A Anatel anunciou em 28 de outubro a aprovação da Norma Técnica GT-SEG.2026.11, que estabelece validação biométrica no cadastro de usuários de telefonia móvel. Para o provedor que também vende serviço móvel, o trabalho começa pela organização da operação: a norma inclui prestadoras com rede própria, operadoras móveis virtuais e credenciadas, com implantação escalonada em 2027 e recadastramento até o fim de 2028.
O anúncio não determina bloqueio imediato das linhas. Também não deve ser transportado automaticamente para o cadastro de toda a base de banda larga fixa: o escopo declarado é o Serviço Móvel Pessoal (SMP), não o Serviço de Comunicação Multimídia (SCM).
Quem entra na regra
A validação facial será obrigatória para usuários pessoas físicas e microempreendedores individuais (MEI). Nesse ponto, MEI é uma categoria de cliente: não é uma exceção por porte da operadora. O texto não apresenta dispensa de aplicação em razão do tamanho da prestadora.
Autorizadas e credenciadas são mencionadas separadamente. A norma atribui à prestadora de origem — com rede própria ou autorizada de rede virtual — responsabilidade integral pelas ações do credenciado. Também determina que a origem com rede própria colabore com a autorizada de rede virtual nas ações de segurança pública deliberadas pelo GT-Seg.
Para o ISP, a primeira providência de gestão é identificar em qual papel oferece o móvel e organizar com a parceira quem executará cada etapa, quais evidências serão entregues e como serão tratadas as exceções. Terceirizar uma ferramenta não equivale, por si só, a transferir as responsabilidades descritas no procedimento.
Três etapas para planejar
Até 30 de setembro de 2027, a validação deverá estar implantada para novas ativações pré-pagas. Até 31 de dezembro de 2027, o procedimento alcançará novas ativações pós-pagas, portabilidade, troca de chip e alterações cadastrais ou contratuais solicitadas pelo consumidor.
Os usuários ainda não validados deverão passar pelo recadastramento até 31 de dezembro de 2028. Para um mesmo titular com vários acessos, a norma permite uma validação no recadastramento, desde que ele possa apontar as linhas que não reconhece. Não é uma autorização geral para reaproveitar qualquer validação em qualquer nova linha.
Há uma entrega anterior ao encerramento da primeira etapa: a partir de setembro de 2027, as prestadoras deverão informar mensalmente à Anatel os indicadores de implantação, com resultados mensais e acumulados. O envio será pelo SEI, em processo específico a ser instaurado pela Gerência de Controle de Obrigações de Direitos dos Consumidores (CODI).
Não basta acrescentar uma selfie ao cadastro
O procedimento combina captura facial, prova de vida e comparação com uma base biométrica preexistente, pública ou de fornecedor privado. A norma exige prova de vida em conformidade com a ISO/IEC 30107-3, nível PAD 2 ou superior; também estabelece condições para a qualificação de bases privadas.
A solução deverá incluir verificação da autenticidade de documentos e detecção de fraude e manipulação digital. Entre os registros auditáveis exigidos estão data e hora da coleta, indicação de confirmação em base biométrica prévia e identificação do fornecedor da validação de identidade.
A disponibilidade do procedimento é obrigatória nos canais presenciais descritos no documento — lojas próprias, unidades do credenciado e revendedoras autorizadas — e no site e aplicativo oficiais da prestadora. Por isso, a revisão precisa abranger atendimento e distribuição, não apenas o sistema central.
Falha biométrica exige uma rota de atendimento
Quando a face é capturada, mas não pode ser validada em base preexistente, a norma prevê checagem da autenticidade do documento oficial e comparação da imagem desse documento com a biometria coletada. Esses casos devem ser identificados nos registros.
Se a validação continuar impossível mesmo após o comparecimento presencial, há um procedimento alternativo de liberação pelo atendimento presencial ou pela área de combate a fraudes. Ele exige cópia do documento de identificação, cadastro em categoria especial e identificação do responsável pela liberação.
Os indicadores distinguem validação em base prévia, comparação apenas com documento, liberação excepcional, procuração e estrangeiros cadastrados sem biometria. A operação precisa preservar essa distinção para não transformar todos os resultados em um único campo de “cadastro concluído”.
Clientes empresariais também exigem revisão
Pessoas jurídicas que não sejam MEI ficam dispensadas da biometria, mas não das obrigações cadastrais e contratuais. A prestadora, autorizada ou credenciada, deverá prever em contrato que o cliente empresarial mantenha registro atualizado da destinação e do efetivo utilizador de cada acesso.
O contrato também deverá prever a possibilidade de interrupção imediata do serviço se o acesso for usado para fins ilícitos. É um ponto de revisão dos contratos móveis empresariais, não uma exigência indistinta de reconhecimento facial para todos os empregados do cliente.
Dados sensíveis: separar validação, evidência e armazenamento
Biometria vinculada a uma pessoa natural é dado pessoal sensível, conforme a LGPD e o glossário da ANPD. O procedimento da Anatel exige coleta limitada ao necessário, medidas proporcionais ao risco, alternativas de acessibilidade e observância da legislação de proteção de dados.
A norma determina a manutenção dos dados cadastrais por cinco anos após o encerramento do contrato; se houver processo de acompanhamento ou controle em andamento na Anatel, prevê sua preservação até o encerramento administrativo. O trecho fala em dados cadastrais. Não se deve convertê-lo automaticamente em uma ordem para guardar todas as fotografias e todos os modelos biométricos pelo mesmo período.
Na preparação do projeto, convém documentar quais dados cada participante trata, onde ficam as evidências, quem pode acessá-las e como se aplicam as regras de retenção. Essas decisões precisam ser avaliadas com as áreas responsáveis por privacidade, segurança e regulação.
Suspensão fica para 2029, com notificações
O cronograma prevê aviso aos usuários pendentes em 1º de novembro de 2028. A partir de 1º de janeiro de 2029, a suspensão terá duração de 120 dias, preservando o número, a comunicação com a prestadora para regularização e chamadas e mensagens aos serviços públicos de emergência.
Durante a suspensão, os avisos deverão se repetir a cada cinco dias e, nos cinco dias finais, diariamente. Os canais mínimos são SMS, WhatsApp quando disponível e área logada da prestadora. A partir de 1º de maio de 2029, após 120 dias de suspensão sem manifestação do consumidor, o texto prevê cancelamento.
O item 9.8 acrescenta que, a partir de 1º de junho de 2029, não será admitida a operação de acesso móvel por pessoa física ou MEI sem cadastro com validação biométrica. A aplicação desse marco aos procedimentos excepcionais descritos na própria norma precisa ser esclarecida na implantação; não se deve presumir que as exceções foram abolidas.
Para a gestão do provedor, a prioridade agora é transformar os prazos em um plano verificável de sistemas, atendimento, contratos e informação regulatória. Antes de definir a implantação concreta, vale esclarecer com a prestadora de origem e a Anatel como serão comprovados cadastros já existentes e operacionalizados os casos excepcionais.
