Diferentemente do que foi publicado por alguns perfis de proteção de dados, a Meta continuará a fazer anúncios com base em dados pessoais. O que irá mudar será a base legal para tais anúncios.
Não entendeu o parágrafo acima? Vem comigo que te explico.
Ontem, dia 4 de janeiro, a Autoridade de Proteção de Dados da Irlanda (“DPC”, na sigla em inglês) fez um comunicado a respeito de sua investigação em dois serviços da Meta, o Facebook e o Instagram.
A DPC multou a Meta em um total de 390 milhões de euros (210 milhões de euros para o Facebook e 180 milhões de euros para o Instagram) e exigiu que a empresa coloque suas operações de tratamento de dados em conformidade com as exigências legais em um período de 3 meses.
A investigação começou por causa de duas reclamações apresentadas em 25 de maio de 2018, dia em que o Regulamento Geral sobre a Proteção de Dados (RGPD) entrou em vigor. As reclamações diziam que a Meta não estava seguindo o RGPD quando utilizava os dados das pessoas para a promoção de serviços personalizados e realização de publicidade comportamental.
Antes de o RGPD entrar em vigor, a Meta mudou as regras para usar seus serviços do Facebook e Instagram e disse que usaria uma base legal diferente para tratar os dados pessoais. Antes, a empresa utilizava o consentimento dos titulares para este tratamento de dados, mas agora queria usar a base legal “execução de contrato” para a maioria de suas operações. Se as pessoas quisessem continuar usando os serviços do Facebook e da Instagram após o início do RGPD, elas teriam que concordar com as novas regras. A Meta argumentou que isto significava que um contrato era feito entre a empresa e o titular, e que o tratamento dos dados era necessário para a execução deste contrato, incluindo a prestação de serviços personalizados e publicidade comportamental.
No entanto, as pessoas que apresentaram as reclamações junto à DPC argumentaram que a Meta, na prática, ainda estava usando o consentimento das pessoas como base legal para o tratamento de seus dados. O argumento foi o de que, ao fazer as pessoas concordarem com as novas regras para usar os serviços, a Meta estava “forçando” os a permitir o tratamento de seus dados para serviços personalizados e publicidade comportamental.
Inicialmente a DPC concordou com os argumentos da Meta, mas um exame mais aprofundado por parte de outras Autoridades de Proteção de Dados da União Europeia gerou um impasse no entendimento do que deveria acontecer neste caso. Seguindo o RGPD, a DPC encaminhou os pontos em disputa para o Comitê Europeu para a Proteção de Dados (“EDPB”, na sigla em inglês).
O EDPB concluiu que a Meta não poderia se basear na base legal “execução de contrato” como base legal para o tratamento de dados pessoais para fins de serviços personalizados e publicidade comportamental. Este argumento se sustenta em um pilar essencial da proteção de dados, que é o princípio da necessidade.
Ou seja, a Meta não poderia utilizar a base legal “execução de contrato” para serviços personalizados e publicidade comportamental porque estas finalidades não são necessárias para a concretização do contrato entre a Meta e o usuário, que é o fornecimento do acesso às plataformas em questão (Facebook e Instagram).
Por outras palavras, para acessar o Facebook e o Instagram não é necessário receber serviços personalizados e publicidade comportamental.
O DPC disse também que a Meta não cumpriu com a necessária transparência para com os titulares, não explicando como ela trata os dados das pessoas e qual base legal utilizaria para seus tratamentos. Como resultado, isto causou confusão sobre quais dados estavam sendo tratados, por que, e sob qual base legal. Além disso, esta falta de transparência resultou na ausência de lealdade (“fairness”, em inglês) para com os titulares, tendo a Meta, desta forma, infringido outro princípio basilar do RGPD.
A decisão do DPC, portanto, não impede a Meta de continuar a oferecer serviços personalizados e publicidade comportamental. A Meta continuará a fazer anúncios com base nos dados pessoais dos titulares, ou seja, de seus usuários. O que precisará ser alterado é a base legal para tais atividades de tratamento. A Meta continuará a fazer anúncios a não ser que não encontre uma base legal válida – que, provavelmente, será o consentimento dos usuários.
É importante destacar, por fim, que o EDPB ainda não publicou a sua decisão, e portanto não é possível dizer, no momento de redação deste texto, se a Meta foi ou não obrigada a usar o consentimento como base legal. O uso do consentimento é dedução lógica até o momento. Aguardemos para ver o que acontece.
Mas uma coisa é certa: a Meta continuará a fazer anúncios. Não se engane!
A Meta pode recorrer das decisões e multas da DPC.
Vamos que vamos e #colanopapai!
P.S.: caso você queira ler o comunicado completo da DPC é só clicar aqui (em inglês).
P.S. 2: já falamos aqui no site sobre o Facebook – mais especificamente sobre a responsabilidade de administradores de grupos no Facebook em relação às leis de proteção de dados. Vale a leitura!
