Câmeras de segurança e proteção de dados na Colômbia (Ley 1581 de 2012)

É legal se o regime de proteção de dados for cumprido. A Superintendencia de Industria y Comercio (SIC, autoridade colombiana de proteção de dados) considera que captar, gravar, armazenar ou reproduzir imagens de pessoas identificáveis é tratamento de dados pessoais, e que isso abrange condomínios, edifícios, estacionamentos, estabelecimentos e ambientes de trabalho.

A SIC adverte que a videovigilância é intrusiva: convém perguntar-se antes se existe um meio que afete menos a privacidade. Seus guias de referência são o de videovigilância (2016) e o de propiedad horizontal (edição 2020).

A SIC pede que não sejam instaladas câmeras onde captar imagens possa afetar a imagem ou a vida privada e íntima das pessoas. Ela não fornece uma lista de locais; o critério é de proporcionalidade. No projeto, a S4 trata como zonas de intimidade os banheiros, os vestiários e as áreas de troca de roupa, e evita apontar para espaços privados de terceiros.

A via pública é um caso à parte. Segundo a SIC, garantir a segurança em espaços públicos cabe ao Estado. Um particular só deveria captar a faixa inevitável para proteger seu acesso, como a entrada ou a portaria, e somente o que estiver mais próximo do espaço vigiado.

O aviso deve cumprir, no mínimo, o conteúdo de um aviso de privacidade (Decreto 1377 de 2013, compilado no Decreto 1074 de 2015):

Deve ser visível e legível onde o sistema opera: portarias, elevadores, garagens e acessos.

Sim. O tratamento exige consentimento prévio, expresso e informado, que deve ser solicitado, o mais tardar, no momento da coleta do dado. Pode ser dado por escrito, oralmente ou por condutas inequívocas, e o silêncio nunca vale como autorização. A SIC aceita que o aviso na entrada sirva como mecanismo para informar e obter essa autorização. O responsável deve guardar prova dela.

A política de tratamento deve constar em meio físico ou eletrônico, em linguagem clara, e trazer no mínimo:

• Identificação e contato do responsável.
• Tratamento, finalidade e direitos do titular.
• Área que atende consultas e reclamações, e o procedimento para exercer os direitos.
• Data de vigência da política e período de vigência do banco de dados.

As imagens de menores exigem autorização de seus representantes legais.

A lei não fixa um número de dias. Os dados são conservados apenas pelo tempo razoável e necessário conforme a finalidade e depois são suprimidos, salvo se uma obrigação legal ou contratual exigir guardá-los. O procedimento de supressão deve ser documentado.

Cada organização define seu prazo, justifica-o e o configura no equipamento.

O acesso deve ser restrito: as imagens gravadas são visualizadas em uma área de acesso restrito e o pessoal com acesso assina cláusulas de confidencialidade.

A divulgação só procede para pessoas autorizadas pelo titular ou por solicitação de uma autoridade pública no exercício de suas funções. A Ley 1581 (art. 10) dispensa a autorização quando a informação é pedida por uma entidade pública ou administrativa no exercício de funções legais, ou por um juiz.

Se o titular pedir para ver a própria imagem, verifique sua identidade, solicite data, hora e local para localizá-la e, se aparecerem terceiros sem autorização, anonimize-os, por exemplo desfocando-os. A consulta dos dados próprios deve ser gratuita ao menos uma vez por mês do calendário.

O Registro Nacional de Bases de Datos (RNBD) é administrado pela SIC. Segundo o Decreto 090 de 2018, estão obrigadas as sociedades e entidades sem fins lucrativos com ativos totais superiores a 100.000 UVT, e as pessoas jurídicas de natureza pública. Segundo a SIC, o regime geral de proteção de dados se aplica a todas as sociedades e entidades, ainda que não precisem se registrar. O condomínio é uma pessoa jurídica civil sem fins lucrativos (Ley 675 de 2001, art. 33): se superar esse limite de ativos, confirme com seu assessor jurídico se deve se inscrever.

O guia da SIC indica que o banco de dados com as imagens gravadas deve ser inscrito. Não é necessário quando as imagens apenas são reproduzidas ou transmitidas em tempo real.

As medidas devem ser técnicas, humanas e administrativas. A SIC menciona limitar o acesso, criptografar a informação, fazer auditorias periódicas e ter protocolos para incidentes. As violações de segurança com risco para os titulares devem ser informadas à SIC.

Se uma empresa de vigilância ou um integrador opera o sistema, ele atua como encarregado, mas o dono das câmeras continua sendo o responsável. Convém um contrato que fixe as obrigações de segurança e confidencialidade do encarregado.

No projeto de um CCTV em conformidade, a S4 define desde o início:

• Localização: campo de visão limitado ao necessário e sem áreas de intimidade.
• Permissões de usuário: perfis para ver ao vivo, reproduzir e exportar, com registro de quem acessa.
• Retenção configurável: prazo parametrizado por zona ou câmera, com exclusão automática.
• Criptografia: das gravações e do tráfego, com senhas individuais e gravadores em local restrito.

A SIC pode sancionar responsáveis e encarregados privados com multas de até 2.000 salários mínimos mensais legais vigentes, que podem ser sucessivas enquanto durar o descumprimento. Também pode suspender as atividades de tratamento por até seis meses, encerrá-las temporariamente e, se envolverem dados sensíveis, encerrá-las de forma imediata e definitiva (Ley 1581, art. 23).

A Ley 1581 (art. 5) inclui os dados biométricos entre os dados sensíveis, e seu art. 6 proíbe tratá-los, salvo exceções, entre elas a autorização explícita do titular. Isso importa se o sistema usa reconhecimento facial.

O custo depende de:

• O número de câmeras e a área a ser coberta.
• O tipo de câmera e as condições de luz.
• O tempo de retenção configurado e a capacidade de armazenamento que ele exige.
• Os perfis de usuário, a criptografia e os gravadores necessários.
• A analítica de vídeo que se precise.
• O estado do cabeamento e da rede existentes.
• A documentação de conformidade: avisos, política e procedimentos.