Lima e Landanji: Tecnologia para reconhecimento facial

Sobre o tema de coleta de imagens via tecnologia (monitoramento), vale tomar conhecimento que há duas ações judiciais envolvendo o metrô de São Paulo.

Inicialmente, em 2018, foi ajuizada ação civil pública nº 1090663-42.2018.8.26.0100 pelo Instituto Brasileiro de Defesa do Consumidor (Idec) envolvendo a Concessionária da Linha 4 do Metrô de São Paulo S.A. (Via Quatro), que tem por objeto a captura de imagens para fins publicitários e consequente cunho comercial, sendo que tal ação está em grau de recurso, pois na primeira instância a juíza julgou parcialmente procedente a causa.

No tratamento de imagens, havia coleta, classificação, armazenamento e outras atividades com a utilização de atributos biométricos de pessoas naturais que podem ser coletadas para o reconhecimento automatizado. Tais dados são considerados como sensíveis pela Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD) e definição dada pelo Decreto nº 10.046/2019 — Cadastro Base do Cidadão [1], e estariam sendo coletados para fins de detectar as principais características dos indivíduos que circulavam em determinados locais e horários, bem como as emoções e reações apresentadas à publicidade veiculada no equipamento.

Posteriormente, em 2022, houve o ajuizamento de uma nova ação civil pública pelo Idec (processo nº 1010667-97.2022.8.26.0053), mas desta vez para questionar um outro procedimento que o metrô pretende implantar, o qual também envolve o tratamento de dados biométricos, mas, diferentemente da discussão versada no processo anterior, a finalidade do tratamento agora discutido não é a publicidade, mas sim o monitoramento e a segurança pública.

Nesta Ação Civil Pública (ACP) recentemente ajuizada ainda não há decisão definitiva. Entretanto, em sede de pedido liminar, as decisões são divergentes, sendo que a própria decisão de 2ª Instância que revogou a liminar não foi unânime, evidenciando que o tema é bastante complexo e controvertido.

Tema no Poder Judiciário
Principais pontos das decisões proferidas na ACP 1010667-97.2022.8.26.0053 em 1ª e 2ª instâncias
Atualmente, o sistema de vídeo-vigilância utilizado pelo Metrô de São Paulo consiste na captura simples de imagens, através das quais não se permite a identificação dos usuários pelo reconhecimento facial.

A modernização que o metrô pretende implementar e que é objeto de questionamento na ACP 1010667-97.2022.8.26.0053 envolve a utilização de software que permite o reconhecimento facial, ou seja, realiza a interpretação e comparação das imagens capturadas com banco de dados para fins de autenticação ou identificação, já havendo a solução sido contratada através de processo administrativo.

Nesse sentido, conforme consta do processo de licitação LPI nº 10014557, são requisitos técnicos mínimos para sistema de modernização contratado: 1) o sistema de monitoração eletrônica envolverá o reconhecimento facial; 2) necessariamente deverá ser usado um software privado, chamado SecurOS; 3) as imagens de todos os usuários serão armazenadas; 4) o sistema deverá estar preparado para carregamento de dados internos e externos; 5) o sistema poderá entrar em operação integrada com outros sistemas de monitoração eletrônica com reconhecimento facial.

No caso concreto, o Metrô de São Paulo alega que o objetivo da adoção do novo sistema é "a modernização do sistema de vigilância já existente nas dependências do Metrô de São Paulo, com a implementação de um sistema de monitoramento digital, aumentando a qualidade das imagens captadas, reduzindo os pontos cegos, ampliando a capacidade e o tempo de armazenamento dessas imagens, entre outras melhorias (…) sem necessidade de identificação pessoal dos passageiros envolvidos".

A decisão de primeira instância concedeu em parte a liminar postulada pelos autores, sob os seguintes fundamentos:

— Nos documentos do edital, no contrato ou nos questionamentos feitos no âmbito do referido processo licitatório, não foi disponibilizada qualquer informação sobre os critérios, condições, propósitos da implementação do sistema de reconhecimento facial pelo metrô, que também não apresentou nos autos informações precisas sobre o armazenamento das informações e utilização do sistema de reconhecimento pessoal;

— Não obstante o metrô alegue que o tratamento de tais dados pessoais estará ligado à segurança pública e/ou atividades de investigação e repreensão a infrações penais, enquadrando-se nas situações do artigo 4º, III da LGPD, não há nada formalizado nesse sentido, de forma que a utilização de tal sistema para atender a órgãos públicos não passa de mera conjectura; e,

— Há uma série de questões técnicas que necessitam de dilação probatória principalmente diante da potencialidade da implantação do sistema atingir direitos fundamentais dos cidadãos.

Assim, a decisão proibiu o tratamento de dados biométricos dos usuários para fins de reconhecimento facial, mas admitiu a instalação do sistema contratado, tendo em vista que o contrato administrativo já está em vigor e que o metrô fez investimentos de grande monta.

Houve interposição de recurso para o TJ-SP, que por sua vez, em decisão proferida em 13/10/2022, acolheu-o para fins de revogar a proibição de utilização da tecnologia de reconhecimento facial, tendo sido adotados os seguintes fundamentos:

— A Lei 6.149/74 confere poder de polícia ao metrô, o que afastaria a LGPD (artigo 4, III, "a" e "d" da LGPD);

— Prematuro o temor das recorridas quanto ao tratamento discriminatório de dados biométricos; e,

— Há risco de lesão, onerando os cofres públicos, se suspensa a execução do contrato.

A decisão do TJ-SP não foi unânime, tendo o voto divergente ressaltado que "…a instalação do sistema de monitoramento e reconhecimento facial parece estar sendo feito à revelia de uma avaliação prévia de impacto da proteção dos dados, especialmente considerando que o tratamento das referidas informações pode resultar em elevado risco para os direitos e liberdades das pessoas".

Além disso, o voto divergente também ressaltou que "o Metrô, em nenhum momento, forneceu explicações e/ou documentos a respeito das regras, condições, formas, prazos, entre outros, em que se dará o tratamento e, mais importante, o compartilhamento com outros órgãos, públicos ou privados — dos dados biométricos coletados de seus usuários".

Não há dúvida de que muitas vezes o uso de tecnologias emergentes e inovadoras causa sentimento de insegurança e/ou dúvidas quanto à legalidade do tratamento de dados pessoais e eventual violação de direitos e liberdades fundamentais, tendo em vista seu caráter disruptivo.

Porém, tal fator, por si só, não pode ser visto como um obstáculo, lembrando-se que nos termos do artigo 2º, V, da Lei nº 13.709/2018 — LGPD, um dos fundamentos da disciplina de dados pessoais é justamente "o desenvolvimento econômico e tecnológico e a inovação".

Pelas fundamentações externadas na ACP 1010667-97.2022.8.26.0053, tanto na decisão de primeira instância, como no voto divergente proferido no órgão revisor, o que se pode concluir é que os Julgadores que se posicionaram pela proibição do reconhecimento facial consideraram não terem sido satisfatórios os esclarecimentos a respeito do tratamento de dados pessoais a ser realizado através da tecnologia que o Metrô pretende implementar.

Como poderia ter sido mitigado o problema com o monitoramento de imagens — CFTV? [2]

Para superar as dúvidas a respeito da tecnologia, entende-se que seria útil a apresentação de esclarecimentos com base em Relatório de Impacto à Proteção de Dados Pessoais [3], com: 1) a descrição dos processos e finalidades dos tratamentos de dados pessoais, inclusive considerados sensíveis pela LGPD, dos usuários; 2) uma avaliação da necessidade e proporcionalidade do processamento; 3) bem como das medidas, salvaguardas e mecanismos para mitigação de riscos para os direitos e liberdades dos titulares de dados.

Vale destacar que o Relatório de Impacto à Proteção de Dados Pessoais não só é um documento que pode ser exigido pela Autoridade Nacional de Proteção de Dados (ANPD), como também consiste em um instrumento que pode ser bastante útil para demonstrar maior transparência aos titulares envolvidos no tratamento de dados pessoais e segurança física/digital quando se busca evidenciar a legalidade do tratamento em eventual processo de negócio que se pretenda implementar ou desenvolvimento de tecnologia.

Se a captação da imagem for realizada para fins publicitários e, consequente, cunho comercial, — tendo em vista a busca em detectar as principais características dos indivíduos que circulam em determinados locais e horários, bem como emoções e reações apresentadas à publicidade veiculada no equipamento — o recomendado, considerando o entendimento do Poder Judiciário é: haver prévia autorização ou, no mínimo, cientificação para captação das imagens, revelando conduta boa-fé do agente de tratamento, bem como mitigação em atingir valores morais e coletivos, principalmente ainda havendo o incalculável número de indivíduos que transitam pela área monitorada diariamente, ainda mais passando por ali crianças e adolescentes, cujas imagens gozam de maior e notória proteção, nos termos do artigo 17 do Estatuto da Criança e Adolescente (ECA).

Deve-se ter cautela ao capturar imagens de pessoas, mesmo quando não há a identificação específica de cada uma delas e, ainda mais, se a finalidade for vantagem econômica, nos termos do §3º do artigo 11 da LGPD.

Recomenda-se a contratação de profissional especializado para orientações mais detalhadas a respeito de cada contexto, com emissão de parecer jurídico-técnico com a indicação de recomendações para mitigação e gestão de riscos para cada caso.

Possível checklist, em complemento ao Relatório de Impacto à Proteção de Dados Pessoais, para análise prévia do processo de captura de imagens
Adicionalmente, a empresa ou o entre público que pretenda utilizar tecnologias que envolvam o reconhecimento facial poderão também consultar as orientações a respeito do tema emitidas pelas autoridades de proteção de dados da Europa, a exemplo do guia publicado pela Autoridade de Proteção de Dados do Reino Unido (Information Comissioner's Office — ICO) [4], que não só aborda importantes considerações, requisitos e orientações sobre o uso da tecnologia de reconhecimento facial [5], mas também traz instrumentos e verdadeiros checklists, que podem ser úteis para demonstrar a legalidade do tratamento de dados através da referida tecnologia, como, por exemplo, respondendo às seguintes atividades:

– Conduzimos uma Avaliação de Impacto na Proteção de Dados (DPIA) que aborda totalmente nossa necessidade de usar a Tecnologia de Reconhecimento Facial (FRT), a base legal para seu uso e explora os impactos aos direitos e liberdades dos indivíduos cujos dados pessoais são capturados para cada implantação?
–  Documentamos totalmente nossa justificativa para o uso do FRT e a tomada de decisão por trás dessas justificativas, e elas estão disponíveis mediante solicitação?
– Escolhemos uma resolução adequada para as câmeras que usamos e realizamos testes completos do equipamento?
– Posicionamos nossas câmeras em áreas com iluminação suficiente, para garantir que imagens de boa qualidade sejam tiradas para auxiliar no reconhecimento preciso?
– Somos capazes de identificar claramente correspondências falsas e correspondências verdadeiras?
– Podemos alterar o sistema para corrigir taxas de falsos positivos ou falsos negativos que são considerados muito altos?
– Há capacidade em atender os direitos dos titulares? (artigos 17 e 18 da LGPD)?
– Garantimos que todas as listas de observação que usamos são construídas em conformidade com a lei geral de proteção de dados pessoais?

Quais as possíveis bases legais (ou hipóteses de legitimidade) para a captura de imagens?
Para a realização de uma atividade com dados pessoais — tratamento — ser considerada legal ou legítima, esta precisa ser enquadrada em uma das hipóteses previstas na LGPD e, eventualmente, em legislação setorial ou local.

A LGPD determina que, como regra, o tratamento de dados pessoais sensíveis tenha embasamento em fornecimento de consentimento pelo Titular, mas prevê exceções no inciso II do artigo 11º:

"Artigo 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
II – sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no artigo 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais".

Recomendação final
Recomenda-se a contratação de Encarregado pelo Tratamento de Dados Pessoais (ou mais conhecido como data protection officer — DPO) ou consultoria especializada para análise das hipóteses de legitimidade para os tratamentos de titulares (eventuais diferentes categorias: crianças, adolescentes, idosos, maiores etc.), para que a organização não tenha impactos futuros que:

– Inviabilizem o uso da tecnologia, software;
– Prejudique investimentos já realizados com o desenvolvimento ou contratação da inovação;
– Incida em possíveis multas ou reparações pecuniárias, definidas pelo Poder Judiciário;
– Impacte em prejuízo à imagem e reputação da organização;
– Sejam aplicadas possíveis sanções administrativas, segundo a LGPD.