Câmera de segurança é dado pessoal: as regras da LGPD para CFTV

Tem câmera na entrada do seu estabelecimento? No corredor do condomínio? Na loja? Então você é controlador de dado pessoal de cada pessoa que passa na frente desse equipamento. Não no sentido filosófico: no sentido legal, com obrigações concretas, prazo de resposta de 15 dias e multa de até 2% do faturamento por infração.

A dúvida que a gente mais ouve não é "preciso me adequar?". É "mas o que exatamente preciso fazer?". Esse post responde isso.

Qual base legal justifica o monitoramento por câmeras

A pergunta errada é "câmera precisa de consentimento?". A pergunta certa é "qual base legal do art. 7º cobre esse tratamento?". Para CFTV, três bases funcionam dependendo do contexto:

• Legítimo interesse: a mais usada para segurança de ambiente em comércio, escritório e condomínio. Exige que o interesse de segurança seja real, que o monitoramento seja proporcional e que o resultado de um teste de balanceamento esteja documentado. Não é só declarar: é escrever por que aquelas câmeras são necessárias e por que o interesse da empresa supera o impacto na privacidade do titular.
• Cumprimento de obrigação legal: aplica quando norma setorial ou regulação específica impõe o monitoramento. Algumas portarias do setor financeiro e da segurança privada se enquadram aqui.
• Exercício regular de direito: cabe quando o CFTV serve para preservar prova de sinistro, furto ou disputa trabalhista já identificada.

Nossa leitura: para o varejo comum, escritório e condomínio residencial, legítimo interesse é a base adequada, desde que documentada. Uma página de texto descrevendo a finalidade do monitoramento e o período de retenção já cobre o básico. Sem documentação, a base fica no ar e você não tem nada pra apresentar se a ANPD bater na porta.

A placa de aviso não é detalhe: é obrigação

O princípio da transparência (art. 6º, VI) exige que o titular saiba que seus dados estão sendo tratados antes de entrar no ambiente monitorado. No CFTV, isso se traduz em sinalização visível no acesso. Placa genérica tipo "Sorria, você está sendo filmado" não cumpre a LGPD.

A sinalização precisa ter: informação de que há monitoramento por câmeras, identificação do controlador (razão social ou CNPJ) e canal de contato para o titular exercer seus direitos. É o mínimo. Condomínios que já receberam notificação da ANPD por reclamação de morador quase sempre tinham câmera sem qualquer indicação de quem era responsável pelas imagens.

Falando sério: isso custa R$ 50 de impressão e uma tarde. É o item mais fácil da adequação de CFTV e o mais ignorado. Não tem justificativa pra não fazer.

Por quanto tempo guardar as gravações

A LGPD não fixou prazo específico para retenção de imagens de CFTV. O que ela estabelece, pelo princípio da necessidade (art. 6º, III), é que os dados devem ser tratados no mínimo necessário para a finalidade. 30 dias é o padrão de mercado para segurança geral: suficiente para identificar um incidente depois que ele ocorre, sem acumular imagens desnecessariamente.

Se houver um incidente já identificado (furto, acidente, disputa), você guarda as imagens relevantes até a resolução do caso, e documenta essa decisão. Condomínios no Vale do Itajaí que tentaram usar imagens de 90 dias atrás como prova em sinistro se depararam com a questão: havia finalidade declarada para guardar por tanto tempo? Se não havia, as imagens foram retidas sem base.

Guardar indefinidamente ou por prazo desproporcional sem justificativa é infração. Manter 180 dias de gravação numa farmácia de bairro não passa no teste de necessidade da LGPD.

Quando a polícia ou o MP pediu as imagens

Resposta curta: sim, você pode compartilhar, mas documenta tudo. A base legal depende do instrumento formal do pedido.

• Se chegou ofício judicial ou da autoridade policial com determinação formal: atende, registra o pedido, o que foi entregue, para quem e quando.
• Se foi um policial que apareceu verbalmente sem documento: não é obrigação legal. Você pode recusar sem nenhum problema jurídico. Não é descumprimento de ordem: é proteção do titular dos dados e da própria empresa.
• Se você quer compartilhar voluntariamente (ex: boletim de ocorrência que você mesmo registrará): é legítimo, base legal é exercício regular de direito. Registra a decisão internamente.

O que a LGPD veda com clareza é compartilhar imagem com terceiros sem base legal: mandar gravação para grupo de WhatsApp de vizinhos, enviar para outra empresa, divulgar nas redes. Isso acontece toda semana em condomínio e é infração administrativa com potencial de gerar indenização ao titular.

Reconhecimento facial: aqui a LGPD muda de tom

Câmera comum grava imagem. Reconhecimento facial processa dado biométrico. São categorias distintas na lei. Dado biométrico está listado no art. 5º, II como dado pessoal sensível, e o tratamento de dado sensível segue o regime mais restritivo do art. 11, não o art. 7º.

Para uso de reconhecimento facial, a base legal que a ANPD tem apontado como adequada é o consentimento específico e destacado, ou as hipóteses taxativas do art. 11, II: obrigação legal, políticas públicas, exercício regular de direito em processo, proteção da vida, tutela da saúde e, em casos específicos, prevenção à fraude com regulação própria.

Na prática, isso significa: usar reconhecimento facial na catraca de acesso de colaboradores pode ser feito com consentimento, mas esse consentimento precisa ser livre. Se a única alternativa for não trabalhar, o consentimento tem vício. Usar reconhecimento facial em câmera de loja aberta ao público para identificar clientes silenciosamente é tratamento de dado sensível sem base legal. É infração grave, não zona cinzenta.

O titular pediu pra ver a própria imagem. E agora?

O art. 18 garante ao titular o direito de acessar seus dados. Se um funcionário ou cliente solicitar cópia da gravação em que aparece, você tem 15 dias para responder (art. 19). Não significa necessariamente entregar tudo: você extrai o trecho que identifica aquele titular e avalia se há terceiros cujas imagens precisam ser protegidas.

A resposta errada é "não posso mostrar" sem análise. Também é errada a entrega da gravação completa sem filtro. O caminho correto: extrai o frame ou trecho relevante ao requerente, verifica se terceiros aparecem e se isso compromete direitos deles, e responde dentro do prazo com o que pode ser fornecido. Se a retenção já expirou e a imagem foi deletada, informa isso com a data de exclusão.

O que fazer nas próximas 2 semanas

• Mapeia quantas câmeras você tem e em quais áreas. Identifica se alguma delas usa ou tem capacidade de reconhecimento facial.
• Documenta a base legal do monitoramento. Se for legítimo interesse, escreve o parágrafo de justificativa. Uma página já resolve.
• Instala ou atualiza a sinalização nos acessos monitorados: nome da empresa controladora, finalidade e canal de contato para o titular.
• Define o prazo de retenção (30 dias para segurança geral é o mais defensável) e ajusta o sistema de CFTV para deletar automaticamente ao fim do período.
• Cria um procedimento para quando chegar pedido de acesso de titular ou requisição formal de autoridade: quem responde, em quanto tempo e o que documenta.
• Se você usa reconhecimento facial sem consentimento documentado ou sem base legal do art. 11, II: suspende o uso agora ou regulariza imediatamente.

Empresas de Santa Catarina com câmera instalada e sem nenhuma dessas medidas estão expostas a reclamação de titular na ANPD. O processo administrativo em si já gera custo, prazo e exposição pública, independentemente de multa. A adequação de CFTV é das mais rápidas de implementar dentro de um programa de conformidade com a LGPD. Não tem por que deixar para depois.