Reconhecimento facial para coleta de dados para fins comerciais sem o consentimento pessoal. Ilegalidade.

Assista à aula do CURSO QUERO ME DEFENDER

Instagram @andresantanaadv

O presente artigo propõe que o uso de inteligência artificial para possibilitar a coleta de dados por intermédio de câmeras para fins de uso comercial do reconhecimento facial sem a expressa permissão da pessoa é ilegal.

Na hipótese de instalação de mecanismos que importe na captação de dados sensíveis como a atribuição de identificadores únicos relacionada à pessoa natural identificada ou identificável importa em violação de direitos constitucionais e legais de proteção à privacidade que tratam do consentimento em processos de coleta de dados.

A proteção de dados pessoais é decorrente do direito constitucional à vida privada e intimidade prevista no inciso X do Art. 5º da Constituição Federal transcrita a seguir:

Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade, nos termos seguintes:

X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação

O sistema normativo de proteção de dados pessoais é construído a partir da interpretação conjunta da Constituição Federal, do Código Civil (em especial o Capítulo II, que trata dos direitos da personalidade), do Código de Defesa do Consumidor (em especial o capítulo “Dos Bancos de Dados e Cadastros de Consumidores”), da Lei de Acesso a Informacao (em especial da seção V intitulada “Das Informações Pessoais”), do Marco Civil da Internet (Lei 12.965/2014) e da Lei do Cadastro Positivo (Lei 12414/2011).

Conforme a legislação (Lei 13.709/2018, Art. 5º, X), o tratamento é “toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração”.

A proteção de dados pessoais não pode ser pensada nos parâmetros clássicos do “direito à privacidade” enquanto pessoa-informação-sigilo, mas sim no quadrinômio pessoa-informação-circulação-controle.

Como consequência, a Lei de Dados Pessoais tem como base o conceito de consentimento como "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada" (Lei 13.709/2018, Art. 5º, XII).

Tal sistema de processo de tratamento de dados pessoal possui dez princípios positivados neste diploma legal que são:

I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Consoante o seu par, o Regulamento Geral de Proteção de Dados Pessoais da União Europeia, a Lei Geral de Proteçâo de Dados Pessoais - LGPD, Lei nº 13.709/2018, introduziu no ordenamento jurídico brasileiro a necessidade de satisfazer as condições impostas pelo inciso I do Art. 7º para que seja válido o tratamento de dados pessoais, verbis:

Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:

I - mediante o fornecimento de consentimento pelo titular;

A própria Lei determina que o referido consentimento deverá ser feito por escrito ou por outro meio que demonstre a manifestação da vontade do titular, fortalecendo a autonomia dos indivíduos em face da coleta de seus dados pessoais.

O princípio da “autodeterminação informativa” e da importância do consentimento livre e informado é de notório reconhecimento doutrinário e encontra no Código de Defesa do Consumidor (Lei 8.078/1990), na Lei do Cadastro Positivo (Lei 12.414/2011) e no Marco Civil da Internet (Lei 12.965/2014) seu acolhimento e positivamento no ordenamento jurídico pátrio.

Sob o escólio da professora Laura Schertel em seu artigo público na Revista do Direito do Consumidor em agosto de 2016, "O diálogo entre o Marco Civil da Internet e o Código de Defesa do Consumidor", podemos ver a argumentação em favor da autorização pelo consumidor como pressuposto essencial para o tratamento de dados pessoas nas relações de consumo:

“A autorização pelo consumidor, como regra geral, é um pressuposto essencial para o tratamento de dados pessoais nas relações de consumo, inclusive aquelas desenvolvidas no ambiente virtual. Afinal, se os dados pessoais referem-se ao seu titular e o representam, afetando a sua personalidade, somente ele pode decidir a respeito do fluxo desses dados, salvo em casos excepcionais ou expressa previsão legal. Tal conceito, que já podia ser extraído do Código de Defesa do Consumidor, tornou-se requisito expresso a partir da promulgação do Marco Civil. Trata-se da concretização do princípio da liberdade de escolha do consumidor (art. 6º, II, CDC). A regra do consentimento está prevista no art. 7º, XII e IX, do Marco Civil da Internet. Enquanto o inc. VII condiciona o fornecimento a terceiros dos dados pessoais ao consentimento livre, expresso e informado do usuário, salvo em caso de previsão legal, o inc. IX estabelece norma geral acerca do consentimento em caso de coleta, uso, armazenamento e tratamento de dados pessoais, prevendo ainda que o consentimento deve constar de cláusula destacada. Essa regra básica para a legitimidade do tratamento de dados pessoais também está presente na Lei federal de proteção de dados alemã, que determina que a coleta, o processamento e a utilização de dados pessoais somente são permitidos se autorizados por lei ou consentidos pelo titular (§ 1º, 1, BDSG). Para que o tratamento constitua a real manifestação de vontade do consumidor de submeter os seus dados pessoais a tratamento, ele tem que atender a determinados requisitos. Assim, entende-se que o consentimento somente é válido se for expresso, livre, específico e informado. (...) Além do consentimento ou outro fundamento legítimo para o tratamento de dados, a análise da legitimidade do tratamento de dados deve levar em conta a boa-fé objetiva, as expectativas legítimas do consumidor, bem como os impactos e os riscos de tratamento de dados pessoais para o consumidor”

Denota-se, portanto, a ocorrência de um sistema protetivo dos direitos dos usuários da relação de consumo para a proteção das pessoas naturais baseado na transparência e na autodeterminação informativa colocando sobre os indivíduos meios de controle sobre os seus dados.

A propósito, o Código de Defesa do Consumidor em seu artigo 43 também regula a relação entre o consumidor e os bancos de dados e cadastros nos termos seguintes:

Art. 43. O consumidor, sem prejuízo do disposto no art. 86, terá acesso às informações existentes em cadastros, fichas, registros e dados pessoais e de consumo arquivados sobre ele, bem como sobre as suas respectivas fontes.

§ 1º Os cadastros e dados de consumidores devem ser objetivos, claros, verdadeiros e em linguagem de fácil compreensão, não podendo conter informações negativas referentes a período superiora cinco anos.

§ 2º A abertura de cadastro, ficha, registro e dados pessoais e de consumo deverá ser comunicada por escrito ao consumidor, quando não solicitada por ele.

§ 3º O consumidor, sempre que encontrar inexatidão nos seus dados e cadastros, poderá exigir sua imediata correção, devendo o arquivista, no prazo de cinco dias úteis, comunicar a alteração aos eventuais destinatários das informações incorretas.

§ 4º Os bancos de dados e cadastros relativos a consumidores, os serviços de proteção ao crédito e congêneres são considerados entidades de caráter público.

§ 5º Consumada a prescrição relativa à cobrança de débitos do consumidor, não serão fornecidas, pelos respectivos Sistemas de Proteção ao Crédito, quaisquer informações que possam impedir ou dificultar novo acesso ao crédito junto aos fornecedores.

§ 6º Todas as informações de que trata o caput deste artigo devem ser disponibilizadas em formatos acessíveis, inclusive para a pessoa com deficiência, mediante solicitação do consumidor.

Sob a esfera do direito público, os bancos de dados e cadastros das pessoas naturais estão sob o abrigo do regime constitucional e legal da proteção da privacidade que tem como condição essencial de validade o princípio do consentimento para o armazenamento de dados pessoais cabendo ao Juiz, inclusive, a requerimento do interessado, adotar as providências necessárias para impedir ou fazer cessar ato contrário a inviolabilidade a vida privada, conforme expressamente previsto no artigo 21 do Código Civil.

Em consonância com o aqui exposto, a geração de identificadores únicos por meio de algoritmos que fazem tratamento de dados biométricos, como os que produzem o reconhecimento facial ou a reconstrução por um conjunto de dados identificáveis como o de reconhecimento de expressões faciais cujo uso se destinará para o aproveitamento comercial viola o novo signo da privacidade dos usuário se estes não consentirem com tal prática.