Registo de assiduidade por impressão digital e reconhecimento facial proibido: decisão de princípio KVKK 2026/921
Os leitores de impressões digitais e terminais de reconhecimento facial, usados há anos nas empresas, tornaram-se agora um risco de incumprimento. A decisão de princípio do Conselho de Proteção…
⏱️ Tempo de leitura: 9 min · 📁 Categoria: KVKK, Conformidade Digital e Segurança de Dados
Registo de assiduidade por impressão digital e reconhecimento facial proibido: decisão de princípio KVKK 2026/921
Os leitores de impressões digitais e terminais de reconhecimento facial, usados há anos nas empresas,
tornaram-se agora um risco de incumprimento. A
decisão de princípio do Conselho de Proteção de Dados Pessoais de 29 de abril de 2026, n.º 2026/921, sobre tratamento de dados biométricos para registo de assiduidade,
entrou em vigor com a publicação no Diário Oficial n.º 33268 de 2 de junho de 2026.
O efeito da decisão resume-se numa frase: mesmo que o trabalhador tenha dado consentimento explícito,
o tratamento de dados biométricos para registo de assiduidade (PDKS) é ilícito.
Isso significa que a defesa de que "eu recebi aprovação do meu pessoal" não é mais válida.
Estão abrangidas todas as empresas e instituições públicas que registem assiduidade com impressões digitais, reconhecimento facial ou leitura da íris e retina.
O consentimento explícito, por si só, não é base jurídica suficiente. O registo de assiduidade deve usar cartões cifrados, PIN, cartões RFID/NFC, folhas de assinatura ou sistemas móveis/QR como
métodos menos intrusivos.
O incumprimento da decisão pode dar início a um processo de coima ao abrigo do artigo 18.º da KVKK.
Qual é a base jurídica da decisão de princípio?
Os dados de impressões digitais, reconhecimento facial, íris e retina são considerados
categorias especiais de dados pessoais nos termos da Lei n.º 6698 de Proteção de Dados Pessoais. Estes dados identificam uma pessoa de forma única e
não podem ser revertidos uma vez comprometidos; exigem, por isso, o nível máximo de proteção.
Embora a legislação preveja o registo de tempos de trabalho, o Conselho concluiu
que o uso de dados biométricos para esse fim não tinha base legal expressa.
A decisão assenta no acórdão do Tribunal Constitucional que considerou o registo de assiduidade por impressão digital uma violação por falta do requisito de legalidade, e
na jurisprudência do Conselho de Estado que considerou os leitores de veias da palma contrários à proporcionalidade.
A decisão de princípio tornou esta orientação judicial vinculativa também no plano administrativo.
Muitas empresas baseavam o PDKS biométrico no consentimento explícito dos trabalhadores. O Conselho rejeitou esse método por dois motivos.
Razões de invalidez- Desequilíbrio de poder: O trabalhador que receia perder o emprego tem liberdade limitada para dizer não, o que põe em causa o consentimento livre.
- Possibilidade de retirada: Se o trabalhador retirar o consentimento, a continuidade do sistema é afetada, tornando-o uma base frágil desde o início.
- Proporcionalidade: Escolher o método mais sensível apesar de alternativas menos intrusivas viola o princípio de relação com a finalidade, limitação e proporcionalidade do artigo 4.º.
A decisão esclarece quais os métodos de assiduidade que geram riscos e quais as alternativas possíveis.
Comparação dos métodos de registo de assiduidade| Categoria | Método | Situação no registo de assiduidade |
|---|---|---|
| Biométrico | Impressão digital, reconhecimento facial, íris, retina | ❌ Ilegais (mesmo com consentimento explícito) |
| Cartão / Código | Cartão criptografado, sistemas baseados em PIN | ✅ Apropriado |
| Cartão sem contacto | Cartões RFID / NFC | ✅ Apropriado |
| Manual | Quadro de assinatura, entrada manual sob supervisão do auditor | ✅ Apropriado |
| Móvel | PDKS móvel baseado em código QR ou localização | ✅ Adequado, desde que não recolha dados biométricos |
A decisão vincula diretamente o setor privado e as instituições e organismos públicos.
Estão abrangidos todos os responsáveis com controlo biométrico de assiduidade, de fábricas e edifícios de escritórios a municípios e hospitais.
É errado pensar «Somos uma instituição pública ou pequena empresa, isto não nos diz respeito».
A decisão abrange todos os que tratem dados biométricos para assiduidade, independentemente da dimensão ou setor.
Sim, mas são limitadas. A proibição visa o registo corrente de assiduidade (PDKS).
Em áreas que requerem alta segurança, como um cofre bancário, laboratório de I&D, centro de dados ou sala de servidores críticos,
pode ponderar-se o uso de dados biométricos apenas para limitar o acesso ao pessoal autorizado, após análise específica da finalidade e necessidade.
Neste caso, mesmo o quadro jurídico e uma análise rigorosa da necessidade são essenciais.
O Conselho considera o incumprimento da decisão uma violação da obrigação de medidas técnicas e administrativas do artigo 12.º e
anunciou sanções administrativas ao abrigo do artigo 18.º.
As coimas KVKK aumentam anualmente com a taxa de reavaliação; nesta categoria, o limite máximo em 2026 pode atingir
milhões de liras turcas, cerca de 17 milhões de TRY.
Mais importante, este risco é frequentemente desencadeado por uma única queixa de trabalhador que dá origem a uma inspeção oficiosa.
- Entradas e saídas: terminal de reconhecimento facial
- Base: consentimento explícito dos funcionários
- Resultado: o consentimento explícito não basta; existe risco de incumprimento e é necessário mudar de sistema.
- Rastreamento da assistência do pessoal: impressão digital
- Tipo de instituição: público
- Resultado: a prática deve ser revista de imediato, pois a decisão também vincula organismos públicos.
- Objectivo: Apenas entrada autorizada em laboratório crítico
- Âmbito: controlo de acesso, não assiduidade corrente
- Resultado: pode ponderar-se uma exceção, mas são necessários análise de necessidade e enquadramento legal.
Se você já estiver usando o PDKS biométrico, gerenciar a transição na seguinte ordem é a abordagem mais segura:
- Detecção: Identifique quais os dados biométricos conservados e de que trabalhadores.
- Atualização do inventário: Registe a atividade atual de tratamento e o seu fundamento.
- Mudança para um sistema alternativo: Mude para cartão/PIN, RFID/NFC, QR ou PDKS móvel.
- Eliminação de dados biométricos: Apague ou anonimize irreversivelmente os dados que já não tenham fundamento legal.
- Auto de eliminação: Documente a eliminação; é a prova mais importante para a sua proteção numa inspeção.
- Atualização da informação e do consentimento: Prepare avisos de privacidade e informação aos trabalhadores adequados ao novo sistema.
- Atualização VERBİS: Reflita a alteração do tratamento no sistema dentro do prazo.
Mudar o dispositivo não basta. Enquanto os dados biométricos anteriores não forem devidamente eliminados
e o processo não for documentado em auto, mesmo após mudar o sistema, o risco de infrações passadas mantém-se.
A decisão de princípio KVKK 2026/921 marca claramente o fim do registo biométrico de assiduidade.
«Todos usam» ou «Obtive consentimento dos trabalhadores» já não oferece proteção jurídica.
As empresas devem gerir isto como um projeto de conformidade que reúna inventário, eliminação, informação, consentimento e VERBİS
, em vez de apenas trocar um dispositivo. Caso contrário, uma única queixa de trabalhador
pode desencadear diretamente um processo de coima.
Na B10 Digital Agency, mapeamos os riscos do seu sistema de impressões digitais ou reconhecimento facial,
planeamos a transição para uma alternativa conforme e criamos documentação pronta para inspeção.
Com o nosso modelo híbrido de consultores jurídicos e equipas técnicas, gerimos a eliminação de dados biométricos,
inventário, avisos de privacidade e atualização VERBİS num só fluxo.
Sua infraestrutura PDKS existente e itens de dados biométricos coletados são analisados. 🗑️ Eliminação documentada
Os dados sem fundamento legal são eliminados com auto, pronto para inspeção. ⚖️ Plano de ação de conformidade
Sistema alternativo, informação e etapas VERBİS são integrados num roteiro.
Se regista assiduidade por impressões digitais ou reconhecimento facial, deve fazer uma análise de conformidade antes de uma queixa de trabalhador.
Peça uma análise de conformidade do PDKS biométrico
Sim. O Conselho considera o consentimento explícito insuficiente para assiduidade devido ao desequilíbrio empregador-trabalhador e à proporcionalidade.
Que métodos alternativos são lícitos?Cartões cifrados, sistemas PIN, cartões RFID/NFC, folhas tradicionais de assinatura e papel, PDKS QR ou móvel e registo manual supervisionado.
Posso usar impressões digitais em áreas de alta segurança?A proibição visa a assiduidade corrente. Para acesso a laboratórios de I&D, salas de servidores ou cofres, pode ser possível usar biometria no quadro legal após análise específica da finalidade e necessidade.
O que devo fazer com dados biométricos antigos?Apague ou anonimize os dados sem fundamento legal segundo a Política de Eliminação de Dados e documente o processo em auto.
A decisão abrange também organismos públicos?Sim. Estão abrangidos o setor privado e as instituições e organismos públicos.
Fontes e documentos relacionados
Estes documentos servem de referência para os métodos e regras abordados neste artigo.