Hoje o Comitê Europeu para a Proteção de Dados (“EDPB”, da sigla em inglês) publicou as suas tão aguardadas decisões do Facebook e Instagram.
Para saber o contexto destas decisões veja a publicação A Meta continuará a fazer anúncios.
Abaixo trago a tradução do press release do EDPB sobre as decisões. Nos próximos dias vou ler os documentos (que no total têm 237 páginas) e vou trazer meus comentários aqui – e as implicações para a publicidade comportamental na Europa.
Vamos lá!
Decisões no Facebook e Instagram: “Impacto importante no uso de dados pessoais para publicidade comportamental”
Bruxelas, 12 de janeiro – Seguindo as decisões vinculativas de resolução de disputas da EDPB de 5 de dezembro de 2022, a Autoridade Irlandesa de Proteção de Dados (IE DPA) adotou suas decisões relativas ao Facebook e à Instagram (Meta Platforms Ireland Limited, ‘Meta IE’). Essas decisões são o resultado de investigações baseadas em reclamações sobre as atividades do Facebook e da Instagram, em particular no que diz respeito à legalidade e transparência do tratamento da publicidade comportamental. O Meta IE foi multado em 210 milhões de euros na decisão do Facebook e em 180 milhões de euros na decisão da Instagram pela IE DPA.
As decisões finais da IE DPA de 31 de dezembro de 2022 incorporam a avaliação jurídica expressa pela EDPB em suas decisões vinculativas de 5 de dezembro de 2022. Estas decisões vinculativas foram adotadas com base no Art. 65(1)(a) RGPD, após a IE DPA como autoridade supervisora líder (LSA) ter desencadeado dois procedimentos de resolução de disputas referentes às objeções levantadas pelas autoridades supervisoras interessadas (CSAs) de dez países em cada caso. Entre outros, as CSAs emitiram objeções relativas à base legal para o tratamento (Art. 6 RGPD), aos princípios de proteção de dados (Art. 5 RGPD), e ao uso de medidas corretivas, incluindo multas.
Andrea Jelinek, presidente da EDPB, disse: “As decisões vinculativas da EDPB esclarecem que a Meta tratou dados pessoais para publicidade comportamental de forma ilegal. Tal publicidade não é necessária para a execução de um suposto contrato com usuários do Facebook e da Instagram. Essas decisões também podem ter um impacto importante em outras plataformas que têm anúncios comportamentais no centro de seu modelo de negócios.”
A EDPB decidiu que o Meta IE se baseou inadequadamente no contrato como base legal para tratar dados pessoais no contexto dos Termos de Serviço do Facebook e dos Termos de Uso da Instagram para fins de publicidade comportamental, uma vez que este não era um elemento central dos serviços. A EDPB descobriu em ambos os casos que a Meta IE não tinha uma base legal para este tratamento e, portanto, tratou estes dados de forma ilegal. Como consequência, a EDPB instruiu a IE DPA a alterar a conclusão em seus projetos de decisão e a incluir uma infração ao Art. 6(1) RGPD.
A EDPB instruiu a IE DPA a incluir, em suas decisões finais, uma ordem para que a Meta IE faça seu tratamento de dados pessoais para publicidade comportamental no contexto dos serviços do Facebook e da Instagram em conformidade com o Art. 6(1) RGPD. no prazo de três meses.
Em seguida, a EDPB examinou se as reclamações haviam sido tratadas com a devida diligência. O reclamante havia apontado o fato de que os dados sensíveis são tratados pelo Meta IE. Entretanto, a IE DPA não avaliou o tratamento de dados sensíveis e, portanto, a EDPB não tinha provas factuais suficientes que lhe permitissem fazer conclusões sobre qualquer possível violação das obrigações do controlador nos termos do art. 9º do RGPD. Como resultado, a EDPB discordou da conclusão proposta pela IE DPA de que a Meta IE não é legalmente obrigada a se basear no consentimento para realizar as atividades de tratamento envolvidas na entrega de seus serviços no Facebook e Instagram, uma vez que isto não poderia ser categoricamente concluído sem mais investigações. Portanto, a EDPB decidiu que a IE DPA deve realizar uma nova investigação.
Além disso, a EDPB instruiu a IE DPA a incluir em ambas as decisões finais uma constatação de violação do princípio de justiça e a adotar as medidas corretivas apropriadas. A EDPB observou que as graves violações das obrigações de transparência impactaram as expectativas razoáveis dos usuários, que o Meta IE tinha apresentado seus serviços aos usuários de forma enganosa e que a relação entre o Meta IE e os usuários era desequilibrada.
Com relação às multas administrativas, a EDPB instruiu a IE DPA a impor uma multa administrativa pelas infrações adicionais do Artigo 6(1) RGPD (falta de base legal para o tratamento de dados pessoais) e a emitir multas significativamente mais elevadas pelas infrações de transparência identificadas, pois constatou que as multas propostas não cumpriam o requisito de serem eficazes, proporcionais e dissuasivas. Isto levou a IE DPA a aumentar significativamente as multas em suas decisões finais (de um máximo de 36 e 23 milhões de euros para os projetos de decisão do Facebook e da Instagram, para 210 e 180 milhões de euros nas decisões finais, respectivamente).
As decisões finais tomadas pela IE DPA estão disponíveis no Registro para Decisões tomadas pelas autoridades de supervisão e tribunais sobre questões tratadas no mecanismo de consistência.
A EDPB também adotou outra decisão vinculativa, em 5 de dezembro de 2022, sobre a disputa surgida em um inquérito relativo à WhatsApp Ireland Limited. A decisão final da IE DPA ainda tem de ser adotada.
O que você achou das decisões do Facebook e Instagram? Ah, e vale dizer – o EDPB ainda vai publicar uma terceira decisão em relação à Meta, desta vez sobre o WhatsApp. Fique de olho!
Vamos que vamos e #colanopapai!
