Reconhecimento facial: o que os apps de foto fazem com o rosto do seu filho

Reconhecimento facial em aplicativo de foto é o recurso que separa a sua galeria por pessoa, criando um álbum para cada rosto recorrente, incluindo o do seu filho. Para fazer isso, o sistema não guarda "a foto do rosto": ele gera uma representação matemática daquele rosto, chamada de modelo ou vetor facial, e usa essa representação para comparar imagens entre si. A pergunta que interessa a quem tem filho pequeno não é se o recurso existe, porque ele já está ligado em praticamente toda galeria moderna, e sim onde esse processamento acontece, o que fica guardado, por quanto tempo e o que some quando você desliga. Este guia responde essas quatro perguntas por serviço, mostra o que a lei brasileira diz sobre dado biométrico de criança e traz uma auditoria de quinze minutos para você fazer hoje. Ele é informativo e não é orientação jurídica.

Se a sua preocupação é com o rastro que a criança já deixou na internet de forma mais ampla, o mapa está em rastro digital: o que a internet já sabe sobre o seu filho. Aqui o recorte é a indexação da sua própria galeria, que é diferente de publicar.

Como funciona o agrupamento por rosto, na prática?

Vale entender o mecanismo, porque ele explica quase todas as decisões que vêm depois. O processo tem três etapas:

1. Detecção. O sistema encontra que existe um rosto naquela imagem e delimita a região dele. Isso acontece em qualquer galeria, mesmo sem agrupamento, e é o que permite o foco automático e o corte inteligente.
2. Extração do modelo. Da região do rosto, o sistema calcula um conjunto de números que descreve aquela face, como a distância relativa entre pontos. Esse conjunto é o modelo facial, e é ele, não a foto, que fica guardado para comparação.
3. Agrupamento. Modelos parecidos são reunidos num mesmo grupo. Aí aparece o álbum "essa pessoa". O nome só entra quando você digita.

Duas consequências importam. A primeira: o sistema não sabe quem é a criança até você contar. O agrupamento é anônimo por natureza, e a identidade é uma informação que você adiciona. A segunda: o modelo facial é um dado que sobrevive à foto. Apagar uma imagem não apaga necessariamente o modelo já formado, e é por isso que a opção de desligar o recurso costuma vir acompanhada de uma exclusão explícita desses modelos.

Onde o rosto do meu filho é processado, por serviço?

Esta é a diferença que mais muda o risco, e a que menos gente conhece. Processar no aparelho e processar na nuvem não são a mesma coisa.

A Apple diz na sua página oficial de privacidade do app Fotos que a análise para reconhecer rostos é feita no dispositivo, com aprendizado de máquina local, e que o que sincroniza pelo iCloud entre os seus aparelhos é o nome atribuído a cada pessoa. Isso não é uma garantia absoluta de sigilo, e há litígio em curso contestando a caracterização da empresa, mas a distinção técnica é real e vale para a decisão: um modelo que não sai do aparelho tem uma superfície de exposição muito menor que um modelo que vive num servidor.

O Google Fotos processa na nuvem, o que é coerente com o produto, já que ele existe para guardar as fotos fora do aparelho. A ajuda oficial em português traz dois pontos úteis. O primeiro: o recurso de grupos de rostos não está disponível em todos os países, e a ausência da linha de rostos na tela pode ser exatamente isso. O segundo, mais relevante: ao desativar o agrupamento, os marcadores criados por você são excluídos, assim como os grupos e os modelos de rostos associados à sua conta, incluindo os de animais de estimação. Ou seja, a opção de desligar não é só um botão de ocultar, e sim uma exclusão declarada.

A Meta desligou o reconhecimento facial do Facebook em 2021 e voltou a usar a tecnologia em escopo restrito a partir de 2024, para bloquear anúncios que usam o rosto de figuras públicas em golpes e para recuperação de conta. A empresa afirma que os dados faciais usados nessas comparações são excluídos imediatamente, e o recurso não foi liberado em Illinois, no Texas, no Reino Unido nem na União Europeia. Nada disso é sobre a foto do seu filho, mas mostra o tamanho do assunto do ponto de vista regulatório.

O que a lei brasileira diz sobre isso?

Duas peças da LGPD, a Lei 13.709/2018, importam aqui. Este trecho é informativo e não substitui a orientação de um advogado.

• Artigo 11: dado biométrico é classificado como dado pessoal sensível, na mesma categoria de dado de saúde, origem racial e convicção religiosa. Isso significa exigência maior de base legal para o tratamento, com consentimento específico e destacado quando essa for a via escolhida.
• Artigo 14: o tratamento de dados de crianças e adolescentes deve ser feito no melhor interesse delas, e o parágrafo primeiro exige consentimento específico e em destaque de ao menos um dos pais ou do responsável legal.

Há um ponto que costuma confundir, e vale dizer com clareza: a LGPD não se aplica ao tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, conforme o artigo 4º. A galeria do seu próprio celular, com fotos da sua própria família, está nesse recorte. O que está sob a lei é o tratamento feito pela empresa que oferece o serviço, e é sobre ela que recai o dever de informar, dar controle e excluir quando solicitado.

No plano dos precedentes, o caso mais conhecido no Brasil é o da ViaQuatro, concessionária da linha 4-Amarela do metrô de São Paulo. Em ação civil pública movida pelo Idec, com participação da Defensoria Pública de São Paulo e do Instituto Alana, a Justiça condenou a empresa pelo uso de câmeras em portas de plataforma que identificavam emoção, gênero e faixa etária de quem olhava para anúncios, sem consentimento dos passageiros. A indenização foi elevada em segunda instância de R$ 100 mil para R$ 500 mil, revertidos ao Fundo de Defesa de Direitos Difusos. É um caso de espaço público e de finalidade publicitária, não de galeria pessoal, mas fixa um recado útil: coletar face sem consentimento e sem finalidade legítima tem consequência.

Para o quadro completo de LGPD aplicada a foto de criança, incluindo a exceção do uso pessoal, vale LGPD e fotos de criança.

Devo desligar o reconhecimento facial da minha galeria?

Não existe uma resposta que sirva para todo mundo, e desconfie de quem diz que sim ou que não sem perguntar mais nada. O critério útil é este: quanto mais a foto vive fora do seu aparelho, mais o desligamento faz diferença.

Faz sentido manter ligado quando:

• O processamento é local, como no app Fotos da Apple, e a galeria não é compartilhada.
• Você usa o agrupamento para trabalhar o acervo, por exemplo para separar as fotos de cada filho na hora de montar o álbum do ano.
• O ganho de organização é real e a alternativa seria não organizar nada.

Faz sentido desligar quando:

• O serviço processa na nuvem e você não pretende usar o recurso de busca por pessoa.
• A conta é compartilhada com mais gente, ou o aparelho passa pela mão de outras pessoas.
• Existe um acordo familiar de exposição mínima da criança, e a coerência importa.
• Você está prestes a migrar de serviço e quer sair sem deixar modelos para trás.

E há uma decisão mais forte que qualquer botão: onde as fotos da criança ficam guardadas. Desligar o agrupamento numa galeria que faz backup automático de tudo resolve pouco perto de escolher um lugar em que o acervo da criança já nasce privado.

Como fazer a auditoria de quinze minutos

Faça hoje, com o celular na mão. Cada item leva de um a três minutos.

• Abra o álbum de pessoas da sua galeria e veja quantos rostos ela já agrupou, e quantos deles são de crianças que não são suas, como coleguinhas de festa.
• Confira se você nomeou a criança. O nome é o que transforma um agrupamento anônimo em identidade. Se não precisa, apague o nome.
• Verifique onde o processamento acontece na política de privacidade do serviço que você usa, procurando por "no dispositivo" ou "on-device".
• Decida sobre o agrupamento com o critério da seção anterior, e desligue se a resposta for essa. No Google Fotos: Configurações, Privacidade, Grupos de Rostos.
• Revise quais aplicativos têm acesso à galeria inteira. Muita gente concedeu acesso total a aplicativos que precisariam de uma foto só. No iPhone, dá para conceder acesso apenas a fotos selecionadas.
• Cheque os álbuns compartilhados esquecidos, aqueles criados para uma viagem e nunca fechados, que costumam ter mais participantes do que você lembra.
• Confira o que já foi publicado em rede social com o rosto da criança, que é a exposição de verdade, e não a indexação privada. O roteiro está em como compartilhar fotos de criança com segurança.

Vale separar duas coisas que se confundem o tempo todo. Indexação é o serviço organizar a sua galeria privada por rosto. Exposição é a foto sair do seu círculo. Falta uma terceira, que é o acesso de quem já alcança a galeria pelo próprio aparelho, e ela está mapeada porta por porta em quem mais tem acesso ao álbum do seu filho no seu celular. A segunda é incomparavelmente mais consequente que a primeira, e é onde vale gastar a maior parte da atenção. Se o assunto é o que acontece quando a foto é enviada para um gerador de imagem ou assistente de inteligência artificial, o tema tem página própria em foto de criança em app de inteligência artificial.

O que perguntar antes de aceitar um serviço novo

Toda vez que um aplicativo novo pedir acesso às fotos da família, quatro perguntas dão conta:

1. Onde o processamento acontece? No aparelho ou no servidor. A política de privacidade responde, e a ausência de resposta já é uma resposta.
2. O que é guardado, o modelo ou a imagem? E por quanto tempo.
3. Dá para desligar e o que some quando eu desligo? Serviço que só oculta e não exclui está dizendo que o dado continua lá.
4. O dado alimenta treinamento de modelo? Se sim, existe uma chave para recusar, e onde ela está.

Serviço que responde as quatro com clareza é um serviço com o qual dá para conversar. Serviço que não responde nenhuma já disse o que precisava.

As mesmas quatro perguntas valem para qualquer câmera ligada dentro de casa, e não só para aplicativo de foto. A babá eletrônica de wi-fi manda imagem do quarto da criança para um servidor, com as mesmas dúvidas de onde o vídeo fica e quem consegue chegar nele: o que checar antes de comprar e depois de instalar está em babá eletrônica é segura?.

Onde o Memmora entra nisso

A raiz do desconforto com reconhecimento facial na galeria não é técnica, é de finalidade. A galeria genérica precisa adivinhar o que é importante no meio de dezenas de milhares de arquivos, e o rosto é o atalho mais eficiente para isso. Quando o acervo da criança tem um lugar próprio, essa adivinhação deixa de ser necessária.

No Memmora, cada memória entra na linha do tempo do filho já com a data, a idade e o contexto que você escreveu, então a organização vem da intenção de quem registrou, e não de um sistema tentando deduzir quem é quem. O acervo é privado, visível apenas para as pessoas que você convidou, sem anúncio e sem estranho. Se você acabou de fazer a auditoria acima e concluiu que as memórias do seu filho merecem um lugar com finalidade declarada, crie sua conta e comece pelas fotos deste mês.

O que levar deste texto

O agrupamento por rosto está ligado em quase toda galeria e trabalha com um modelo matemático da face, não com a foto em si. A pergunta que importa não é se o recurso existe, e sim onde ele roda: a Apple afirma processar no próprio aparelho e sincronizar apenas os nomes, enquanto serviços de nuvem processam no servidor, e no Google Fotos desligar a opção Grupos de Rostos exclui os marcadores, os grupos e os modelos associados à conta. A LGPD trata dado biométrico como sensível no artigo 11 e exige consentimento específico de um responsável no artigo 14, embora a galeria doméstica esteja na exceção do uso pessoal do artigo 4º. Faça a auditoria de quinze minutos, decida pelo critério de onde a foto vive, e lembre que indexar a galeria privada é um problema muito menor que publicar. Este texto é informativo e não é orientação jurídica.