Videovigilância na UC

Exemplo: O RGPD não é aplicável a câmaras falsas (ou seja, qualquer câmara que não esteja a funcionar como tal e, portanto, não efetue o tratamento de dados pessoais). Contudo, em alguns Estados-Membros, estas poderão estar sujeitas a outra legislação.

Exemplo: As gravações realizadas a altitudes elevadas só se enquadram no âmbito do RGPD se, nas circunstâncias em causa, os dados tratados puderem ser associados a uma pessoa específica.

Exemplo: Há uma câmara de vídeo integrada num automóvel para prestar assistência de estacionamento. Se a câmara for construída ou adaptada de forma a não recolher quaisquer informações relativas a pessoas singulares (como matrículas ou informações que permitam identificar transeuntes), o RGPD não se aplica.

Nos termos do artigo 2.º/2/c, o tratamento de dados pessoais efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas, que podem incluir atividades em linha, está fora do âmbito de aplicação do RGPD

De acordo com o Tribunal de Justiça da União Europeia (TJUE), a chamada «isenção doméstica» deve «ser interpretada como tendo unicamente por objeto as atividades que se inserem no âmbito da vida privada ou familiar dos particulares, o que não é manifestamente o caso do tratamento de dados de caráter pessoal que consiste na sua publicação na Internet de maneira que esses dados são disponibilizados a um número indefinido de pessoas». Além disso, um sistema de videovigilância que envolve o registo e a conservação constantes de dados pessoais e se estende, «ainda que parcialmente, ao espaço público e, por esse motivo, se dirige para fora da esfera privada da pessoa que procede ao tratamento de dados por esse meio, não pode ser considerada uma atividade exclusivamente “pessoal ou doméstica”.

Exemplo: Um turista está a gravar vídeos através do telemóvel e de uma câmara de vídeo para ficar com um registo das suas férias. Mostra as gravações a amigos e familiares, mas não as disponibiliza a um número indefinido de pessoas. Este caso seria abrangido pela isenção doméstica.

Exemplo: Uma ciclista de downhill quer filmar a sua descida com uma action cam. Está numa zona remota e só planeia utilizar as gravações para entretenimento pessoal em casa. Esta situação seria abrangida pela isenção doméstica, embora envolva, em certa medida, o tratamento de dados pessoais.

Exemplo: Um indivíduo monitoriza e grava imagens do seu próprio jardim. A propriedade é vedada e apenas o próprio responsável pelo tratamento e a sua família entram regularmente no jardim. Esta situação é abrangida pela isenção doméstica, contanto que a videovigilância não se estenda, ainda que parcialmente, a um espaço público ou a uma propriedade vizinha.

O interesse legítimo tem de ser real e atual (ou seja, não pode ser ficcional nem especulativo). É necessário que exista uma situação de perigo real – como danos ou incidentes graves no passado – antes de a vigilância poder ser iniciada. À luz do princípio da responsabilidade, seria aconselhável que os responsáveis pelo tratamento documentassem incidentes relevantes (data, método, perda financeira) e as acusações criminais correspondentes. Esses incidentes documentados podem constituir provas sólidas da existência de um interesse legítimo. A existência de um interesse legítimo e da necessidade de controlo devem ser reavaliadas periodicamente (por exemplo, uma vez por ano, dependendo das circunstâncias).

Exemplo: O proprietário de uma loja quer abrir um novo estabelecimento e pretende instalar um sistema de videovigilância para prevenir o vandalismo. Consegue demonstrar, mediante a apresentação de estatísticas, que existe uma expectativa elevada de vandalismo na vizinhança próxima. É útil também, neste caso, a experiência das lojas vizinhas. Não é necessário que o responsável pelo tratamento em questão tenha sofrido danos, contanto que os danos na vizinhança sugiram um perigo ou uma situação semelhante e possam, desse modo, constituir uma indicação de interesse legítimo. No entanto, não basta apresentar estatísticas nacionais ou gerais de criminalidade sem analisar a zona em questão ou os perigos para o estabelecimento em causa.

Um sistema de videovigilância só pode ser acionado se aos interesses legítimos do responsável pelo tratamento ou de terceiros (por exemplo, proteção de bens ou da integridade física) não se sobrepuserem os interesses ou os direitos e liberdades fundamentais do titular dos dados. O responsável pelo tratamento tem de considerar 1) em que medida o controlo afeta os interesses e os direitos e liberdades fundamentais dos indivíduos e 2) se este controlo resulta em violações ou consequências negativas no que diz respeito aos direitos do titular dos dados. Na verdade, a ponderação dos interesses é obrigatória. Os direitos e liberdades fundamentais, por um lado, e os interesses legítimos do responsável pelo tratamento, por outro, têm de ser cuidadosamente avaliados e ponderados.

Exemplo: Uma empresa de estacionamento privado tem registado problemas recorrentes com furtos nos carros estacionados. A zona de estacionamento é um espaço aberto, de fácil acesso a qualquer pessoa, mas está claramente identificada com sinais e delimitada por bloqueadores rodoviários. A empresa de estacionamento tem um interesse legítimo (evitar furtos nos carros dos clientes) em controlar a área durante o período do dia em que têm ocorrido os problemas. Os titulares dos dados são controlados num período de tempo limitado, não se encontram na área em questão para fins recreativos e também têm interesse em evitar os furtos. Neste caso, o interesse legítimo do responsável pelo tratamento prevalece sobre o interesse dos titulares dos dados de não serem controlados.

Exemplo: Um restaurante decide instalar câmaras de vídeo nos lavabos para controlar o asseio das instalações sanitárias. Neste caso, os direitos dos titulares dos dados prevalecem claramente sobre os interesses do responsável pelo tratamento, pelo que as câmaras não podem ser instaladas nesse local.

Regra geral, a necessidade de utilizar videovigilância para proteger as instalações dos responsáveis pelo tratamento termina nos limites da propriedade. No entanto, há casos em que a vigilância da propriedade não é suficiente para assegurar uma proteção eficaz. Em determinados casos, pode ser necessário alargar a videovigilância às imediações das instalações. Nesta situação, o responsável pelo tratamento deve ponderar a utilização de meios físicos e técnicos, por exemplo a ocultação ou a pixelização das zonas não relevantes.

Exemplo: Uma livraria quer proteger as suas instalações contra vandalismo. Regra geral, as câmaras só devem filmar as próprias instalações, uma vez que a finalidade em questão não exige a vigilância das instalações vizinhas nem dos espaços públicos circundantes.

É insuficiente referir situações abstratas ou comparar casos similares. O responsável pelo tratamento tem de avaliar os riscos de interferência com os direitos do titular dos dados, sendo o critério decisivo a intensidade da intervenção no que diz respeito aos direitos e liberdades do indivíduo.

Os fatores de ponderação importantes podem incluir o tamanho da área que está sob vigilância e a quantidade de titulares de dados sob vigilância. O uso de videovigilância numa zona remota (por exemplo, para observar vida selvagem ou para proteger infraestruturas críticas, como uma antena de rádio privada) tem de ser avaliado de forma diferente do uso de videovigilância numa zona pedonal ou num centro comercial.

Exemplo: Ao instalar uma câmara de trânsito (por exemplo, com o objetivo de recolher provas em caso de acidente), é importante assegurar que a câmara não está constantemente a gravar o trânsito, bem como as pessoas que se encontram junto à estrada. Caso contrário, o interesse de possuir gravações de vídeo como prova no caso mais hipotético de um acidente rodoviário não poderá justificar esta grave interferência com os direitos dos titulares dos dados.

De acordo com o considerando 47, a existência de um interesse legítimo requer uma avaliação cuidada. Neste caso, há que ter em conta as expectativas razoáveis do titular dos dados no momento e no contexto do tratamento dos seus dados pessoais.

Os sinais que informam o titular dos dados sobre a videovigilância são irrelevantes quando se determina o que o titular dos dados pode esperar objetivamente. Isto significa que, por exemplo, o proprietário de uma loja não pode argumentar que os clientes têm objetivamente a expectativa razoável de serem vigiados só porque existe um sinal à entrada a informá-los sobre a vigilância.

Exemplo: um trabalhador no seu local de trabalho provavelmente não espera, na maioria dos casos, ser controlado pelo seu empregador.

Exemplo: não é razoável esperar que seja realizado controlo em instalações sanitárias ou saunas, uma vez que o controlo deste tipo de espaços constitui uma forte interferência nos direitos do titular dos dados.

Exemplo: o cliente de um banco poderá esperar ser objeto de vigilância no interior do banco ou junto de uma caixa multibanco.

Exemplo: os titulares dos dados podem ter a expectativa de não ser controlados no interior de espaços públicos, especialmente se esses espaços forem normalmente utilizados para atividades de recuperação, reabilitação e lazer, bem como em lugares onde os indivíduos permanecem e/ou comunicam, como áreas de repouso, mesas de restaurantes, parques, cinemas e ginásios.

O consentimento tem de ser uma manifestação de vontade, livre, específica, informada e explícita, conforme descrito nas orientações relativas ao consentimento. Se o responsável pelo tratamento quiser basear-se no consentimento, tem o dever de se certificar de que cada titular dos dados que entra na área que está sob videovigilância deu o seu consentimento.

Dado o desequilíbrio de poder entre empregadores e trabalhadores, na maioria dos casos os empregadores não devem basear-se no consentimento para efetuar o tratamento de dados pessoais, uma vez que é improvável que este tenha sido dado de livre vontade.

Exemplo: Os atletas podem solicitar monitorização durante exercícios individuais para analisar as suas técnicas e o seu desempenho. Por outro lado, quando um clube desportivo toma a iniciativa de monitorizar uma equipa inteira com o mesmo objetivo, o consentimento muitas vezes não será válido, pois os atletas individuais podem sentir-se pressionados a dar o seu consentimento tendo em conta que uma eventual recusa poderia prejudicar os colegas de equipa.

O termo «divulgação» é definido no artigo 4.º, ponto 2, como transmissão (por exemplo, comunicação individual), difusão (por exemplo, publicação em linha) ou qualquer outra forma de disponibilização.

O termo «terceiro» é definido no artigo 4.º, ponto 10. Quando a divulgação é efetuada para países terceiros ou organizações internacionais, também se aplicam as disposições especiais dos artigos 44.º e seguintes.

Exemplo: Um responsável pelo tratamento que pretenda carregar uma gravação para a Internet tem de utilizar uma base jurídica para esse tratamento, por exemplo obtendo o consentimento do titular dos dados em conformidade com o artigo 6.º/1/a.

Exemplo: É instalada videovigilância de uma cancela (num parque de estacionamento) com o objetivo de resolver questões relacionadas com danos. Ocorre um dano e a gravação é transferida para um advogado para agir judicialmente. Neste caso, a finalidade da gravação é a mesma que a da transferência.

Exemplo: É instalada videovigilância de uma cancela (num parque de estacionamento) com o objetivo de resolver questões relacionadas com danos. A gravação é publicada na Internet apenas por razões de diversão. Neste caso, a finalidade mudou e não é compatível com a finalidade inicial. Além disso, seria problemático identificar uma base jurídica para este tratamento (publicação).

Nos termos do artigo 6.º/1/c, o tratamento é lícito se for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito.

Exemplo: O proprietário de uma loja grava imagens na entrada do estabelecimento. As gravações mostram uma pessoa a roubar a carteira de outra pessoa. A polícia pede ao responsável pelo tratamento que entregue o material a fim de auxiliar na investigação. Nesse caso, o proprietário da loja utilizaria a base jurídica prevista no artigo 6.º/1/c (obrigação jurídica), em conjugação com a legislação nacional pertinente, para o processamento da transferência.

Exemplo: Uma câmara é instalada numa loja por razões de segurança. O proprietário da loja acredita ter gravado algo suspeito e decide enviar o material para a polícia (sem qualquer indicação de que existe algum tipo de investigação em curso). Neste caso, o proprietário da loja tem de avaliar se se encontram reunidas as condições, que, na maioria dos casos, são as previstas no artigo 6.º/1/f. Isto acontece geralmente se o proprietário da loja tiver uma suspeita razoável de que foi cometido um crime.

A videovigilância nem sempre é considerada como tratamento de categorias especiais de dados pessoais.

Exemplo: Gravações de vídeo que mostrem um titular de dados de óculos ou numa cadeira de rodas não são, por si só, consideradas categorias especiais de dados pessoais.

Exemplo: Titulares de dados identificáveis a participar num evento, numa manifestação, serão abrangidos pelo artigo 9.º

Exemplo: A instalação de uma câmara de vídeo num hospital para monitorizar o estado de saúde de um doente seria considerada como tratamento de categorias especiais de dados pessoais (artigo 9.º).

Exemplo: Um sistema de videovigilância que efetua a vigilância de uma igreja não se enquadra, por si só, no artigo 9.º. No entanto, o responsável pelo tratamento tem de proceder a uma avaliação especialmente cuidada nos termos do artigo 6.º/1/f, tendo em conta a natureza dos dados, bem como o risco de captação de outros dados sensíveis (para além do artigo 9.º), ao avaliar os interesses do titular dos dados.

O tratamento de categorias especiais de dados requer uma vigilância reforçada e contínua de certas obrigações; por exemplo, um elevado nível de segurança e uma avaliação de impacto da proteção de dados, quando necessário.

Exemplo: Um empregador não deve usar registos de videovigilância que mostrem uma manifestação com o objetivo de identificar os manifestantes.

A utilização da videovigilância, incluindo a funcionalidade de reconhecimento biométrico, instalada por entidades privadas para os seus próprios fins (por exemplo, comercialização, estatísticas ou até mesmo segurança) exigirá, na maioria dos casos, o consentimento explícito de todas os titulares dos dados (artigo 9.º/2/a), embora também possa ser aplicável outra exceção adequada prevista no artigo 9.º .

Exemplo: Para melhorar os seus serviços, uma empresa privada substitui os pontos de controlo da identificação de passageiros no interior de um aeroporto (entrega de bagagem, embarque) por sistemas de videovigilância que utilizam técnicas de reconhecimento facial para verificar a identidade dos passageiros que optaram por consentir em tal procedimento. Uma vez que o tratamento se enquadra no artigo 9.o, os passageiros, que terão previamente dado o seu consentimento explícito e informado, terão de se inscrever num terminal automático, por exemplo, para criar e registar o seu modelo facial associado ao seu cartão de embarque e identidade. Os pontos de verificação com reconhecimento facial têm de ser claramente separados, por exemplo instalando o sistema dentro de um pórtico, para que os modelos biométricos das pessoas que não deram o seu consentimento não sejam captados. Apenas os passageiros que tenham dado previamente o seu consentimento e que tenham efetuado a inscrição utilizarão o pórtico equipado com o sistema biométrico.

Exemplo: Um responsável pelo tratamento gere o acesso ao seu edifício através de um método de reconhecimento facial. As pessoas só podem utilizar esta forma de acesso se tiverem dado previamente o seu consentimento explícito e informado (de acordo com o artigo 9.o, n.o 2, alínea a)). No entanto, a fim de garantir que o sistema não capta ninguém que não tenha dado previamente o seu consentimento, o método de reconhecimento facial deve ser acionado pelo próprio titular dos dados, por exemplo premindo um botão. Para garantir a licitude do tratamento, o responsável pelo tratamento deve sempre oferecer uma forma alternativa de acesso ao edifício, sem tratamento biométrico, tal como cartões de identificação ou chaves.

Quando a finalidade do tratamento é, por exemplo, distinguir uma categoria de pessoas de outra, mas não identificar ninguém de forma inequívoca, o tratamento não se enquadra no artigo 9.º.

Exemplo: O proprietário de uma loja gostaria de personalizar o seu anúncio publicitário com base nas características de género e de idade do cliente captadas por um sistema de videovigilância. Se o sistema não gerar modelos biométricos para identificar as pessoas de forma inequívoca, mas apenas detetar essas características físicas para classificar a pessoa, o tratamento não se enquadra no artigo 9.º (desde que não seja efetuado o tratamento de nenhum outro tipo de categorias especiais de dados).

Contudo, o artigo 9.º aplica-se se o responsável pelo tratamento conservar dados biométricos (geralmente através de modelos que são criados pela extração de determinadas características da forma bruta dos dados biométricos – por exemplo, as medidas faciais de uma imagem) com o objetivo de identificar uma pessoa de forma inequívoca.

Exemplo: O proprietário de uma loja instalou um sistema de reconhecimento facial dentro da sua loja a fim de personalizar a publicidade que é apresentada a cada indivíduo. O responsável pelo tratamento tem de obter o consentimento explícito e informado de todos os titulares dos dados antes de utilizar este sistema biométrico e de apresentar publicidade personalizada. O sistema seria ilegal se captasse visitantes ou transeuntes que não tivessem consentido na criação do seu modelo biométrico, mesmo que o seu modelo fosse apagado no menor espaço de tempo possível. Na verdade, estes modelos temporários constituem dados biométricos tratados para identificar de forma inequívoca uma pessoa que pode não desejar receber publicidade personalizada.

Alguns sistemas biométricos são instalados em ambientes não controlados, o que significa que o sistema envolve a captação, em tempo real, dos rostos de qualquer indivíduo que passe em frente à câmara criando modelos biométricos, incluindo de pessoas que não deram o seu consentimento para a utilização do dispositivo biométrico.

Exemplo: Um hotel usa videovigilância para alertar automaticamente o gerente do hotel da chegada de um VIP quando o rosto do hóspede é reconhecido. Estes VIP deram previamente o seu consentimento explícito para o uso do reconhecimento facial antes de serem registados numa base de dados criada para o efeito. Estes sistemas de tratamento de dados biométricos seriam ilegais, a menos que todos os outros hóspedes captados pelo sistema (a fim de identificar os VIP) tivessem consentido no tratamento de acordo com o artigo 9.o, n.o 2, alínea a), do RGPD.

Exemplo: Um responsável pelo tratamento instala um sistema de videovigilância com reconhecimento facial na entrada de uma sala de concertos gerida por si. O responsável pelo tratamento deve definir entradas claramente separadas; uma com um sistema biométrico e outra sem este sistema (por exemplo, com leitura ótica dos bilhetes). As entradas equipadas com dispositivos biométricos devem ser instaladas e estar acessíveis de forma a evitar que o sistema capte modelos biométricos de espetadores que não tenham dado o seu consentimento.

Limitações que, em alguns casos, podem aplicar-se em relação ao direito de acesso.

- Artigo 15.º/4, do RGPD – prejuízo dos direitos de terceiros: Uma vez que vários titulares de dados podem ser captados na mesma sequência de videovigilância, uma triagem implicaria o tratamento adicional de dados pessoais de outros titulares de dados. Se o titular dos dados desejar receber uma cópia do material (artigo 15.º/3), isso pode prejudicar os direitos e as liberdades de outros titulares dos dados que figurem nesse material. Para evitar esta situação, o responsável pelo tratamento deve ter em consideração que, em alguns casos, devido à natureza intrusiva das gravações de vídeo, não deve transmitir gravações a partir das quais seja possível identificar outros titulares de dados. A proteção dos direitos de terceiros não deve, contudo, ser utilizada como desculpa para impedir pedidos legítimos de acesso por parte de indivíduos, devendo o responsável pelo tratamento, nesses casos, aplicar medidas técnicas para satisfazer o pedido de acesso (por exemplo, edição de imagens, como mascaramento ou codificação). No entanto, os responsáveis pelo tratamento não são obrigados a aplicar estas medidas técnicas se puderem garantir, de outro modo, que são capazes de responder a um pedido nos termos do artigo 15.º dentro do prazo estipulado pelo artigo 12.º/3.

- Artigo 11.º/2, do RGPD – o responsável pelo tratamento não consegue identificar o titular dos dados: Se as gravações de vídeo não forem pesquisáveis para localizar dados pessoais (ou seja, o responsável pelo tratamento teria provavelmente de examinar uma grande quantidade de material armazenado para encontrar o titular dos dados em questão), o responsável pelo tratamento pode não conseguir identificar o titular dos dados.

Exemplo: Se um titular dos dados solicitar uma cópia dos seus dados pessoais tratados através de videovigilância à entrada de um centro comercial com 30 000 visitantes por dia, deve especificar quando é que passou na área sob vigilância, num intervalo de aproximadamente uma hora. Se o responsável pelo tratamento ainda estiver a efetuar o tratamento do material, deve fornecer uma cópia das gravações de vídeo. Se outros titulares dos dados puderem ser identificados no mesmo material, então essa parte do material deve ser anonimizada (por exemplo, desfocando a cópia ou partes da mesma) antes de esta ser transmitida ao titular dos dados que apresentou o pedido.

Exemplo: Se apagar automaticamente todas as gravações, por exemplo no prazo de dois dias, o responsável pelo tratamento não pode fornecer as gravações ao titular dos dados após esses dois dias. Se o responsável pelo tratamento receber um pedido após esses dois dias, o titular dos dados deve ser informado desse facto.

- Artigo 12.º do RGPD – pedidos excessivos: Em caso de pedidos excessivos ou manifestamente infundados de um titular dos dados, o responsável pelo tratamento pode exigir o pagamento de uma taxa razoável de acordo com o artigo 12.º/5/a, do RGPD, ou recusar-se a dar seguimento ao pedido (artigo 12.º/5/b, do RGPD). O responsável pelo tratamento tem de ser capaz de demonstrar o caráter manifestamente infundado ou excessivo do pedido.

Se o responsável pelo tratamento continuar a efetuar o tratamento de dados pessoais para além do controlo em tempo real (por exemplo, conservando os dados), o titular dos dados pode solicitar que os dados pessoais sejam apagados ao abrigo do artigo 17.º do RGPD.

Exemplo: ao desfocar a imagem sem possibilidade de recuperação retroativa dos dados pessoais previamente nela contidos, os dados pessoais são considerados apagados em conformidade com o RGPD.

Exemplo: Uma loja de conveniência tem tido problemas com vandalismo, sobretudo no exterior da loja, pelo que está a utilizar videovigilância do lado exterior da entrada que está em contacto direto com as paredes. Um transeunte solicita que os seus dados pessoais sejam apagados a partir desse preciso momento. O responsável pelo tratamento é obrigado a responder ao pedido sem demora injustificada e, no máximo, no prazo de um mês. Como as gravações em questão já não correspondem à finalidade para a qual foram inicialmente conservadas (não ocorreu vandalismo durante o tempo em que o titular dos dados passou pela loja), não existe, no momento do pedido, nenhum interesse legítimo em conservar os dados que prevaleça sobre os interesses dos titulares dos dados. O responsável pelo tratamento tem de apagar os dados pessoais.

No caso da videovigilância baseada no interesse legítimo (artigo 6.o, n.o 1, alínea f), do RGPD) ou se o tratamento for necessário ao exercício de funções de interesse público (artigo 6.o, n.o 1, alínea e), do RGPD), o titular dos dados tem o direito de – a qualquer momento – se opor ao tratamento, por motivos relacionados com a sua situação particular, em conformidade com o artigo 21.o do RGPD. A menos que o responsável pelo tratamento apresente razões imperiosas e legítimas que prevaleçam sobre os direitos e interesses do titular dos dados, o tratamento dos dados do indivíduo que se opôs deve cessar. O responsável pelo tratamento deve ser obrigado a responder aos pedidos do titular dos dados sem demora injustificada e, no máximo, no prazo de um mês.

Exemplo: Uma empresa está com problemas relacionados com violações de segurança na sua entrada pública e está a utilizar videovigilância com base em motivos de interesse legítimo, com o objetivo de detetar os intrusos. Um visitante opõe-se ao tratamento dos seus dados através do sistema de videovigilância por motivos relacionados com a sua situação particular. No entanto, a empresa rejeita, neste caso, o pedido justificando que as imagens conservadas são necessárias no âmbito de uma investigação interna em curso, o que lhe confere razões imperiosas e legítimas para continuar a efetuar o tratamento dos dados pessoais.