolher dados biométricos de ninguém.
Perguntas frequentes
A biometria para picar o ponto é permitida? É um uso sujeito a exigências reforçadas e difícil de justificar quando existem alternativas eficazes menos intrusivas — e existem quase sempre. Antes de avançar, a avaliação tem de ser feita com a autoridade de proteção de dados e com assessoria jurídica.
E se os trabalhadores derem o seu consentimento? Na relação de trabalho, o consentimento é frágil precisamente por causa da desigualdade entre as partes: dificilmente se pode considerar livre. Não é seguro construir um projeto biométrico apenas sobre esse alicerce.
Guardar o modelo só no cartão do trabalhador muda alguma coisa? Muda o risco, e para melhor: não existe uma lista central que possa ser comprometida. Continua, ainda assim, a ser tratamento de dados biométricos e continua a exigir a mesma análise prévia.
O que fazer com quem não consegue usar o leitor? Tem de existir um método alternativo previsto desde o início, aplicado com naturalidade e sem expor a pessoa. Um sistema sem alternativa acaba por criar exceções improvisadas, que são precisamente o furo que se queria evitar.
Se o problema real é saber quem está mesmo no posto e a que horas, há caminhos menos intrusivos e mais fáceis de defender. Podemos mostrar-lhe como fica um turno registado de ponta a ponta.