Verificação biométrica: impressão digital, facial e voz
Guia completo sobre verificação biométrica — impressão digital, reconhecimento facial e de voz — com enquadramento RGPD, Lei de IA e obrigações de conformidade em Portugal.
Resumir este artigo com
ChatGPT
Claude
Perplexity
Gemini
GrokA verificação biométrica utiliza características físicas ou comportamentais únicas de uma pessoa para confirmar a sua identidade. Ao contrário das palavras-passe ou dos documentos físicos, os traços biométricos são inerentes ao indivíduo: não se podem esquecer, extraviar nem transferir facilmente.
Este artigo é fornecido exclusivamente para fins informativos e não constitui aconselhamento jurídico, financeiro ou regulatório. As referências normativas são exatas à data de publicação. Consulte um profissional qualificado para obter orientação adaptada à sua situação.
No contexto da conformidade regulatória europeia, a biometria ocupa um lugar singular: o RGPD, Art. 9.º(1) classifica-a como categoria especial de dados, cujo tratamento é proibido salvo exceções expressas. Ao mesmo tempo, a Lei de IA (Regulamento (UE) 2024/1689), de plena aplicação a 2 de agosto de 2026, introduz uma distinção crítica entre verificação e identificação biométrica que todas as organizações devem conhecer.
Na nossa plataforma, a fraude em documentos de identidade representa 19 % da fraude documental total detetada, com uma taxa de recall de 94,8 % e um tempo médio de verificação de 4,2 segundos — dados que ilustram a importância de integrar a biometria em fluxos de verificação documental robustos.
O que é a verificação biométrica e como funciona
A verificação biométrica compara um traço capturado em tempo real com um modelo armazenado previamente (comparação 1:1). A identificação biométrica, por sua vez, cotejar o traço contra uma base de dados de múltiplos indivíduos (comparação 1:N). Esta distinção não é apenas técnica: tem consequências regulatórias diretas ao abrigo da Lei de IA.
As três modalidades mais utilizadas em processos de KYC e incorporação digital são:
- Impressão digital: leitura das cristas papilares únicas do dedo. Amplamente utilizada em dispositivos móveis e quiosques de acesso.
- Reconhecimento facial: análise da geometria facial a partir de imagem ou vídeo em tempo real. Modalidade dominante no onboarding remoto.
- Reconhecimento de voz: extração de padrões espectrais e prosódicos da voz. Habitual na autenticação telefónica e centros de atendimento ao cliente.
Síntese-chave: A verificação biométrica (1:1) oferece maior precisão do que as palavras-passe e complementa a verificação documental em fluxos KYC. Fonte: Guia prático da ENISA sobre biometria.
Métricas de precisão: FAR, FRR e EER
Qualquer solução biométrica é avaliada com três indicadores estatísticos essenciais.
| Métrica | Definição | Objetivo em alta segurança |
|---|---|---|
| FAR (False Acceptance Rate) | Probabilidade de aceitar um impostor | < 0,01 % |
| FRR (False Rejection Rate) | Probabilidade de rejeitar um utilizador legítimo | O mais baixo possível |
| EER (Equal Error Rate) | Ponto onde FAR = FRR | Impressão digital: ~1–2 %; Facial: ~0,1–2 %; Íris: ~0,01 % |
O EER é o indicador de referência para comparar sistemas. Um EER de 0,01 % na íris significa que esta supera a impressão digital (~1–2 %) e o reconhecimento facial (~0,1–2 %) em ambientes de alta segurança, embora com custos de implementação significativamente superiores.
Síntese-chave: Um FAR < 0,01 % é o limiar padrão para aplicações de segurança bancária e onboarding KYC de alto risco. As organizações devem publicar os seus valores de EER nas avaliações de impacto de proteção de dados. Fonte: NIST FRVT Ongoing — Face Recognition Vendor Testing.
Deteção de vivacidade (liveness detection)
A deteção de vivacidade determina se o traço biométrico provém de uma pessoa presente e não de um artefacto (fotografia, máscara 3D ou vídeo sintético gerado por IA).
Existem duas abordagens:
- Ativa: o utilizador realiza uma ação específica (piscar, rodar a cabeça, pronunciar uma frase). Mais fiável, maior fricção.
- Passiva: a análise é realizada em segundo plano sem interação adicional. Menor fricção, tecnologia mais exigente.
A proliferação de deepfakes torna a deteção de vivacidade um componente não negociável em qualquer fluxo de verificação facial implementado desde 2025. Os sistemas sem liveness são vulneráveis a ataques de apresentação (ISO/IEC 30107-3).
Síntese-chave: A deteção de vivacidade passiva de última geração reduz os ataques de apresentação em mais de 99,9 % sem aumentar a taxa de abandono do utilizador. Fonte: ISO/IEC 30107-3:2023 — Biometric presentation attack detection.
Para uma análise detalhada da fraude por documentos sintéticos e deepfakes, consulte o artigo Deepfakes e documentos de identidade sintéticos.
Enquadramento regulatório europeu e português
RGPD Art. 9.º: dados biométricos como categoria especial
O RGPD, Art. 9.º(1) proíbe o tratamento de dados biométricos destinados a identificar de forma inequívoca pessoas singulares, salvo se aplicável uma das exceções do Art. 9.º(2), nomeadamente: o consentimento explícito do titular [Art. 9.º(2)(a)], o cumprimento de obrigações no âmbito do direito do trabalho ou da segurança social [Art. 9.º(2)(b)], ou razões de interesse público substancial [Art. 9.º(2)(g)].
Em Portugal, a Lei n.º 58/2019 transpõe o RGPD e estabelece requisitos adicionais. A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de supervisão competente para o tratamento de dados biométricos. A CNPD tem emitido orientações que exigem uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) como pré-requisito para qualquer implementação biométrica.
A supervisão financeira sectorial é exercida pelo Banco de Portugal e pela Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF), que acompanham a conformidade AML/KYC das entidades sob a sua tutela.
Síntese-chave: Qualquer empresa que trate dados biométricos em Portugal está obrigada a realizar uma AIPD (RGPD Art. 35) antes da implementação. A CNPD pode aplicar coimas até 20 milhões de euros ou 4 % do volume de negócios global. Fonte: CNPD — Orientações sobre tratamentos biométricos.
Lei de IA (Regulamento (UE) 2024/1689): distinção verificação vs. identificação
A Lei de IA estabelece uma distinção fundamental com efeitos diretos sobre o risco regulatório:
- Verificação biométrica (1:1): NÃO é automaticamente de alto risco. Não consta do Anexo III do Regulamento como sistema de IA de alto risco por defeito.
- Identificação biométrica (1:N): SIM, está catalogada como sistema de IA de alto risco no Anexo III, ponto 1. Sujeita a obrigações adicionais: registo, documentação técnica, avaliação de conformidade.
A Lei de IA aplica-se plenamente desde 2 de agosto de 2026. As organizações que implementam sistemas de identificação biométrica 1:N devem estar em conformidade antes dessa data.
Síntese-chave: Utilizar biometria 1:1 para verificar identidade no onboarding KYC está fora do âmbito de alto risco da Lei de IA, desde que sejam respeitadas as salvaguardas do RGPD. A identificação 1:N ativa o regime completo de alto risco do Anexo III. Fonte: EUR-Lex — Regulamento (UE) 2024/1689, Anexo III.
AML e eIDAS 2.0
A biometria é também um pilar da verificação de identidade para a conformidade antilavagem de capitais. A Sexta Diretiva AML (AMLD6) e o novo Regulamento AMLA exigem que as entidades obrigadas — instituições financeiras, notários, mediadores imobiliários — apliquem medidas KYC reforçadas. A biometria, integrada em processos de verificação documental, constitui um meio válido e preferido para a diligência devida à distância.
O eIDAS 2.0 e a futura Carteira de Identidade Digital da UE incorporarão atributos biométricos verificados como parte do ecossistema de identidade digital europeu, reforçando a compatibilidade entre os sistemas de onboarding baseados em biometria e o quadro regulatório a longo prazo.
Para uma visão completa do ecossistema de identidade digital em Portugal, consulte o artigo Cartão de Cidadão e Chave Móvel Digital.
Biometria no ciclo de vida do KYC
A verificação biométrica integra-se em três momentos do ciclo KYC:
- Incorporação (onboarding): verificação facial com liveness + cotejo contra documento de identidade. Cumpre os requisitos do Art. 13.º AMLD5/6 para identificação do cliente.
- Reautenticação periódica: impressão digital ou facial para verificar que o titular continua a ser o mesmo utilizador ativo. Reduz o risco de apropriação de contas (ATO).
- Transações de alto valor: segundo fator biométrico obrigatório em pagamentos ou contratos que excedam limiares definidos internamente.
A plataforma CheckFile combina verificação documental com análise biométrica num fluxo unificado, alcançando uma taxa de recall de 94,8 % na deteção de fraude com uma taxa de falsos positivos de 3,2 %, de acordo com dados internos CheckFile ZPD.
Para comparar soluções do mercado, pode consultar a nossa comparação de soluções KYC para empresas.
Implementação prática: requisitos mínimos
Antes de implementar um sistema biométrico em Portugal, uma organização deve garantir:
- Base jurídica documentada ao abrigo do RGPD Art. 9.º(2) e da Lei n.º 58/2019.
- AIPD concluída e registada (RGPD Art. 35) com análise de riscos residuais.
- Política de retenção de modelos biométricos: os modelos não devem ser conservados além do tempo necessário (princípio da limitação do prazo de conservação, Art. 5.º(1)(e) RGPD).
- Liveness detection certificada contra ataques de apresentação (ISO/IEC 30107-3).
- Procedimento de reclamação para utilizadores incorretamente rejeitados (FRR elevado).
- Registo de conformidade para sistemas 1:N ao abrigo da Lei de IA Anexo III, se aplicável.
Conheça os preços e planos CheckFile para soluções de verificação biométrica adaptadas ao volume da sua organização.
Perguntas frequentes
Os dados biométricos são sempre dados pessoais ao abrigo do RGPD?
Sim. O RGPD Art. 4.º(14) define os dados biométricos como dados pessoais obtidos a partir de um tratamento técnico específico, relativos às características físicas, fisiológicas ou comportamentais de uma pessoa. Quando utilizados para identificar de forma inequívoca uma pessoa, passam ainda a ser categoria especial ao abrigo do Art. 9.º(1), com proibição de tratamento salvo exceções.
Qual é a diferença entre verificação biométrica e identificação biométrica para efeitos da Lei de IA?
A verificação biométrica (1:1) compara o utilizador com o seu próprio modelo previamente registado: confirma que "é quem diz ser". A identificação biométrica (1:N) procura a quem pertence um traço numa base de dados de múltiplas pessoas. A Lei de IA (Regulamento (UE) 2024/1689, Anexo III) classifica os sistemas de identificação 1:N como de alto risco; a verificação 1:1 não consta desse elenco por defeito.
O que é o Equal Error Rate (EER) e como se interpreta?
O EER é o limiar operacional em que a taxa de falsa aceitação (FAR) e a taxa de falsa rejeição (FRR) se igualam. Um EER baixo indica maior precisão geral. A impressão digital típica tem um EER de 1–2 %; o reconhecimento facial moderno atinge valores de 0,1–2 %; a íris chega a 0,01 %. Em aplicações bancárias, o sistema é configurado para minimizar o FAR, ainda que isso eleve o FRR.
É obrigatório realizar uma AIPD antes de utilizar reconhecimento facial em Portugal?
Sim. O RGPD Art. 35.º(3)(b) exige AIPD quando o tratamento inclui dados biométricos em larga escala. A CNPD confirmou que o reconhecimento facial em processos de onboarding ou controlo de acesso entra, em geral, nesta categoria. A AIPD deve ser documentada e, se o risco residual for elevado, deve ser consultada a CNPD antes de iniciar o tratamento.
Pode o Banco de Portugal exigir biometria nos processos AML?
O Banco de Portugal não impõe uma tecnologia concreta, mas exige que as entidades obrigadas implementem medidas de diligência devida reforçada quando o cliente não está fisicamente presente. A verificação biométrica com liveness é o método aceite pela indústria para cumprir este requisito na incorporação digital, desde que suportada por uma base jurídica RGPD válida e documentada na AIPD.
Descubra como o CheckFile integra verificação biométrica e documental num único fluxo para KYC, AML e onboarding digital seguro.
Para aprofundar as técnicas de deteção de fraude documental, consulte o nosso artigo sobre dados e estatísticas de fraude documental.