LGPD e IA de visão no varejo: como estruturar o projeto sem criar risco jurídico

O ponto de partida

Quando um software passa a ler a imagem da operação, o circuito de vídeo muda de função. Antes a imagem ficava gravada e ninguém olhava. Agora um sistema lê a cena e gera contagens, alertas e padrões. Isso é tratamento de dados pessoais e está sujeito à LGPD (Lei 13.709/2018).

Uma rede de porte, seja de lojas, supermercados, restaurantes, farmácias ou clínicas, consegue fazer isso dentro da lei se tratar o assunto como processo, com responsáveis e documentos, e não como uma opção de menu. Este texto mostra o que precisa estar no lugar.

Aviso: este conteúdo é informativo e não substitui aconselhamento jurídico. Cada rede tem contratos, riscos e contexto próprios. Valide sempre com o jurídico e o encarregado (DPO) antes de operar.

Imagem de pessoa é dado pessoal

A LGPD trata como dado pessoal qualquer informação que identifique ou torne identificável uma pessoa natural. A imagem de um cliente no corredor entra nessa definição. A contagem de fluxo, sozinha, tende a ser um número agregado. O problema aparece quando o sistema associa a imagem a alguém em particular.

Por isso a primeira decisão de projeto é sobre o que o sistema precisa mesmo ler. Contar pessoas na fila não exige saber quem elas são, e medir permanência numa área não exige guardar o rosto de ninguém. Quanto menos o sistema retém sobre pessoas determinadas, menor o risco.

Base legal: escolha antes de ligar o sistema

A LGPD exige uma base legal para cada tratamento. Para monitoramento por vídeo no varejo, as bases mais comuns são:

• Legítimo interesse (art. 7º, IX), que sustenta usos como prevenção de perdas e fraudes, segurança patrimonial e eficiência operacional. Exige um teste de proporcionalidade documentado, o LIA (avaliação de legítimo interesse), que pesa a finalidade contra o impacto na privacidade e mostra que não havia caminho menos invasivo.
• Cumprimento de obrigação legal ou regulatória (art. 7º, II), quando uma norma específica obriga o registro.
• Proteção da vida ou segurança, em situações pontuais.

O consentimento raramente serve para vídeo numa unidade aberta ao público, porque seria inviável colhê-lo de cada pessoa que entra. O legítimo interesse costuma ser o eixo, desde que bem fundamentado. A escolha da base precisa estar registrada antes de a operação começar, e não depois do primeiro questionamento.

Há uma fronteira sensível aqui. Usar o rosto como chave de identidade, associando um nome a quem aparece na imagem, entra no terreno do dado biométrico, que a LGPD trata como dado sensível e cerca de exigências bem mais rígidas. Ler comportamento de forma anônima tem outro peso jurídico. Deixe essa fronteira explícita no desenho do projeto e no contrato com o fornecedor.

Minimização: colete só o necessário

A minimização é um princípio da lei. O sistema deve tratar apenas o dado adequado e necessário para a finalidade declarada.

Na prática, isso significa configurar a leitura no nível mais agregado que resolve o problema de negócio:

• Prefira métricas (fluxo, filas, ocupação, conversão de área) a imagens armazenadas de pessoas.
• Quando a imagem precisar ser processada, processe e descarte, sem formar acervo.
• Não colete atributos que a finalidade não pede.

A pergunta de controle é simples: se um dado não serve à finalidade declarada, ele não deveria estar sendo tratado.

Retenção: todo dado tem prazo

A LGPD manda eliminar o dado quando a finalidade se encerra. Guardar gravação por tempo indefinido cria passivo jurídico e não acrescenta segurança.

Defina prazos por tipo de dado e registre-os na política interna:

• Métricas agregadas podem ficar mais tempo, porque não apontam para ninguém em particular.
• Imagens brutas devem ter janela curta e finalidade clara, com descarte automático ao fim do prazo.
• Cada prazo precisa de justificativa ligada à finalidade, e "pode ser útil um dia" não conta.

O ideal é que o descarte seja automático e auditável. Se depende de alguém lembrar de apagar, não dá para confiar nele como controle.

Controle e trilha de acesso

Boa parte do compliance de vídeo se resume a quem pode ver o quê. A LGPD exige medidas de segurança e responsabilização.

Monte o acesso em camadas:

• Perfis de acesso por função. O analista de operação não precisa do mesmo acesso que a segurança patrimonial.
• Registro de quem acessou o quê e quando. Sem trilha de auditoria, você não consegue provar controle nem investigar um incidente.
• Menor privilégio. Acesso amplo só quando a função exige.
• Revisão periódica de quem ainda deveria ter acesso, principalmente depois de desligamentos.

Numa rede grande, é aqui que o risco se concentra, porque são muitas pessoas, muitas unidades e muitos logins herdados. O acesso precisa ser revisado com frequência, em vez de concedido uma vez e esquecido.

Anonimização e o alcance da lei

Borrar ou anonimizar a imagem é uma das formas mais eficazes de reduzir risco. Quando o sistema opera sobre imagem anonimizada, o dado deixa de apontar para uma pessoa determinada e o peso jurídico cai.

Boas práticas técnicas:

• Aplicar borramento por padrão nas telas de operação e revelar só quando houver base legal e necessidade real.
• Processar a análise sobre representações que não permitem reconstruir a identidade.
• Garantir que a anonimização seja robusta e não possa ser revertida com facilidade.

A anonimização de verdade tira o dado do alcance da LGPD. A pseudonimização só reduz o risco, porque o dado continua sendo pessoal. Saiba qual das duas o seu fornecedor entrega, já que isso muda as suas obrigações.

O papel do DPO (encarregado)

O encarregado faz a ponte entre a empresa, os titulares e a ANPD. Numa implantação de IA de visão, ele precisa:

• Participar da definição de base legal e finalidade antes do go-live.
• Avaliar se é necessário um relatório de impacto à proteção de dados (RIPD) quando o tratamento for de risco maior.
• Receber e responder pedidos de titulares sobre o monitoramento.
• Revisar os contratos com o fornecedor da tecnologia, definindo os papéis de controlador e operador.

Chamar o DPO só no fim do projeto gera retrabalho. Com ele desde o começo, você evita decisões que depois teriam de ser desfeitas.

Avisos de monitoramento

Transparência é obrigação, e as pessoas monitoradas têm direito de saber. Na prática:

• Sinalização visível na entrada e nas áreas monitoradas, em linguagem clara.
• Referência à política de privacidade, com finalidade, base legal e canal de contato do encarregado.
• Comunicação interna para os colaboradores, que também são titulares.

Um aviso claro não afasta clientes. A falta dele é que costuma virar reclamação e exposição.

Checklist antes de ligar a leitura

Antes de ativar a leitura automática na rede, tenha isto no lugar:

1. Finalidade escrita e específica para cada uso.
2. Base legal definida, com LIA documentado quando for legítimo interesse.
3. Configuração de minimização, priorizando métricas sobre imagens de pessoas.
4. Prazos de retenção com descarte automático.
5. Perfis de acesso, menor privilégio e trilha de auditoria.
6. Borramento ou anonimização por padrão.
7. DPO envolvido desde o início e RIPD quando couber.
8. Avisos de monitoramento e política de privacidade atualizada.
9. Contrato com o fornecedor definindo papéis e medidas de segurança.

Bem implantada, a IA de visão não amplia o risco jurídico e pode até reduzi-lo, porque troca gravação parada por leitura controlada, com regras e trilha. A diferença está no desenho: base legal, minimização, retenção, acesso e transparência.

Na Bewacher, esse desenho faz parte do projeto desde o início. O agente é construído a partir da operação da rede, e a fronteira do que ele lê é decidida junto com quem responde pelo jurídico. Se quiser entender como isso se aplica ao seu caso, confira se a sua rede está no perfil que atendemos.