Por que a sua foto para passaporte nunca deveria ser enviada

Uma foto para passaporte não é uma imagem comum. É um retrato de rosto inteiro, iluminado de modo uniforme, com expressão neutra sobre fundo liso, feito segundo uma norma publicada para que uma máquina possa medi-lo. Essa é uma descrição precisa do seu rosto como documento de identidade, e é também uma descrição precisa da imagem mais útil que um ladrão de identidade pode obter. Enviá-la a um site para que ela seja cortada é uma troca que entrega algo valioso em troca de uma aritmética que o seu próprio telefone poderia ter feito.

Esse é o argumento inteiro a favor de processar a foto onde ela já está. Tudo abaixo é o detalhe.

A foto é o ativo, não o corte

A maioria das pessoas imagina o risco ao contrário. Elas pensam numa foto roubada sendo publicada em algum lugar constrangedor. O valor real de um retrato padronizado é ele estar pronto para máquinas: alimenta um sistema de reconhecimento facial sem ruído, encaixa num modelo de documento falsificado sem retoque, e satisfaz a etapa fotográfica de uma verificação de identidade remota num banco ou numa plataforma de criptoativos. As mesmas qualidades que tornam uma foto de passaporte conforme, isto é, frontal, nítida, sem elementos e corretamente exposta, são as qualidades que a tornam útil para outra pessoa.

Esta não é uma preocupação hipotética inventada pelo setor. O Australian Passport Office diz isso na sua própria orientação aos requerentes: ele não recomenda o uso de serviço on-line de foto de passaporte nem de aplicativos, porque eles "may put you in danger of identity fraud" (Australian Passport Office). É incomum um governo nomear uma categoria de serviço comercial num alerta, e vale parar nisso. O alerta não é sobre cortar ser difícil. É sobre o envio.

Há um eco jurídico do mesmo ponto. Pelo Regulamento Geral sobre a Proteção de Dados da União Europeia, o artigo 9 proíbe, sujeito a condições específicas, o tratamento de "biometric data for the purpose of uniquely identifying a natural person", colocando isso ao lado de dados de saúde e de convicção religiosa nas categorias especiais. A foto de um rosto não é automaticamente dado biométrico. Ela vira dado biométrico no momento em que é processada para identificar ou medir um indivíduo específico, que é exatamente o que uma ferramenta de foto para passaporte faz ao encontrar um rosto e medir a distância entre os olhos. Se você está na Europa, enviar uma foto de passaporte a um serviço que mede rostos não é o mesmo tipo de ato que enviar uma foto de viagem, e a lei diz isso.

O que "apagamos a sua foto" deixa de fora

Os sites de foto costumam responder à pergunta sobre privacidade com uma promessa de retenção: as imagens são apagadas depois de algum prazo, comumente de 24 horas a 180 dias. Promessas de retenção valem alguma coisa, mas respondem a uma pergunta diferente da que você fez.

Apagar é uma afirmação sobre o futuro de uma cópia que já foi feita. Isso não afeta o que aconteceu durante o prazo, e o prazo é onde tudo acontece: a própria transferência, o balde de armazenamento em que ela caiu, o backup automático que rodou às 03:00, o subcontratado que faz o processamento de imagem, a linha de registro que anotou o nome do arquivo, o evento de análise disparado no envio. Uma promessa de apagar depois de 30 dias não retira uma cópia feita no segundo dia.

Ela também nada diz sobre jurisdição. Uma foto enviada de Lagos ou de Manila pode ser processada em servidores num terceiro país sob leis em que nenhuma das partes pensou. E nada diz sobre o fim da empresa: uma política de retenção é uma política, e políticas não sobrevivem a uma aquisição ou a uma falência de forma alguma em que se possa confiar.

Nada disso exige que alguém seja desonesto. Exige apenas as coisas comuns que acontecem com dados assim que existe uma cópia.

A alternativa não é uma promessa, é uma ausência

A saída não é uma política de privacidade melhor. É não fazer a cópia.

Tudo o que uma ferramenta de foto para passaporte precisa fazer já pode ser feito dentro de uma aba de navegador. Separar uma pessoa de um fundo e localizar os olhos, o nariz e a boca são tarefas para modelos de visão pequenos, e os navegadores conseguem rodar esses modelos no seu próprio processador. Uma vez rodando localmente, o corte, a medição da altura da cabeça e a substituição do fundo são aritmética de imagem comum. Não há etapa nessa sequência que exija um servidor ver o seu rosto.

É assim que a nossa ferramenta funciona, e é a razão pela qual podemos enunciar a promessa de forma direta em vez de cuidadosa: a sua foto nunca sai do seu dispositivo. Não estamos afirmando que tratamos a sua imagem com responsabilidade. Estamos afirmando que nunca a recebemos, que é uma afirmação sem espaço para interpretação.

Você não deve aceitar isso por fé, e não precisa. Duas conferências levam um minuto:

O painel de rede. Abra as ferramentas de desenvolvedor do seu navegador, vá até a aba de rede e deixe-a aberta. Carregue a página e você vai ver o código da própria página e, uma vez, os arquivos dos modelos de visão chegando. Depois escolha a sua foto e deixe a ferramenta trabalhar. Um envio não é sutil: aparece como uma requisição com um volume grande de dados saindo. Se nada grande sai, nada grande saiu.

Modo avião. Carregue a página e espere ela terminar a preparação. Depois coloque o dispositivo em modo avião e use a ferramenta assim mesmo. Se a foto continuar sendo medida e cortada com a rede desligada, o processamento nunca esteve acontecendo em outro lugar. Este teste é o mais convincente dos dois porque não pode ser falseado por um site que esteja apenas adiando o seu envio.

Seja preciso sobre o que isso cobre e o que não cobre

Honestidade sobre uma promessa de privacidade significa nomear as suas bordas.

O processamento no dispositivo cobre a sua foto. Ele não faz uma página web deixar de ser uma página web. O HTML, os scripts e os arquivos dos modelos são baixados pela rede como qualquer outra coisa, e qualquer análise ou publicidade que um site carregue se comporta como em toda parte. Se você quer ver o que uma página contata, o mesmo painel de rede mostra.

Ele também não elimina o envio no fim. A maioria dos pedidos hoje quer um arquivo digital, e você vai mandá-lo ao serviço de passaportes, ao portal de vistos ou ao serviço de imigração. Essa transferência é o objetivo do exercício: a autoridade que emite o seu documento precisa da sua fotografia, e tem base legal para guardá-la. O que o processamento no navegador elimina é a cópia extra inútil, mantida por uma empresa sem papel nenhum no seu pedido, feita apenas para que um retângulo fosse cortado no tamanho.

Duas bordas práticas valem conhecer. Num computador compartilhado, a imagem fica na página enquanto a aba está aberta, portanto feche a aba quando terminar. E uma foto já enviada por aplicativo de mensagens foi recomprimida por esse aplicativo, o que é um problema de qualidade e não de privacidade, mas é o motivo mais comum de uma boa foto reprovar numa conferência de resolução.

A versão curta

Faça a uma ferramenta de foto uma pergunta: a minha imagem vai para o seu servidor? Se a resposta for sim, toda outra garantia é uma promessa sobre como uma cópia do seu rosto será cuidada por estranhos. Se a resposta for não, não há nada a prometer, porque não há nada ali.

Quando você estiver pronto, os passos práticos para tirar a foto cobrem luz, distância e ajustes de câmera, e os requisitos de tamanho digital explicam o que o portal vai pedir depois. Se o seu pedido é na Austrália, onde o alerta do serviço de passaportes é excepcionalmente direto, os requisitos australianos mostram o que a repartição espera.