Uma universidade canadiana está no centro de uma polémica relacionada com privacidade: descobriu-se que as máquinas de vending de M&M’s recolhiam dados de reconhecimento facial de forma secreta e sem o consentimento dos estudantes!
Como tudo começou
A situação ganhou notoriedade quando um aluno, que usa o pseudónimo SquidKid47, partilhou uma imagem no Reddit com uma mensagem de erro numa máquina de venda automática.
Esta mensagem revelava a existência de um programa de reconhecimento facial, algo que ninguém esperava encontrar neste tipo de dispositivo. “Porque é que as estúpidas máquinas de M&M’s têm reconhecimento facial?”, questionou SquidKid47.
A publicação no Reddit despoletou a curiosidade de River Stanley, um estudante de quarto ano que escrevia para uma publicação universitária chamada MathNEWS.
Stanley lançou o alerta após consultar os folhetos de vendas da Invenda, empresa responsável pelas máquinas, nos quais se prometia que os equipamentos poderiam enviar uma estimativa da idade e género de todos os utilizadores — sem nunca pedir autorização.
Este aluno ficou bastante indignado, até porque há alguns anos o comissário para a proteção da privacidade do Canadá investigou um operador de centros comerciais chamado Cadillac Fairview após se descobrir que alguns dos seus quiosques informativos estavam secretamente a usar tecnologia de reconhecimento facial nos clientes.
A investigação oficial revelou que “mais de 5 milhões de canadianos” foram digitalizados para a base de dados da Cadillac Fairview, sem qualquer tipo de consentimento.
Foram obrigados a apagar esses dados, no entanto, as consequências de práticas semelhantes para clientes da Invenda, como a Mars, permanecem desconhecidas. Stanley terminou o seu artigo exigindo que a universidade “proibisse as máquinas de vending com reconhecimento facial no campus”.
Resposta tardia e a tentativa de abafar o caso
A resposta da Universidade de Waterloo só acabou por chegar depois de o caso se ter tornado viral. Uma porta-voz, Rebecca Elming, confirmou à CTV News que a universidade tinha solicitado a desativação do software até que as máquinas fossem removidas.
Os estudantes afirmaram à CTV News que a sua confiança na administração da universidade ficou abalada.
Alguns relataram no Reddit que usaram pastilhas elásticas e notas Post-it para tentarem tapar temporariamente as câmaras das máquinas. Um estudante questionou até se “há outros lugares no campus onde esta tecnologia poderá estar a ser usada”.
Elming não foi capaz de confirmar uma data para a remoção das máquinas, apenas disse à Ars que iria ocorrer “o mais rapidamente possível” e que não tinha conhecimento de “qualquer tecnologia semelhante em uso no campus”.
Quanto aos apreciadores de snacks menos vigilantes, a porta-voz confirmou que “o plano é substituí-las”.
Invenda alega que cumpre a lei, mas será mesmo verdade?
A investigação da MathNEWS levou a respostas por parte das empresas responsáveis pelas máquinas. A Adaria Vending Services tentou acalmar os ânimos: “O que é mais importante entender é que as máquinas não tiram nem armazenam quaisquer fotos ou imagens e um indivíduo em particular não pode ser identificado com a tecnologia usada nas máquinas.
A tecnologia funciona como um sensor de movimento que deteta rostos para que a máquina saiba quando ativar a interface de compra — nunca capturando ou armazenando imagens dos clientes.”
Tanto a Adaria como a Invenda afirmaram que os estudantes não devem preocupar-se com a privacidade porque as máquinas “cumprem totalmente” a lei de privacidade mais rigorosa do mundo, o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD).
De acordo com o RGPD, os dados faciais são considerados altamente sensíveis, requerendo normalmente um consentimento explícito para a sua recolha, pelo que não é claro como é que as máquinas cumprem esta norma, tendo em conta a experiência dos estudantes canadianos.
Será que a “cultura de transparência” da Invenda, tal como é referida no seu comunicado de imprensa, se aplica realmente na América do Norte?
É que a empresa parece estar a violar claramente a lei de privacidade canadiana, pelo menos segundo Stanley. Já no Reddit, e no meio de algumas piadas, vários estudantes perguntaram se haveria por aí “alunos de Direito interessados em iniciar uma ação coletiva”.
A frustração geral foi bem resumida por um comentário em letras maiúsculas: “ODEIO ESTAS MÁQUINAS! ODEIO ESTAS MÁQUINAS! ODEIO ESTAS MÁQUINAS!”