Selfie e documento para responder pedido de dados: até onde vale
Pedir acesso aos próprios dados e receber, em troca, a exigência de enviar selfie segurando o documento, comprovante de residência e foto do outro lado da carteira de identidade soa contraditório: para exercer um direito de proteção de dados, o titular é obrigado a entregar ainda mais dados. Existe uma razão legítima para checar identidade, mas ela tem limite.
Por que a checagem de identidade existe
O § 3º do art. 18 da LGPD exige que os direitos do artigo sejam exercidos mediante requerimento expresso do titular ou de representante legalmente constituído. Isso pressupõe alguma forma de confirmar que quem está pedindo o dado é, de fato, o titular — sem isso, qualquer pessoa poderia solicitar dados pessoais de terceiros se passando por eles.
O princípio da necessidade também vale para a verificação
O art. 6º, inciso III, exige que o tratamento se limite ao necessário para a finalidade. Na verificação de identidade, o método deve ser proporcional ao risco de entregar aquele conjunto de dados, à sensibilidade do conteúdo e aos mecanismos de autenticação já disponíveis. CPF e data de nascimento isolados podem ser conhecidos por terceiros e não devem ser tratados como prova suficiente por padrão. Sessão autenticada, nova autenticação, código enviado a canal previamente cadastrado ou combinação de fatores podem reduzir a coleta adicional, conforme o risco concreto.
Quando a exigência vira nova coleta desproporcional
O fato de o serviço não ter pedido documento no cadastro original não torna toda exigência posterior automaticamente excessiva. Uma cópia de prontuário, histórico financeiro ou outro conjunto sensível pode justificar verificação mais forte. A empresa, porém, deve explicar por que os controles existentes não bastam, quais campos do documento são necessários, por quanto tempo a nova evidência será conservada e como será protegida. Exigir selfie com documento para uma confirmação simples, sem análise de risco nem alternativa, pode contrariar necessidade e segurança.
Alternativas proporcionais de verificação
Uma sessão já autenticada, a redigitação de credencial, um código enviado ao e-mail ou telefone previamente validados e o segundo fator já usado no login são opções que podem compor a verificação. Nenhuma delas é suficiente em todo caso: o controlador deve combinar fatores de acordo com o risco e evitar coletar documento ou biometria só por conveniência operacional. O mesmo cuidado impede que um método fraco entregue dados pessoais a um impostor.
Perguntas frequentes
A empresa pode negar o pedido se eu recusar a selfie?
Não automaticamente. A empresa deve tentar formas de verificação proporcionais ao que já possui; recusar o pedido só porque o titular questionou uma exigência desproporcional pode configurar descumprimento do dever de resposta do art. 18.
E se eu nunca tiver cadastrado documento de identidade na empresa?
A empresa pode precisar de verificação adicional, sobretudo antes de entregar dados sensíveis, mas deve justificar o método e limitar a nova coleta. A solução pode combinar conta autenticada e fator de posse; documento com foto não é automaticamente obrigatório nem automaticamente excessivo.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
- O encarregado de dados (DPO) da própria empresa e, se não houver resposta, a ANPD pelos canais oficiais de petição.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.