Software de Fotografia de Eventos Conforme o RGPD

Micael

TIME&SPACE · Tecnologia de Eventos

Como escolher software de fotografia de eventos conforme o RGPD, o que a lei exige para reconhecimento facial e o que perguntar ao fornecedor.

As fotografias de eventos são dados pessoais. No momento em que uma câmara capta o rosto de um convidado, o seu evento está a tratar informação sobre uma pessoa identificável, e isso coloca-o sob o Regulamento Geral sobre a Proteção de Dados. Quando as fotografias são associadas aos convidados através de reconhecimento facial, o risco sobe acentuadamente. Os dados faciais são dados biométricos, e os dados biométricos pertencem a uma categoria especial que a lei protege com mais rigor do que quase tudo o resto.

Software de fotografia de eventos em conformidade com o RGPD é um sistema de entrega que trata as fotografias dos convidados, incluindo quaisquer dados de reconhecimento facial, de acordo com os requisitos legais estabelecidos no Regulamento Geral sobre a Proteção de Dados. Escolher a ferramenta errada não arrisca apenas uma má experiência para os convidados. Expõe o organizador, que é o responsável pelo tratamento, a ação regulatória e a coimas que chegam aos 20 milhões de euros ou 4 por cento do volume de negócios anual global.

Este guia explica o que a lei realmente exige, porque é que o reconhecimento facial muda o cálculo e as perguntas exatas a fazer antes de confiar os rostos dos seus convidados a um fornecedor.

Porque é que as fotografias de eventos caem sob o RGPD

O RGPD aplica-se sempre que trata dados pessoais de pessoas na União Europeia. Uma fotografia que mostre um rosto reconhecível é um dado pessoal. Isso está assente há anos.

O regulamento define vários papéis. O organizador que decide porquê e como as fotografias são recolhidas é o responsável pelo tratamento. O fornecedor de software que armazena e entrega essas fotografias segundo as instruções do organizador é o subcontratante. A relação entre os dois tem de ser regida por um contrato escrito chamado acordo de tratamento de dados (Data Processing Agreement), que o Artigo 28.º do RGPD estabelece como requisito.

Se o seu software de fotografia não puder ou não quiser assinar um acordo de tratamento de dados, não pode ser utilizado de forma lícita num evento na UE. Esse é o primeiro filtro, e elimina um número surpreendente de ferramentas de galeria de nível doméstico.

O reconhecimento facial são dados biométricos, e isso muda tudo

A maioria das soluções de fotografia de eventos oferece agora correspondência facial, para que os convidados encontrem as suas próprias imagens com uma selfie em vez de percorrerem milhares de fotografias. É uma melhoria genuína na experiência. É também juridicamente significativo.

Quando o software converte um rosto num modelo matemático utilizado para identificar uma pessoa específica, esse modelo são dados biométricos ao abrigo do Artigo 9.º do RGPD. O Artigo 9.º abrange dados de categoria especial, cujo tratamento é proibido por defeito. Só pode tratá-los se cumprir uma de um conjunto restrito de condições, e para a fotografia de eventos a única condição realista é o consentimento explícito.

O consentimento explícito é uma fasquia mais alta do que o consentimento comum. O convidado tem de ser informado com clareza de que o seu rosto será analisado, porquê, durante quanto tempo os dados são conservados, e tem de concordar ativamente antes de qualquer tratamento biométrico acontecer. Uma caixa pré-selecionada não conta. Esconder o aviso numa ligação para os termos não conta. As orientações do Comité Europeu para a Proteção de Dados sobre consentimento são explícitas: o consentimento tem de ser uma ação afirmativa clara.

Esta é a maior razão para ter cuidado na seleção do fornecedor. Uma solução que executa reconhecimento facial sem recolher consentimento explícito adequado está a tratar dados proibidos, e é o organizador que carrega a responsabilidade.

O que o software de fotografia de eventos conforme o RGPD tem de fazer

Uma ferramenta genuinamente conforme incorpora os requisitos legais no produto, em vez de os deixar a cargo do organizador. Procure o seguinte.

Recolhe consentimento explícito no momento da leitura facial. O convidado vê um aviso claro e concorda ativamente antes de qualquer selfie ser analisada. O consentimento fica registado com data e hora para que o possa provar mais tarde, porque o ónus da prova recai sobre o responsável pelo tratamento.

Armazena os dados dentro da União Europeia. Transferir dados pessoais para fora da UE desencadeia obrigações adicionais e é uma lacuna de conformidade comum em soluções alojadas por defeito em infraestrutura dos Estados Unidos. A residência de dados na UE elimina esse risco por completo.

Apaga os dados biométricos segundo um calendário definido. A limitação da conservação é um princípio central do RGPD: conserva os dados apenas enquanto deles precisar. Os dados das selfies e os dados faciais devem ser apagados automaticamente após um período curto e declarado, em vez de conservados indefinidamente.

Respeita os direitos dos titulares dos dados. Os convidados têm o direito de aceder aos seus dados e o direito ao apagamento ao abrigo do Artigo 17.º. O software deve tornar simples apagar as fotografias e os dados faciais de um convidado a pedido.

Assina um acordo de tratamento de dados e documenta os seus subcontratantes ulteriores. Precisa de saber exatamente que terceiros tocam nos dados e onde estão localizados.

As perguntas a fazer a um fornecedor antes de comprar

Use isto como lista de verificação quando avaliar qualquer solução de fotografia de eventos. Se um fornecedor não conseguir responder com clareza, trate isso como um sinal de alerta.

1. Assinam um acordo de tratamento de dados, e posso vê-lo antes de me comprometer?
2. Onde estão fisicamente armazenados os dados dos convidados, e estão dentro da UE?
3. Recolhem consentimento explícito antes de qualquer reconhecimento facial ser executado, e esse consentimento fica registado?
4. Durante quanto tempo conservam dados de selfies e dados biométricos, e o apagamento é automático?
5. Como tratam um pedido de um convidado para aceder às suas fotografias ou para as apagar?
6. Quem são os vossos subcontratantes ulteriores, e onde estão localizados?
7. O que acontece a todos os dados do evento quando o período do evento termina?

Estas sete perguntas separam uma ferramenta que levou a conformidade a sério de uma que acrescentou reconhecimento facial a uma galeria genérica e esperou pelo melhor.

Como a TIME&SPACE trata o assunto

A TIME&SPACE foi construída para eventos europeus, pelo que a conformidade faz parte da arquitetura e não é um acrescento tardio. O consentimento explícito é recolhido no momento em que um convidado faz a leitura para encontrar as suas fotografias, e esse consentimento fica registado. Todos os dados são armazenados na UE. Os dados das selfies são apagados automaticamente ao fim de 30 dias, e os registos temporários de correspondência expiram em 72 horas. Os convidados podem pedir o apagamento das suas fotografias através de um fluxo self-service que cumpre o direito ao apagamento do Artigo 17.º.

Os organizadores obtêm a experiência que os convidados adoram, em que uma única selfie revela todas as fotografias em que aparecem, sem herdar um problema de conformidade. Se quiser o contexto mais aprofundado sobre o consentimento em específico, leia o nosso guia de consentimento RGPD para organizadores, e se tiver curiosidade sobre como a correspondência funciona por baixo do capô, veja como o reconhecimento facial encontra as suas fotografias de evento.

O custo de errar

Os reguladores já mostraram que atuam contra o uso indevido de dados biométricos. As coimas ao abrigo do RGPD escalam com a gravidade da infração, e as violações de dados de categoria especial situam-se no extremo grave. Para além da penalização financeira há o dano reputacional: um organizador cujo evento expõe rostos de convidados ou os trata de forma ilícita terá dificuldade em atrair participantes e patrocinadores da próxima vez.

A conformidade não é o obstáculo que por vezes se diz que é. Com o software certo é, em grande medida, invisível, tratada pelo próprio sistema, e o resultado é uma experiência para os convidados que parece simultaneamente fácil e digna de confiança. Essa confiança vale mais do que a conveniência marginal de uma ferramenta mais barata e não conforme.

Perguntas frequentes

O reconhecimento facial para fotografias de eventos é legal ao abrigo do RGPD?

Sim, desde que recolha consentimento explícito de cada convidado antes de o seu rosto ser analisado. O reconhecimento facial produz dados biométricos, que são dados de categoria especial ao abrigo do Artigo 9.º, pelo que o consentimento explícito é a base legal prática para um evento.

Preciso de um acordo de tratamento de dados com o fornecedor do software de fotografias?

Sim. O organizador é o responsável pelo tratamento e o fornecedor de software é o subcontratante. O RGPD exige um acordo de tratamento de dados escrito entre ambos. Se um fornecedor não o assinar, não pode utilizá-lo de forma lícita num evento na UE.

Durante quanto tempo podem ser conservadas as fotografias do evento e os dados faciais?

Apenas o tempo necessário para a finalidade declarada. As fotografias são normalmente entregues durante uma janela definida, enquanto os dados biométricos das selfies devem ser apagados rapidamente. A TIME&SPACE apaga os dados das selfies ao fim de 30 dias e expira os registos de correspondência em 72 horas.

E se um convidado pedir a remoção das suas fotografias?

Ao abrigo do direito ao apagamento do Artigo 17.º, tem de apagar os dados pessoais do convidado a pedido. Escolha software que ofereça uma via self-service ou administrativa simples para remover as fotografias e os dados faciais de um convidado específico.

Armazenar fotografias fora da UE viola o RGPD?

Não automaticamente, mas acrescenta obrigações e risco. As transferências para fora da UE exigem salvaguardas adicionais. O caminho mais simples para a conformidade é usar software que armazene todos os dados dos convidados dentro da União Europeia.

Pronto para organizar um evento em conformidade? Conheça os planos e preços da TIME&SPACE ou saiba mais para organizadores. Be present. Together.

Micael

Fundador da TIME&SPACE