Mais cedo ou mais tarde um cliente pergunta se as câmaras podem reconhecer caras. Normalmente pergunta depois de um furto, com a ideia de que o sistema o avisaria da entrada de uma pessoa já identificada num incidente anterior. A resposta honesta raramente é a que ele espera: o reconhecimento facial em videovigilância não é uma função única, boa parte do que ele imagina não é fiável nas condições reais da instalação, e a parte tecnicamente possível esbarra em limites de proteção de dados que não são negociáveis com o fornecedor de câmaras.
Vale a pena separar três coisas que o mercado costuma vender com o mesmo nome, porque o risco jurídico e a taxa de erro de cada uma são muito diferentes. Quem faz essa distinção antes de assinar poupa uma instalação cara que acaba desligada.
O que o reconhecimento facial em videovigilância faz — e o que não faz
O reconhecimento facial em videovigilância é, na prática, um conjunto de funções distintas:
Deteção de rosto
O sistema percebe que há uma cara na imagem. Não sabe de quem é. Serve para recortar imagens, para melhorar o enquadramento ou para contar pessoas. É a função mais madura e a menos problemática, porque não identifica ninguém.
Verificação um-para-um
A pessoa apresenta-se e o sistema compara o rosto captado com um modelo previamente guardado dessa mesma pessoa, para confirmar que é quem diz ser. É o que acontece num torniquete de colaboradores. Há colaboração do visado e há uma comparação única.
Identificação um-para-muitos
O sistema apanha um rosto qualquer numa passagem e procura correspondências numa lista de pessoas. É aqui que estão quase todos os problemas: técnicos, operacionais e jurídicos. É também isto que o cliente costuma ter em mente quando pergunta por reconhecimento facial.
A diferença é decisiva. Um sistema pode ser razoável a verificar um rosto colaborante, com boa luz e de frente, e ser inútil a identificar transeuntes numa entrada de centro comercial ao fim da tarde.
Onde a identificação falha na vida real
A demonstração comercial faz-se num escritório iluminado, com a pessoa parada a olhar para a câmara. A instalação do cliente não se parece com isso.
O ângulo e a altura da câmara. Muitas câmaras estão montadas em cima, para cobrir área. Vêem a testa e o boné, não a cara. Uma câmara útil para identificação tem de estar à altura do rosto e num ponto de estrangulamento por onde as pessoas passem devagar e de frente — o que geralmente obriga a instalar câmaras adicionais só para isso.
A luz. Contraluz de uma porta de vidro, sol rasante, iluminação noturna irregular: em qualquer destas condições a qualidade do rosto captado cai e as comparações deixam de ser fiáveis.
O limiar de semelhança. O sistema não diz «é esta pessoa»; diz «esta imagem parece-se com aquela acima de um determinado limite». Quem configura o sistema escolhe esse limite e, ao escolhê-lo, escolhe o tipo de erro que prefere. Um limite exigente gera menos alertas falsos e deixa passar pessoas. Um limite permissivo apanha mais gente, incluindo quem não tem nada a ver com o assunto.
Os falsos positivos têm consequências. Um alerta errado não é um número num relatório: é um vigilante a abordar uma pessoa inocente. Nada desgasta mais depressa a relação com o cliente do que uma abordagem indevida à porta de uma loja. E quando os alertas falsos se acumulam, a equipa aprende a ignorá-los — e o sistema deixa de servir para o que quer que seja.
O desempenho não é igual para toda a gente. As taxas de erro variam consoante o tipo de rosto, a idade e as condições de captação. Um sistema que funciona aceitavelmente com uma parte da população pode errar bastante mais com outra. Assumir um desempenho uniforme é um erro de partida.
O custo que ninguém orça
Além das licenças, há três custos recorrentes que costumam ficar de fora da proposta: as câmaras dedicadas com o posicionamento certo, a manutenção da lista de comparação (que envelhece e tem de ser depurada) e, sobretudo, o tempo humano de rever alertas. Um sistema de identificação sem alguém a triar o que ele produz é ruído caro.
Dados biométricos: a categoria mais sensível
Um modelo de rosto é um dado biométrico e, no quadro europeu de proteção de dados, os dados biométricos usados para identificar pessoas recebem um tratamento especialmente exigente. Não é uma câmara a mais: é uma categoria diferente de tratamento, com deveres reforçados de fundamentação, de avaliação prévia do impacto, de informação às pessoas e de limitação da conservação.
Para uma empresa de segurança privada, a consequência prática é simples: a decisão de instalar identificação facial não se toma com o instalador nem com o comercial do fabricante. Toma-se com o responsável pela proteção de dados do cliente e com assessoria jurídica, por escrito, antes de haver equipamento no local. E há contextos — espaços de acesso público, zonas de passagem, ambientes com pessoas em situação vulnerável — em que a resposta responsável é simplesmente não.
Convém dizer o óbvio: o enquadramento legal muda, é interpretado de forma diferente consoante o setor e o contexto, e nada do que aqui está escrito substitui a verificação junto da autoridade de proteção de dados competente e de um advogado. Isto não é assessoria jurídica.
O que costuma resolver o problema sem biometria
Quando se pergunta ao cliente que problema quer mesmo resolver, a resposta quase nunca exige identificação biométrica.
Se o problema é saber quem entrou, resolve-se com um controlo de acessos por cartão ou código e um registo de visitas em condições. Se o problema é ter prova do que aconteceu, resolve-se com um livro de ocorrências digital onde cada ocorrência fica com hora, autor e fotografia, sem depender da memória de ninguém. Se o problema é que o perímetro não está a ser percorrido, resolve-se com controlo de rondas e pontos verificados no terreno. E se o problema é que o cliente não sabe o que a equipa faz, resolve-se dando-lhe acesso ao portal do cliente, onde vê as ocorrências e os relatórios sem pedir nada a ninguém.
São medidas menos vistosas, muito mais baratas e com uma vantagem enorme: funcionam com a luz que há.
Uma ocorrência bem registada prova mais, e com menos risco, do que um alerta automático mal configurado.
Se ainda assim avançar: o que perguntar ao fornecedor
Antes de aprovar um projeto, convém pôr por escrito estas perguntas e exigir respostas concretas:
- Em que condições foi medido o desempenho anunciado, e quem o mediu?
- Onde ficam guardados os modelos de rosto e quem lhes tem acesso?
- É possível apagar uma pessoa da lista de comparação e provar que foi apagada?
- Que acontece quando o sistema gera um alerta falso? Quem decide e com que instruções?
- Fica registo de quem consultou o quê, e durante quanto tempo?
Se alguma destas perguntas não tiver resposta clara, o projeto não está pronto para avançar.
A supervisão útil começa por saber quem está ao serviço e o que ficou por fechar.
Perguntas frequentes
O reconhecimento facial é proibido em Portugal? Não é correto reduzir a questão a um sim ou não. O uso de dados biométricos para identificar pessoas está sujeito a exigências reforçadas e nem todos os fins são admissíveis, sobretudo em espaços de acesso público. Cada caso tem de ser analisado com a autoridade de proteção de dados e com assessoria jurídica antes da instalação.
Detetar rostos para desfocar caras num vídeo é a mesma coisa? Não. Desfocar rostos para proteger a privacidade de terceiros é um uso muito diferente de comparar rostos para identificar pessoas. A primeira função reduz o tratamento de dados; a segunda aumenta-o.
Que taxa de acerto se pode esperar numa entrada movimentada? Não existe um número que se possa prometer sem medir na instalação concreta. O desempenho depende do posicionamento, da luz, do fluxo de pessoas e do limiar configurado. Qualquer fornecedor que garanta um valor sem ver o local está a vender expectativa.
O que dizer a um cliente que insiste? Perguntar o que quer resolver e mostrar-lhe a alternativa. Na maioria dos casos, um controlo de acessos sério, rondas verificadas e um registo de ocorrências com prova resolvem o problema, sem o risco e sem o custo recorrente.
Se o objetivo é ter prova do que aconteceu no posto e visibilidade sobre a operação, comece por aí. Podemos mostrar-lhe como fica um turno registado de ponta a ponta, sem biometria pelo meio.