A questão da privacidade: reservar espreguiçadeiras sem vigiar os hóspedes

Existem três maneiras de saber se uma espreguiçadeira está ocupada. Pode observá-la com uma câmara. Pode colocar uma almofada de pressão por baixo. Ou pode não a medir de todo, e em vez disso apenas registar se um hóspede a reservou. Todas as três funcionam como operações de piscina. Apenas a terceira evita observar os hóspedes.

As câmaras resolvem a ocupação de forma precisa e económica, e também introduzem uma superfície de vigilância permanente pela qual um hotel será agora responsável, em todas as jurisdições onde opera. O RGPD é apenas a mais evidente das restrições; a realidade cultural é que uma câmara apontada para um pool deck é uma câmara apontada para hóspedes em fato de banho. Mesmo a implementação com as melhores intenções acaba por ter um dia mau.

As almofadas de pressão e os sensores PIR evitam a imagem, mas ainda assim rastreiam pessoas: cada vez que um hóspede específico se senta, se levanta ou passa, um evento é registado contra uma espreguiçadeira. Esse registo é um registo comportamental e, ao contrário de uma câmara, é invisível para o hóspede. De certas formas, isto é pior: não há nada a recusar porque nada parece estar a observar.

A terceira abordagem, registar a reserva e não a ocupação, é o que a SunDibs faz. Sabemos se uma espreguiçadeira foi 'pinned'. Sabemos se o hóspede confirmou a chegada. Não sabemos se eles estão atualmente nela. Esta é a restrição arquitetónica que torna a história da privacidade real: não podemos dizer-lhe que uma espreguiçadeira está ocupada porque não temos forma de o observar, e nenhuma futura alteração de política pode adicionar uma sem novo hardware.

A desvantagem é que não podemos detetar um hóspede que se senta sem 'pinning', e não podemos detetar um hóspede que sai para um almoço de duas horas e regressa. Tratamos ambos os casos da mesma forma: a janela de chegada é o que importa. Se o hóspede reservou e confirmou, a espreguiçadeira é deles para o dia. Se não, outra pessoa irá fazer um 'dibs'. A ocupação no momento não é algo que o sistema precise de saber.

Esta é a forma de privacidade que vale a pena ter: não uma política que pode ser revista num ecrã de definições, mas um design que torna a opção de vigilância indisponível. É a diferença entre um cadeado e uma promessa.