Câmeras inteligentes e privacidade: o equilíbrio certo?

Legal Watch nº 33 – Março de 2021

Câmeras inteligentes e privacidade: o equilíbrio certo?. Desde março, câmeras instaladas em transporte público visam verificar se os usuários estão respeitando o uso de máscaras. Essas medidas fazem parte do arsenal utilizado para conter a propagação da epidemia de Covid-19.

Numerosas medidas de vigilância adotadas nos últimos meses (aplicativos anti-Covid, testes em funcionários, drones, passaportes de vacinação, etc.) geraram debates e reações, tanto na CNIL quanto em órgãos parlamentares ou nos tribunais.

O sistema de controle aqui mencionado, por outro lado, passou sem problemas sob o jugo da Comissão de Proteção de Dados, e as razões são simples: Ao contrário dos sistemas de videovigilância desenvolvidos em 2020, que coletavam muitos dados pessoais e que foram interrompidos, estes processam o mínimo estrito de dados necessários para verificar se as máscaras estão sendo usadas.

Mais especificamente, o sistema não processa dados biométricos nem implementa reconhecimento facial, e os dados não são usados para processar crimes.

O objetivo principal é produzir informações estatísticas e personalizar a conscientização pública.

Essas garantias são ainda mais importantes porque qualquer dispositivo de videovigilância constitui uma violação de direitos fundamentais, e as pessoas em causa raramente conseguem opor-se ao tratamento.

Nesse sentido, a CNIL já considerou no passado que balançar a cabeça em sinal de "não" diante de uma câmera não poderia ser considerado um meio realista e suficiente de oposição.

Devido a essas violações, os sistemas de câmeras inteligentes devem ser regulamentados por lei, como foi o caso do decreto publicado em 10 de março sobre o uso de máscaras no transporte público.

As garantias previstas no decreto, bem como os objetivos de saúde pública e de proteção dos indivíduos, parecem suficientes à CNIL para justificar uma limitação do direito à privacidade e, em particular, para afastar o direito de oposição.

A Comissão, contudo, sublinha a perigo de vício indivíduos, dado o aumento das medidas de vigilância atuais.

Ela, portanto, insiste nainformações detalhadas pessoas e durante um período de uso do dispositivo limitado no tempo e diretamente vinculado ao contexto da epidemia.

E também

França:

• Destruição de dados pessoais : a CNIL lembra, por ocasião do incêndio que destruiu um centro de dados da OVH em 10 de março, as medidas a serem tomadas pelo responsável pelo tratamento de dados com as pessoas envolvidas.

Ele especifica que a indisponibilidade e a destruição de dados constituem violações de dados no sentido do GDPR, que devem ser notificadas sob certas condições.

A CNIL também faz referência ao site cybermalveillance.gouv.fr, que fornece conselhos sobre como gerenciar tais incidentes.

• A CNIL também publicou a sua prioridades de controle para 2021Isso inclui questões de segurança cibernética de sites, segurança de dados de saúde e uso de cookies, todos tópicos altamente atuais.

Recorde-se que a CNIL atualizou as suas diretrizes sobre cookies e que em abril iniciará uma auditoria extensiva às suas condições de recolha.

• Transferências de dados para fora da União Europeia: O Conselho de Estado decidiu em 12 de março não suspender a parceria entre o Ministério da Saúde e Doctolib no contexto da atual campanha de vacinação, apesar dos riscos citados pelas autoridades americanas de acesso aos dados, a Doctolib recorreu parcialmente a uma subsidiária americana da Amazon para hospedagem de dados.

O Conselho de Estado está convencido, em particular, no caso de pedidos de acesso por uma autoridade americana, da existência de um procedimento específico que prevê a contestação de qualquer pedido geral ou que não esteja em conformidade com as normas europeias.

Os dados hospedados são ainda mais protegidos por meio de um procedimento de criptografia baseado em um terceiro confiável localizado na França, para evitar que os dados sejam lidos por terceiros.

• Dados profissionais :Em 9 de março, o tribunal de Paris se recusou a atender ao pedido de um dentista para que seu perfil e avaliações fossem removidos do Google Meu Negócio.

O tribunal confirma a natureza pessoal destes dados, mas considera que equilíbrio de direitos se inclina a favor da liberdade de expressão e informação para os usuários do Google e da Internet, fornecendo informações relacionadas ao exercício da profissão de dentista e às experiências dos pacientes envolvidos.

• Num contexto semelhante, o Tribunal de Cassação, num acórdão de 17 de Fevereiro, insistiu na necessidade desta ponderação dos direitos e interesses em jogo, no que diz respeito à publicação na Internet de uma condenação criminal vinculado à atividade profissional do reclamante.

O fato de essas informações serem públicas e de natureza profissional não implica que possam ser publicadas na Internet sem prévia verificação da invasão da privacidade do denunciante.

A ponderação dos direitos e interesses em jogo deve levar em conta a possível "contribuição da publicação incriminada para um debate de interesse geral, a notoriedade da pessoa em causa, o assunto da reportagem, a conduta anterior da pessoa em causa, o conteúdo, a forma e as repercussões da referida publicação".

Neste caso, o Tribunal considera que esse balanceamento não foi realizado e encaminha as partes ao Tribunal de Apelação.

Europa:

• O RGPD, dois anos depois: 

Em 25 de março, o Parlamento Europeu adotou uma Resolução sobre o relatório de avaliação da Comissão Europeia sobre a implementação do GDPR.

Ela apoia a necessidade de prosseguir essa implementação de forma mais eficaz, particularmente no contexto de ações coordenadas pelas autoridades europeias de supervisão.

A este respeito, notamos as recentes disputas entre a autoridade alemã e a autoridade irlandesa de proteção de dados, sendo esta última acusada de não controlar suficientemente as "big techs" estabelecidas no seu território.

O Parlamento Europeu identifica como prioritárias as questões relacionadas com o tratamento de dados efetuado pelas principais plataformas e serviços digitais, nomeadamente no domínio da publicidade online, da microssegmentação, da definição de perfis com base em algoritmos e dos riscos relacionados com a difusão e amplificação de informação nas redes.

Também parece essencial desenvolver ferramentas para um público mais amplo, em particular para as PMEs e as PMEs, conforme destacado pelo Conselho Europeu para a Proteção de Dados (CEPD) em seu programa de trabalho para 2021-2022. Vale ressaltar que a Bélgica acaba de publicar uma série de ferramentas práticas para pequenas e médias empresas com esse objetivo.

• Europa: Adoção de dois documentos pelo CEPD:

No que diz respeito, por um lado, às questões de protecção de dados relativas à carros conectados, e por outro lado o assistentes de voz.

• Bélgica:  

Como parte de uma nova publicação, a Universidade Livre de Bruxelas está organizando um evento online no dia 22 de abril sobre " a sociedade dos algoritmos : tecnologia, poder e conhecimento”. As inscrições estão abertas no site da universidade.

Internacional:

• ESTADOS UNIDOS:

Além dos projetos de lei atualmente em tramitação em diversos estados, acaba de ser apresentado ao parlamento americano, em nível federal, um texto com o nome de "Information Transparency and Personal Data Control Act (ITPDCA)".

Esta lei prevê, em particular, as condições em que os consumidores devem poder consentir ou opor-se ao tratamento dos seus dados, a transparência das transferências para terceiros e a obrigação de submeter o seu tratamento a auditorias regulares.

A Comissão Federal de Comércio seria responsável por supervisionar o cumprimento da lei.

• Coréia:

Um procedimento de adequação à proteção de dados está sendo concluído, o que facilitará o intercâmbio de dados entre a Coreia e a União Europeia. As conclusões da Comissão serão em breve submetidas ao parecer do Conselho Europeu para a Proteção de Dados.

• UN:

O Relator Especial da ONU sobre Privacidade, Joseph Cannataci – cujo mandato está chegando ao fim – acaba de publicar um relatório sobre inteligência artificial e privacidade infantil.

• GAFA:

Google anuncia que está encerrando o uso de cookies para um novo modelo de coleta de dados – Aprendizagem Federada de Coortes (FLoC), que tem como alvo grupos em vez de indivíduos, com base em interesses comuns.

Este anúncio provocou diversas reações, com alguns apontando que o novo sistema de coleta, embora altere as técnicas utilizadas, não impedirá a publicidade direcionada aos usuários da Internet.

Dados de mais de 500 milhões de contas Facebook, incluindo os números de telefone de muitos usuários, foram colocados à venda online durante o fim de semana da Páscoa. Acredita-se que os dados tenham sido provenientes de uma falha de segurança descoberta e corrigida em 2019. 

Ana Cristina Lacoste

Sócia da Olivier Weber Avocat, Anne Christine Lacoste é advogada especializada em direito de dados; foi chefe de relações internacionais da Autoridade Europeia para a Proteção de Dados e trabalhou na implementação do RGPD na União Europeia.