Meta está proibida de usar dados pessoais para fins publicitários

Meta sofreu uma grande derrota que poderia minar severamente o seu negócio de publicidade no Facebook e Instagram, depois de os reguladores da União Europeia terem determinado que tinha forçado ilegalmente os utilizadores a aceitar anúncios personalizados. A decisão, que inclui uma multa de 390 milhões de euros (414 milhões de dólares), poderá obrigar a Meta a fazer alterações dispendiosas no seu negócio baseado em publicidade na União Europeia, um dos seus maiores mercados.

Tal como confirmado pelo CPD irlandês, o European Data Protection Board (JEPD) rejeitou que o CPD irlandês e o Meta contornam o RGPD com base nas queixas da Noyb contra o Facebook e o Instagram. Meta está agora proibida de contornar o RGPD através de uma cláusula nos termos e condições. A Meta deve obter o consentimento de opt-in para publicidade personalizada e deve fornecer aos utilizadores uma opção "sim/não".

"Acreditamos firmemente que a nossa abordagem respeita o RGPD, pelo que estamos desapontados com estas decisões", afirmou o Facebook em comunicado.

Meta quis "contornar" o RGPD: O RGPD permite seis bases legais para o tratamento de dados, uma das quais é o consentimento nos termos da alínea a, alínea a do artigo 6.º. A Meta tentou contornar o requisito de consentimento para o rastreio e publicidade online, argumentando que os anúncios fazem parte do "serviço" que deve contratualmente aos utilizadores. A alegada alteração da base jurídica ocorreu exatamente no dia 25 de maio de 2018, à meia-noite, quando o RGPD entrou em vigor. A chamada "necessidade contratual" nos termos da alínea b do artigo 6.o é geralmente entendida como restritiva e, por exemplo, permitiria que uma loja em linha transmitisse o endereço a um serviço postal, uma vez que é estritamente necessário entregar uma encomenda. Meta, no entanto, era de opinião que poderia limitar-se a adicionar elementos aleatórios ao contrato (como publicidade personalizada), para evitar uma opção de sim/não consentimento para os utilizadores.

"Em vez de terem uma opção de 'sim/não' para anúncios personalizados, simplesmente mudaram a cláusula de consentimento para os termos e condições. Isto não só é injusto, como é evidente que é ilegal. Não conhecemos nenhuma outra empresa que tenha tentado ignorar o RGPD de uma forma tão arrogante." Max Schrems, ativista austríaco de proteção de dados no Noyb

Enquanto a DPC pedia entre 28 e 36 milhões de euros de multa. Além da cessação geral dos anúncios personalizados, a EDPB tem insistido numa multa massiva para a Meta. Afinal, a empresa baseou a maior parte do tratamento de dados comerciais numa violação intencional da lei. A EDPB já emitiu orientações sobre o assunto em 2019. A Meta já foi atingida com mais de 900 milhões de euros em multas do RGPD noutros casos. A multa vai para o Estado irlandês, não para o queixoso, o Noyb ou o EDPB. O Departamento de Proteção de Dados já tinha pedido entre 28 e 36 milhões de euros num projeto de decisão (ver página 87), apenas 10% do acórdão final da EDPB.

Max Schrems: "A sanção irá para a Irlanda, o Estado que tem estado do lado de Meta e atrasou a execução por mais de quatro anos. Este caso será provavelmente interposto recurso pela Meta, o que significará mais custos para o Noyb."

A DPC e a Meta cooperaram e conseguiram que a EDPB as cancelasse. No decurso do processo, a Meta baseou-se em dez reuniões confidenciais com o DPC irlandês, nas quais este último permitiu à Meta utilizar este bypass. Mais tarde, foi revelado que o CPD tentou mesmo influenciar as diretrizes relevantes da EDPB no interesse da Meta. No entanto, as outras APD europeias rejeitaram internamente o parecer do DPC em 2018, nas Orientações de 2019 e novamente na decisão final da EDPB em dezembro de 2022.

Helen Dixon, chefe da Comissão de Proteção de Dados da Irlanda, disse que os reguladores devem ser "intermediários honestos" e não ceder às exigências dos ativistas da privacidade que insistem em decisões que não resistem a desafios legais. "Não vamos obter resultados apenas tentando reescrever o RGPD como gostaríamos que fosse escrito", disse Dixon numa entrevista.

O caso arrastou-se por quatro anos e meio, com centenas de páginas de relatórios e resumos, apesar de se ter sido uma questão jurídica bastante simples.

Max Schrems: "Este caso é sobre uma simples questão legal. Meta alega que o bypass foi feito com a bênção do CPD. Durante anos, o CPD prolongou o procedimento e insistiu que Meta poderia contornar o RGPD, mas foi agora desmentido pelas outras autoridades da UE. Em termos globais, é a quarta vez consecutiva que o CPD irlandês é desautorizado."

O CPD vê a questão da "transparência" ganha? No comunicado de imprensa do CPD, a questão central de saber se meta pode aceder aos dados dos utilizadores para fins publicitários está enterrada num pequeno debate sobre transparência, no qual se verificou uma violação.

Meta tem três meses para explicar como vai cumprir a sentença. A decisão não especifica o que a empresa deve fazer, mas pode resultar na Meta, permitindo que os utilizadores escolham se querem que os seus dados sejam utilizados para essas promoções personalizadas.

"Tem havido falta de clareza regulamentar sobre esta matéria, e o debate entre reguladores e decisores políticos em torno do qual a base jurídica mais adequada numa determinada situação já se está a passar há algum tempo", disse Meta no seu comunicado.

Consequência: sem anúncios personalizados, menos lucro. A decisão significa que a Meta deve permitir que os utilizadores tenham uma versão de todas as suas aplicações que não utilizem dados pessoais para anúncios no prazo de três meses. A decisão ainda permitiria que a Meta usasse dados não pessoais (como conteúdos de história) para personalizar anúncios ou pedir aos utilizadores o consentimento para anúncios usando uma opção "sim/não". Os utilizadores devem poder retirar o seu consentimento a qualquer momento e a Meta não pode limitar o serviço se os utilizadores optarem por fazê-lo. Embora isto limite drasticamente os lucros da Meta na UE, não irá proibir totalmente os anúncios. Em vez disso, a decisão colocará Meta no mesmo nível que outros sites ou aplicações, que devem oferecer uma opção de "sim/não" aos utilizadores.

Max Schrems: "É um golpe para os lucros da Meta na UE. Agora tem de perguntar aos utilizadores se querem que os seus dados sejam utilizados para anúncios ou não. Devem ter uma opção de "sim ou não" e podem mudar de ideias a qualquer momento." A decisão também garante condições equitativas com outros anunciantes que também precisam de obter o consentimento expresso."

A decisão coloca 5% a 7% do total de receitas de anúncios da Meta em risco, de acordo com Dan Ives, analista da Wedbush Securities. "Isto pode ser um golpe duro", disse.

O CPD censura a decisão do queixoso e do público, garantindo que Meta e o CPD controlam a narrativa mediática. Numa atitude surpreendente, o CPD informou hoje que, apesar de ser uma das duas partes no processo, não dará a conhecer a decisão ao noyb. De repente, o DPC citou a alegada "confidencialidade" da decisão como motivo. A decisão será comunicada posteriormente ao autor da denúncia, possivelmente mesmo após o termo do prazo para a instaurar uma ação. Isto é contrário à informação prévia do DPC de que as partes receberiam a decisão antes de qualquer publicação pelo DPC.

Max Schrems: "Que a EDPB anule a decisão é um golpe para o DPC, que agora parece estar a tentar influenciar a perceção pública deste caso. Em dez anos de litígios, nunca vi uma decisão notificada apenas a uma parte, mas não à outra. O CPD joga um jogo de relações públicas muito diabólico. Ao não permitir que o noyb ou o público leia a decisão, ele tenta moldar a narrativa da decisão em conjunto com Meta. Parece que a cooperação entre Meta e o regulador irlandês ainda está viva, apesar de ter sido desapoiada pelo DPC."

Próximos passos: DPC processa EDPB, Meta provavelmente vai recorrer. Espera-se que a Meta recorra da decisão para os tribunais irlandeses, mas as hipóteses de ganhar este recurso são mínimas na sequência de uma decisão vinculativa da EDPB. Há também dois processos semelhantes no Tribunal de Justiça da UE (TJUE) sobre o desvio de consentimento da Meta, que poderia resolver definitivamente a questão e todos os recursos. Paralelamente, o DPC anunciou também que poderia processar a EDPB por uma questão relacionada, uma vez que a EDPB exigiu que o DPC tomasse novas medidas de investigação sobre a Meta, para além das queixas decididas pela Noyb. O DPC considera que a EDPB não tem estas competências e procurará anular esta decisão. Os utilizadores também podem tomar medidas para o uso ilegal dos seus dados nos últimos 4 anos e meio.