Tecnologias de reconhecimento facial e a Lei Geral de Proteção de Dados
Os desafios jurídicos do uso de ferramentas de reconhecimento facial na LGPD e decisões judiciais recentes sobre o tema
O desenvolvimento das ferramentas de inteligência artificial e de machine learning deu origem à criação e gerou o aumento do uso de tecnologias de reconhecimento facial. Por meio da análise de uma imagem contendo rostos humanos, a tecnologia pode identificar e reconhecer instantaneamente o indivíduo retratado, podendo ser aplicada em diversas circunstâncias em que imagens faciais sejam disponibilizadas. Esse tipo de tecnologia não só é capaz de confirmar que a imagem retrata um indivíduo (semelhante a uma ferramenta de detecção facial), mas também identifica e reconhece um ser humano masculino ou feminino por meio de análise de suas características biométricas.
A LGPD estabelece regras detalhadas para a coleta, uso, tratamento e armazenamento de qualquer informação relacionada a um indivíduo identificado ou identificável (definido como "dados pessoais" pela LGPD). Assim como a GDPR, a LGPD tem um efeito extraterritorial significativo e, via de regra, aplica-se a qualquer atividade de tratamento de dados pessoais realizada por pessoas físicas e jurídicas, independentemente do país onde está sediada ou do país onde os dados se encontram, desde que: o tratamento de dados seja realizado no Brasil; a atividade de tratamento de dados pessoais tenha por objetivo oferecer bens ou serviços a titulares de dados localizados no Brasil; ou os dados pessoais tenham sido coletados no Brasil (nos casos em que o titular dos dados estava localizado no Brasil no momento da coleta de dados), independentemente de sua respectiva nacionalidade.
Uma das principais questões jurídicas decorrentes do uso das tecnologias de reconhecimento facial diz respeito ao tratamento das características biométricas do indivíduo, dada sua natureza sensível. De acordo com a LGPD, "dados pessoais sensíveis" são definidos como dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Com base nessa definição, e até que novas orientações sejam emitidas pela Autoridade Nacional de Proteção de Dados (ANPD), os dados pessoais tratados por sistemas de reconhecimento facial se enquadram na categoria de "dados biométricos" e, portanto, devem ser considerados não apenas dados pessoais, mas também "dados sensíveis", nos termos da LGPD.
Note que não há obrigações adicionais que se aplicam ao tratamento de dados sensíveis pelas entidades. Entretanto, as bases legais que podem justificar as atividades de tratamento de dados sensíveis são mais limitadas em comparação com as bases legais disponíveis para justificar as atividades de tratamento de dados envolvendo dados pessoais. Nesse contexto, ao usar (ou planejar usar) uma tecnologia de reconhecimento facial, deve-se analisar cuidadosamente a base legal adotada (ou a ser adotada) para justificar as atividades de tratamento de dados pessoais sensíveis em conexão com essa tecnologia.
Nesse contexto, em maio de 2021, uma concessionária de metrô do Estado de São Paulo foi condenada no âmbito de uma ação judicial a pagar R$ 100 mil pela utilização de ferramenta de "reconhecimento facial", para fins de marketing e publicidade, sem obter o devido consentimento dos respectivos indivíduos (como usuários do metrô) para realizar a referida atividade. Esse foi um leading case sobre o assunto e foi considerado controverso em vários aspectos por alguns estudiosos. Embora a empresa tenha argumentado que usou uma ferramenta de detecção facial que captava apenas características gerais dos indivíduos, como idade, sexo e emoção (ou seja, não era capaz de identificar e reconhecer um indivíduo), o juiz entendeu que a empresa estava coletando dados biométricos (portanto, dados sensíveis) de tais indivíduos e que, portanto, deveria ter obtido o consentimento do titular dos dados para tanto.
Para mais informações sobre a LGPD, conheça a prática de Tecnologia, Cybersecurity e Proteção de Dados do Mattos Filho.