A pergunta mais comum em uma conversa sobre análise de circulação por vídeo é direta: isso fere a LGPD? A resposta depende de três coisas: do que se faz com a imagem, de como os papéis são definidos e da precisão das palavras usadas.
Primeiro, as palavras
Vídeo bruto é dado pessoal. Trajetórias, sessões e eventos derivados do vídeo são dados pessoais pseudonimizados: não identificam alguém diretamente, mas a LGPD se aplica integralmente a eles. Só agregados irreversíveis, com população mínima por bucket e sem identificadores de sessão, podem ser tratados como anonimizados.
Chamar dado operacional de "anonimizado" quando ele é pseudonimizado não é detalhe: muda obrigações, prazos e a confiança do encarregado do cliente.
Depois, os papéis
O varejista decide finalidade e meios: é o controlador. A plataforma trata em nome dele: é a operadora. Isso define quem instala o aviso na loja, quem responde aos titulares, quem comunica incidentes à ANPD e quem garante a segurança do pipeline. Um acordo de tratamento de dados registra essa divisão antes de qualquer vídeo real ser processado.
As salvaguardas
| Salvaguarda | O que significa na prática |
|---|---|
| Sem reconhecimento facial | Nenhuma representação de rosto é extraída ou armazenada |
| Identificadores efêmeros | Um track vale para uma sessão, não para uma pessoa |
| Máscaras obrigatórias | Vitrines, rua e terminais de pagamento ficam fora da análise |
| Retenção curta | Eliminação automática com registro, e exclusão sob demanda |
| Residência de dados | Hospedagem em região brasileira por padrão |
| Transparência | Cartaz na loja e aviso aos colaboradores, com modelos prontos |
A base legal
A hipótese de trabalho é o legítimo interesse do controlador, avaliado por implantação com o teste de três partes: finalidade, necessidade e balanceamento. O relatório de impacto vem antes do primeiro tratamento e é revisado a cada mudança material.
O limite honesto
Sem chave de identificação civil, a plataforma não consegue localizar "os dados de uma pessoa". O que ela faz é informar categorias e períodos tratados e executar exclusões por loja e período. Esse limite é dito no contrato e na resposta ao titular, porque prometer o que não se pode cumprir é o erro mais caro em privacidade.