Reconhecimento facial no transporte público: o contrato que a Justiça mandou o Metrô de São Paulo explicar

A pergunta que domina o debate sobre reconhecimento facial em transporte público costuma ser se o Senado vai aprovar a lei federal que autoriza o uso em estação e veículo coletivo. É uma pergunta importante, mas chega atrasada. Em São Paulo, uma juíza já mandou o Metrô explicar um contrato de mais de R$ 58 milhões para câmeras de reconhecimento facial, independente do que o Congresso decidir. No Rio de Janeiro, concessionárias privadas de metrô, trem e barca já alimentam o banco de dados da Polícia Militar com suas próprias câmeras desde 2024. A tecnologia não está esperando regulação para funcionar. A regulação está correndo atrás do que já está instalado.

Isso importa para qualquer gestor público que avalia integrar câmeras de transporte coletivo a uma central de comando municipal, porque o ponto que mais aparece nos tribunais não é se a tecnologia funciona. É quem responde pelo dado quando a câmera pertence a uma empresa concessionária, não ao poder público.

O transporte público é um alvo natural para esse tipo de integração, e não por acaso. Uma estação de metrô ou um terminal de ônibus concentra, em poucos metros quadrados, um volume de pessoas que nenhuma outra infraestrutura urbana reúne com a mesma previsibilidade. A câmera já existe, instalada pela concessionária por obrigação contratual de segurança patrimonial e de monitoramento operacional. Para um gestor público, a tentação de usar essa infraestrutura já paga, em vez de instalar um parque de câmeras próprio, é compreensível do ponto de vista orçamentário. O problema é que essa mesma lógica de reutilização é o que tem gerado a maior parte dos questionamentos judiciais recentes, justamente porque o contrato original da câmera nunca previu o uso que o poder público passou a fazer dela depois.

O que já está rodando no Rio de Janeiro

Em janeiro de 2024, as concessionárias responsáveis pelo metrô, pelos trens e pelas barcas do Rio de Janeiro passaram a integrar suas câmeras ao sistema de reconhecimento facial usado pela Polícia Militar. A adesão somou mais de mil câmeras ao sistema, que é alimentado pelo banco de dados da Polícia Civil. Na prática, isso significa que uma câmera instalada e mantida por uma empresa privada, com a finalidade original de monitorar plataforma e vagão, passou a servir também de insumo para um sistema de segurança pública que ela não administra.

O resultado operacional existe e é mensurável. No Carnaval de 2025, a Polícia Militar registrou cerca de 500 prisões com apoio do reconhecimento facial, incluindo 12 pessoas com mandado em aberto. É um número que qualquer secretaria de segurança apresentaria como vitória. Mas a mesma operação já teve o reverso documentado: a própria Polícia Militar reconheceu publicamente que o sistema gerou pelo menos uma prisão por engano, confirmando o erro depois do fato consumado.

Esse par de resultados, prisão correta e prisão equivocada saindo do mesmo sistema, é o argumento central de quem defende que a integração de câmeras privadas a banco de dados policial precisa de protocolo de confirmação antes da abordagem, não só depois. Já tratamos esse ponto com profundidade no caso de São Paulo e Rio Branco, onde o fator que separa um sistema confiável de um sistema arriscado é menos a câmera e mais a etapa de validação humana antes de qualquer ação policial.

O contrato que a Justiça mandou explicar em São Paulo

O caso mais revelador sobre responsabilidade contratual está no Metrô de São Paulo. O Idec e defensorias públicas moveram ação civil pública pedindo a suspensão do reconhecimento facial no sistema, alegando que a empresa não produziu relatório de impacto à proteção de dados nem apresentou estudos que comprovassem a segurança do banco de dados usado para comparar rostos. A ação não discute se a câmera identifica corretamente. Discute se existe, documentado, o estudo que deveria ter sido feito antes da compra.

Mais recentemente, uma juíza da 1ª Vara da Fazenda Pública de São Paulo determinou que o Metrô enviasse, em até 30 dias úteis, explicações sobre um contrato de mais de R$ 58 milhões para o sistema de câmeras. A magistrada pediu detalhes sobre risco de vazamento, proteção de dados de crianças e adolescentes que circulam pelas estações, nível de sigilo do banco de dados e a motivação pública que justificou o edital. São exatamente os itens que um relatório de impacto deveria responder antes da licitação sair do papel, não depois que a contratação já está em operação.

O contraste com o caso carioca é instrutivo. No Rio, a integração aconteceu por adesão das concessionárias a um sistema já existente da Polícia Militar. Em São Paulo, é o próprio Metrô, uma estatal, que contratou e opera a tecnologia, respondendo diretamente pela licitação. Os dois desenhos geram o mesmo tipo de pergunta jurídica: quem é o controlador do dado, sob qual base legal, com qual prazo de retenção. A diferença é só sobre quem senta no banco dos réus quando a pergunta chega à Justiça.

Nem toda biometria facial em transporte carrega o mesmo risco

Existe um terceiro modelo que vale a pena conhecer antes de tratar reconhecimento facial em transporte público como um bloco único. Em Belém, a biometria facial foi adotada nos ônibus como forma de controle de cartão, não como vigilância em tempo real. O sistema confirma que quem está usando o cartão de gratuidade é de fato o titular cadastrado, evitando o uso indevido do benefício por terceiros. Não há comparação contra lista de procurados, não há alimentação de banco de dados policial, não há retenção de imagem para fins de investigação.

É uma finalidade única, declarada e limitada, o tipo de desenho que a LGPD trata com exigência bem menor de justificativa do que um sistema de vigilância ostensiva, porque o dado biométrico ali serve só para autenticar quem já deu consentimento ao se cadastrar no programa de gratuidade. Comparar esse modelo com o do Metrô de São Paulo ou da integração carioca, como se fossem a mesma categoria de risco só porque os dois usam a palavra "reconhecimento facial", é o tipo de simplificação que atrasa decisão de gestor e também atrasa debate público. Já detalhamos como esse tipo de distinção de finalidade funciona na prática, incluindo quais bases legais a LGPD exige para cada caso, no guia sobre reconhecimento facial e LGPD para gestores.

O que a lei federal resolve, e o que ela não resolve

O Senado ainda analisa o texto que a Câmara dos Deputados aprovou autorizando reconhecimento facial em estação, vagão e via pública em todo o país, com vedação expressa a vigilância massiva. Já explicamos o que esse projeto muda e onde ele ainda pode sofrer alteração no post sobre o PL 1.828 e a lei nacional de reconhecimento facial. O que importa destacar aqui é o limite dessa lei: ela define onde a câmera pode operar e para quais finalidades, mas não resolve sozinha a pergunta que já está nos tribunais de São Paulo e que vai continuar aparecendo em qualquer integração entre concessionária privada e sistema de segurança pública.

Essa pergunta é contratual, não legislativa. Quem é o controlador do dado quando a câmera pertence a uma empresa que presta um serviço público por concessão. Sob qual ordem, ou sob qual convênio formal, as imagens podem ser repassadas à polícia. Qual o prazo de retenção, e quem audita se ele está sendo cumprido. Nenhum desses pontos muda com a aprovação do PL 1.828 no Senado. Eles mudam quando a prefeitura ou a empresa pública escreve essas cláusulas no edital, antes de assinar o contrato, e não quando uma ação judicial obriga a explicação depois.

O que fica para quem avalia uma integração parecida

Um gestor municipal que pensa em integrar câmeras de ônibus, BRT ou estação de transporte à própria central de comando não precisa esperar o desfecho da ação contra o Metrô de São Paulo para tirar a lição. O caso já mostra o roteiro do que costuma faltar, e vale detalhar cada item separadamente, porque é justamente a ausência isolada de um deles, não de todos, que costuma abrir a brecha jurídica.

O primeiro é o relatório de impacto à proteção de dados, feito antes da licitação sair do papel, não depois de uma ação judicial exigir explicação. É esse documento que obriga a concessionária e o poder público a responder, por escrito e com antecedência, às mesmas perguntas que a juíza paulista fez ao Metrô: qual o risco de vazamento, que tratamento especial recebe o dado de criança e adolescente, e qual é exatamente a finalidade pública que justifica a compra.

O segundo é a cláusula contratual explícita sobre a condição de repasse de dado a órgão de segurança. Isso significa escrever, no próprio edital ou no termo de adesão, se a imagem pode ir para a polícia mediante ordem judicial, mediante convênio formal, ou em nenhuma hipótese sem autorização específica. A integração do Rio de Janeiro funciona porque essa adesão foi formalizada entre concessionárias e Polícia Militar. O risco aparece quando esse tipo de repasse acontece informalmente, sem cláusula que defina limite e responsabilidade.

O terceiro é o protocolo de confirmação humana, documentado, antes de qualquer abordagem baseada em alerta automatizado. É o mesmo ponto que já detalhamos nos casos de São Paulo e Rio Branco, e que explica por que a Polícia Militar do Rio conseguiu, na mesma operação de Carnaval, produzir 500 prisões corretas e, ao mesmo tempo, reconhecer publicamente pelo menos um erro. Um protocolo bem desenhado não elimina esse risco, mas separa o alerta da câmera da decisão de abordar, e documenta quem confirmou o quê antes da ação.

O quarto é o prazo de retenção de imagem, definido e auditável, em vez de indefinido por padrão. Câmera de transporte público capta rosto de quem não tem nenhum envolvimento com o sistema de segurança, no fluxo normal de quem só está indo trabalhar. Guardar essa imagem sem prazo definido, só porque a tecnologia permite, é o tipo de decisão que nenhum relatório de impacto bem feito sustenta.

Também vale separar, desde o desenho do projeto, qual finalidade está em jogo. Um sistema de autenticação de passageiro cadastrado, como o de Belém, pede uma governança bem mais simples do que um sistema que compara rosto contra lista de procurados em tempo real, como os de São Paulo e Rio de Janeiro. Tratar as duas coisas com o mesmo contrato, ou pior, sem contrato nenhum que preveja a diferença, é o tipo de atalho que um município paga caro mais tarde, seja em ação judicial, seja em sanção da ANPD.

A lei federal vai sair do Senado em algum momento, com o texto que tiver. O contrato que uma prefeitura assina com uma concessionária de transporte não precisa, e não deveria, esperar por ela.