Relatório da CPI da Íris aponta desconformidades legais e recomenda medidas a órgãos públicos

Na última terça-feira (7/4), a CPI (Comissão Parlamentar de Inquérito) da Íris realizou a votação do relatório final das investigações sobre o escaneamento da íris dos cidadãos paulistanos, iniciadas em maio do ano passado.

O colegiado concluiu que o modelo de atuação da empresa TFH (Tools for Humanity) que, por meio do projeto World ID, ofereceu recompensas financeiras pelo escaneamento, apresenta elevados riscos jurídicos, sociais e tecnológicos.

Embora reconheça o potencial das inovações em identificação digital, o colegiado destacou que tais iniciativas não podem se sobrepor ao Estado de Direito, à soberania nacional e aos direitos fundamentais dos cidadãos.

Ao longo da investigação, foram identificadas graves desconformidades com o ordenamento jurídico brasileiro, especialmente nas áreas de proteção de dados pessoais, defesa do consumidor e regulação do sistema financeiro.

Confira abaixo os principais pontos do documento de 161 páginas, que podem ser consultados neste link:

Vício de consentimento e exploração da vulnerabilidade

Um dos principais apontamentos da CPI foi a existência de vício estrutural de consentimento na coleta de dados biométricos. A oferta de recompensas financeiras em criptomoeda funcionou como elemento central de indução, violando diretamente o princípio do consentimento livre e informado, exigido pela LGPD (Lei Geral de Proteção de Dados).

A investigação apontou que a empresa concentrou sua atuação em regiões periféricas e de grande circulação, explorando a vulnerabilidade socioeconômica da população. Mesmo após a suspensão dos pagamentos pela ANPD (Autoridade Nacional de Proteção de Dados), a TFH manteve a lógica de indução ao substituir a compensação financeira por benefícios dentro do aplicativo, como o upgrade de conta e a concessão do selo de “humano verificado”.

Para a CPI, essas estratégias mantiveram comprometida a autenticidade do consentimento, configurando prática abusiva.

Riscos à privacidade e à proteção de dados

A coleta da biometria da íris — um dado sensível, único e imutável — foi considerada especialmente grave. Diferentemente de senhas ou outros dados, a íris não pode ser alterada, o que expõe os indivíduos a riscos permanentes em caso de vazamento ou uso indevido.

O relatório aponta falta de transparência na comunicação com os usuários, que não foram devidamente informados sobre os riscos envolvidos. A empresa, indica o documento, “adotou termos de uso dispersos e de alta complexidade, mascarando o seu verdadeiro interesse financeiro e corporativo sob o pretexto de prestar um serviço humanitário de forma gratuita”.

Além disso, há questionamentos sobre a eficácia dos processos de anonimização dos dados e sobre a transferência internacional dessas informações para o controle da Worldcoin Foundation, entidade com sede no paraíso fiscal das Ilhas Cayman. 

Irregularidades municipais

A CPI da Íris também identificou que a operação na cidade de São Paulo ocorreu de forma irregular do ponto de vista urbanístico. A maioria dos pontos de coleta funcionava sem licenças obrigatórias, como o ALF (Auto de Licença de Funcionamento) e o CADAN (Cadastro de Anúncios).

A atuação se deu por meio de empresas terceirizadas, o que dificultou a responsabilização direta da TFH. Além disso, os pontos de coleta eram frequentemente itinerantes e montados em locais de grande fluxo, como estações de transporte público. A estratégia, segundo a investigação, dificultava a fiscalização. “Trata-se de um modelo estruturado para contornar normas municipais e operar de maneira clandestina”, pontua o documento. 

Atuação financeira irregular 

Outro eixo central da investigação diz respeito à distribuição da criptomoeda Worldcoin vinculada à Tools for Humanity. A CPI concluiu que a prática não se limitava a um incentivo, mas configurava uma atividade financeira relevante, realizada sem autorização do Banco Central.

Há indícios de que o modelo pode se enquadrar como emissão irregular de valores mobiliários, além de possíveis violações às normas de prevenção à lavagem de dinheiro. A ausência de transparência e de controle regulatório também levanta riscos de uso indevido para movimentações financeiras ilícitas. O relatório ainda aponta semelhanças com estruturas de incentivo típicas de esquemas de pirâmide financeira. 

Síntese das conclusões da investigação

De forma geral, a CPI concluiu que o escaneamento de íris ocorreu de maneira massiva e induzida, com finalidade predominantemente econômica e mercadológica. A segurança dos dados coletados não foi comprovada de forma satisfatória, e a estrutura internacional do projeto foi desenhada para evitar regulações mais rígidas.

A escolha do Brasil como campo de atuação foi associada à vulnerabilidade social da população e à percepção de menor rigor regulatório. Além disso, a rede de empresas terceirizadas foi utilizada para diluir responsabilidades e viabilizar a operação.

Encaminhamentos aos órgãos competentes

Diante das irregularidades identificadas, a Comissão Parlamentar de Inquérito propôs uma série de encaminhamentos a diferentes órgãos públicos. Ao Ministério Público Estadual e Federal, foi solicitada a apuração de possíveis crimes nas áreas de consumo e sistema financeiro, além da adoção de ações civis públicas para reparação de danos coletivos.

À ANPD, a recomendação é manter e ampliar as medidas restritivas, proibindo qualquer forma de incentivo à coleta de dados e aplicando sanções administrativas cabíveis.

Recomendações ao Poder Público

No âmbito municipal, a CPI orienta a intensificação da fiscalização e o fechamento de estabelecimentos irregulares. Também recomenda a inclusão de conteúdos de educação digital nas escolas e a realização de campanhas de conscientização voltadas à população vulnerável.

Na esfera estadual, sugere o fortalecimento das investigações sobre crimes cibernéticos. No plano federal, propõe a formulação de políticas públicas que garantam o desenvolvimento tecnológico alinhado à proteção de direitos fundamentais.

O Banco Central, por sua vez, deverá avaliar a atuação da empresa no mercado de ativos virtuais e monitorar possíveis riscos de lavagem de dinheiro.

Providências finais 

O relatório final foi encaminhado a órgãos de controle e fiscalização, como a ANPD, o Ministério Público e o Banco Central. A recomendação é que sejam adotadas medidas urgentes diante da gravidade dos fatos apurados. Além disso, a CPI propõe a elaboração de Projetos de Lei para reforçar a proteção de dados sensíveis, proibir a oferta de compensações financeiras e exigir que empresas estrangeiras tenham representação legal no Brasil.

O documento também consolida um conjunto de provas e diretrizes que deverão subsidiar tanto a responsabilização dos envolvidos quanto a formulação de políticas públicas preventivas.