O Serviço de Proteção ao Crédito (SPC Brasil) acaba de anunciar o lançamento de um sistema de reconhecimento facial para a concessão de crédito. Vai comprar parcelado? Precisa pedir um empréstimo? Agora o lojista poderá cruzar a foto do seu rosto com um banco de identificação biométrica para saber quem é você.

A ferramenta visa a promover mais segurança e busca evitar fraudes. Mas será que ela passa no teste da privacidade?

Segundo o release da empresa, o sistema vai funcionar assim: "uma câmera instalada no estabelecimento comercial captura o rosto do cliente e o registro é enviado ao sistema de reconhecimento facial da SPC Brasil que fará a leitura detalhada de seu rosto e codificará essas informações em uma sequência numérica digital – por exemplo, o formato dos olhos, tamanho da boca, contorno do rosto, etc. A sequência é anexada ao cadastro da pessoa e arquivada em um banco de dados, tornando-se a sua identidade para o sistema."

Depois, caso o lojista queira verificar a identidade de um cliente, bastaria consultar o cadastro biométrico "com uma nova captura do seu rosto e o sistema irá cruzar os dados em busca dos padrões registrados para verificar sua autenticidade."

O timing de lançamento desse sistema coincide com a aprovação no Congresso Nacional do Projeto de Lei da Câmara nº 53/2018, que cria a Lei Geral de Proteção de Dados Pessoais. Essa lei busca colocar o Brasil no patamar dos mais de cem países que protegem os dados de seus cidadãos através de uma lei geral que estabeleça os critérios para a coleta, armazenamento e tratamento de dados pessoais.

O coração de uma lei de proteção de dados, como a que vai entrar em vigor no Brasil, é a regra do consentimento para o tratamento de dados pessoais. Alguém quer coletar um dado pessoal, como o seu nome, a cor da pele, a digital do seu dedo, a religião que você professa ou o seu histórico de doenças: em regra, tem que obter o seu consentimento. Está lá no artigo 7º, I, do texto de lei aprovado.

Mas existem exceções à regra do consentimento e uma delas, constante do artigo 7º, X, é o tratamento de dados "para a proteção do crédito".

Será que isso significa dizer que para tudo que envolva proteção do crédito as empresas estão livres para sair coletando, armazenando e usando dados pessoais como bem entendam? A existência de uma exceção na futura lei para proteção do crédito apenas afasta o consentimento, mas não todos os demais direitos, garantias e princípios constantes da legislação.

O Superior Tribunal de Justiça já decidiu que a existência de uma nota de crédito (credit scoring) atribuída a cada consumidor não é ilegal, mas que informações sensíveis, excessivas ou incorretas podem gerar dano moral. E a própria Lei do Cadastro Positivo veda a manutenção de informações excessivas e sensíveis.

Não existe muita dúvida de que a coleta de dados que gera o reconhecimento facial pode levar ao tratamento de dados sensíveis. Nesse ponto a nova lei, conforme aprovada no Congresso, aumenta o regime de proteção, obrigando, em regra, a empresa a buscar o consentimento específico e destacado, para finalidades bem específicas.

Com a sanção presidencial esperada para Agosto, o reconhecimento facial para concessão de crédito pode ser um dos primeiros debates sobre a proteção da privacidade e dos dados pessoais à luz da nova lei. Vale lembrar que o Ministério Público também acaba de instaurar um inquérito civil público para investigar o reconhecimento facial aplicado sobre usuários na plataforma do Facebook.

Muita gente vai achar estranho, ao comprar parcelado ou ao contratar o crédito ter a sua foto tirada e comparada com uma base de dados. Isso porque estamos partindo do pressuposto que uma foto será tirada e que as imagens não serão apenas captadas no ambiente (o que tornaria a questão do consentimento ainda mais complicada). Como então será dado consentimento? Quem vai poder acessar essa base? O consumidor vai saber para o que ele está consentindo? Para quais finalidades essa base de dados será usada? Estamos seguros de que ela não será vazada?

Enquanto não temos todas as respostas, diversas empresas começam a usar o rosto do cliente como forma de identificação. Companhias aéreas já até usam uma selfie para fazer o check in. Ou seja, discutir os limites da exceção para "proteção do crédito" nem de longe esgota as controvérsias geradas pelo uso cada vez mais comum de reconhecimento facial.

Se por um lado isso parece ser muito futurista, por outro não custa apontar como o uso de inteligência artificial para o reconhecimento facial tem sido desafiado por inúmeras pesquisas que mostram a dificuldade de sistemas em reconhecer o rosto de pessoas negras (apontadas como macacos) ou de asiáticos (que o sistema sempre acha que está piscando nas fotos).

Bom, pelo menos para o problema dos asiáticos o Facebook já desenvolveu um recurso de inteligência artificial que "abre os olhos" de quem saiu piscando na foto. Agora só falta inventarem o software que faz os brasileiros abrirem o olho com quem coleta, armazena e trata os seus dados pessoais.