LGPD e câmera de loja: três coisas para auditar antes do próximo plano de prevenção de perdas

A câmera que a tua loja usa para prevenção de perdas grava dado pessoal, e a LGPD trata isso como tratamento de dado. A regra parece pequena. O efeito não é.

A Lei Geral de Proteção de Dados (Lei 13.709/2018) está em vigor desde 2020, fiscalizada pela ANPD. Quem opera câmera com analítico de IA precisa saber onde a linha passa, porque ela já foi cruzada por outros.

O que a regra diz, em texto claro

Imagem de pessoa é dado pessoal. Filmar o corredor para investigar furto tem base legal possível, ligada à segurança e à prevenção de perdas. Até aqui, terreno conhecido.

O salto está no reconhecimento facial. Identificar uma pessoa pelo rosto é tratamento de dado biométrico, que a LGPD classifica como dado pessoal sensível, no artigo 11. A barra de exigência sobe muito. E a ANPD já agiu: em 2023, determinou a suspensão do uso de reconhecimento facial por uma rede de varejo. Quem trabalha na operação precisa saber disso antes de assinar o projeto.

Os sistemas que a regra toca

Não é só a câmera. A regra alcança o analítico que roda em cima dela.

• Contagem de fluxo e mapa de calor, que costumam ser anônimos, ficam de um lado da linha.
• Reconhecimento facial e identificação de “suspeito recorrente” ficam do outro, no campo do dado sensível.
• O autoatendimento com câmera que confere o produto mistura prevenção de perda e imagem de cliente no mesmo fluxo.

O que muda para quem já se achava em dia

Estar em conformidade com a câmera antiga não cobre o analítico novo. A diferença está em três pontos, e é o que vale auditar este trimestre.

Primeiro, a base legal de cada uso, separada por finalidade, não uma só para “segurança”. Segundo, o tempo de retenção da imagem, que quase ninguém define e a regra cobra. Terceiro, o Relatório de Impacto à Proteção de Dados, exigível quando o tratamento é de risco, como no biométrico.

O efeito de segunda ordem que quase todo plano ignora

A regra muda a escolha de fornecedor. A pergunta deixa de ser “o sistema pega furto” e passa a ser “onde mora o template biométrico, e quem responde se vazar”.

Distinguir o que é legal do que é fiscalizado é parte do trabalho. A LGPD vale há anos; a fiscalização aperta agora. Quem operou no intervalo confiando que “ninguém vai cobrar” herda o passivo quando a cobrança chega. É a mesma disciplina de separar shrinkage por origem e de medir OSA com verdade de base: o dado precisa ter dono e finalidade.

Pensa no projeto de câmera que o compliance já sinalizou e a operação deixou na pilha do “depois”. Esse é o que a auditoria pega primeiro.

Me manda a lista dos sistemas de loja que podem ser tocados por essa regra: câmera analítica, autoatendimento, reconhecimento, contagem de fluxo. Em uma hora te devolvo um gap analysis de uma página: o que já está em conformidade, o que precisa de trabalho, e o marco amarrado ao aperto da fiscalização. Se uma frente vira projeto, o Diagnóstico de duas semanas é o próximo passo. Não damos parecer jurídico; mapeamos a operação contra a regra.