Revolut lança pagamento com o rosto em Londres duas semanas após fuga de selfies

A Revolut lançou no Reino Unido o seu primeiro piloto de pagamento com o rosto. De 24 a 26 de setembro, os clientes de três cafés Kiss the Hippo em Londres podem pagar olhando para uma câmara na caixa: sem cartão e sem telemóvel. O sistema compara o rosto ao balcão com a selfie que o cliente entregou ao abrir a conta.

É este último pormenor que faz a notícia. Duas semanas antes, o mesmo banco admitiu ter entregado passaportes, selfies e históricos de operações de clientes na sequência de um pedido de um organismo público que se revelou falso.

Como funciona o piloto

A função é o próprio cliente que a liga na aplicação da Revolut, por isso ninguém é digitalizado só por entrar. Ao balcão toca em Pay with Smile num terminal Revolut Register e a câmara faz uma verificação de identidade parecida com a de um telemóvel a desbloquear. Se a correspondência passar o limiar, o pagamento segue. Se não, a caixa oferece cartão, telemóvel ou Revolut Pay.

A parte comercial é tão interessante como a biometria. Nestas operações a Revolut não cobra comissão aos cafés, e é assim que uma empresa de pagamentos compra um lugar no balcão. Alex Codina, diretor de pagamentos a comerciantes da Revolut Business, apresenta-o como substituir «caixas antiquadas e fragmentadas por uma experiência de pagamento hipereficiente». Alex Damgaci, diretor-geral da Kiss the Hippo, diz que a cadeia tenciona alargá-lo aos seus 12 espaços até ao fim do ano.

Os dados são tratados melhor do que o título sugere

Convém ser justo com a construção, porque «um banco digitaliza o seu rosto» provoca uma reação que os pormenores técnicos não sustentam por inteiro. A Revolut afirma que os vetores faciais usados na transação são apagados logo após a confirmação da venda, que os comerciantes não guardam nada e que o processamento decorre no seu próprio ambiente e não num fornecedor externo. A biometria, diz, vai cifrada ponta a ponta.

É mais cuidadoso do que o reconhecimento facial médio no retalho, onde as perguntas incómodas costumam começar por saber que prestador guarda as imagens. Aqui a resposta é: o banco. E isso é ao mesmo tempo a parte tranquilizadora e o problema.

Porque é que a data conta

A 12 de setembro a Revolut avisou os clientes afetados de que tinha divulgado dados pessoais, incluindo imagens de passaportes, selfies e históricos de operações, depois de receber um pedido falsificado em nome de um organismo público. Escrevemos sobre isso na altura: o pedido era falso, os dados eram verdadeiros. Dias depois surgiu um segundo incidente, através do corretor norte-americano DriveWealth, de que também falámos.

A selfie com que o Pay with Smile compara pertence exatamente à categoria de documentos que saiu em setembro. Apagar o modelo do lado da caixa é boa higiene e não muda nada disso. A imagem do registo tem de persistir algures, senão não há com o que comparar, e a pergunta não é o que acontece ao balcão, mas o que acontece à cópia que o banco já tem.

É esta a diferença estrutural entre a biometria e qualquer outra credencial. Depois de uma fuga muda-se a palavra-passe, emite-se novo cartão, abandona-se um número. Um rosto não se volta a emitir, e para quem ataca não caduca. A mesma lógica apareceu quando a Índia tornou obrigatória a verificação biométrica para cartões SIM: a comodidade chega primeiro, a irreversibilidade descobre-se depois.

O enquadramento legal, em breve

Na lei britânica de proteção de dados, um rosto usado para identificar alguém é dado biométrico de categoria especial e exige uma condição para lá da base legal comum. O Information Commissioner's Office entende que o consentimento explícito costuma ser a condição adequada, e põe a fasquia alta: a escolha tem de ser verdadeiramente livre, específica e informada, separada das condições gerais.

Uma ativação voluntária na aplicação, com uma alternativa óbvia na mesma caixa, cumpre esse teste de forma razoável. Deixaria de cumprir no momento em que o pagamento com o rosto passasse a ser a opção por omissão, a fila rápida ou a única que anda. É costume ser para aí que estes pilotos caminham.

• Está desligado até o ligar, e a caixa continua a aceitar cartão ou telemóvel
• A comparação usa a selfie que já têm da abertura da sua conta, não pedem uma nova
• A Revolut diz que o modelo da caixa é apagado após cada venda e que o café não guarda nada
• O que persiste é a imagem do registo no banco, e é lá que uma fuga chega
• Pergunte-se se ligaria na mesma caso os mesmos dados saíssem mais duas vezes