Biometria no esporte: como a Lei Geral do Esporte expõe a maturidade de governança dos clubes e arenas

A implementação do reconhecimento facial nas arenas esportivas brasileiras deixou de ser uma tendência tecnológica para se tornar uma imposição legal. A Lei Geral do Esporte (LGE — Lei nº 14.597/2023) estabelece que estádios com capacidade superior a 20 mil pessoas devem adotar a identificação biométrica dos espectadores. Essa obrigação, contudo, não se esgota na literalidade da norma e tampouco se limita às entidades formalmente responsáveis pela organização da competição ou pelo mando de campo. Na prática, a implementação do sistema projeta efeitos diretos sobre gestores de arenas e demais agentes que, por força contratual, assumem a operação, o custeio ou a gestão das estruturas de acesso ao público.

Ao mesmo tempo, a exigência da LGE se transforma em um teste de maturidade em governança de dados, na medida em que cria um ponto de convergência crítico com a Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).

É nesse encontro entre as duas normas que os clubes e gestores de arenas se dividem entre aqueles que tratam dados como ativo estratégico, estruturando modelos robustos de governança, e aqueles que veem a exigência apenas como mais um requisito operacional de menor relevância. A experiência mostra que o segundo caminho pode cobrar um preço alto.

Sob uma perspectiva interna, o primeiro ponto de atenção é a própria operação, considerando que não é razoável esperar que clubes ou gestores de arenas desenvolvam, implementem e operem tecnologias próprias de identificação e controle de acesso por biometria.

É nesse momento que entram em cena as tiqueteiras, empresas especializadas em soluções dessa natureza. Contudo, a terceirização da operação não representa a terceirização do risco. Ainda que a execução técnica seja delegada, a responsabilidade jurídica permanece difusa e compartilhada, sobretudo quando contratos de concessão ou instrumentos similares atribuem ao gestor da arena o dever de implementar e custear os sistemas de acesso.

Dados biométricos obtidos pelas tiqueteiras

O estabelecimento de um relacionamento contratual estruturado com as tiqueteiras constitui ponto de partida essencial para uma governança sólida e robusta. Devem ser claramente delimitadas as obrigações operacionais, os padrões de segurança da informação, os papéis de controlador e operador, os critérios de transparência ao longo da cadeia de tratamento e, principalmente, os limites de uso dos dados. Qualquer desvio de finalidade e utilização para finalidades secundárias, como perfilamento ou treinamento de modelos, pode corroer a confiança e a reputação institucional, além de resultar em violações graves aos princípios da LGPD.

O tratamento de dados biométricos pelas entidades desportivas é, pela sua própria natureza, uma atividade de alto risco, e a Agência Nacional de Proteção de Dados (ANPD) já sinalizou que está atenta a práticas envolvendo compartilhamento indiscriminado e automático de dados e políticas de privacidade desconectadas da realidade operacional. E a transparência exigida pela LGPD vai muito além da publicação de documentos em sites: é processo. Pressupõe sinalizações visíveis, comunicação clara sobre canais de atendimento — que devem ser acessíveis aos titulares — e, sobretudo, a manutenção de trilhas de auditoria capazes de demonstrar, a posteriori, quem acessou os dados, para qual finalidade e as tomadas de decisão.

Gestão de dados com responsabilidade e transparência

Diferentemente de uma senha, a biometria é imutável. Se a informação é vazada, ou utilizada em desvio de finalidade, o dano é permanente. Esse aspecto reforça o enquadramento do reconhecimento facial como atividade de risco, atraindo a incidência de responsabilidade civil, especialmente quando constatada falha na governança ou na definição das responsabilidades entre os agentes envolvidos.

Por isso, implementar controle de acesso por reconhecimento facial vai muito além da instalação de catracas, câmeras e sistemas. Exige a gestão de uma cadeia complexa de confiança, responsabilidade e transparência, na qual obrigações legais, contratuais e regulatórias se sobrepõem.

A convergência entre a LGE e a LGPD deixa claro que o desafio não está apenas em cumprir a obrigação legal de identificar o torcedor, mas em estruturar um modelo de governança capaz de justificar cada acesso, cada fluxo de dados e cada tomada de decisão. Se a LGE determina “o que” deve ser feito, a LGPD orienta “como” fazê-lo da forma correta. Os clubes e gestores que compreenderem essa lógica reduzirão não apenas fraudes, incidentes e litígios, mas, sobretudo, fortalecerão o ativo mais valioso nesse ecossistema: a confiança do torcedor.