A AEPD estabelece garantias para a incorporação da inteligência artificial nos sistemas de videovigilância
- Antecedentes
Em 6 de outubro de 2026, a AEPD informou que havia emitido dois avisos a municípios cujos projetos de CCTV incluíam capacidades de IA para a análise automatizada de imagens.
Ambas as ações estão dentro do âmbito estabelecido no artigo 58 do RGPD, que permite às autoridades de supervisão emitir avisos quando certas operações de tratamento planejadas possam violar a normativa de proteção de dados. A AEPD señala que o propósito dessa medida não é sancionar uma conduta nem declarar a existência de uma infração, mas advertir que certas operações de tratamento poderiam ser contrárias à normativa.
Os avisos da AEPD derivam de dois projetos municipais de videovigilância que previam a incorporação de capacidades de inteligência artificial para a análise automatizada de imagens. As capacidades previstas incluíam a deteção e classificação de pessoas e veículos, a geração de metadados, a busca de indivíduos com base em atributos físicos específicos ou imagens de referência e, em um dos projetos, capacidades de reconhecimento facial.
2. A análise da AEPD
Além das circunstâncias específicas dos casos analisados, a AEPD considerou necessário reiterar as principais obrigações e garantias que devem ser respeitadas ao incorporar ferramentas de inteligência artificial em sistemas de videovigilância, especialmente quando estes possam afetar significativamente os direitos e liberdades das pessoas ou implicar o tratamento de dados biométricos.
a. Proteção de dados desde o design e por defeito
A Agência sublinha a importância de integrar os princípios de proteção de dados desde o design e por defeito nos projetos que incorporam a IA em sistemas de videovigilância.
De acordo com o artigo 25 do RGPD e o artigo 28 da Lei Orgânica 7/2021, essas garantias devem ser consideradas tanto ao determinar os meios do tratamento quanto durante toda a sua execução.
Segundo a AEPD, essa abordagem permite identificar e mitigar os riscos associados ao tratamento antes que a tecnologia entre em funcionamento e requer a adoção de medidas técnicas e organizativas adequadas para garantir o cumprimento da normativa.
Como ilustração desses princípios, a AEPD señala que a mera disponibilidade técnica de uma funcionalidade não constitui uma justificação suficiente para o seu uso. As funcionalidades como o reconhecimento facial, a busca por atributos ou a localização de indivíduos devem ser analisadas e justificadas caso a caso à luz da finalidade prevista, demonstrando a sua necessidade, adequação e proporcionalidade.
b. Atenção especial ao tratamento de dados biométricos
A AEPD coloca especial atenção naquelas funções que possam implicar o tratamento de dados biométricos destinados a identificar de maneira única um indivíduo.
A Agência adverte que nesses casos se aplicará o regime mais estrito estabelecido nos artigos 4(14) e 9 do RGPD e no artigo 13 da Lei Orgânica 7/2021, e também deverá haver uma base jurídica adequada e garantias específicas para os direitos e liberdades dos interessados.
As considerações da Agência são coerentes com o Regulamento sobre a IA, que submete os sistemas de identificação biométrica remota a um regime especialmente estrito. Em particular, o uso de sistemas de identificação biométrica remota em tempo real em espaços públicos com finalidades de manutenção da ordem está proibido, como regra geral, exceto nos casos excepcionais expressamente previstos na legislação e sujeitos a condições específicas. Por sua vez, os sistemas de identificação biométrica remota não cobertos por essa proibição podem ser classificados como sistemas de alto risco, e nesse caso se aplicam as obrigações reforçadas correspondentes em matéria de gestão de riscos, governança e qualidade dos dados, supervisão humana, documentação e avaliação da conformidade.
c. Avaliação prévia dos riscos para os direitos e liberdades dos interessados
A AEPD señala que os responsáveis pelo tratamento devem avaliar, antes da implementação do sistema, os riscos que o tratamento pode representar para os direitos e liberdades das pessoas interessadas, incluindo os usuários, o pessoal e terceiros.
Nesse sentido, a Agência sublinha que a incorporação de funcionalidades de inteligência artificial avançada aplicadas à videovigilância – particularmente aquelas que permitem a classificação de indivíduos, a geração de metadados, as buscas baseadas em atributos físicos, o uso de imagens de referência ou a incorporação de capacidades de identificação – requer uma avaliação específica do seu impacto nos direitos fundamentais dos interessados.
Também señala que, quando o tratamento for suscetível de acarretar um alto risco nos termos estabelecidos no artigo 35 do RGPD e no artigo 35 da Lei Orgânica 7/2021, deverá ser realizada a avaliação de impacto pertinente em proteção de dados antes do início do tratamento.
Além disso, a Agência señala que, no caso das câmeras de videovigilância fixas instaladas em locais públicos, também deve ser realizada uma análise de necessidade e proporcionalidade, tendo em conta tanto a finalidade prevista quanto o impacto potencial sobre o público. Essa avaliação não deve ser limitada à instalação das câmeras, mas deve se estender a cada uma das funcionalidades de inteligência artificial incorporadas ao sistema.
Embora os avisos não classifiquem expressamente os projetos analisados como operações de tratamento de alto risco, as funcionalidades examinadas evidenciam a necessidade de realizar uma avaliação rigorosa dos riscos associados ao tratamento e, se aplicável, realizar uma avaliação de impacto em proteção de dados antes de seu desdobramento.