Pagar com a cara: o que muda quando a chave é você

É tentador ler isto como notícia de produto. Não é. Um rosto usado para reconhecer uma pessoa determinada não é uma fotografia: é um dado biométrico destinado a identificar de forma inequívoca uma pessoa singular, e o RGPD coloca-o entre as categorias especiais do art. 9.º, n.º 1. A consequência prática é que não basta um fundamento do art. 6.º: é preciso também uma condição do art. 9.º, n.º 2, e no comércio a retalho a realmente disponível é uma só, o consentimento explícito da alínea a).

Abre-se aqui a verdadeira questão, que não é sobre a Revolut mas sobre quem queira copiar o modelo. O consentimento vale se for livre, e livre significa que quem diz que não nada perde. Enquanto ao lado da caixa biométrica houver uma caixa normal, a condição aguenta-se. No momento em que o rosto se torna a única forma de pagar, ou a que salta a fila enquanto a outra não, o consentimento deixa de ser fundamento jurídico e passa a ser uma formalidade recolhida sob pressão.

• Um identificador comprometido não se muda. Um cartão bloqueia-se, uma palavra-passe reescreve-se, um rosto não. É por isso que o art. 9.º trata estes dados de outro modo, e não por excesso de prudência.
• A avaliação de impacto não é facultativa: tratamento em grande escala de categorias especiais, art. 35.º, n.º 3, alínea b).
• Retirar deve ser tão fácil como aderir, e a retirada tem de produzir um efeito verificável, não apenas uma caixa que muda de estado.
• Tem de existir sempre uma alternativa efetiva ao mesmo preço e com a mesma comodidade, caso contrário o consentimento não é livre.

Para o EPD de um estabelecimento a quem seja proposto um sistema destes, a pergunta a fazer ao fornecedor antes de qualquer outra é quem decide o quê. Se o fornecedor fixa finalidades e meios e a loja se limita a alojar o terminal, a loja não é responsável por esse tratamento; mas continua responsável pela decisão de o instalar nas suas instalações, e tem de informar quem entra, garantir a alternativa e saber onde vão parar as imagens. «Os dados não somos nós que os guardamos» é uma resposta sobre o onde, não sobre o quem, e as duas coisas confundem-se a toda a hora.

Do lado europeu os quadros somam-se, não se substituem. O regulamento da inteligência artificial não proíbe a verificação um para um feita com o consentimento do titular — a proibição respeita à identificação biométrica à distância em tempo real em espaços acessíveis ao público para fins de aplicação da lei — mas coloca na mesma os sistemas biométricos entre os regulados, com obrigações próprias que acrescem ao RGPD e não o absorvem. Experiências semelhantes já houve na União: a Mastercard e a PayEye testaram o pagamento biométrico em cinco lojas Empik na Polónia em junho de 2024.

O que levar daqui, em concreto. Se um cliente pedir um parecer sobre uma caixa que reconhece rostos, há quatro coisas a pôr por escrito antes de tudo o resto: a condição do art. 9.º, n.º 2, em que se apoia; a avaliação de impacto, feita antes e não depois da instalação; os prazos de conservação distintos do modelo biométrico e de qualquer imagem guardada como recurso; e a alternativa não biométrica, descrita de maneira a ver-se que ninguém fica prejudicado por a escolher. Sem estas quatro, a mais bela das informações descreve um tratamento sem base sólida.