Uma perícia sobre dados biométricos trouxe uma mudança importante para a investigação envolvendo Serasa Experian, Unico e Skill Tecnologia. Segundo documentos obtidos pela Folha de S.Paulo, o exame judicial não localizou dados biométricos oriundos da Unico nos sistemas analisados da Skill.
A conclusão enfraquece a hipótese de existência de um banco paralelo contendo selfies ou modelos biométricos de milhões de brasileiros. Contudo, ela não encerra automaticamente a controvérsia.
O inquérito policial continua em andamento, enquanto a ação cível entre as empresas permanece sob análise judicial. Além disso, a perícia identificou uma discussão distinta: o possível uso de uma rota tecnológica contratada para operações do Banco do Brasil no processamento de validações relacionadas a outros clientes.
Portanto, o caso exige precisão. Uma coisa é investigar eventual descumprimento contratual ou uso inadequado de uma infraestrutura. Outra, bastante diferente, é afirmar que milhões de dados biométricos foram copiados, armazenados ou vazados.
Como começou a suspeita de vazamento biométrico?
A controvérsia começou quando a Unico acusou a Skill Tecnologia, empresa responsável por integrar clientes à plataforma de identidade digital, de utilizar um canal contratado para operações do Banco do Brasil em validações vinculadas a outras empresas.
Entre essas empresas estariam a Serasa Experian e a ClearSale.
A acusação levantou a suspeita de que selfies fornecidas por consumidores durante pedidos de crédito, abertura de contas e validações de identidade poderiam ter recebido tratamento irregular.
Além disso, um laudo contratado pela acusação teria apontado ao menos 1,4 milhão de transações consideradas irregulares. Segundo a estimativa apresentada, a operação poderia envolver consultas relacionadas a até 22 milhões de pessoas.
Naturalmente, números dessa dimensão produziram grande preocupação. Afinal, dados biométricos não funcionam como uma senha comum.
Caso uma senha seja comprometida, o usuário pode alterá-la. Por outro lado, ninguém consegue trocar o próprio rosto, a impressão digital ou o padrão da íris com a mesma facilidade.
O que a perícia judicial encontrou?
A perícia nomeada pela 9ª Vara Cível de Brasília analisou diretamente os sistemas da Skill.
Segundo a reportagem, o perito afirmou não ter localizado dados biométricos provenientes da Unico na infraestrutura examinada. Dessa forma, o trabalho técnico não confirmou a existência do banco paralelo descrito na acusação.
Além disso, o especialista encontrou registros compatíveis com uma operação de reprocessamento.
De acordo com a versão apresentada pela defesa da Skill, a Unico teria lançado um novo algoritmo e precisaria comparar seu desempenho com a tecnologia anterior. Para realizar esse teste, imagens já processadas teriam passado novamente pelo sistema.
Consequentemente, uma mesma validação poderia gerar diversos registros nos logs. Assim, o elevado número de transações não significaria, necessariamente, igual quantidade de pessoas ou novos tratamentos biométricos.
Essa distinção é essencial. Logs registram eventos técnicos. Entretanto, um evento não corresponde automaticamente a um titular diferente, a uma nova coleta ou a um arquivo armazenado.
Ausência de dados encontrados prova que nunca houve vazamento?
Não necessariamente.
A perícia constitui um elemento técnico relevante, mas sua conclusão precisa ser interpretada dentro dos limites do exame realizado.
Quando um laudo afirma que determinado dado não foi encontrado, isso significa que o perito não identificou aquele conteúdo nas fontes, nos sistemas e no período analisados.
Contudo, essa conclusão não deve ser ampliada além do escopo pericial.
Para afastar definitivamente uma hipótese de vazamento, também pode ser necessário verificar:
- quais ambientes foram examinados;
- qual período os registros abrangem;
- se existiam backups ou sistemas externos;
- quais fornecedores participaram do tratamento;
- se houve exclusão ou migração de informações;
- quais logs estavam disponíveis;
- como funcionavam as integrações entre as empresas;
- se os procedimentos permitiam reproduzir as conclusões.
Portanto, o laudo enfraquece a acusação de armazenamento indevido, mas não transforma automaticamente toda a disputa em assunto encerrado.
O inquérito policial e o processo judicial continuam em andamento. Além disso, Unico e Skill afirmaram que não comentariam detalhes por causa do sigilo, enquanto a Serasa classificou as acusações como falsas e infundadas.
Uso irregular de uma rota não é sinônimo de vazamento
Este talvez seja o principal aprendizado técnico do caso.
Uma integração pode utilizar uma rota inadequada, contrariar um contrato ou gerar cobrança incorreta sem que, necessariamente, ocorra vazamento de dados.
Da mesma forma, um alto volume de chamadas de API não comprova sozinho que alguém copiou ou armazenou informações biométricas.
Para caracterizar um incidente, a investigação precisa demonstrar o que realmente aconteceu com os dados.
Por exemplo:
- houve acesso não autorizado?
- os arquivos saíram do ambiente permitido?
- terceiros receberam as informações?
- ocorreu armazenamento fora da finalidade original?
- alguém conseguiu consultar ou reutilizar os dados?
- existiu perda de confidencialidade, integridade ou disponibilidade?
Sem essas respostas, o termo “vazamento” pode antecipar uma conclusão que a prova técnica ainda não sustenta.
O caso se conecta ao debate do artigo STJ anula prints: o que muda na validade das provas digitais. Embora os contextos sejam diferentes, a lição permanece: alegações digitais precisam de método, rastreabilidade e possibilidade de verificação independente.
Por que dados biométricos exigem proteção reforçada?
A Lei Geral de Proteção de Dados classifica a biometria vinculada a uma pessoa natural como dado pessoal sensível.
Por isso, o tratamento exige fundamento jurídico adequado, finalidade determinada, necessidade, transparência, segurança e prevenção.
A ANPD também destaca que dados biométricos podem incluir face, voz, impressão digital, retina, íris e até padrões comportamentais. Além disso, a autoridade alerta que essas identificações são únicas e permanentes, o que agrava as consequências de um uso indevido.
Entretanto, existe outra distinção importante.
Uma selfie não representa automaticamente um modelo biométrico.
A fotografia pode ser utilizada para gerar um template matemático, isto é, uma representação técnica das características faciais. Por isso, a perícia precisa identificar o que efetivamente circulou entre os sistemas: imagem, template, resultado de validação, identificador, token ou simples registro de transação.
Cada elemento possui função, risco e tratamento técnico diferentes.
A LGPD depende apenas do consentimento?
Não.
Embora o consentimento seja uma das hipóteses legais, a LGPD prevê outras bases para o tratamento de dados sensíveis. Portanto, não é correto afirmar que toda biometria depende exclusivamente da autorização do titular.
O artigo 11 permite o tratamento em situações específicas, como cumprimento de obrigação legal, exercício regular de direitos, prevenção à fraude e segurança do titular em processos de identificação e autenticação.
Contudo, a existência de uma base legal não libera o uso irrestrito.
A organização ainda precisa demonstrar finalidade, necessidade e proporcionalidade. Além disso, deve informar responsabilidades entre controlador, operador, integradores e fornecedores.
Nesse contexto, contratos comerciais ajudam a definir obrigações. Porém, eles não eliminam os direitos das pessoas às quais os dados pertencem.
A perícia digital evita julgamentos pela manchete
Casos envolvendo tecnologia costumam produzir conclusões rápidas.
Primeiro surge uma acusação de milhões de registros expostos. Em seguida, números elevados ganham destaque. Depois, empresas, clientes e titulares enfrentam danos reputacionais antes mesmo da conclusão técnica.
Por outro lado, a perícia pode revelar que o volume correspondia a reprocessamentos, testes, chamadas repetidas ou registros administrativos.
Isso não significa que toda acusação seja falsa. Também não significa que todo laudo seja incontestável.
Significa apenas que a resposta precisa nascer da análise dos sistemas, e não da aparência inicial dos números.
Por isso, um exame adequado deve observar bancos de dados, logs, APIs, rotas, arquivos, políticas de retenção, credenciais, infraestrutura em nuvem e relações entre fornecedores.
Além disso, o perito precisa registrar ferramentas, critérios, limitações e fontes examinadas.
Empresas devem revisar toda a cadeia de fornecedores
Mesmo sem confirmação de vazamento, o caso mostra como integrações complexas dificultam a governança.
Uma empresa coleta a selfie. Outra processa a biometria. Uma terceira integra o cliente. Além disso, diferentes rotas podem conectar bancos, bureaus de crédito e serviços antifraude.
Consequentemente, ninguém deve presumir que a segurança termina no próprio sistema.
As organizações precisam:
- mapear o fluxo dos dados;
- delimitar funções de controladores e operadores;
- restringir rotas e credenciais;
- separar ambientes e clientes;
- registrar reprocessamentos;
- definir prazos de retenção;
- auditar fornecedores;
- manter logs íntegros;
- testar a resposta a incidentes;
- preparar relatórios de impacto.
O artigo ECA Digital e verificação de idade: o risco do vazamento de dados mostra por que a coleta de biometria exige cautela ainda maior quando envolve crianças e adolescentes.
Conclusão: perícia separa suspeita, contrato e incidente real
A perícia sobre dados biométricos não encontrou, nos sistemas analisados, o banco paralelo atribuído à Skill. Portanto, a principal hipótese de vazamento envolvendo Serasa e Unico perdeu força técnica.
Contudo, a investigação permanece aberta. Além disso, a discussão sobre rotas, reprocessamentos, contratos e finalidades ainda exige análise jurídica e tecnológica.
O caso deixa uma lição importante: volume de logs não equivale automaticamente a milhões de dados vazados. Da mesma forma, eventual uso contratualmente inadequado de uma integração não comprova, sozinho, exposição biométrica.
Para chegar a uma conclusão responsável, é necessário reconstruir o fluxo da informação e demonstrar o que foi coletado, processado, transmitido, armazenado ou eliminado.
Em segurança digital, suspeitas iniciam investigações. Entretanto, são as evidências técnicas que devem sustentar as conclusões.
Sua empresa trata biometria, documentos ou dados sensíveis por meio de fornecedores? Agende uma auditoria de fluxo de dados, análise pericial ou consultoria em LGPD e segurança digital pelo WhatsApp.
Fontes
ANPD: perguntas frequentes sobre dados pessoais sensíveis e tratamento pela LGPD
ANPD: riscos e cuidados relacionados à coleta de dados biométricos
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Formado em Segurança Pública, Bacharel em Direito e Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital e autor do livro “Filhos Conectados, Pais Preparados”, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.