Ponto por reconhecimento facial: como funciona, segurança e LGPD

O ponto por reconhecimento facial é uma forma de registrar a jornada de trabalho usando o rosto do colaborador como identidade, sem cartão, senha ou impressão digital. Em vez de simplesmente confiar que quem marcou é realmente a pessoa certa, o sistema compara a face capturada com o cadastro biométrico e só então grava a batida. Neste guia prático, explicamos como essa tecnologia funciona, o que é a prova de vida e por que ela dificulta o uso de fotos, como o terminal identifica quem é quem (1:N) e o que a LGPD exige quando o assunto é biometria.

Também abordamos a dúvida mais comum no RH: como esse modelo reduz drasticamente o clássico 'bater ponto pelo colega' — a marcação feita por terceiros — sem ferir a legislação trabalhista, que proíbe barrar o registro da jornada. A ideia é simples: mais confiança na identidade, sem tirar o direito de o trabalhador registrar o ponto.

O que é e como funciona o ponto por reconhecimento facial

A biometria facial transforma o rosto em um descritor matemático — um vetor de números que representa características do rosto. Não é uma 'foto guardada' que fica exposta. A cada marcação, o aplicativo captura a imagem, gera esse descritor e compara com o cadastro do colaborador. Se corresponde, a batida é registrada com data, hora e origem.

No Integrador PONTO, o registro acontece por diferentes caminhos, e cada batida gera um comprovante com identificação única, o que garante rastreabilidade do começo ao fim. Se o dispositivo estiver sem conexão no momento, a marcação é feita offline e sincroniza automaticamente quando a internet volta — o colaborador não fica sem registrar.

• Aplicativo Android e navegador do celular
• Marcação pela web (desktop)
• Terminal em tablet no modo quiosque
• Marcação offline com sincronização automática

Prova de vida ativa: forte proteção contra foto e vídeo

O ponto fraco de qualquer biometria facial simples é o spoofing: alguém tentar usar uma foto, um vídeo ou a tela de outro celular para simular o rosto de um colega. Para reduzir esse risco entra a prova de vida (liveness), um desafio rápido que verifica se há uma pessoa real e presente diante da câmera, e não uma imagem estática.

A prova de vida ativa pede uma ação no momento da captura — piscar, virar o rosto ou sorrir — e analisa a resposta em tempo real. Como uma foto impressa ou exibida em outra tela não reage ao desafio, esse mecanismo bloqueia as tentativas mais comuns de burlar o registro. É importante ter clareza: trata-se de uma proteção forte, não de uma garantia absoluta. Nenhuma tecnologia é infalível, e por isso a prova de vida trabalha junto com outras camadas — localização, trilha de auditoria e revisão do RH. Para o colaborador honesto, a captura continua simples: basta seguir a instrução na tela.

• Desafio ativo (piscar, virar o rosto ou sorrir) para confirmar que há uma pessoa presente
• Análise em tempo real da resposta ao desafio, no momento da captura
• Bloqueio das tentativas mais comuns com foto impressa ou imagem em outra tela
• Camada reforçada por localização e pela revisão do RH, já que nenhuma proteção é infalível sozinha

Reconhecimento 1:N no terminal em tablet (quiosque)

Existem duas formas de comparar rostos. No modo 1:1, o sistema já sabe quem você diz ser e apenas confirma ('esse rosto é do João?'). No modo 1:N, o colaborador só olha para a câmera e o sistema descobre, entre todos os cadastrados, de quem é aquele rosto — sem precisar digitar matrícula ou selecionar o nome antes.

O terminal em quiosque foi pensado para portarias, recepções e fábricas: um tablet fixo, pareado ao sistema por um token de segurança, faz o reconhecimento facial 1:N para toda a equipe. A fila anda rápido porque o colaborador não precisa fazer login individual — basta se posicionar e passar pela prova de vida.

Como o ponto por reconhecimento facial evita o 'bater ponto pelo colega'

A marcação por terceiros é uma das fraudes de jornada mais antigas. O ponto por reconhecimento facial combate isso combinando camadas: o rosto precisa bater com o cadastro, a prova de vida confirma que há uma pessoa real diante da câmera e a localização confirma que a batida veio de onde deveria. Sozinho, nenhum recurso é perfeito; juntos, tornam a marcação por outra pessoa muito difícil.

Um detalhe importante sobre a legislação: o sistema não 'reprova' o ponto. Quando algo parece suspeito, ele registra a batida normalmente e sinaliza a ocorrência no painel do RH, que analisa caso a caso. Assim, a empresa ganha controle sem violar a regra de que o registro de jornada não pode ser bloqueado.

• Biometria facial comparada ao cadastro do colaborador
• Prova de vida ativa contra foto e vídeo
• GPS com cerca virtual (geofence) para validar o local
• Detecção de GPS falso e de modo avião
• Suspeitas vão para o painel do RH, sem recusar a marcação

Biometria é dado sensível: LGPD, consentimento e método alternativo

Pela LGPD, dado biométrico é classificado como dado pessoal sensível (art. 11), o que exige cuidado redobrado no tratamento. Por isso, o uso da face e da geolocalização deve partir de consentimento explícito e separado do colaborador — não pode ser um 'aceite genérico' escondido em outro termo.

Há um ponto que costuma passar despercebido: para ser válido, o consentimento precisa ser livre. Isso significa que o colaborador que não quiser fornecer sua biometria deve ter uma forma alternativa de registrar o ponto. Um 'aceite' obtido sob o risco de não conseguir marcar a jornada não é livre. Por isso, a empresa deve oferecer outro meio de registro — por exemplo, senha, matrícula ou outro método não biométrico — a quem recusar o reconhecimento facial, sem prejuízo ao direito de registrar a jornada.

No Integrador PONTO, o descritor facial fica no servidor e não é distribuído pelos dispositivos, os dados seguem a retenção legal de 5 anos exigida pela legislação trabalhista e o titular tem direito de acessar, exportar ou solicitar a exclusão das suas informações. Transparência sobre o que é coletado e para quê é parte central de um projeto de ponto biométrico bem feito.

• Consentimento livre, explícito e separado para biometria e localização
• Método alternativo de registro para quem recusa a biometria, sem impedir a marcação
• Descritor facial mantido no servidor, não espalhado nos aparelhos
• Retenção de 5 anos conforme a legislação trabalhista
• Direito do colaborador de acessar, exportar e apagar seus dados

Registro confiável: fidelidade REP-A, NSR e hash

Reconhecer o rosto é só metade do trabalho; a outra metade é provar que o registro não foi adulterado. O Integrador PONTO segue o padrão REP-A da Portaria MTP 671/2021, com NSR (Número Sequencial de Registro) por empresa (CNPJ) e hash SHA-256 encadeado, o que torna cada marcação imutável e verificável. A cada batida, o colaborador recebe um comprovante com NSR e hash.

O sistema também gera o AFD (Anexo V, com registros dos tipos 1, 3 e 9) e mantém trilha de auditoria completa. O espelho de ponto em PDF é assinado digitalmente pelo colaborador, com hash de evidência, o mesmo valendo para o holerite no app. É a combinação de identidade confiável (rosto) com registro íntegro (hash) que dá segurança jurídica ao controle de jornada.