LGPD em gravação de atendimento: base legal, retenção e voz como biometria

O erro de partida

Pergunte a um call center qual a base legal da gravação das ligações e a resposta mais comum varia em torno de "a gente avisa no início da chamada".

O aviso é necessário. Ele apenas não faz o trabalho que atribuem a ele: cumpre a transparência (art. 6º, VI) e o direito à informação do titular (art. 9º), enquanto quem autoriza o tratamento é uma hipótese do art. 7º ou, para dado sensível, do art. 11. Aviso não é consentimento, e consentimento tácito não existe na LGPD.

Nota institucional: a Lei nº 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados e a Lei nº 15.452/2026 ajustou sua natureza jurídica. São mudanças institucionais, e nenhuma obrigação substantiva sobre gravação foi alterada por elas.

Qual hipótese do art. 7º sustenta a sua gravação

O art. 7º traz as hipóteses aplicáveis a dado pessoal comum. Três delas interessam diretamente:

II - para o cumprimento de obrigação legal ou regulatória pelo controlador;

V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular.

O inciso VI acrescenta o exercício regular de direitos em processo judicial, administrativo ou arbitral.

A escolha depende de um fato anterior: a sua empresa fornece serviço regulado pelo Poder Executivo federal?

Se sim, a resposta é confortável. O Decreto 11.034/2022, art. 12, §3º torna a gravação do SAC obrigatória, ancorando o tratamento no art. 7º, II, a base mais sólida e que dispensa consentimento. O mesmo vale para ouvidoria bancária, pela Resolução CMN 4.860/2020, art. 6º, §1º, II. Detalhamos os dois regimes em prazos de guarda do Decreto do SAC e em o que a Resolução 4.860 exige do atendimento.

Se não, essa base não existe para você. Varejo, e-commerce e serviços em geral caem em execução de contrato (V) ou legítimo interesse (IX). Com legítimo interesse, é preciso documentar teste de balanceamento, finalidade concreta, necessidade e expectativa legítima do titular. Escrever "monitoria de qualidade" numa planilha de mapeamento não cumpre esse requisito.

E há um limite duro nessa rota, explicitado pela ANPD no Guia Orientativo sobre Legítimo Interesse (fevereiro de 2024):

se trata de uma hipótese legal não aplicável ao tratamento de dados pessoais sensíveis, haja vista a sua previsão apenas no art. 7º da LGPD, não tendo sido reproduzida no art. 11.

Voz é dado biométrico? Depende do que você faz com ela

Comece pelo art. 5º, II, que define dado pessoal sensível:

dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural

A palavra "voz" não aparece. Ela só entra nesse rol pela porta do "dado biométrico", e fora dela não há enquadramento automático.

Por outro lado, a ANPD lista a voz como característica biométrica no documento "Radar Tecnológico: Biometria", de maio de 2024:

A biometria é a análise técnica, realizada por meios matemáticos e estatísticos, das características fisiológicas (tais como impressão digital, face, íris, geometria da mão, vascularização da mão, DNA e voz) ou comportamentais (voz, expressão facial, assinatura, modo de andar etc.) de um indivíduo.

Repare na ênfase: análise técnica por meios matemáticos e estatísticos, ou seja, no processamento. Isso aparece de forma mais explícita na Nota Técnica nº 23/2025/CON1/CGN/ANPD, de 27/11/2025:

A mera existência de uma característica física ou comportamental não configura um dado biométrico. É crucial que essa característica seja capturada e processada por meios técnicos específicos [...] Assim, uma foto simples ou gravação de voz, por exemplo, não é biométrica por si só, mas pode se tornar se utilizada por um sistema de reconhecimento com a finalidade de extrair características identificadoras.

Esse texto não é uma decisão da ANPD. Ele integra a consolidação das contribuições de terceiros recebidas numa Tomada de Subsídios, e o próprio documento registra que "A Tomada de Subsídios não representa o posicionamento final da ANPD". A tomada correu entre 02/06 e 01/08/2025 (prorrogada), reuniu 88 manifestantes e 1.594 contribuições, e cerca de 78% dos contribuintes eram agentes de tratamento, ou seja, o lado regulado.

Portanto, quem afirma que "a ANPD decidiu que gravação de voz não é biometria" está errado. O que existe é a agência consolidando contribuições nesse sentido, num processo ainda aberto.

A síntese defensável hoje:

O que a operação faz	Enquadramento	Regime
Grava e armazena o áudio	Dado pessoal comum	Art. 7º
Transcreve e analisa o diálogo	Dado pessoal comum (salvo o §1º do art. 11, adiante)	Art. 7º
Extrai voiceprint para autenticar o cliente	Dado biométrico, sensível	Art. 11

A linha divisória é a finalidade de identificação, não o áudio em si. Gravar não gera dado biométrico. Rodar reconhecimento de locutor, sim.

O art. 11 e a armadilha que quase ninguém mapeia

Com dado sensível o regime aperta. O art. 11, I exige consentimento "de forma específica e destacada, para finalidades específicas". Sem consentimento, o inciso II só admite tratamento quando indispensável para hipóteses fechadas: (a) obrigação legal ou regulatória, (d) exercício regular de direitos, (e) proteção da vida, (f) tutela da saúde por profissionais ou serviços de saúde, (g):

garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos

A alínea (g) é a base real da autenticação por voz em URA e antifraude, e é estreita de propósito: cobre identificação e autenticação, e não cobre analytics ou scoring de emoção.

E há a armadilha operacional, no art. 11, §1º:

Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular.

O gatilho é o dado revelado, independentemente da finalidade com que a coleta começou. Numa ligação de SAC de plano de saúde em que o cliente descreve o quadro clínico, a gravação inteira passa a atrair o art. 11, ainda que a finalidade original fosse trivialmente operacional.

Somando com o Guia de Legítimo Interesse citado acima, a consequência é direta: a operação não regulada que sustenta a gravação apenas em legítimo interesse fica sem base quando o áudio revela dado sensível, porque o inciso IX não foi reproduzido no art. 11. Quem opera em saúde ou cobrança precisa de uma segunda camada de base legal, tipicamente obrigação regulatória ou exercício regular de direitos.

O aviso de gravação: necessário, insuficiente, e mal escrito

O art. 9º lista o que o titular tem direito de saber: finalidade específica, forma e duração do tratamento, identificação e contato do controlador, e canal para exercer seus direitos.

Compare com a frase padrão das URAs brasileiras: "esta ligação poderá ser gravada para fins de segurança e qualidade do atendimento". Ela não informa duração, não identifica o controlador, não indica canal de direitos, e descreve a finalidade em termos genéricos.

Registre isto como interpretação nossa, não como manifestação da autoridade: entendemos que a frase padrão tende a ser insuficiente frente ao art. 9º. Não foi localizada manifestação da ANPD dedicada a esse ponto. É um item em aberto, e assumimos a lacuna em vez de preenchê-la com uma certeza inexistente.

O caminho de menor risco é barato: aviso curto na chamada com finalidade e prazo, remetendo ao aviso completo na política de privacidade.

Retenção: os arts. 15 e 16 transformam piso em baliza

O art. 15 define quando o tratamento termina: finalidade alcançada, dados que deixam de ser necessários, fim do período, revogação do consentimento, ou determinação da ANPD. E o art. 16 é literal quanto ao que vem depois:

Os dados pessoais serão eliminados após o término de seu tratamento

A conservação só é autorizada para (I) obrigação legal ou regulatória, (II) estudo por órgão de pesquisa, (III) transferência a terceiro nos termos da lei e (IV) uso exclusivo do controlador, anonimizados.

A consequência prática é pouco absorvida: os 90 dias do SAC e os 5 anos da ouvidoria bancária são pisos regulatórios, e o art. 16 os transforma também em balizas de eliminação. Guardar áudio de SAC por cinco anos "por precaução", sem base própria, configura excesso de retenção, violando o art. 16 combinado com o princípio da necessidade (art. 6º, III). Na revisão da política, a pergunta correta é qual norma sustenta cada mês adicional de guarda.

Direitos do titular e a divergência de prazos

O art. 18 assegura, entre outros, acesso aos dados (inciso II) e anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade (inciso IV). O art. 19 fixa como responder:

I - em formato simplificado, imediatamente; ou

II - por meio de declaração clara e completa [...] fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular.

Um detalhe que atrapalha operações reais: para a mesma gravação, convivem prazos diferentes.

Norma	Prazo de disponibilização
Decreto do SAC, art. 12, §2º, I	5 dias corridos
LGPD, art. 19, II	15 dias
Regra estadual de cobrança no Rio de Janeiro	7 dias úteis

Não há hierarquia limpa entre eles. Prevalece o mais favorável ao titular no caso concreto, o que significa calibrar o SLA pelo mais curto aplicável. Tratamos das regras estaduais em horário de cobrança por telefone.

Transferência internacional: o ponto mais acionável do texto

Se você usa transcrição automática, análise de sentimento ou qualquer IA processada fora do Brasil, esta seção vale mais do que todas as anteriores.

O art. 33 lista as hipóteses. As três relevantes: (I) país com grau adequado de proteção; (II) garantias do controlador via cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais ou selos, certificados e códigos de conduta; (VIII) consentimento específico e destacado, com informação prévia sobre o caráter internacional.

A Resolução CD/ANPD nº 19, de 23/08/2024, aprovou o Regulamento de Transferência Internacional e as cláusulas-padrão. O art. 2º, parágrafo único:

Os agentes de tratamento que utilizam cláusulas contratuais para realizar transferências internacionais de dados deverão incorporar as cláusulas-padrão contratuais aprovadas pela ANPD aos seus respectivos instrumentos contratuais, no prazo de até 12 (doze) meses, contados da data de publicação desta Resolução.

Esse prazo venceu em 23/08/2025. Houve inclusive retificação publicada em 18/08/2025, alterando o item 15.4 "b" das cláusulas-padrão, o que reforça a necessidade de conferir a versão vigente. Quem envia áudio ou transcrição para o exterior sem incorporar as cláusulas está em descumprimento hoje, não em risco futuro.

E não há atalho pelo inciso I: a ANPD ainda não publicou a lista de países com grau adequado de proteção. Sem ela, a hipótese de adequação é inutilizável na prática, e a rota real é a cláusula-padrão.

Ação concreta: levante os fornecedores da cadeia de gravação, transcrição, armazenamento e análise, veja onde cada um processa e confirme se as cláusulas-padrão da Resolução 19 estão no contrato.

Sanções: o que a lei permite e o que a ANPD tem feito

O art. 52, II prevê:

multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração

O rol inclui ainda advertência, multa diária, publicização, bloqueio, eliminação, suspensão e proibição do tratamento. Para um contact center, bloquear uma base de gravações dói mais que a multa.

Sobre a escala real, dois marcos calibram. A primeira sanção da ANPD (caso Telekall, 2023) somou R$ 14.400,00, e não tratava de gravação: o objeto era venda de lista de contatos de WhatsApp para campanhas eleitorais. Já em 25/08/2026, a ANPD multou o TikTok em R$ 153,7 milhões por cinco violações aos arts. 6º e 7º relativas a dados de crianças e adolescentes.

Um registro raro em material comercial: não foi localizada nenhuma sanção da ANPD especificamente sobre gravação de atendimento, transcrição ou call center. O risco concreto dessa vertical hoje é mais contratual e consumerista (auditoria de cliente corporativo, cláusula de DPA, ação individual, Procon) do que sancionatório pela ANPD.

Perguntas frequentes

Preciso de consentimento para gravar a ligação? Em geral, não. Em serviço regulado, a gravação do SAC é obrigatória pelo Decreto 11.034/2022, art. 12, §3º, o que ancora o tratamento no art. 7º, II. Fora dele, as rotas usuais são execução de contrato (V) ou legítimo interesse (IX), ambas sem consentimento.

O aviso "esta ligação será gravada" é a minha base legal? Não. Ele atende à transparência (art. 6º, VI) e ao direito à informação (art. 9º). A autorização vem do art. 7º ou do art. 11.

A ANPD decidiu que gravação de voz não é dado biométrico? Não. A ANPD consolidou contribuições de terceiros nesse sentido na Nota Técnica nº 23/2025/CON1/CGN/ANPD, e o documento afirma que a Tomada de Subsídios não representa o posicionamento final da agência.

Quando a voz do meu cliente vira dado sensível? Quando é processada por meios técnicos para extrair características identificadoras, tipicamente um voiceprint para autenticar o titular. Aí aplica-se o art. 11, com base usual na alínea (g) do inciso II.

Posso guardar a gravação por cinco anos "por precaução"? Sem base própria que justifique o período, não. O art. 16 determina eliminação após o término do tratamento e lista taxativamente as hipóteses de conservação. Retenção excessiva conflita ainda com o art. 6º, III.

Uso uma IA estrangeira para transcrever as ligações. O que faço agora? Verifique se os contratos incorporam as cláusulas-padrão da Resolução CD/ANPD nº 19/2024, na versão retificada em 18/08/2025. O prazo venceu em 23/08/2025, e a lista de países adequados do art. 33, I ainda não foi publicada.

Para continuar

Para saber quanto do volume gravado é auditado hoje, a calculadora de cobertura dá o número em menos de um minuto, sem cadastro.

Citações da LGPD, do Decreto 11.034/2022, da Resolução CMN 4.860/2020, da Resolução CD/ANPD nº 19/2024, do Guia Orientativo sobre Legítimo Interesse, do Radar Tecnológico: Biometria e da Nota Técnica nº 23/2025/CON1/CGN/ANPD conferidas em texto oficial. Material informativo, não substitui avaliação jurídica da sua operação.