A Polícia de Transportes Britânica (BTP) gastou aproximadamente £320.000 num teste de reconhecimento facial ao vivo de seis meses. De acordo com reportagem do The Register, o piloto de reconhecimento facial da Polícia de Transportes Britânica produziu um único alerta, e esse alerta revelou-se um falso positivo. Nenhuma correspondência genuína foi registada.

Os números são pequenos, mas as questões que levantam são grandes. O que ganham o público e a polícia em troca de digitalizar rostos em espaços públicos movimentados, e que base legal o sustenta?

O Que o Piloto da BTP Revelou

Os factos principais, conforme reportado, são simples. O piloto durou seis meses, custou cerca de £320K e gerou um alerta. Esse alerta estava errado. Em termos práticos, o sistema não identificou uma única pessoa que deveria encontrar durante o teste.

O reconhecimento facial ao vivo (LFR) funciona comparando rostos captados por câmaras com uma lista de vigilância de pessoas que a polícia pretende localizar, como aquelas procuradas por infrações ou dadas como desaparecidas. Quando o software encontra uma possível correspondência, emite um alerta para um agente rever. Um falso positivo significa que o sistema sinalizou alguém que não estava realmente na lista.

Vale a pena ter cuidado com o que este resultado mostra e não mostra. A fonte noticiosa não apresenta uma análise detalhada de quantos rostos foram digitalizados, onde as câmaras foram colocadas, ou como as listas de vigilância foram construídas, pelo que não podemos tirar conclusões sobre a precisão da tecnologia em geral. Outras forças policiais reportaram resultados diferentes nos seus próprios testes, e esses resultados não são diretamente comparáveis. O que os números da BTP mostram é um custo elevado associado a nenhum benefício operacional confirmado durante este período.

Porque é Que um Falso Positivo Importa na Vigilância Biométrica

Um falso alerta pode parecer uma estatística menor. Para a vigilância biométrica, importa por várias razões.

O custo do erro recai sobre os indivíduos. Um falso positivo significa que uma pessoa real, que não fez nada de errado, é sinalizada aos agentes. Dependendo de como uma implementação é conduzida, isso pode significar ser parado, interrogado ou atrasado à frente de outros viajantes.

Todos são digitalizados, não apenas suspeitos. Para produzir sequer um alerta, um sistema tem de processar os rostos de todos os que passam pela câmara. Essa é uma proposta muito diferente de uma investigação direcionada. A intrusão na privacidade é distribuída por um grande número de pessoas, enquanto o benefício depende de encontrar um número muito pequeno.

A proporcionalidade torna-se mais difícil de argumentar. Espera-se que organismos públicos que utilizam tecnologia intrusiva demonstrem que esta é necessária e proporcionada. Um teste de seis meses sem correspondências verdadeiras torna esse argumento mais difícil de construir, pelo menos com base nas evidências disponíveis deste piloto.

Nada disto prova que o reconhecimento facial nunca possa funcionar num contexto de transportes. Sugere, isso sim, que o custo, a precisão e os resultados devem ser publicados e escrutinados, não presumidos.

O Que a Lei de Proteção de Dados do Reino Unido Diz Sobre Reconhecimento Facial

Imagens faciais processadas para identificar uma pessoa contam como dados biométricos, que a lei do Reino Unido trata como uma categoria especial de dados pessoais. Isso traz requisitos mais rigorosos do que informações pessoais comuns. Para uso policial, as regras estão estabelecidas principalmente no Data Protection Act 2018, que funciona em conjunto com o UK GDPR. O nosso explicador sobre o Data Protection Act 2018 e os seus sete princípios aborda o quadro em mais detalhe, incluindo como as coimas são aplicadas.

Em termos gerais, espera-se que as organizações que tratam este tipo de dados:

  • Tenham uma base clara e legal para o tratamento
  • Limitem a recolha ao que é necessário para um propósito definido
  • Mantenham os dados seguros e retenham-nos apenas pelo tempo necessário
  • Sejam transparentes sobre o que fazem e porquê

O uso de LFR pela polícia está também sujeito à supervisão do Information Commissioner's Office, e as forças policiais normalmente publicam avaliações de impacto e avisos de implementação. Se a lei é suficientemente específica para o reconhecimento facial ao vivo é um debate em curso no Reino Unido, e é uma das razões pelas quais resultados como o piloto da BTP chamam a atenção. Resultados fracos aguçam o argumento sobre se o compromisso com a privacidade é justificado.

O Que Isto Significa Para Si

Se viaja de comboio no Reino Unido, pode passar por câmaras que fazem parte de um teste como este. Geralmente não pode optar por não atravessar uma estação pública, e é por isso que a transparência importa.

Os pontos práticos são estes:

  • As implementações policiais são geralmente sinalizadas. Procure avisos nas estações e nas páginas oficiais das forças policiais.
  • Tem direitos sobre os dados pessoais que lhe dizem respeito. O nosso guia sobre direitos do UK GDPR e como aceder, corrigir ou eliminar os seus dados explica como fazer um pedido.
  • O tratamento para fins policiais tem as suas próprias regras e algumas isenções, pelo que um pedido pode nem sempre produzir o resultado esperado. Ainda assim, pode perguntar, e pode apresentar queixa ao ICO se não estiver satisfeito com a resposta.
  • Uma VPN não o protege de câmaras num local público. Protege o seu tráfego de internet, não o seu rosto, pelo que não é uma solução para este problema.

Conclusões Práticas

  1. Mantenha-se informado. Fique atento a resultados publicados, valores de custos e avaliações de impacto da BTP e de outras forças policiais.
  2. Conheça os seus direitos. Informe-se sobre como fazer um pedido de acesso do titular dos dados e o que pode solicitar.
  3. Faça perguntas. Responda a consultas públicas e contacte o seu deputado se tiver preocupações sobre vigilância biométrica.
  4. Escale quando necessário. Se acredita que os seus dados foram mal tratados, o ICO aceita queixas.

O piloto de reconhecimento facial da Polícia de Transportes Britânica é um pequeno dado, mas é útil: £320K, seis meses, um alerta, e esse alerta estava errado. Para compreender a sua posição, comece pelos nossos guias sobre direitos do UK GDPR e o Data Protection Act 2018, e use-os para responsabilizar os organismos públicos.