RGPD e IA de visão no retalho: como estruturar o projeto sem criar risco jurídico

O ponto de partida

Quando um software passa a ler a imagem da operação, o circuito de vídeo muda de função. Antes a imagem ficava gravada e ninguém olhava. Agora um sistema lê a cena e gera contagens, alertas e padrões. Isso é tratamento de dados pessoais e está sujeito ao RGPD, o Regulamento (UE) 2016/679, e à Lei n.º 58/2019, que o executa na ordem jurídica portuguesa.

Uma cadeia de porte, seja de lojas, supermercados, restaurantes, farmácias ou clínicas, consegue fazê-lo dentro da lei se tratar o assunto como processo, com responsáveis e documentos, e não como uma opção de menu. Este texto mostra o que tem de estar no lugar.

Aviso: este conteúdo é informativo e não substitui aconselhamento jurídico. Cada cadeia tem contratos, riscos e contexto próprios. Valide sempre com o jurídico e com o encarregado de proteção de dados antes de operar.

Imagem de pessoa é dado pessoal

O RGPD trata como dado pessoal qualquer informação relativa a uma pessoa singular identificada ou identificável. A imagem de um cliente no corredor entra nessa definição. A contagem de fluxo, sozinha, tende a ser um número agregado. O problema aparece quando o sistema associa a imagem a alguém em particular.

Por isso a primeira decisão de projeto é sobre o que o sistema precisa mesmo de ler. Contar pessoas na fila não exige saber quem são, e medir a permanência numa zona não exige guardar o rosto de ninguém. Quanto menos o sistema retém sobre pessoas determinadas, menor é o risco.

Fundamento de licitude: escolha antes de ligar o sistema

O RGPD exige um fundamento de licitude para cada tratamento. Para videovigilância no retalho, os mais comuns são:

• Interesse legítimo (artigo 6.º, n.º 1, alínea f), que sustenta usos como prevenção de perdas e fraudes, segurança patrimonial e eficiência operacional. Exige um teste de ponderação documentado, que pesa a finalidade contra o impacto na privacidade e demonstra que não havia caminho menos intrusivo.
• Cumprimento de obrigação jurídica (artigo 6.º, n.º 1, alínea c), quando uma norma específica obriga ao registo.
• Defesa de interesses vitais (artigo 6.º, n.º 1, alínea d), em situações pontuais.

O consentimento raramente serve para vídeo numa unidade aberta ao público, porque seria inviável recolhê-lo de cada pessoa que entra. O interesse legítimo costuma ser o eixo, desde que bem fundamentado. A escolha tem de estar registada antes de a operação começar, e não depois do primeiro questionamento.

Há aqui uma fronteira sensível. Usar o rosto como chave de identidade, associando um nome a quem aparece na imagem, entra no terreno dos dados biométricos, categoria especial do artigo 9.º, com exigências bem mais apertadas. Ler comportamento de forma anónima tem outro peso jurídico. Deixe essa fronteira explícita no desenho do projeto e no contrato com o fornecedor.

O limite laboral, que em Portugal é específico

Há um ponto que não existe da mesma forma noutros mercados. O artigo 20.º do Código do Trabalho proíbe usar meios de vigilância à distância com a finalidade de controlar o desempenho do trabalhador. A videovigilância pode servir a proteção de pessoas e bens, mas não a avaliação de quem lá trabalha. Um sistema que lê a operação tem de ser desenhado e documentado dentro dessa distinção, e o mesmo vale para o que a equipa consegue ver no ecrã.

Minimização: recolha só o necessário

A minimização é um princípio da lei. O sistema deve tratar apenas dados adequados, pertinentes e limitados ao necessário para a finalidade declarada.

Na prática, isto significa configurar a leitura no nível mais agregado que resolve o problema de negócio:

• Prefira métricas (fluxo, filas, ocupação, conversão de zona) a imagens armazenadas de pessoas.
• Quando a imagem tiver de ser processada, processe e elimine, sem criar acervo.
• Não recolha atributos que a finalidade não pede.

A pergunta de controlo é simples: se um dado não serve a finalidade declarada, não devia estar a ser tratado.

Conservação: todo o dado tem prazo

O RGPD manda eliminar o dado quando a finalidade se esgota. Guardar gravações por tempo indefinido cria passivo jurídico e não acrescenta segurança.

Defina prazos por tipo de dado e registe-os na política interna:

• As métricas agregadas podem ficar mais tempo, porque não apontam para ninguém em particular.
• As imagens em bruto devem ter janela curta e finalidade clara, com eliminação automática no fim do prazo.
• Cada prazo precisa de justificação ligada à finalidade, e "pode vir a ser útil" não conta.

O ideal é que a eliminação seja automática e auditável. Se depende de alguém se lembrar de apagar, não se pode confiar nela como controlo.

Controlo e registo de acessos

Boa parte do compliance de vídeo resume-se a quem pode ver o quê. O RGPD exige medidas de segurança e responsabilidade demonstrável.

Monte o acesso em camadas:

• Perfis de acesso por função. O analista de operação não precisa do mesmo acesso que a segurança.
• Registo de quem acedeu a quê e quando. Sem trilho de auditoria, não consegue demonstrar controlo nem investigar um incidente.
• Privilégio mínimo. Acesso alargado só quando a função o exige.
• Revisão periódica de quem ainda deve ter acesso, sobretudo após saídas.

Numa cadeia grande, é aqui que o risco se concentra, porque são muitas pessoas, muitas unidades e muitos acessos herdados. O acesso tem de ser revisto com frequência, em vez de concedido uma vez e esquecido.

Anonimização e o alcance da lei

Desfocar ou anonimizar a imagem é uma das formas mais eficazes de reduzir risco. Quando o sistema opera sobre imagem anonimizada, o dado deixa de apontar para uma pessoa determinada e o peso jurídico desce.

Boas práticas técnicas:

• Aplicar desfocagem por defeito nos ecrãs de operação e revelar só quando houver fundamento e necessidade real.
• Processar a análise sobre representações que não permitem reconstruir a identidade.
• Garantir que a anonimização é robusta e não pode ser revertida com facilidade.

A anonimização a sério tira o dado do alcance do RGPD. A pseudonimização só reduz o risco, porque o dado continua a ser pessoal. Saiba qual das duas o seu fornecedor entrega, já que isso muda as suas obrigações.

O papel do encarregado de proteção de dados

O encarregado faz a ponte entre a empresa, os titulares e a CNPD. Numa implementação de IA de visão, precisa de:

• Participar na definição de fundamento e finalidade antes do arranque.
• Avaliar se é necessária uma avaliação de impacto sobre a proteção de dados, prevista no artigo 35.º, quando o tratamento for de risco elevado.
• Receber e responder a pedidos de titulares sobre a videovigilância.
• Rever os contratos com o fornecedor da tecnologia, definindo os papéis de responsável pelo tratamento e de subcontratante.

Chamar o encarregado só no fim do projeto gera retrabalho. Com ele desde o início, evitam-se decisões que depois teriam de ser desfeitas.

Informação aos titulares

A transparência é obrigação, e quem é filmado tem direito a saber. Na prática:

• Sinalização visível à entrada e nas zonas abrangidas, em linguagem clara.
• Referência à política de privacidade, com finalidade, fundamento de licitude e contacto do encarregado.
• Comunicação interna aos trabalhadores, que também são titulares.

Um aviso claro não afasta clientes. A falta dele é que costuma transformar-se em reclamação e exposição.

Lista de verificação antes de ligar a leitura

Antes de ativar a leitura automática na cadeia, tenha isto no lugar:

1. Finalidade escrita e específica para cada uso.
2. Fundamento de licitude definido, com teste de ponderação documentado quando for interesse legítimo.
3. Configuração de minimização, com métricas em vez de imagens de pessoas.
4. Prazos de conservação com eliminação automática.
5. Perfis de acesso, privilégio mínimo e trilho de auditoria.
6. Desfocagem ou anonimização por defeito.
7. Encarregado envolvido desde o início e avaliação de impacto quando for devida.
8. Sinalização e política de privacidade atualizadas.
9. Contrato com o fornecedor a definir papéis e medidas de segurança.
10. Delimitação expressa face ao limite laboral do controlo de desempenho.

Bem implementada, a IA de visão não amplia o risco jurídico e pode até reduzi-lo, porque troca gravação parada por leitura controlada, com regras e trilho. A diferença está no desenho: fundamento, minimização, conservação, acesso e transparência.

Na Bewacher, este desenho faz parte do projeto desde o início. O agente é construído a partir da operação da cadeia, e a fronteira do que lê é decidida com quem responde pelo jurídico. Se quiser perceber como isto se aplica ao seu caso, veja se a sua cadeia se enquadra no perfil que atendemos.