A autoridade irlandesa de proteção de dados pessoais (Data Protection Comission -DPC) anunciou ontem a aplicação de uma multa de 390 milhões de euros à Meta, em razão de violações ao Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD). As sanções se referem a duas reclamações analisados pela autoridade em relação a violações ocorridas nas redes sociais Facebook (210 milhões de euros) e no Instagram (180 milhões de euros).
Os dois processos foram propostos em maio de 2018, no mesmo dia em que o RGPD entrou em vigor. Na ocasião, a organização de direitos digitais NOYB entrou com duas reclamações questionando as bases legais utilizadas pelo Facebook e Instagram para o tratamento de dados dos usuários, em especial os dados utilizados para publicidade direcionada.
A decisão considerou que o Facebook e o Instagram não podem se apoiar na base legal de “execução de contrato” para o tratamento de dados pessoais de usuários para fins de publicidade direcionada. A decisão também considerou que o Facebook e o Instagram não apresentam de forma clara as bases legais utilizadas para o tratamento de dados dos usuários, violando os princípios de transparência do regulamento europeu.
A autoridade de proteção de dados irlandesa também determinou à Meta o prazo de três meses para que a empresa entre em compliance com o Regulamento. A íntegra da decisão ainda não foi divulgada e o Facebook informou que irá apelar das decisões.
Abaixo, nossa equipe destacou cinco pontos para entender as sanções impostas à empresa e seus efeitos sobre o modelo de negócios da Meta.
- Histórico das reclamações
As duas reclamações contra a Meta foram propostas pela organização NYOB em 2018, apresentadas perante as autoridades de proteção de dados Austríaca e Belga, uma vez que foram propostas em nome de usuários desses países. Contudo, considerando que a sede da Meta é estabelecida na Irlanda, a autoridade de proteção de dados Irlandesa assumiu o caso.
A NYOB é liderada por Max Schrems, ativista com forte atuação em litígios envolvendo proteção de dados na Europa. Nas reclamações propostas, a organização acusava o Facebook e o Instagram de diversas violações ao RGPD, sendo uma das principais a acusação de que a Meta infringia a legislação europeia ao “obrigar” os usuários a aceitarem a oferta de anúncios personalizados como condição para cadastro e uso dos serviços das plataformas. Essa obrigação era descrita nas cláusulas dos Termos de Uso e Políticas de Privacidade do Facebook e do Instagram, que constituem modalidades de contrato celebradas entre a empresa e seus usuários.
A NYOB defendia que o Facebook não poderia obrigar os usuários a permitirem o uso de seus dados para oferta de publicidade direcionada utilizando a base legal de execução de contrato, uma vez que esse tipo de operação não está necessariamente atrelado à prestação de serviços pela Meta.
Já na visão da Big Tech, a publicidade direcionada consiste no próprio núcleo duro da atividade de redes sociais, sendo indispensável para a oferta dos serviços, de forma que o contrato entre as partes só pode ser cumprido mediante a disponibilização desse tipo de anúncio ao usuário. De acordo com esse racional, a base legal de “execução de contrato” seria adequada ao tratamento dos dados para esta finalidade.
- A primeira decisão da Autoridade Irlandesa
Ao analisar os dois casos, a autoridade irlandesa de proteção de dados, inicialmente, havia entendido que os Termos de Uso do Facebook violavam obrigações de transparência contidas no GRPD, propondo uma multa mais branda de até 36 milhões de Euros à empresa. De acordo com a Autoridade, os Termos de Uso apresentados pela empresa são ambíguos, não apresentando ao usuário de forma clara quais atividades de tratamento são executadas e em quais bases legais cada uma delas estaria apoiada. Em sua posição inicial, no entanto, a autoridade entendeu que o uso da base legal de execução de contrato para a oferta de anúncios personalizados estaria em conformidade com o RGPD.
- A decisão do European Data Protection Board e a posição final da Autoridade Irlandesa
De acordo com os procedimentos previstos no RGPD, a decisão da autoridade irlandesa foi submetida ao Conselho Europeu de Proteção de Dados (European Data Protection Board), que adotou uma postura mais rígida contra a Meta, entendendo que a base legal de execução de contrato não poderia ser utilizada para o tratamento de dados para a oferta de publicidade direcionada. Após a decisão, a Autoridade Irlandesa aderiu à posição do Conselho, confirmando a aplicação de multas mais severas à empresa, além de determinar que a Meta adotasse medidas para entrar em conformidade com o Regulamento no prazo de três meses.
- Efeitos práticos da decisão
A autoridade irlandesa de proteção de dados divulgou apenas um release para a imprensa e a íntegra da decisão será divulgada posteriormente, de forma que ainda não é possível entender com clareza todos os seus fundamentos e efeitos. Uma das possibilidades é de que a Meta terá de requerer o consentimento dos usuários para usar seus dados pessoais na oferta de anúncios personalizados. Essa opção pode impactar fortemente todo o modelo de negócios e da empresa na União Europeia, uma vez que os usuários poderão não conceder autorização para esse tratamento de dados ou, até mesmo, revogar o consentimento posteriormente, com potencial redução das receitas da rede social com este produto.
Mas esse efeito ainda não é certo, uma vez que, a princípio, a decisão da Autoridade não determina expressamente o uso do consentimento como base legal obrigatória. Como alternativa, a base do legítimo interesse poderia ser estudada pela empresa como uma das formas de processar esses dados e pode estar no radar do Facebook. Segundo comunicado divulgado pela própria empresa, “negócios similares utilizam uma seleção de bases legais para tratar dados e estamos avaliando uma variedade de opções que vão nos permitir utilizar serviços totalmente personalizados aos usuários”.
- A posição do Facebook
O Facebook divulgou um comunicado ontem informando que pretende apelar das duas decisões, tanto em relação ao mérito quanto em relação ao valor das multas aplicadas. A plataforma informou também que “discorda fortemente” da decisão final do DPC e que o uso da base legal de execução contratual para a oferta de anúncios personalizados está em total conformidade com o GDPR. A empresa procurou acalmar os anunciantes, informando que eles podem continuar utilizando as plataformas para “alcançar clientes em potencial, expandir seus negócios e criar novos mercados”.