O reconhecimento facial pode ‘roubar’ dados pessoais? Veja quais são seus direitos

Entenda o que é, quais são os impactos, como identificar e acessar direitos assegurados no uso dessa tecnologia

O TEMPO 

O reconhecimento facial é um processamento automatizado de imagens que serve para identificar, caracterizar e categorizar pessoas. Ainda que o objetivo final desta tecnologia não seja a identificação de uma determinada pessoa, para que a detecção aconteça, é necessário coletar e tratar dados de rostos humanos, ocorrendo um processo de leitura dos atributos e pontos de referência de uma face.  A partir do momento em que um sistema de reconhecimento facial é capaz de analisar detalhadamente a fisionomia de um rosto, ele realiza um tratamento de dados sensíveis.

De acordo com o Instituto de Defesa de Consumidores (Idec), para começar a entender os riscos e direitos a respeito do reconhecimento facial, é importante compreender as seguintes perspectivas: 

• Dados referentes a rostos humanos são dados pessoais e, de acordo com a Lei Geral de Proteção de Dados (LGPD), toda informação relacionada à pessoa natural identificada ou identificável é dado pessoal. Ou seja, considera-se que a imagem de uma pessoa e as informações que forem decorrentes dela constituem um dado pessoal;
• Qualquer tecnologia de reconhecimento facial demanda o tratamento de imagens de rostos humanos, ou seja, envolve o tratamento de dados pessoais porque é necessário que um rosto seja detectado e sua imagem tratada, mesmo que os dados sejam posteriormente excluídos ou anonimizados; 
• Dados de rostos humanos tratados no contexto do reconhecimento facial são dados (biométricos) sensíveis. 

QUAIS SÃO OS RISCOS? 

Vazamentos 

Um eventual vazamento deste tipo de dado, considerado inúmeras vezes mais sensível, é, em primeiro lugar, irreversível - não é como se os dados pudessem ser trocados como uma senha. O vazamento de dados biométricos, captados por reconhecimento facial, é capaz de expor muito mais do que uma simples informação pessoal do titular, permitindo a exploração de diversos outros dados pessoais derivados dos pontos extraídos de um rosto. A pessoa pode ficar sujeita a problemas como fraudes ou exposições públicas indesejadas de sua imagem. 

Discriminação 

Com as informações de gênero ou raça, um fornecedor pode classificar consumidores com base em perfis para atribuir vantagens a um grupo em detrimento de outro. Por exemplo: no caso de uma ferramenta de reconhecimento facial treinada com referência a um banco de dados constituído majoritariamente por pessoas de pele branca, sua precisão será reduzida quando usada para identificar pessoas de pele negra, gerando resultados discriminatórios (negação de serviços ou distinção de preços).  

Crianças e adolescentes

É proibido utilizar o reconhecimento facial para pessoas dessa faixa etária, exceto se consentido especificamente por seu responsável legal. Os dados eventualmente capturados não podem ser utilizados para fins comerciais, especialmente para direcionamento de publicidade ou pesquisa de mercado. Qualquer publicidade direcionada à criança pode ser considerada abusiva pelo Código de Defesa do Consumidor, em especial caso faça uso de técnicas de reconhecimento facial para direcionamento ou outra forma de personalização, pois se aproveita da deficiência de julgamento e experiência da criança. No caso de adolescentes entre 16 e 18 anos, deve-se ter tanto o consentimento dos responsáveis, como seu próprio. 

COMO IDENTIFICAR? 

As câmeras devem ser instaladas em locais que permitam a obtenção do consentimento prévio dos titulares, ou seja, os consumidores devem ter a opção de não estarem sujeitos à coleta de sua imagem, sem que isso implique o cerceamento de outros direitos, como o de acesso a bens e serviços ou ao seu fácil deslocamento.

Nesse sentido, devem existir limitações importantes na disposição das câmeras de reconhecimento facial, especialmente aquelas voltadas para ou instaladas em locais de acesso público, tais como ruas, calçadas, lojas, instituições financeiras, aeroportos ou meios de transporte públicos, já que o deslocamento em tais locais deve continuar sendo possível também para aqueles que não consentiram o uso de seus dados biométricos.

QUAIS SÃO SEUS DIREITOS? 

Com a LGPD, qualquer pessoa pode, a qualquer momento, solicitar ao agente de tratamento (pessoa física ou jurídica responsável por qualquer operação de tratamento de seus dados), os direitos de revisão e ratificação, consentimento e à informação. 

Consentimento 

No caso de tratamento de dados pessoais coletados em sistemas de reconhecimento facial, a obtenção de consentimento livre, expresso e informado é uma das principais exigências legais para o tratamento, ou seja, uma empresa ou entidade deve ter sua autorização para coletar seus dados. 

Além disso, a obtenção do consentimento deve ocorrer antes do início da captura de imagens, que, portanto, dependerá de uma ação positiva do titular (como a sua concordância expressa por meio de um dispositivo disponível na entrada de uma loja ou por meio de um código QR). Os dados somente poderão ser tratados para os usos específicos, com o consentimento de titulares.

Para tanto, é preciso garantir que os consumidores tenham sempre a opção de ter acesso ao produto, serviço ou funcionalidade mesmo que não consintam com a captura dos dados de seu rosto. Isso significa dizer que, para que o consentimento seja, de fato, livre, dele não deve depender o acesso ao serviço. Por exemplo, se uma empresa de transporte aéreo oferece a possibilidade de se realizar check-in por meio de reconhecimento facial, deve ser oferecida também modalidade de check-in que não dependa da tecnologia.

Informação 

Para que se obtenha o consentimento de forma válida, é necessário oferecer informações completas a respeito dos dados que serão coletados, das finalidades de seu tratamento, prazo e condições de armazenamento e hipóteses de compartilhamento com terceiros, que devem ser apresentadas de maneira clara, acessível e destacada, o que exclui termos gigantescos e inacessíveis.

Exclusão do banco 

Uma vez coletadas as imagens e delas extraídas as características desejadas, de acordo com a finalidade consentida pelo titular de dados, as imagens devem ser permanentemente excluídas, de forma que não seja possível (nem pelos desenvolvedores do sistema) seu posterior resgate.