Cada operação de tratamento de dados deve estar amparada numa base legal (arts. 7º da LGPD) e cumprir os princípios da proteção de dados (art. 6º), dentre os quais o princípio da transparência, que deve ser observado em todas as etapas e durante todo o processo de tratamento dos dados.

As pessoas que têm a sua imagem captada devem poder exercer, face ao responsável pela captura e tratamento das imagens, que recebe a denominação legal de Controlador, os direitos reconhecidos pela LGPD, para que possam ter o controle sobre as suas informações.

Desta forma, o princípio da transparência se apresenta como uma importante ferramenta para a salvaguarda dos direitos e interesses dos titulares de dados, possibilitando a fiscalização e denotando a lealdade e a boa fé do Controlador.

A LGPD determina que o Controlador implemente medidas técnicas e administrativas aptas a proteger os dados pessoais contra acesso não autorizado ou uso inadequado ou ilícito, desde a concepção, ou seja, desde o planejamento para a implantação do sistema de videovigilância, o que inclui a predefinição de configurações apropriadas para a minimização do tratamento de dados e outras medidas técnicas, devendo tais critérios ser colocados como requisitos para a aquisição dos equipamentos e sistemas. 

Além disso, o titular dos dados deve ser informado de forma clara, adequada e ostensiva acerca do tratamento dos seus dados pessoais (art. 9º da LGPD). 

Disso decorre que a mera afixação de uma placa com um símbolo e um aviso de que “você está sendo filmado” não atende às obrigações do Controlador. 

Utilizando como referência as orientações das Autoridades de Proteção de Dados da União Europeia (que são referência para a Autoridade Nacional de Proteção de Dados do Brasil), a sugestão é que, tendo em vista o volume de informações, o Controlador se desincumba deste dever promovendo a informação do titular dos dados numa estruturação em dois níveis. As informações principais num primeiro nível e os detalhes num segundo nível, por outros meios.

A primeira fase diz respeito ao modo como o Controlador entra em contato com o titular dos dados, sendo a placa com o sinal de aviso - o símbolo característico - acompanhado das informações relevantes. As informações a serem disponibilizadas neste primeiro contato devem dizer respeito às finalidades específicas do tratamento dos dados, a identidade do Controlador (responsável pelo tratamento), o canal de contato com ele, os direitos dos titulares, o legítimo interesse do Controlador (se for o caso) e informações com maior impacto ou que possam vir a surpreender o titular dos dados (a lealdade aplicada ao tratamento de dados implica em que o titular dos dados não seja surpreendido nem com o modo como os seus dados são tratados, nem com os possíveis efeitos deste tratamento, que devem ser legitimamente expectáveis). 

Pode surpreender o titular dos dados, por exemplo, a transferência das informações coletadas a terceiros, especialmente para fora do país, e o prazo de conservação dos dados. As Autoridades de Controle Europeias entendem que se estas informações não forem indicadas, o titular dos dados deve poder confiar que ali se realiza apenas o controle em tempo real, sem registro, armazenamento ou transmissão das informações a terceiro.

Este primeiro nível deve ainda fazer referência ao segundo nível da estrutura, que contém os maiores detalhes, e indicar onde o titular dos dados pode acessá-lo.

O segundo nível da estrutura de informações deve ser facilmente acessível ao titular dos dados, podendo consistir numa ficha informativa completa, disponibilizada na recepção, no caixa do estabelecimento ou num balcão de informações. Pode ser também um cartaz informativo, ou ainda um QR code ou endereço de um site Web, já disponibilizados juntamente com o aviso de primeiro nível. Mas mesmo estando disponíveis em meio digital, as informações devem estar também acessíveis em formato não digital. 

Devem ser informadas as demais características do tratamento de dados, como os destinatários da transferência ou compartilhamento dos dados, quando for o caso, as razões que justificam o prazo de conservação informado no primeiro nível, o detalhamento dos direitos do titular de dados. Se o Controlador intencionar fazer um uso secundário dos dados, deve informar aqui também os detalhes do tratamento posterior que pretende fazer dos mesmos dados.

Tais sugestões visam a facilitar para o Controlador a percepção de modos de cumprir os deveres impostos pela LGPD, podendo o agente de tratamento de dados utilizar de outros meios e formatos, desde que assegure a transparência das operações de tratamento de dados e o acesso dos titulares às informações acerca deste tratamento, inclusive para o exercício dos seus direitos.