Rede de academias: biometria, base de dados comprada e pedido de exclusão
Uma rede de academias com 40 unidades usa leitor biométrico de impressão digital para liberar a catraca de alunos e registrar o ponto de 1.200 funcionários. As templates biométricas ficam em um servidor na nuvem e, desde janeiro, também alimentam um painel de "perfil de frequência" usado para decidir promoções e retenção. Para acelerar a expansão, a rede comprou de uma academia concorrente que encerrou as atividades uma base de 50 mil contatos de ex-alunos, com nome, telefone e histórico de lesões, e começou a enviar SMS promocionais sem qualquer aviso. Em paralelo, um aluno com deficiência física pediu por e-mail a exclusão dos dados de saúde registrados na avaliação física de admissão, alegando que nunca autorizou o registro. O atendimento respondeu que "dados de saúde são necessários para a execução do contrato" e que a resposta sairá em até 15 dias.
1. Qual é a base legal para a biometria de alunos e de funcionários? O consentimento resolve? E o uso das templates no painel de perfil de frequência?
Read the worked answer
Impressão digital é dado pessoal sensível (Art. 5º, II - dado biométrico), o que muda toda a análise: o rol do Art. 11 é taxativo e o legítimo interesse não está nele.
Para alunos: a base possível é o consentimento específico e destacado, por escrito ou outro meio que demonstre manifestação livre, informada e inequívoca (Art. 11, I), com finalidade delimitada - controle de acesso - e canal de revogação. Para funcionários, o consentimento é problemático: a subordinação compromete a liberdade, e a leitura dominante é que ele não é válido nesse contexto. Restam o cumprimento de obrigação legal (Art. 7º, II) e o princípio da necessidade (Art. 6º, III): como não há lei exigindo biometria para ponto, a alternativa menos invasiva (crachá, senha, cartão) deve ser preferida; a biometria só se sustenta se a necessidade for demonstrada e houver medidas de segurança robustas.
Quanto ao painel de "perfil de frequência", há finalidade nova, incompatível com o consentimento original de acesso - exigiria nova base. Sendo dado sensível, não pode ser legítimo interesse, e decisões automatizadas com efeito sobre o titular têm disciplina própria (Art. 20). O uso deve ser suspenso até haver base adequada e avaliação de impacto.
2. A rede pode usar comercialmente a base de 50 mil contatos comprada da academia concorrente? Justifique.
Read the worked answer
Não. Consentimento é ato personalíssimo, específico e informado (Art. 8º), e não se transfere em bloco junto com a base de dados. A academia vendedora obteve os dados para finalidades próprias; o comprador precisa de base legal própria para a nova finalidade - marketing por SMS.
O problema se agrava porque os registros incluem histórico de lesões, dado sensível de saúde (Art. 5º, II). As hipóteses do Art. 11 são taxativas - consentimento específico, obrigação legal, políticas públicas, estudos, exercício de direitos, proteção da vida e tutela da saúde - e nenhuma cobre a compra de lista para prospecção. Além disso, o próprio vendedor precisaria de base para transferir os dados a terceiro, o que não está demonstrado.
Consequências: tratamento sem base legal, sujeito às sanções do Art. 52, e risco de dano moral coletivo, com exposição também pelo CDC. O ônus de provar a validade do consentimento é do controlador (Art. 8º, §2º), e a cadeia de agentes responde solidariamente (Art. 42).
O correto é descartar a base ou, na melhor hipótese, verificar se existe consentimento específico e comprovável dos titulares para marketing de terceiros - o que é raro e precisa ser demonstrado, não presumido.
3. Como a academia deve tratar o pedido de exclusão dos dados de saúde? Avalie a resposta dada ao aluno.
Read the worked answer
A resposta está errada na fundamentação: execução de contrato não é hipótese do Art. 11, portanto não serve de base para dados de saúde. Na maioria dos casos, a avaliação física de admissão em academia também não se enquadra em "tutela da saúde por profissionais de saúde e serviços de saúde", o que deixa o consentimento específico e destacado como base mais provável.
Passos corretos: (i) confirmar a identidade do titular e responder em até 15 dias (Art. 19); (ii) verificar se existe hipótese de conservação (Art. 16) - obrigação legal, exercício regular de direitos em processo, entre outras; não havendo, eliminar os dados de saúde e informar a eliminação (Art. 18, IV e VI); (iii) se a base era consentimento, a revogação é livre e deve ser facilitada (Art. 8º, §5º), sem exigir justificativa; (iv) registrar pedido, decisão e data; (v) se a academia quiser manter os dados para outra finalidade, precisa de nova base e nova informação ao titular.
Atenção ao ônus: cabe à academia demonstrar que a conservação é obrigatória. Sem essa demonstração, a exclusão deve ser efetivada e o aluno informado de forma clara.