Contar visitantes sem câmaras

Sim. É possível contar visitantes sem câmaras com os pontos de acesso Wi-Fi que um edifício já tem. Estes captam os sinais que os telemóveis emitem, transformam-nos em contagens e fluxos e guardam apenas estatísticas agregadas. Não se tira nenhuma fotografia e ninguém é identificado. As entradas que precisam de uma contagem exata podem usar LiDAR, que também dispensa câmaras.

Em resumo

• Os pontos de acesso Wi-Fi existentes conseguem contar visitantes em todo o edifício sem câmaras, e a cobertura chega a todo o lado onde a rede chega.
• Os sinais dos telemóveis tornam-se contagens, tempos de permanência e percursos entre zonas; só ficam estatísticas agregadas.
• O LiDAR dá uma contagem exata numa entrada, sem câmara e sem imagem.
• As contagens são calibradas com sessões de contagem manual, por isso são fiáveis ao nível agregado.
• Decidir se é necessária uma AIPD cabe ao seu encarregado de proteção de dados (EPD) ou à sua função de conformidade.

Conseguimos contar visitantes em toda a loja e às portas sem câmaras?

Sim, e há dois métodos que repartem a tarefa. A contagem por Wi-Fi cobre a área interior através dos pontos de acesso que já existem no edifício e dá contagens, tempos de permanência e percursos entre zonas. O LiDAR trata de uma entrada onde a contagem exata é importante e mede com impulsos laser, por isso não existe imagem.

Instalar contadores óticos em cada entrada, limite de zona, escada rolante e átrio de elevadores exige planeamento de projeto, cablagem e manutenção contínua do hardware. A contagem por Wi-Fi funciona com os pontos de acesso que a manutenção ou a equipa de TI já gerem para dar conectividade, por isso a cobertura chega a todo o lado onde a rede chega e, na maioria dos edifícios, o teto não precisa de hardware novo.

Um centro comercial com dezenas de pontos de acesso em cinco pisos obtém análise por zona nos cinco, muito mais do que uma contagem de cabeças à porta principal mostraria. Para museus e espaços culturais ou estações e interfaces de transportes, esse nível de detalhe está normalmente ao alcance sem um projeto de cablagem, e os dados entregues são mais ricos porque a contagem abrange todo o edifício. Não é preciso justificar uma câmara adicional perante uma entidade licenciadora nem apontá-la a uma fila.

O que captam os pontos de acesso Wi-Fi de um telemóvel?

Um telemóvel com o Wi-Fi ligado envia probe requests, sinais curtos que perguntam se há uma rede conhecida por perto. Os pontos de acesso ao alcance captam-nos. Cada probe request levava antigamente um identificador de hardware único, o endereço MAC, que em princípio permitia seguir um dispositivo específico no tempo e no espaço.

A Apple introduziu a randomização do endereço MAC no iOS 8, em 2014; o Android seguiu-se a partir da versão 8.

Hoje, os dispositivos enviam probe requests com endereços MAC aleatórios, que mudam ao longo do tempo e diferem de rede para rede, em vez de um identificador de hardware fixo, por isso um endereço fixo já não acompanha um dispositivo ao longo do tempo. A privacidade de um sistema de contagem continua a depender do que o sistema faz depois com os sinais.

O que fica depois de os sinais serem tratados?

A contagem de pessoas por Wi-Fi anonimiza os sinais no momento da recolha. Os probe requests são transformados em contagens e estatísticas de fluxo, e os dados de sinal subjacentes não são guardados. O que fica é agregado: quantos dispositivos foram detetados numa zona durante uma determinada hora, qual foi o tempo de permanência médio, que percurso num espaço foi o mais comum. Nenhuma linha de nenhuma base de dados corresponde a uma pessoa.

Um sistema de análise de afluência em conformidade com o RGPD baseado na contagem por Wi-Fi não precisa do consentimento dos visitantes para funcionar. O consentimento aplica-se quando são tratados dados pessoais, e este método não trata nenhuns. É também por isso que é o único método de contagem de pessoas da Europa aprovado por uma autoridade de proteção de dados.

Como sabemos que as contagens estão certas?

O sistema nunca vê pessoas individuais, por isso recorre à calibração para verificar as contagens. As contagens obtidas a partir dos sinais Wi-Fi são validadas com sessões de contagem manual: um número conhecido de pessoas atravessa uma zona e a estimativa do sistema é ajustada em conformidade. A calibração corrige também a percentagem de visitantes que trazem um dispositivo com Wi-Fi, que varia consoante o local e a hora. Os outros métodos são comparados em como contar pessoas.

A precisão é elevada ao nível agregado, e é esse o nível de que as decisões operacionais e estratégicas precisam. Um retalhista precisa de saber se num sábado passaram 2.000 ou 4.000 pessoas, e responder a isso não exige um recenseamento de indivíduos. A calibração torna também a contagem comparável entre locais e épocas do ano, e é essa comparabilidade que dá valor a um benchmark de afluência. A contagem é ainda o denominador que a caixa não consegue dar: comparada com as vendas, dá a taxa de conversão que explica porque a afluência e as vendas contam histórias diferentes.

A randomização de MAC, hoje normal nos dispositivos modernos, é tratada ao nível do algoritmo sem recorrer a identificadores persistentes, por isso os resultados estatísticos continuam fiáveis.

O que abrange uma avaliação de proteção de dados da contagem por Wi-Fi?

Para as organizações sujeitas ao RGPD, uma AIPD para a contagem de pessoas é o passo formal para avaliar uma tecnologia antes de a implementar. Se é necessária, e o que tem de abranger, é decidido pelo seu encarregado de proteção de dados ou pela sua função de conformidade. O método não produz dados de categorias especiais, não precisa de um mecanismo de consentimento e não deixa direitos dos titulares dos dados por gerir. As perguntas que um EPD costuma fazer estão nessa página.

O que vão dizer os trabalhadores e o sindicato?

A medição é anónima. A contagem por Wi-Fi não produz dados pessoais, por isso ninguém, trabalhador ou visitante, pode ser identificado nos resultados, e nenhuma pessoa é seguida ao longo do tempo. O que os trabalhadores e os seus representantes veem são estatísticas agregadas sobre o espaço: quantas pessoas lá estiveram, onde e quando, nunca quem.

O que muda para os visitantes quando não há câmara?

Os sistemas baseados em câmaras fazem coisas que a contagem por Wi-Fi não faz: distinguem adultos de crianças, contam pessoas em imagens com grande precisão e, em algumas configurações, reconhecem visitantes que regressam. São precisamente essas capacidades que geram desconforto no público. O reconhecimento facial associado à análise de retalho tem atraído a atenção dos reguladores em toda a Europa e, mesmo quando as câmaras não fazem reconhecimento, os visitantes em espaços públicos reparam cada vez mais nelas e fazem perguntas. Uma câmara visível pode parecer videovigilância mesmo quando só está a contar, e esse atrito tem custos na experiência do visitante, no tempo da equipa e, por vezes, na imprensa.

A contagem por Wi-Fi não aponta nenhuma câmara aos visitantes nem capta nenhuma imagem deles. Isso conta sobretudo onde a confiança faz parte da visita: instituições culturais, transportes públicos e unidades de saúde. E conta cada vez mais também no retalho, à medida que as decisões entre contador de clientes e plataforma de análise são analisadas com mais atenção.

Onde uma entrada precisa de uma contagem exata e uma lente não é bem-vinda, a contagem de pessoas com LiDAR dá uma contagem precisa sem qualquer câmara. Mede o movimento com impulsos de luz laser seguros para os olhos e mostra as pessoas como nuvens de pontos no espaço 3D. Nunca é produzida nenhuma imagem, por isso não há nada para guardar, desfocar ou ocultar.

Fontes

• Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
• Android Open Source Project. Implement MAC randomization. https://source.android.com/docs/core/connect/wifi-mac-randomization
• Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
• European Data Protection Board (2020). Guidelines 3/2019 on processing of personal data through video devices, version 2.0. https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en
• European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Recital 26 and Article 35. https://eur-lex.europa.eu/eli/reg/2016/679/oj