LGPD câmeras: a base legal para analisar imagem em loja

A decisão técnica já foi tomada: as câmeras estão instaladas e dá para extrair indicador delas. O que trava é outra pergunta. Com base em que dispositivo eu posso fazer isso sem criar exposição para a empresa?

O impacto de não ter essa resposta é conhecido. O projeto para no jurídico interno, volta com um pedido genérico de "adequação", e ninguém consegue dizer objetivamente o que precisa existir. Enquanto isso, a operação continua sem o indicador e as câmeras continuam gravando, o que não é um estado neutro: gravar já é tratamento de dado pessoal.

O resultado que este texto entrega é um mapa com dispositivo citado. Você vai terminar sabendo quais bases legais estão em jogo, o que muda quando o tratamento envolve dado sensível, quais obrigações valem independentemente da base escolhida, e onde a resposta depende do caso concreto e não pode ser dada por um texto genérico.

Dois avisos de método antes de começar. Primeiro: onde a Lei 13.709/2018 não der resposta direta, este texto declara o limite em vez de interpretar. Segundo: nenhum produto, incluindo o da GoDados.cam, torna uma operação conforme por si só. Conformidade é resultado do conjunto de decisões do controlador, não de uma escolha de fornecedor.

O que a lei considera tratamento de dado pessoal em imagem de câmera

O ponto de partida é o art. 5º da Lei 13.709/2018. O inciso I define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. O inciso X define tratamento de forma deliberadamente ampla, enumerando operações como coleta, produção, recepção, classificação, utilização, acesso, reprodução, armazenamento e eliminação, entre outras.

A consequência prática é direta e costuma surpreender: a câmera que apenas grava já realiza tratamento. Armazenar imagem de pessoas identificáveis é coleta e armazenamento, dois dos verbos do inciso X. A pergunta "posso analisar essa imagem" chega, portanto, sobre uma operação de tratamento que já estava em curso antes de qualquer software de indicador entrar em cena.

Isso muda o enquadramento da discussão interna. Não se trata de decidir se a empresa vai passar a tratar dados pessoais. Trata-se de reconhecer que ela já trata, e de verificar se esse tratamento existente atende aos requisitos da lei, e se a nova finalidade cabe dentro dele ou exige base própria.

O art. 12 acrescenta uma peça importante: dados anonimizados não são considerados dados pessoais, salvo quando o processo de anonimização for revertido, ou puder ser revertido com esforços razoáveis. A leitura honesta desse dispositivo é que anonimização é um resultado a ser demonstrado, não um rótulo que se aplica por conveniência.

Quando a análise de imagem envolve dado sensível e quando não envolve

Esta é a distinção central do post, e é onde mais se erra nos dois sentidos.

O art. 5º, inciso II, define dado pessoal sensível como o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, e dado genético ou biométrico, quando vinculado a uma pessoa natural.

A palavra que decide é a última: vinculado a uma pessoa natural. Uma operação que detecta a presença de corpos em uma cena, conta cruzamentos de uma linha e agrega isso em um número por hora não produz, por si, vínculo com uma pessoa determinada. Uma operação que gera um template facial e o compara contra uma base para dizer quem é aquela pessoa produz exatamente esse vínculo, e é tratamento de dado biométrico.

O limite dessa distinção precisa ficar explícito, porque ele existe:

• A distinção depende do que o sistema efetivamente faz e retém, não do que o fornecedor diz que ele faz. Se a arquitetura extrai e armazena características que permitem reidentificar a pessoa depois, a classificação muda, independentemente de o painel mostrar apenas um agregado.
• O vídeo bruto que alimenta a análise continua sendo dado pessoal enquanto existir e permitir identificar quem aparece nele. O indicador agregado ser inofensivo não torna o acervo de imagens inofensivo.
• A fronteira entre "agregado" e "identificável" não é definida por número no texto da lei. É análise do caso concreto, e é exatamente o tipo de questão que depende da configuração real do sistema e do ambiente. Onde o dispositivo não fixa o critério, este texto não inventa um.

Por que a distinção importa tanto: as bases legais são diferentes. O art. 7º cuida do dado pessoal em geral. O art. 11 cuida do dado pessoal sensível, e o rol dele é mais estreito. Quem trata dado biométrico não pode se apoiar nas mesmas hipóteses de quem trata dado pessoal comum.

As bases legais aplicáveis a videomonitoramento em ambiente comercial

O art. 7º enumera dez bases legais, nos incisos I a X. Nem todas fazem sentido para videomonitoramento em ambiente comercial privado. As candidatas relevantes, com as respectivas condições:

• Legítimo interesse do controlador ou de terceiro (art. 7º, IX). É a base mais citada para videomonitoramento de segurança patrimonial e para análise operacional agregada. Ela não é automática. O art. 10 condiciona o uso a finalidades legítimas, consideradas a partir de situações concretas, e o §1º determina que sejam tratados apenas os dados pessoais estritamente necessários para a finalidade pretendida. O §2º impõe transparência, e o §3º prevê que a autoridade nacional pode solicitar ao controlador relatório de impacto à proteção de dados pessoais quando o tratamento tiver por fundamento seu interesse legítimo.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II). Aplicável quando norma específica exigir a manutenção de videomonitoramento em determinada atividade. Depende da existência da norma, o que varia por setor e por município. Este texto não afirma quais atividades estão nessa situação: é verificação a ser feita caso a caso.
• Execução de contrato (art. 7º, V). Base pertinente à relação com o titular quando o tratamento é necessário para executar contrato do qual ele é parte. Para o público que circula em uma loja, raramente é a base adequada.
• Consentimento (art. 7º, I). Tecnicamente possível, operacionalmente frágil em ambiente de circulação aberta: seria preciso obter consentimento livre, informado e inequívoco de cada pessoa que entra, e permitir a revogação com a mesma facilidade. É o motivo pelo qual consentimento raramente é a escolha adequada aqui, apesar de ser a primeira base em que todo mundo pensa.

Quando há dado sensível, a lista muda. O art. 11 admite o tratamento de dado pessoal sensível com consentimento específico e destacado para finalidades específicas, ou, sem consentimento, nas hipóteses que ele enumera, entre elas cumprimento de obrigação legal ou regulatória pelo controlador, exercício regular de direitos, proteção da vida ou da incolumidade física, tutela da saúde, e garantia da prevenção à fraude e à segurança do titular em processos de identificação e autenticação de cadastro.

O ponto que mais gera erro: o legítimo interesse do art. 7º, IX, não figura entre as hipóteses do art. 11. Quem pretende tratar dado biométrico não pode usá-lo como fundamento. Essa é uma diferença de rol, verificável na leitura direta dos dois artigos.

Obrigações que existem independentemente da base legal escolhida

Escolher a base legal é o começo, não o fim. O art. 6º enumera os princípios que se aplicam a toda operação de tratamento, e alguns têm consequência operacional imediata em videomonitoramento:

• Finalidade (art. 6º, I). A finalidade precisa ser legítima, específica, explícita e informada ao titular, sem possibilidade de tratamento posterior de forma incompatível. Câmera instalada para segurança patrimonial e depois usada para outra finalidade exige revisitar a declaração de finalidade.
• Adequação e necessidade (art. 6º, II e III). O tratamento deve ser compatível com a finalidade informada e limitado ao mínimo necessário para alcançá-la. Guardar mais imagem, por mais tempo, do que a finalidade exige contraria o princípio da necessidade.
• Transparência (art. 6º, VI). Informações claras, precisas e facilmente acessíveis sobre a realização do tratamento.
• Segurança e prevenção (art. 6º, VII e VIII). Detalhados no art. 46, que obriga a adoção de medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. Em videomonitoramento isso é concreto: controle de quem acessa o gravador, registro de acesso, senha que não é a padrão de fábrica.
• Responsabilização e prestação de contas (art. 6º, X). Demonstrar a adoção de medidas eficazes. Demonstrar significa ter registro, não ter convicção.

Somam-se a esses dois deveres estruturais. O art. 37 determina que o controlador e o operador mantenham registro das operações de tratamento que realizarem, especialmente quando baseado no legítimo interesse, o que torna o registro praticamente incontornável para quem escolheu essa base. E o art. 41 determina que o controlador indique encarregado pelo tratamento de dados pessoais, com identidade e informações de contato divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.

Se houver transferência internacional de dados, por exemplo quando o processamento ou o armazenamento ocorrer fora do país, entram os arts. 33 a 36, que estabelecem as hipóteses e condições dessa transferência. É um ponto que costuma passar batido em contratação de serviço em nuvem e que precisa ser verificado na arquitetura concreta.

Sinalização, informação ao titular e direitos do titular

O art. 9º assegura ao titular o direito ao acesso facilitado às informações sobre o tratamento, e enumera o que deve constar de forma clara, adequada e ostensiva, incluindo finalidade específica, forma e duração do tratamento, identificação do controlador, informações de contato, uso compartilhado de dados e responsabilidades dos agentes.

Na prática de um estabelecimento comercial, isso costuma se traduzir em dois elementos combinados: a sinalização visível no ambiente monitorado, informando que ali há videomonitoramento e com qual finalidade, e um documento acessível que detalhe o restante. A lei não fixa dimensão de placa nem texto padrão de aviso: o que ela fixa é o conteúdo informacional e a acessibilidade. Onde não há critério no dispositivo, não há critério a afirmar. Vale conferir também a legislação municipal aplicável, que pode trazer exigências próprias de sinalização.

O art. 18 enumera os direitos do titular, nos incisos I a IX, entre eles a confirmação da existência de tratamento, o acesso aos dados, a correção de dados incompletos, inexatos ou desatualizados, a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei, a portabilidade, a informação sobre compartilhamento e a revogação do consentimento.

Existe prazo, e ele é curto. O art. 19 determina que a confirmação de existência ou o acesso aos dados pessoais sejam providenciados mediante requisição do titular em formato simplificado e imediatamente, ou por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, no prazo de até 15 dias contado da data do requerimento. Quinze dias é pouco para quem não tem processo definido: descobrir quais gravações contêm determinado titular, em um acervo de dezenas de câmeras, é trabalho que precisa estar desenhado antes do primeiro pedido chegar.

Retenção e eliminação

O art. 15 estabelece quando o tratamento deve ser terminado: verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade; fim do período de tratamento; comunicação do titular, quando o tratamento se der por consentimento; ou determinação da autoridade nacional.

O art. 16 determina que os dados pessoais sejam eliminados após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as finalidades que ele enumera, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador e o uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Duas consequências práticas para quem opera CFTV:

• Prazo de retenção precisa ser definido, e definido por finalidade. A lei não fixa um número universal de dias para gravação de câmera, e este texto não inventa um. O que ela exige é que o período seja compatível com a finalidade declarada e com o princípio da necessidade do art. 6º, III. Um gravador configurado para "o máximo que o disco aguentar" não é uma política de retenção.
• Eliminação precisa acontecer de fato. Sobrescrita cíclica do gravador pode atender, se estiver documentada como política e se não houver cópias paralelas esquecidas em pendrive, e-mail ou exportação para pasta de rede. Cópia exportada e não controlada é o ponto de falha mais comum.

Um detalhe que diferencia indicador operacional de acervo de imagem: o indicador agregado, por não conter imagem nem vínculo com pessoa determinada, tende a ter um regime de retenção distinto do vídeo que o originou. Isso não dispensa a política de retenção do vídeo. Apenas evita que a necessidade de série histórica de indicador seja usada como justificativa para manter imagem por mais tempo do que a finalidade dela suporta.

Quando é exigível o relatório de impacto

Aqui há um mal-entendido frequente que vale corrigir com o texto na mão. O art. 38 determina que a autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento, nos termos de regulamento, observados os segredos comercial e industrial. O parágrafo único indica o conteúdo mínimo: descrição dos tipos de dados coletados, metodologia utilizada para a coleta e para a garantia da segurança das informações, e análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Ou seja, o dispositivo estrutura o relatório como algo que a autoridade pode exigir, e não como documento automaticamente obrigatório para toda operação. Some-se a isso o art. 10, §3º, que prevê que a autoridade pode solicitar relatório de impacto quando o tratamento tiver por fundamento o legítimo interesse.

A leitura operacional prudente, e ela é uma recomendação de gestão de risco, não uma afirmação sobre o que a lei obriga: quem se apoia em legítimo interesse está expressamente dentro da hipótese do art. 10, §3º, em que o relatório pode ser solicitado, e produzi-lo antes é mais barato do que produzi-lo sob prazo. Para o desenho concreto desse documento e para a avaliação do caso específico, a análise precisa ser feita por quem tem competência para isso.

Sobre a consequência de não atender: o art. 52 enumera as sanções administrativas aplicáveis pela autoridade nacional. O inciso II prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 por infração. Vale registrar a linha do tempo, porque ela ainda confunde: pelo art. 65, a maior parte da lei entrou em vigor em 18 de setembro de 2020, e os artigos 52, 53 e 54, que tratam das sanções administrativas, passaram a vigorar em 1º de agosto de 2021.

A fonte primária para tudo o que está acima é o texto oficial da Lei 13.709/2018. Materiais orientativos e regulamentos publicados pela Autoridade Nacional de Proteção de Dados complementam a leitura e são atualizados com frequência, o que torna a consulta direta à fonte preferível a qualquer resumo, inclusive este.

Resposta direta: posso analisar a imagem das câmeras da minha loja

A análise de imagem de câmera em ambiente comercial é tratamento de dado pessoal e exige base legal do art. 7º da Lei 13.709/2018, sendo o legítimo interesse do inciso IX a hipótese mais discutida para finalidade operacional agregada, condicionada aos requisitos do art. 10. Se a operação envolver dado biométrico vinculado a pessoa natural, ela passa ao regime mais estrito do art. 11, onde o legítimo interesse não é admitido. Em qualquer cenário permanecem as obrigações de finalidade declarada, necessidade, transparência, segurança, registro das operações, indicação de encarregado, política de retenção e atendimento aos direitos do titular. A adequação do caso concreto depende da configuração real do sistema e do contexto do estabelecimento.

Uma sequência de verificação que a sua equipe consegue rodar

Seis perguntas, na ordem em que fazem sentido:

1. Qual é a finalidade declarada de cada câmera hoje, e ela está escrita em algum lugar?
2. O que exatamente o sistema de análise extrai e retém: apenas agregados, ou também características que permitiriam reidentificar alguém?
3. Qual base legal sustenta cada finalidade, e o registro do art. 37 existe?
4. A sinalização e a informação ao titular cobrem o conteúdo do art. 9º?
5. Existe prazo de retenção definido por finalidade, e existe processo para eliminar cópias exportadas?
6. Existe processo para responder a um pedido de titular dentro do prazo de até 15 dias do art. 19?

As perguntas 2 e 5 são as que mais frequentemente revelam surpresa. A resposta da 2 depende da arquitetura do sistema, e entender o caminho do frame ao indicador é o que permite responder com precisão em vez de repetir o que o fornecedor disse. Se a sua dúvida anterior é qual abordagem de medição adotar, a comparação entre sensor dedicado e visão computacional inclui o cenário em que a restrição de privacidade pesa na escolha. A política de privacidade deste site é um exemplo do tipo de documento acessível que o art. 9º pressupõe, e a página inicial da GoDados.cam descreve o escopo do que a plataforma mede.