GDPR: CNIL sanciona Ministério na França por utilização ilegal de drones com câmeras

Na última terça-feira (12), a  Comissão Nacional de Informática e Liberdades (CNIL), órgão fiscalizador de proteção de dados da França,  sancionou o Ministério do Interior pela utilização inadequada de drones equipados com câmeras na fiscalização de medidas de contenção. 

Controles da CNIL

Segundo a CNIL, desde março de 2020 a imprensa divulgou amplamente diversas matérias que noticiavam a utilização de drones com câmeras pela polícia francesa com o objetivo de garantir o cumprimento de medidas de contenção. Além disso, segundo próprio relatório do órgão, a sede da polícia de Paris também utilizou esses dispositivos para outros fins, como missões da polícia judiciária (reconhecimento de um local antes da prisão, monitoramento do tráfico de drogas), operações de manutenção ordem (vigilância de manifestações) e  gestão de crises e verificações rodoviárias (vigilância de rodeios urbanos).  

Alarmado por um possível processamento de dados pessoais ilícito, o presidente da CNIL enviou uma carta ao Ministério do Interior a fim de obter mais detalhes sobre os drones usados e  suas especificidades técnicas. Em julho de 2020, representantes da CNIL visitaram as instalações do quartel-general da polícia de Paris e realizaram um voo-teste em um dos drones utilizados para os fins mencionados. Na ocasião, constatou-se que as pessoas filmadas pelas câmeras instaladas nos drones eram facilmente identificadas nas imagens coletadas. 

CNIL abre investigação do caso 

 Para a devida apuração dos fatos observados no voo teste, o Presidente da CNIl designou, em outubro de 2020, uma relatora para condução da investigação. Ao final do processo, a mesma encaminhou ao Ministério do Interior relatório detalhado sobre todas as violações da Lei de Proteção de Dados francesa que considerou estarem presentes no caso.

 No corpo do documento, a relatora observa que os drones utilizados estão equipados com uma câmera capaz de captar imagens em alta resolução e com zoom que pode ampliar a imagem entre seis e vinte vezes. Tendo em conta estas capacidades técnicas, ela considera, ainda,  que a utilização destes drones pelo Ministério do Interior dá lugar ao tratamento de dados pessoais quando as pessoas são filmadas em condições que permitem a sua identificação. Dessa forma, no final deste procedimento, a comissão restrita considerou que o ministério violou várias obrigações da Lei de Proteção de Dados da França e encaminhou a investigação para a fase disciplinar.

Violações cometidas pelo Ministério do Interior

A Lei de Proteção de Dados francesa prevê que o processamento de dados pessoais implementado pelo Estado, em particular para prevenir ou detectar infrações criminais, para conduzir investigações criminais ou para proteger contra ataques contra a  segurança pública, deve ser formalizado por escrito, via texto legislativo ou regulamentar. Além disso,  em consonância com as diretrizes do GDPR, uma análise de impacto deve ser realizada quando tal processamento de dados pessoais representar um alto risco para os direitos e liberdades dos indivíduos envolvidos. 

Contudo,  até o momento da decisão da CNIL, nenhum texto autoriza expressamente o Ministério do Interior a utilizar drones equipados com câmeras que capturem imagens nas quais pessoas sejam identificadas. Da mesma forma, embora seja obrigatório, nenhuma análise de impacto foi comunicada à CNIL sobre o uso desses drones e e os riscos levantados por tal atividade em relação aos direitos dos titulares . O público também não foi informado sobre o uso de drones como a lei francesa prevê. 

Ministério afirma utilizar mecanismos de pesudonimização

Em contrapartida com a posição alarmista da CNIL, o Ministério do Interior afirma ter desenvolvido uma ferramenta que desfoca a imagem das pessoas nas filmagens coletadas, aplicando, dessa forma, um meio de pseudononimzação desses dados. O mecanismo citado só foi posto em prática em agosto.

Ademais, segundo análise da CNIL,  o mesmo não pode ser executado diretamente pelo drone que realiza o tratamento das filmagens. As imagens contendo dados pessoais são, portanto, coletadas, transmitidas e processadas pelo Ministério do Interior antes da aplicação deste sistema de desfoque. 
Por fim, o mecanismo não impede, necessariamente, a identificação de pessoas enquanto o serviço do Ministério do Interior for capaz de desativar o desfoque.

A sanção publicada pela CNIL

O comitê restrito da CNIL, responsável pelas decisões executivas do órgão, emitiu uma “chamada à ordem,” texto de cunho disciplinar não mandatório, uma vez que a CNIL  não pode impor multas ao Estado. Para além da sanção, o comitê restrito também ordenou ao Ministério a interrupção imediata de qualquer uso de drones até que um quadro regulamentar autorize tal processamento de dados pessoais. O comitê restrito decidiu tornar pública sua decisão. Confira aqui o texto na íntegra.