Ponto por reconhecimento facial: como funciona e o que a lei exige

A promessa é acabar com o ponto batido por outra pessoa. O preço é tratar dado biométrico, que a LGPD classifica como sensível e cerca de regras.

Atualizado em 06/09/2026.

Ponto por reconhecimento facial é o registro de jornada em que o funcionário se identifica pelo próprio rosto, e não por crachá, senha ou digital. Ele tira uma selfie na hora de bater, e o sistema compara aquele rosto com o que foi cadastrado uma vez.

O problema que ele resolve

Chama-se, no chão de fábrica, "bater ponto pelo colega". Crachá se empresta, senha se conta, cartão de papel se preenche depois. Todo método de identificação que não é o corpo da pessoa pode ser passado adiante, e quando isso acontece o controle de jornada da empresa passa a registrar uma ficção.

Não é um problema pequeno. Um controle que registra hora que ninguém trabalhou custa dinheiro todo mês, e um controle que a empresa sabe estar errado não serve de defesa em lugar nenhum.

Como funciona, por dentro

1. O cadastro, uma vez. A pessoa tira algumas fotos do próprio rosto. O sistema não guarda as fotos como retrato: ele extrai delas uma lista de números que descreve aquele rosto, e é isso que fica guardado.
2. A batida, todo dia. Na hora de registrar, uma nova selfie vira outra lista de números.
3. A comparação. O sistema mede a distância entre as duas listas. Perto, é a mesma pessoa. Longe, não é.

O que a LGPD exige antes de você ligar isso

A Lei Geral de Proteção de Dados classifica dado biométrico como dado pessoal sensível, no artigo 5º, inciso II. Sensível é uma categoria com regra mais dura que a dos dados comuns, e não é formalidade.

Na prática, para a empresa que vai usar:

• Informe antes, por escrito. Cada funcionário precisa saber o que é coletado, para quê, por quanto tempo fica e com quem é compartilhado. Um aviso no mural não cumpre isso.
• Tenha uma base legal, e saiba dizer qual é. O caminho mais seguro para biometria em ponto é o consentimento específico e destacado, documentado por pessoa.
• Ofereça uma alternativa. Consentimento que não pode ser recusado sem prejuízo não é consentimento. Quem não quiser usar o rosto precisa ter outro caminho para registrar a jornada.
• Apague quando não precisar mais. Terminado o contrato, o rosto guardado deixou de ter finalidade. Manter dado sensível sem finalidade é exposição sem contrapartida.

O que acontece quando o rosto não confere

Aqui está o ponto em que a maioria dos sistemas erra, e o erro é grave: se o rosto não confere, o registro tem que entrar do mesmo jeito.

A Portaria 671 proíbe bloquear, restringir ou condicionar a marcação de ponto. Um sistema que recusa a batida porque não reconheceu o rosto está impedindo alguém de registrar a jornada que ele efetivamente cumpriu, e isso é justamente o que a norma veda.

O comportamento correto é: registra, e marca para conferência humana. O gestor olha depois, com a selfie do momento na mão, e decide. Luz ruim, boné, máscara, barba nova e câmera suja fazem rosto não conferir todo dia, em gente que está exatamente onde deveria estar.

Reconhecimento facial e prova de vida

Comparar rostos não basta. Sem uma verificação a mais, alguém aponta a câmera para a foto de um colega no celular e o sistema aprova. Prova de vida é o que distingue uma pessoa presente de uma imagem de pessoa: pedir um movimento na hora, conferir se a captura tem profundidade e variação, não aceitar duas capturas idênticas demais.

Como é no Sigma Ponto

• O rosto é guardado cifrado, e amarrado por criptografia ao funcionário a que pertence. Sem a chave, o sistema recusa gravar em vez de gravar em claro. Mover a linha de uma pessoa para outra no banco não transfere o rosto: o pacote simplesmente não abre.
• O rosto é apagado no desligamento, sem carência. A rotina roda de hora em hora. Não existe motivo de negócio para guardar o rosto de quem saiu.
• A selfie de cada batida continua guardada, e isso é outra coisa: ela é o documento daquele registro, com prazo legal de guarda. Rosto cadastrado serve para conferir; selfie de batida é prova da jornada.
• Rosto que não confere não bloqueia nada. O registro entra, marcado, e aparece na lista de conferência do gestor com a foto do momento.
• Sem internet também entra. A batida fica no aparelho e sobe sozinha quando a rede volta.

O que o sistema faz com esses dados, por quanto tempo e com quem compartilha está escrito na política de privacidade.

Esta página explica como a tecnologia funciona e o que a legislação brasileira exige, e não substitui a avaliação do seu contador ou advogado sobre o uso de biometria na sua empresa. A base legal adequada e os documentos de informação ao trabalhador são responsabilidade do empregador.