Se o seu rosto foi usado para abrir conta, contratar crédito ou assinar um contrato que você não pediu, há duas ilegalidades simultâneas: a contratação sem a sua vontade e o uso de um dado sensível para uma finalidade diferente da que foi informada a você. A primeira abre caminho para pedir na Justiça a anulação do contrato e a devolução do que foi descontado. A segunda, para pedir indenização, conforme o caso, mesmo que nenhum centavo tenha sido descontado. Os prazos de cada pedido estão logo abaixo, em “Até quando dá para agir”.
Por que a biometria tem proteção maior que outros dados?
A LGPD divide os dados em duas categorias com regimes distintos. Nome, CPF e endereço são dados pessoais comuns. Já a biometria — facial ou digital — é classificada como dado pessoal sensível pelo art. 5º, II, ao lado de informações sobre saúde, origem racial e convicção religiosa.
A diferença não é acadêmica. Dado sensível só pode ser tratado nas hipóteses restritas do art. 11 da LGPD e, quando a base é o consentimento, ele precisa ser específico e destacado para uma finalidade determinada. Autorização genérica em contrato de adesão não serve. E há uma razão concreta para esse rigor: senha vazada se troca; rosto, não.
Uma dessas hipóteses dispensa o seu consentimento: o banco pode usar a biometria para prevenir fraude e confirmar a sua identidade no cadastro e no acesso aos sistemas eletrônicos (art. 11, II, “g”). Por isso, o banco guardar a sua selfie não é, por si, ilegal. O problema começa quando o dado é usado de forma diferente da finalidade informada a você (art. 6º, I) — e confirmar quem você é não é o mesmo que concordar com um empréstimo.
Como o abuso acontece na prática
A captura é pedida para uma finalidade banal — "atualizar o aplicativo", "confirmar seu cadastro", "validar sua conta" — e depois reaproveitada para formalizar empréstimo, cartão consignado ou abertura de conta. O titular só descobre quando o desconto aparece. Esse reuso é o núcleo do problema: a selfie foi pedida para uma coisa e usada para outra.
O que o STJ decidiu sobre dano moral em dados sensíveis
Aqui está a distinção que define o resultado do caso, e que costuma ser ignorada:
- Dados comuns (nome, CPF, endereço, telefone): em 7/3/2023, no AREsp 2.130.619/SP, a 2ª Turma do STJ decidiu que o vazamento não gera dano moral automático — o titular precisa demonstrar o prejuízo concreto. A 4ª Turma seguiu a mesma linha em 13/2/2026 (REsp 2.221.650). São decisões de Turma, não teses obrigatórias, e há divergência da 3ª Turma em caso de repasse de dados cadastrais por birô de crédito (REsp 2.201.694).
- Dados sensíveis (saúde, biometria e os demais do art. 5º, II): em 2025, no REsp 2.121.904, a 3ª Turma reconheceu o dano moral presumido no vazamento de dados de saúde, com responsabilidade objetiva de quem trata o dado. Não é preciso provar o abalo — a exposição do dado sensível, por si, o caracteriza.
Esse precedente trata de vazamento. Quando a biometria é usada para fazer um contrato em seu nome, o caminho é outro: o contrato feito sem a sua vontade pode ser desfeito na Justiça, e o banco responde pelas fraudes que acontecem dentro das operações dele, mesmo quando praticadas por terceiros (Súmula 479 do STJ). A discussão central passa a ser se você quis, de fato, contratar. Se cabe dano moral, e de quanto, depende do que cada caso mostrar.
Quem tem de provar o quê
Não cabe só a você provar que não contratou. Se você contesta a autenticidade do contrato que o banco apresentar, é o banco quem tem de prová-la (Código de Processo Civil, art. 429, II), e o juiz pode inverter o ônus da prova a seu favor (Código de Defesa do Consumidor, art. 6º, VIII). Se o banco disser que você autorizou o uso da biometria, também é dele o ônus de provar essa autorização (LGPD, art. 8º, § 2º). Na prática, isso se faz exibindo o registro da captura, seus metadados (data, hora, IP, dispositivo, geolocalização) e a trilha de auditoria da operação.
O que fazer ao descobrir o uso indevido
- Reúna o extrato ou contrato em que a operação aparece, com data e valor;
- Formalize a contestação na instituição pelo canal oficial e guarde o número de protocolo;
- Exija, por escrito, a exibição do registro biométrico e dos metadados da captura;
- Se outra pessoa usou o seu rosto ou os seus documentos para contratar, registre boletim de ocorrência — nesse caso há crime de estelionato (art. 171 do Código Penal), com pena maior quando a vítima é idosa. Se quem reaproveitou a sua selfie foi a própria instituição, o caminho principal é a reclamação formal e, depois, a ação judicial; ainda assim vale registrar o boletim, que serve de prova da data em que você descobriu o problema;
- Se houver desconto acontecendo agora, é possível pedir logo no começo do processo que a Justiça mande suspender os descontos enquanto o caso é julgado;
- Sem solução, leve o caso ao Banco Central, ao consumidor.gov.br e à ANPD, e exerça os direitos do art. 18 da LGPD, inclusive a exclusão do dado tratado sem base legal.
Até quando dá para agir: se foi você quem fez a selfie, enganado sobre a finalidade, o pedido de anulação do contrato tem prazo de quatro anos contados da data em que ele foi assinado; se outra pessoa usou o seu rosto, o contrato é nulo e esse prazo não corre. O pedido de indenização tem prazo de cinco anos contados de quando você descobriu o prejuízo e quem o causou. Descobriu um contrato antigo? Procure orientação antes de presumir que o prazo passou.
Se a biometria foi usada para contratar crédito consignado, o caso também se enquadra nas regras do empréstimo consignado indevido.
No consignado de aposentado e pensionista do INSS, desde 2026 o próprio titular tem de autorizar a operação no aplicativo Meu INSS, com reconhecimento facial e prova de vivacidade — e tem cinco dias para avaliar a proposta. Quem não tem biometria nas bases do governo autoriza com login gov.br e os dados da conta bancária.
Se a sua operação apareceu sem essa autorização, isso por si só já é um problema para o banco. Se resultou em acesso à conta, veja invasão de conta bancária.