La LGPD de Brasil y el CCTV con IA: cuando decide la cámara
Este texto describe el derecho brasileño — el código de tránsito de Brasil (Código de Trânsito Brasileiro, CTB), el Código Civil y la ley general de protección de datos (LGPD) — y la práctica de los condominios en Brasil. No es asesoría jurídica y no describe las reglas vigentes en tu país. Consulta la legislación local antes de aplicar cualquier cosa de lo que leas aquí. La física y las normas de ingeniería, en cambio, son las mismas en todas partes.
Respuesta corta
En una instalación de CCTV tercerizada, quien instaló las cámaras y define la finalidad es el controlador —el responsable del tratamiento, en los términos de la ley brasileña—: la Lei nº 13.709/2018 define al controlador como aquel a quien competen las decisiones referentes al tratamiento (art. 5º, VI). El proveedor de software que trata los datos en su nombre es el operador (art. 5º, VII). El pedido del titular va al controlador.
La base legal usual para la seguridad patrimonial es el interés legítimo (art. 7º, IX), no el consentimiento. Y hay una línea que lo cambia todo: el reconocimiento facial trata dato biométrico, que la ley clasifica como dato personal sensible cuando está vinculado a una persona natural (art. 5º, II), con régimen propio en el art. 11 y con un precedente judicial desfavorable en Brasil.
En este texto
¿Quién es controlador y quién es operador en un CCTV tercerizado?
La LGPD reparte los papeles por poder de decisión, no por tamaño de empresa ni por quién escribió el software. En un condominio con cámaras eso suele resolverse sin ambigüedad: fue el condominio el que decidió instalar, hacia dónde apuntar, qué regla aplicar y cuánto tiempo guardar. El proveedor ejecuta dentro de los límites contratados, y el art. 39 refuerza la asimetría: el operador trata según las instrucciones del controlador.
La consecuencia práctica es la que más fricción genera. Los derechos del art. 18 —confirmación, acceso, corrección, anonimización, eliminación, información sobre compartición— se ejercen ante el controlador. Un residente que quiere saber qué imágenes suyas existen le pregunta al condominio; si el pedido llega al proveedor, el camino es derivarlo y apoyar técnicamente.
Eso no exime a nadie. El art. 42 establece que el controlador o el operador que cause un daño en violación de la legislación de protección de datos está obligado a repararlo, y la ANPD registra que están sujetos a su fiscalización todos los agentes de tratamiento cuando la operación ocurre en territorio nacional, cuando busca ofrecer bienes o servicios o tratar datos de individuos localizados allí, o cuando los datos fueron recolectados en Brasil.
¿Por qué el consentimiento es una mala base legal para la vigilancia?
Porque no existe consentimiento válido de quien pasa. La persona que atraviesa la portería no fue consultada, y el art. 8º vuelve difícil arreglarlo después: el consentimiento tiene que referirse a finalidades determinadas, las autorizaciones genéricas son nulas, la carga de la prueba es del controlador, y puede ser revocado en cualquier momento mediante un procedimiento gratuito y facilitado.
Un sistema de seguridad que depende de un consentimiento revocable deja de funcionar justamente para quien más interés tiene en revocarlo. Por eso la base adecuada para la seguridad patrimonial es normalmente el interés legítimo.
La prueba de ponderación del interés legítimo, en lenguaje claro
El art. 7º, IX, admite el tratamiento necesario para los intereses legítimos del controlador o de un tercero, excepto cuando prevalezcan derechos y libertades fundamentales del titular. Esa excepción es la prueba: tres preguntas en secuencia.
- ¿El interés es legítimo y concreto? El art. 10 exige finalidades legítimas consideradas a partir de situaciones concretas. “Seguridad” en abstracto no es una finalidad; “identificar un vehículo que circula por encima del límite en la vía interna” sí lo es.
- ¿El tratamiento es necesario para alcanzarlo? El art. 10, § 1º, es taxativo: solo pueden tratarse los datos estrictamente necesarios para la finalidad. Si un registro puntual resuelve, grabar todo es exceso.
- ¿Qué esperaría el titular? Una cámara en un área común de acceso controlado, con aviso visible, se espera. El análisis de conducta individual sin aviso no, y ahí es donde el interés del controlador tiende a ceder.
Dos obligaciones acompañan a esta base y se olvidan con frecuencia: el art. 10, § 2º, manda garantizar la transparencia del tratamiento por interés legítimo, y el art. 37 exige el registro de las operaciones, especialmente cuando se basan en esa hipótesis. Quien elige esta base asume el deber de documentar.
El reconocimiento facial es tratamiento de dato biométrico, y eso cambia el régimen
El art. 5º, II, define el dato personal sensible incluyendo el dato genético o biométrico cuando está vinculado a una persona natural. El dato sensible no se rige por el art. 7º: tiene una lista propia en el art. 11, más corta y más exigente, con consentimiento específico y destacado o hipótesis taxativas de dispensa, ninguna de ellas escrita pensando en la seguridad patrimonial.
El riesgo no es teórico. En mayo de 2023, el Idec informó que el Tribunal de Justiça de São Paulo —el tribunal de segunda instancia del estado de São Paulo— mantuvo la condena de ViaQuatro, concesionaria de la línea 4-Amarela del metro de São Paulo, por el uso indebido de imágenes de reconocimiento facial de consumidores, en una acción civil pública sobre el tratamiento no consentido de datos biométricos de pasajeros con fines publicitarios. La indemnización por daños morales colectivos pasó de R$ 100 mil a R$ 500 mil, destinados al Fundo de Defesa de Direitos Difusos, el fondo brasileño de derechos difusos. Según el comunicado, cabía recurso.
Este es un caso concreto informado por una de las partes, no jurisprudencia consolidada. Lo que demuestra es que existe un riesgo real y ya materializado: el tratamiento de dato biométrico sin base adecuada fue llevado a juicio, perdió en dos instancias y tuvo la indemnización multiplicada por cinco. Eso es distinto de decir que el reconocimiento facial sea ilícito en cualquier hipótesis.
Detectar clase y conducta es un régimen distinto de identificar quién es la persona
La distinción decisiva de proyecto: ¿el sistema responde “hay una persona en esta zona a las 22:14” o “esta persona es fulano”? La primera produce clase, posición, tiempo y conducta. La segunda produce identidad a partir de un rasgo corporal: biometría.
Conviene no exagerar la diferencia. La imagen de una persona identificable sigue siendo dato personal (art. 5º, I), y la LGPD sigue valiendo íntegramente. Lo que cambia es la categoría y, con ella, el nivel de exigencia: se sale del art. 11 y se vuelve al art. 7º, lo que convierte al interés legítimo en una base disponible.
Cambia también la superficie de daño. Un sistema que nunca construye un identificador biométrico no tiene una base de rostros que pueda filtrarse ni puede reaprovecharse para rastrear a alguien entre lugares distintos. Es una elección de arquitectura con efecto jurídico, y por eso tiene que estar escrita en la política, no solo en el código.
Nuestra política de privacidad declara los papeles con nombre y dirección: de las imágenes y de los eventos el controlador es el cliente, y nosotros actuamos como operador dentro de los límites del contrato. También dice lo que el sistema no hace: sin identificación biométrica, sin reconocimiento facial.
¿Qué buenas prácticas puede verificar un tercero?
El cumplimiento que no puede comprobar quien no confía en ti es una declaración de intención. La tabla de abajo enumera solo prácticas cuyo cumplimiento produce un artefacto —documento, registro, pantalla, plazo— que alguien de afuera puede pedir ver.
| Práctica | Dispositivo | Artefacto que produce |
|---|---|---|
| Minimización: registrar el evento, no el flujo | Art. 6º, III y art. 10, § 1º | Especificación de lo que se graba y de lo que se descarta. |
| Retención definida y efectivamente cumplida | Arts. 15 y 16 | Plazo escrito y evidencia de eliminación al vencimiento. |
| Transparencia y aviso de área monitoreada | Art. 6º, VI, art. 9º y art. 10, § 2º | Cartel en la vía y aviso público con finalidad y contacto. |
| Control de acceso y traza de auditoría | Art. 46 y art. 37 | Lista nominal de accesos y registro de las operaciones. |
| Encarregado —la persona a cargo de la protección de datos— designado y localizable | Art. 41 | Nombre y canal de contacto publicados. |
| Evaluación de impacto cuando el riesgo lo justifica | Art. 38 y art. 10, § 3º | Informe con tipos de datos, metodología y salvaguardas. |
| Plan de respuesta a incidentes | Art. 48 | Procedimiento escrito de comunicación a la ANPD y al titular. |
Dos filas merecen comentario. El informe de impacto del art. 38 debe contener, como mínimo, los tipos de datos recolectados, la metodología de recolección y de garantía de la seguridad, y el análisis del controlador sobre salvaguardas y mitigación de riesgo: una guía útil incluso cuando nadie la exigió; el art. 10, § 3º, prevé que la autoridad nacional puede solicitarlo cuando el tratamiento se funda en interés legítimo.
Y la minimización. Guardar el evento en vez del flujo continuo es la diferencia entre un acervo de segundos y un acervo de meses, y resuelve de una vez el art. 10, § 1º, el costo de almacenamiento y el tamaño del estrago en un incidente. Sobre lo que necesita estar dentro de un registro para que se sostenga, escribimos en evidencia de video que se sostiene.
No es un dictamen jurídico y no sustituye el análisis del caso concreto por un profesional habilitado. Describe dispositivos de la Lei nº 13.709/2018 comprobados en el texto compilado oficial y un caso judicial informado, nada más que eso.
No afirma que el interés legítimo cubra cualquier instalación de CCTV. Depende de la prueba de ponderación, hecha situación por situación, y cede cuando prevalecen derechos y libertades fundamentales del titular.
No afirma que el reconocimiento facial sea ilícito en Brasil. Afirma que trata dato sensible, cae en el régimen más restringido del art. 11 y ya produjo una condena judicial informada, lo cual es riesgo concreto, no prohibición general.
No describe el funcionamiento interno de OpenRadar, ni plazos, parámetros o configuraciones del producto. Las referencias a nuestro diseño aparecen apenas en la política de privacidad pública.
Fuentes
- Brasil. Lei nº 13.709, de 14 de agosto de 2018 — Lei Geral de Proteção de Dados Pessoais (la ley general de protección de datos), texto compilado. planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm Origen de las definiciones de controlador y operador (art. 5º, VI y VII), de dato personal sensible incluyendo el biométrico (art. 5º, II), de los principios del art. 6º, de las reglas de consentimiento del art. 8º, del interés legítimo (art. 7º, IX, y art. 10), del régimen del dato sensible (art. 11), de los derechos del titular (art. 18), del término y la eliminación (arts. 15 y 16), del registro de operaciones (art. 37), del informe de impacto (art. 38), de las instrucciones al operador (art. 39), del encarregado (art. 41), de la responsabilidad (art. 42), de la seguridad (art. 46) y del incidente (art. 48). Consultado el 4 de septiembre de 2026.
- ANPD — Autoridade Nacional de Proteção de Dados (la autoridad de protección de datos de Brasil). Fiscalização. gov.br/anpd/pt-br/assuntos/fiscalizacao Origen de la afirmación de que están sujetos a la fiscalización todos los agentes de tratamiento, controlador u operador, en las tres hipótesis de alcance territorial descritas. Consultado el 4 de septiembre de 2026.
- Idec — Instituto Brasileiro de Defesa do Consumidor. Idec vence ação contra uso de reconhecimento facial e ViaQuatro é condenada a pagar indenização de R$ 500 mil, 12 de mayo de 2023. idec.org.br/release/idec-vence-acao-contra-uso-de-reconhecimento-facial-e-viaquatro-e-condenada-pagar Origen de la descripción del caso ViaQuatro: decisión de segunda instancia del TJSP, objeto de la acción civil pública, valores de R$ 100 mil y R$ 500 mil, destinación al Fundo de Defesa de Direitos Difusos y posibilidad de recurso. Consultado el 4 de septiembre de 2026.
Detectamos clase y conducta —persona, vehículo, zona, tiempo— y no construimos un identificador biométrico. Fue una decisión de proyecto antes de ser una respuesta de cumplimiento, y está escrita en nuestra política de privacidad para que se nos pueda exigir.