Reconhecimento facial para assiduidade em Portugal: o que a lei permite e o que não permite.

Usar a cara de um trabalhador para registar a hora a que entra é legal em Portugal. Mas é legal da mesma forma que conduzir é legal: dentro de regras apertadas, e a responsabilidade por cumpri-las é de quem conduz. Neste caso, do empregador.

Este artigo percorre essas regras uma a uma. No fim sabe exactamente o que a lei lhe exige antes de instalar um terminal biométrico numa loja, e o que nós já preparámos para cada exigência.

Uma nota antes de começar: nada disto é aconselhamento jurídico para o seu caso concreto. É o enquadramento geral, com as fontes ligadas ao diploma. Para decisões com consequências, fale com quem lhe possa assinar um parecer.

O que diz o artigo 18.º do Código do Trabalho

O Código do Trabalho trata os dados biométricos num artigo próprio, o 18.º. Diz duas coisas que importam:

1. O empregador só pode tratar dados biométricos do trabalhador se forem necessários, adequados e proporcionais aos objectivos a atingir. Não chega ser conveniente. Tem de haver uma finalidade concreta que outro meio não sirva igualmente bem.
2. Os dados só se conservam durante o período necessário para essa finalidade, e o artigo usa a palavra destruídos, não arquivados. Trabalhador sai da empresa, dados destroem-se. E atenção ao detalhe que os grupos com várias lojas ignoram: a transferência para outro local de trabalho também obriga à destruição.

E a finalidade não fica ao critério de cada empresa. A Lei 58/2019, que executa o RGPD em Portugal, fecha a porta no artigo 28.º: o tratamento de dados biométricos de trabalhadores só se considera legítimo para duas finalidades, controlo de assiduidade e controlo de acessos às instalações. Nem uma a mais.

O mesmo artigo 28.º acrescenta uma condição técnica que elimina metade dos sistemas à venda: só podem utilizar-se representações dos dados biométricos, e o processo de recolha não pode permitir a reversibilidade desses dados. Por outras palavras: o sistema não pode guardar a fotografia do seu rosto. Pode guardar um modelo matemático a partir do qual a fotografia não se reconstrói.

O que o RGPD acrescenta: artigo 9.º, dados biométricos

O RGPD classifica os dados biométricos usados para identificar uma pessoa como categoria especial (artigo 9.º). A regra de partida é a proibição do tratamento. O tratamento só se admite numa das excepções do n.º 2, e no contexto laboral a que interessa é a alínea b): tratamento necessário para o cumprimento de obrigações em matéria de direito do trabalho, na medida em que a lei nacional o preveja. É aqui que o artigo 28.º da Lei 58/2019 entra: é essa previsão nacional.

Repare no que isto implica e que quase toda a gente ignora: o consentimento do trabalhador não é a base jurídica. E ainda bem. O consentimento no trabalho vale pouco, porque a relação é desequilibrada: um trabalhador que teme dizer não ao patrão não está a consentir livremente, e a CNPD já o disse vezes suficientes. A base é a lei, não a assinatura.

Mas atenção: a base ser a lei não dispensa dar alternativa. Um trabalhador que não queira o registo biométrico tem de poder registar assiduidade por outro meio, com o cartão, sem qualquer prejuízo. Sem essa alternativa real, a proporcionalidade do artigo 18.º cai, e o sistema todo cai com ela.

O RGPD acrescenta ainda as obrigações gerais que valem para qualquer tratamento: informação clara ao titular (artigos 13.º e 14.º), minimização (recolher só o necessário), segurança (artigo 32.º) e o registo de actividades de tratamento (artigo 30.º).

O papel da CNPD e da AIPD

A CNPD deixou de licenciar tratamentos: desde 2018 o modelo é de responsabilização. Não pede autorização: prova que fez o trabalho de casa quando lhe perguntarem. E o trabalho de casa, para biometria de trabalhadores, tem nome: Avaliação de Impacto sobre a Protecção de Dados, a AIPD (artigo 35.º do RGPD).

A AIPD não é opcional neste caso. O Regulamento n.º 1/2018 da CNPD lista os tratamentos que a exigem, e o tratamento de dados biométricos de trabalhadores está lá. A avaliação tem de descrever o tratamento, justificar a necessidade e a proporcionalidade, identificar os riscos para os trabalhadores e as medidas que os reduzem. Escrita antes de o sistema entrar em funcionamento, não depois.

Há mais um interveniente que aparece pouco nas conversas comerciais e muito nas inspecções: a comissão de trabalhadores, quando exista. O parecer dela está no próprio artigo 18.º do Código do Trabalho. Desse artigo, a notificação prévia à CNPD caiu com o RGPD; o parecer da comissão ficou. Ignorá-lo é das formas mais baratas de transformar uma instalação legal num processo.

E há dois princípios que a CNPD aplica à biometria laboral há mais de vinte anos e que sobreviveram à mudança de regime. Primeiro: os terminais servem para picar e para mais nada, por isso não podem estar colocados de forma a controlar a circulação das pessoas dentro das instalações. Um leitor à porta regista assiduidade; um leitor em cada corredor regista movimentos, e isso já não é assiduidade, é vigilância. Segundo: o sistema tem de prever alternativa para as falhas do próprio sistema, a começar pelas falsas rejeições. Uma pessoa que a máquina não reconhece num dado dia tem de conseguir registar a entrada na mesma, sem ficar à porta nem depender de um favor.

Nada disto é teórico. Em Agosto de 2026, o Sindicato dos Médicos da Zona Sul levou à CNPD o sistema de assiduidade por biometria facial do Serviço Regional de Saúde da Madeira. Os argumentos são exactamente os desta página: proporcionalidade face a alternativas menos intrusivas, clareza da informação dada aos profissionais, e a exigência de que nenhuma discrepância detectada pelo sistema se transforme em falta ou sanção sem validação humana. O processo vai correr o seu caminho; a lição já está disponível. Quem instala sem ter estas respostas escritas está a deixar que seja a primeira queixa a defini-las.

O que isto exige na prática a um empregador

A lista, sem rodeios. Antes de o primeiro trabalhador picar com a cara, tem de ter:

1. AIPD escrita e aprovada, com a análise de proporcionalidade feita para a sua operação, não copiada de um template.
2. Informação dada a cada trabalhador: que dados se tratam, para quê, durante quanto tempo, quem os vê, que direitos tem. Por escrito, em linguagem que uma pessoa com pressa entende.
3. Alternativa por cartão para quem não aceite o registo biométrico, sem custo nem estigma para quem a escolhe.
4. Um sistema que guarde representações irreversíveis, nunca imagens. Se o fornecedor não souber explicar o que guarda e onde, o problema é seu, porque o responsável pelo tratamento é a sua empresa.
5. Prazos de conservação definidos e cumpridos: modelo biométrico apagado quando o trabalhador sai, registos de assiduidade guardados o que a lei laboral exige e nada mais.
6. Registo do tratamento no seu registo de actividades (artigo 30.º) e contrato de subcontratação (artigo 28.º do RGPD) com o fornecedor do sistema.
7. Consulta aos representantes dos trabalhadores, quando existam, documentada.

Se esta lista lhe parece pesada, é porque é. Foi desenhada para ser: dados biométricos são dos dados mais sensíveis que uma empresa pode tratar, e um sistema mal montado não falha para a empresa, falha para as pessoas.

Como a Notchel implementa cada requisito

Construímos o produto a partir desta lista, não ao contrário. Ponto por ponto:

• Irreversibilidade. O terminal converte a cara num modelo matemático (um vector de características) no momento da recolha. A imagem nunca se guarda. Do modelo não se reconstrói cara nenhuma: é o requisito do artigo 28.º cumprido por desenho, não por política interna.
• Processamento local. O modelo biométrico fica cifrado no equipamento instalado na loja e nunca sai de lá. Para o servidor, alojado na União Europeia, seguem apenas eventos de picagem pseudonimizados: um identificador, uma hora, um terminal. Quem entrar no servidor não encontra biometria, porque ela não está lá.
• Alternativa por cartão. Não é um extra, é o mesmo terminal. Qualquer trabalhador pode usar cartão desde o primeiro dia, e a escolha não fica visível para colegas nem chefias no acto de picar.
• Prazos de conservação. O modelo biométrico apaga-se com a saída do trabalhador. Os registos de assiduidade seguem o prazo legal e a política de retenção documentada no dossiê.
• Documentação. Entregamos aos clientes um dossiê de conformidade RGPD e AI Act com 10 documentos: modelo de AIPD preenchido para a operação, minuta de informação ao trabalhador, contrato de subcontratação, política de retenção, procedimento de violação de dados, entre outros. O seu DPO não começa do zero: começa de um dossiê que já passou por auditoria.

O AI Act já deixou de ser novidade nesta mesa, e convém ler as datas com cuidado. As proibições aplicam-se desde 2 de Fevereiro de 2025. As obrigações para sistemas de alto risco do anexo III entravam a 2 de Agosto de 2026, mas o pacote Digital Omnibus adiou-as para 2 de Dezembro de 2027. Adiadas, não canceladas: quem instala um sistema hoje vai vivê-las durante todo o contrato. Para assiduidade, o regulamento traça duas fronteiras que interessam. A análise de emoções no local de trabalho é proibida desde já, salvo razões médicas ou de segurança. E o regime muda consoante o desenho do sistema: a verificação biométrica (confirmar que a pessoa à frente do terminal é quem diz ser) está expressamente excluída da lista de alto risco; a identificação à distância, sem participação activa da pessoa, está lá dentro, com deveres próprios para quem fornece o sistema e para quem o instala. Em que lado cai uma instalação concreta decide-se câmara a câmara, no desenho, e é uma das perguntas a que o dossiê responde por escrito. Não porque a inspecção de amanhã o vá pedir, mas porque a auditoria de um grupo internacional depois de amanhã vai.

O que não fazemos (e porquê)

Tão importante como a lista do que fazemos:

• Não guardamos fotografias. Nem “temporariamente”, nem “só para debug”. A tentação de guardar a imagem para resolver casos duvidosos é real e é ilegal: a reversibilidade proibida pelo artigo 28.º começa aí.
• Não usamos a biometria para mais nada. Sem análise de emoções, sem medição de tempos de pausa por câmara, sem contagem de pessoas. Duas finalidades legítimas, e nós usamos uma: assiduidade.
• Não tratamos o consentimento como base jurídica. Informamos, damos alternativa e documentamos. Chamar consentimento a uma coisa que o trabalhador não pode recusar livremente é pintar a fachada de um edifício sem alicerces.
• Não vendemos instalação sem dossiê. Há quem prefira instalar primeiro e documentar depois. Depois é tarde: a AIPD é prévia por definição, e uma coima do RGPD chega aos 20 milhões de euros ou 4 % do volume de negócios mundial, o que for maior.

A conclusão prática cabe numa frase: a lei portuguesa permite picagem por reconhecimento facial, mas só recompensa quem a trata como um tratamento de alto risco desde o primeiro dia. É exactamente assim que a tratamos. Se quiser ver o dossiê antes de qualquer reunião, peça o índice: enviamos no próprio dia.

Guilherme Gameiro
Engenheiro e Co-Fundador da Notchel.