A Universidade com sede no Canadá de Waterloo está correndo para remover as máquinas de venda inteligentes com a marca M&M do campus depois que alunos indignados descobriram que as máquinas estavam secretamente coletando dados de reconhecimento facial sem o consentimento deles.

O escândalo começou quando um aluno usando o pseudônimo SquidKid47 postou uma imagem no Reddit mostrando uma mensagem de erro em uma máquina de venda do campus, “Invenda.Vending.FacialRecognitionApp.exe”, exibida depois que a máquina falhou ao lançar um aplicativo de reconhecimento facial que ninguém esperava fazer parte do processo de usar uma máquina de venda.

“Hey, por que as estúpidas máquinas de M&M têm reconhecimento facial?” ponderou SquidKid47.

A postagem do Reddit desencadeou uma investigação de um aluno do quarto ano chamado River Stanley, que escrevia para uma publicação universitária chamada MathNEWS.

Stanley soou o alarme após consultar panfletos de vendas da Invenda que prometiam “as máquinas são capazes de enviar idades e sexos estimados” de todas as pessoas que usavam as máquinas, sem nunca solicitar consentimento.

Isso frustrou Stanley, que descobriu que o comissário de privacidade do Canadá havia investigado anos atrás um operador de shopping centers chamado Cadillac Fairview depois de descobrir que alguns quiosques de informações dos shoppings estavam secretamente “usando software de reconhecimento facial em clientes desprevenidos.”

Somente por conta dessa investigação oficial, os canadenses descobriram que “mais de 5 milhões de canadenses não consentidos” foram escaneados no banco de dados da Cadillac Fairview, relatou Stanley. Onde a Cadillac Fairview foi finalmente obrigada a excluir o banco de dados inteiro, Stanley escreveu que as consequências para a coleta de dados de reconhecimento facial igualmente sensíveis sem consentimento para os clientes da Invenda, como a Mars, permanecem incertas.

O relatório de Stanley terminou com um pedido para os alunos exigirem que a universidade “proíba máquinas de venda com reconhecimento facial no campus.”

Uma porta-voz da Universidade de Waterloo, Rebecca Elming, eventualmente respondeu, confirmando para a CTV News que a escola havia solicitado a desativação do software da máquina de venda até que as máquinas pudessem ser removidas.

Os alunos disseram à CTV News que sua confiança na administração da universidade foi abalada pela polêmica. Alguns alunos alegaram no Reddit que tentaram cobrir as câmeras das máquinas de venda enquanto esperavam pela resposta da escola, usando chiclete ou Post-it. Um aluno ponderou se “há outros lugares onde essa tecnologia poderia estar sendo usada” no campus.

Elming não pôde confirmar o cronograma exato para quando as máquinas serão removidas, além de dizer que isso aconteceria “o mais rápido possível”. Elming recusou o pedido da Ars para esclarecer se existem outras áreas do campus coletando dados de reconhecimento facial. Ela também não confirmou, para qualquer lanche casual no campus, quando, se algum dia, os alunos poderiam esperar que as máquinas de venda fossem substituídas por dispensadores de lanches que não estivessem equipados com câmeras de vigilância.

A Invenda afirma que as máquinas estão em conformidade com o GDPR

A investigação da MathNEWS encontrou respostas das empresas responsáveis pelas máquinas de venda inteligentes no campus da Universidade de Waterloo.

A Adaria Vending Services disse à MathNEWS que “o mais importante a entender é que as máquinas não tiram nem armazenam fotos ou imagens, e uma pessoa individual não pode ser identificada usando a tecnologia nas máquinas. A tecnologia atua como um sensor de movimento que detecta rostos, para que a máquina saiba quando ativar a interface de compra — nunca tirando ou armazenando imagens dos clientes.”

De acordo com a Adaria e a Invenda, os alunos não precisam se preocupar com privacidade de dados porque as máquinas de venda estão “totalmente em conformidade” com a lei de privacidade de dados mais rigorosa do mundo, o Regulamento Geral de Proteção de Dados da União Europeia (GDPR).

“Essas máquinas estão totalmente em conformidade com o GDPR e estão em uso em muitas instalações na América do Norte,” disse o comunicado da Adaria. “Na Universidade de Waterloo, a Adaria gerencia serviços de atendimento de última milha — lidamos com reposição e logística para as máquinas de venda de lanches. A Adaria não coleta nenhum dado sobre seus usuários e não tem acesso para identificar os usuários dessas máquinas de venda de M&M.”