Tratamento de dados biométricos ao abrigo das leis africanas de proteção de dados

Nigéria, Quênia e África do Sul tratam os dados biométricos como uma categoria especial que exige mais do que uma base legal comum. A Lei de Proteção de Dados da Nigéria inclui imagens faciais em sua definição de dados biométricos e permite o processamento de dados sensíveis apenas em casos específicos. O Quênia classifica os dados biométricos como sensíveis e, por regulamentação, considera seu processamento de alto risco. A África do Sul... POPIA Começa com a proibição do processamento de informações biométricas e, em seguida, define quando isso é permitido.

Para uma selfie e verificação de presença, é preciso definir três pontos antes do lançamento: qual a base legal em que você se apoia em cada país, uma avaliação de impacto documentada e um design que colete e armazene apenas os dados biométricos necessários para a verificação. Os requisitos variam de acordo com a jurisdição e mudam com o tempo, e este artigo fornece informações gerais, não constituindo aconselhamento jurídico. Consulte um profissional de saúde para obter aconselhamento específico para a sua situação.

Uma selfie para verificação é um dado biométrico?

Muito provavelmente, após ser processado para identificar alguém, embora a redação varie de país para país.

A lei da Nigéria é a única das três que menciona expressamente imagens faciais. As listas do Quênia e da África do Sul são exemplos, e não listas fechadas, e o Regulamento Geral de Proteção de Dados do Quênia de 2021 (abre num novo separador) se refere a "tecnologia biométrica, incluindo reconhecimento de voz ou facial" (artigo 6(1)(e)). Se um modelo facial ou uma pontuação de correspondência constituem dados biométricos em cada país é uma questão para seus advogados; um programa cauteloso parte do pressuposto de que sim.

Do que a Nigéria precisa?

A Lei de Proteção de Dados da Nigéria de 2023 (abre num novo separador) estabelece que um controlador não deve processar dados pessoais sensíveis, a menos que se aplique um dos fundamentos previstos na seção 30(1). Esses fundamentos incluem o consentimento "para a finalidade ou finalidades específicas para as quais serão processados", o processamento necessário para uma ação judicial e o processamento necessário "por razões de interesse público substancial, com base em lei", com salvaguardas adequadas. A seção 30(1) não contém um fundamento geral de "obrigação legal", como muitas equipes presumem, portanto, a escolha do fundamento requer cautela.

A Seção 28 exige uma avaliação de impacto sobre a privacidade de dados ( DPIA ) antes do processamento "que provavelmente resultará em alto risco". A Seção 37 garante às pessoas o direito de não serem submetidas a decisões baseadas exclusivamente em processamento automatizado com efeitos legais ou similares significativos, sujeitas a exceções, e exige salvaguardas, incluindo o direito à intervenção humana e de contestar a decisão.

Diretiva Geral de Aplicação e Implementação (abre num novo separador) da Comissão de Proteção de Dados da Nigéria (GAID O Regulamento (CE) n.º 2025 (abre num novo separador) foi emitido em 20 de março de 2025 e, de acordo com o Relatório Anual da Comissão de 2025 (abre num novo separador) , entrou em vigor em 19 de setembro de 2025. Duas disposições são relevantes neste caso:

• O artigo 18(1)(b) diz que o consentimento é necessário "para o tratamento de dados pessoais sensíveis".

• O artigo 28(3) estabelece um DPIA Obrigatório e a ser apresentado à Comissão, nas circunstâncias especificadas, incluindo "quando se tratar de dados sensíveis ou altamente pessoais" e "serviços financeiros que envolvam o processamento de dados pessoais por meio de dispositivos digitais".

Uma fintech que realiza verificações por selfie na Nigéria provavelmente atenderá a ambos os requisitos. DPIA gatilhos.

O que o Quênia precisa?

De acordo com a Lei de Proteção de Dados de 2019 (abre num novo separador) , dados pessoais sensíveis só podem ser processados ​​quando os princípios da seção 25 forem atendidos (seção 44), e a seção 45 estabelece os fundamentos permitidos. Estes incluem o processamento necessário para uma ação judicial e o processamento necessário "para o cumprimento das obrigações e o exercício de direitos específicos do controlador ou do titular dos dados". Ao contrário da Nigéria e da África do Sul, a seção 45 não lista o consentimento como fundamento para o processamento de dados sensíveis, portanto, o fundamento para uma verificação por selfie no Quênia requer atenção especial. A seção 31 exige uma avaliação de impacto sobre a proteção de dados antes do processamento que possa resultar em alto risco, e a seção 35 restringe as decisões baseadas exclusivamente no processamento automatizado.

O Regulamento Geral de 2021 elimina qualquer dúvida sobre o DPIA : o regulamento 49(1)(c) lista o "processamento de dados biométricos ou genéticos" entre as operações consideradas de alto risco para a secção 31.

O que a África do Sul precisa?

POPIA (abre num novo separador)A seção 26 estabelece que uma parte responsável não pode processar informações biométricas, sujeita à seção 27. A seção 27(1) revoga essa proibição nos casos especificados, incluindo o processamento com o consentimento do titular dos dados e o processamento "necessário para o estabelecimento, exercício ou defesa de um direito ou obrigação legal". A seção 33(1) acrescenta uma autorização para as partes responsáveis ​​"que obtiveram essas informações em conformidade com a lei".

Outras duas disposições afetam os programas de verificação:

• A Seção 57(1)(d) exige autorização prévia do Regulador de Informação antes de transferir informações pessoais especiais para terceiros em um país estrangeiro que não forneça um nível adequado de proteção.

• A Seção 71 restringe decisões com efeitos legais ou substanciais baseadas exclusivamente em processamento automatizado, com exceções vinculadas a contratos ou à lei.

O que um programa de verificação deve fazer?

Nos três países, o trabalho prático é semelhante.

1. Selecione e registre um fundamento jurídico por país. O consentimento está listado na Nigéria (onde GAID O artigo 18(1)(b) também o exige para dados sensíveis e na África do Sul. A secção 45 do Quénia não menciona o consentimento, pelo que deve identificar qual o fundamento da secção 45 em que se baseia. Explique por que razão cada fundamento se aplica.

2. Certifique-se de que o consentimento e os avisos sejam específicos. Informe que uma selfie e um vídeo curto serão usados ​​para verificar se a pessoa corresponde à sua identidade e se está presente, quem processa as informações e por quanto tempo elas serão armazenadas.

3. Complete um DPIA antes do lançamento , e registrá-lo na Nigéria, onde GAID O artigo 28 exige isso.

4. Recolha apenas o necessário para a verificação. Decida separadamente se necessita de reautenticação facial contínua e verificações de rostos duplicados, e inclua cada uma delas nos seus avisos e documentos. DPIA .

5. Defina períodos de retenção para selfies, vídeos de visualização ao vivo e quaisquer dados faciais armazenados e exclua-os conforme programado.

6. Mantenha um ser humano envolvido em decisões adversas, para que os clientes possam contestar uma falha na identificação facial.

7. Mapeie as transferências internacionais de dados , incluindo onde seu provedor de verificação processa os dados.

Onde Toden cabe

A verificação de identidade coleta uma selfie com o usuário ativo e grava um breve vídeo de atividade para análise no servidor ( SDK (documentação (abre num novo separador) ). A reautenticação biométrica de usuários recorrentes requer cadastro. A busca por reutilização facial compara novas selfies apenas com as de clientes verificados da sua organização, nunca com as de outras organizações, e a regra que envia as correspondências para revisão é ativada por você em um fluxo de trabalho. Os fluxos de trabalho permitem que você defina o texto do consentimento e envie resultados adversos para revisão humana. Nossa abordagem para segurança e tratamento de dados é descrita na página de segurança ; seu DPIA Deve abordar como você utiliza esses recursos e onde os dados são processados.

Lista de verificação

• Fundamento jurídico para o processamento biométrico registrado na Nigéria, Quênia e África do Sul.

• A tela de consentimento menciona a selfie, o vídeo, a finalidade e o período de retenção.

• DPIA concluído e arquivado junto ao NDPC onde necessário.

• Cronograma de retenção e exclusão definido para cada artefato biométrico.

• Revisão humana disponível para partidas falhas ou contestadas.

• Transferências transfronteiriças mapeadas, com POPIA Seção 57 avaliada.