O Conselho Europeu de Proteção de Dados (EDPB) publicou novas orientações que têm implicações importantes para gigantes da adtech como Meta e outras grandes plataformas.
Desde novembro de 2023, o proprietário do Facebook e do Instagram forçou os usuários na União Europeia a concordar em ser rastreados e traçados para seu negócio de direcionamento de anúncios, ou então a pagar uma assinatura mensal para acessar versões sem anúncios dos serviços. No entanto, um líder de mercado que imponha esse tipo de escolha binária “consentir ou pagar” não parece viável, de acordo com o EDPB, um organismo especializado composto por representantes das autoridades de proteção de dados de toda a UE.
A orientação, que foi confirmada na quarta-feira, conforme informamos anteriormente, orientará como os reguladores de privacidade interpretam o Regulamento Geral de Proteção de Dados (GDPR) do bloco em uma área crítica. O cheio opinião do CEPD sobre o chamado “consentimento ou pagamento” tem 42 páginas.
Outras grandes plataformas financiadas por publicidade também devem observar as orientações granulares. Mas a Meta parece ser a primeira da fila a sentir qualquer frio regulatório resultante sobre o seu modelo de negócios baseado em vigilância.
“O CEPD observa que é provável que ocorram consequências negativas quando grandes plataformas online utilizam um modelo de ‘consentimento ou pagamento’ para obter consentimento para o tratamento”, opina o Conselho, sublinhando o risco de “um desequilíbrio de poder” entre o indivíduo e o controlador de dados, como nos casos em que “um indivíduo depende do serviço e do público principal do serviço”.
Em um Comunicado de imprensa acompanhando a publicação do parecer, o presidente do Conselho, Anu Talu, também enfatizou a necessidade de as plataformas proporcionarem aos utilizadores uma “escolha real” sobre a sua privacidade.
“As plataformas online devem dar aos usuários uma escolha real ao empregar modelos de ‘consentimento ou pagamento’”, escreveu Talu. “Os modelos que temos hoje geralmente exigem que os indivíduos distribuam todos os seus dados ou paguem. Como resultado, a maioria dos utilizadores consente com o processamento para utilizar um serviço e não compreende todas as implicações das suas escolhas.”
“Os responsáveis pelo tratamento devem ter sempre o cuidado de evitar transformar o direito fundamental à protecção de dados numa funcionalidade que os indivíduos têm de pagar para usufruir. Os indivíduos devem ser plenamente conscientes do valor e das consequências das suas escolhas”, acrescentou.
Num resumo da sua opinião, o EDPB escreve no comunicado de imprensa que “na maioria dos casos” “não será possível” que “grandes plataformas online” que implementem modelos de consentimento ou de pagamento cumpram o requisito do RGPD de “consentimento válido” — se “confrontarem os utilizadores apenas com a escolha entre consentir no processamento de dados pessoais para fins de publicidade comportamental e pagar uma taxa” (ou seja, como a Meta faz atualmente).
O parecer define grandes plataformas, de forma não exaustiva, como entidades designadas como plataformas em linha de muito grande dimensão ao abrigo da Lei dos Serviços Digitais da UE ou como guardiões ao abrigo da Lei dos Mercados Digitais (DMA) – mais uma vez, como é o Meta (o Facebook e o Instagram são regulamentados por ambas as leis). .
“O CEPD considera que oferecer apenas uma alternativa paga a serviços que envolvam o tratamento de dados pessoais para fins de publicidade comportamental não deve ser o caminho a seguir por defeito para os responsáveis pelo tratamento”, prossegue o Conselho. “Ao desenvolver alternativas, as grandes plataformas online devem considerar fornecer aos indivíduos uma ‘alternativa equivalente’ que não implique o pagamento de uma taxa.
“Se os responsáveis pelo tratamento optarem por cobrar uma taxa pelo acesso à «alternativa equivalente», deverão considerar significativamente a possibilidade de oferecer uma alternativa adicional. Esta alternativa gratuita deve ser isenta de publicidade comportamental, por exemplo, com uma forma de publicidade que implique o tratamento de menos ou nenhum tratamento de dados pessoais. Este é um fator particularmente importante na avaliação do consentimento válido no âmbito do GDPR.”
O CEPD tem o cuidado de sublinhar que outros princípios fundamentais do RGPD — como a limitação da finalidade, a minimização dos dados e a equidade — continuam a aplicar-se em torno dos mecanismos de consentimento, acrescentando: “Além disso, as grandes plataformas em linha devem também considerar a conformidade com os princípios da necessidade e proporcionalidade, e são responsáveis por demonstrar que o seu processamento está geralmente em conformidade com o GDPR.”
Dados os detalhes da opinião do CEPD sobre este tema controverso e complicado — e a sugestão de que serão necessárias muitas análises caso a caso para fazer avaliações de conformidade — a Meta pode estar confiante de que nada mudará no curto prazo. É evidente que levará algum tempo para que os reguladores da UE analisem, incorporem e ajam de acordo com o conselho do Conselho.
Contactado para comentar, o porta-voz da Meta, Matthew Pollard, enviou por e-mail uma breve declaração minimizando a orientação: “No ano passado, o Tribunal de Justiça da União Europeia [CJEU] decidiu que o modelo de assinaturas é uma forma legalmente válida para as empresas buscarem o consentimento das pessoas para publicidade personalizada. O parecer do EDPB de hoje não altera esse julgamento e a assinatura para nenhum anúncio está em conformidade com as leis da UE.”
A Comissão de Proteção de Dados da Irlanda, que supervisiona a conformidade do Meta com o GDPR e tem revisto o seu modelo de consentimento desde o ano passado, recusou-se a comentar se tomará alguma medida à luz da orientação do EDPB, uma vez que disse que o caso está em curso.
Desde que a Meta lançou a oferta de “assinatura sem anúncios” no ano passado, ela continuou a afirmar que cumpre todos os regulamentos relevantes da UE – aproveitando uma linha da decisão de julho de 2023 do tribunal superior da UE, na qual os juízes não descartaram explicitamente a possibilidade de cobrar por uma alternativa sem rastreamento, mas em vez disso estipulou que qualquer pagamento desse tipo deve ser “necessário” e “apropriado”.
Comentando este aspecto da decisão do TJUE no seu parecer, o Conselho observa — em total contraste com as repetidas afirmações do Meta de que o TJUE sancionou essencialmente o seu modelo de subscrição antecipadamente — que isto “não era central para a determinação do Tribunal”.
Ao mesmo tempo, a opinião do Conselho não nega totalmente às grandes plataformas a possibilidade de cobrar por uma alternativa sem rastreamento – então a Meta e sua turma financiada por anúncios de rastreamento podem se sentir confiantes de que serão capazes de encontrar algum socorro em 42 páginas de discussão granular sobre as demandas cruzadas da lei de proteção de dados. (Ou, pelo menos, que esta intervenção manterá os reguladores ocupados tentando compreender as complexidades de caso a caso.)
No entanto, a orientação incentiva – notavelmente – as plataformas a oferecerem alternativas gratuitas ao rastreamento de anúncios, incluindo ofertas apoiadas por anúncios que protegem a privacidade (r).
O CEPD dá exemplos de “publicidade contextual”, “publicidade geral” ou “publicidade baseada em temas que o titular dos dados selecionou de uma lista de temas de interesse”. (E também vale a pena notar que a Comissão Europeia também sugeriu que a Meta poderia estar usando anúncios contextuais em vez de forçar os usuários a consentir no rastreamento de anúncios como parte de sua supervisão da conformidade do gigante da tecnologia com o DMA.)
“Embora não haja obrigação de as grandes plataformas em linha oferecerem sempre serviços gratuitos, disponibilizar esta alternativa adicional aos titulares dos dados aumenta a sua liberdade de escolha”, prossegue o Conselho, acrescentando: “Isto torna mais fácil para os responsáveis pelo tratamento demonstrar que o consentimento é dado livremente.”
Embora haja muito mais nuances discursivas no que o Conselho publicou hoje do que clareza instantânea sobre um tópico crucial, a intervenção é importante e parece destinada a tornar mais difícil para os gigantes da adtech convencionais como a Meta enquadrar e operar sob falsa privacidade binária- escolhas hostis a longo prazo.
Munidos desta orientação, os reguladores de proteção de dados da UE deve estarei perguntando por que tais plataformas não oferecem alternativas muito menos hostis à privacidade – e fazendo essa pergunta, se não literalmente hoje, então muito, muito em breve.
Para uma gigante da tecnologia tão dominante e com bons recursos como a Meta, é difícil ver como ela pode evitar responder a essa pergunta por muito tempo. Embora certamente siga seu manual usual do GDPR de resolver as coisas o máximo que puder e apelar de todas as decisões finais que puder.
Direitos de privacidade sem fins lucrativos noite, que tem estado na vanguarda da luta contra o aumento do consentimento ou das táticas de pagamento na região nos últimos anos, argumenta que a opinião do EDPB deixa claro que Meta não pode mais confiar no truque “pagar ou aceitar”. No entanto, seu fundador e presidente, Max Schrems, disse ao TechCrunch que está preocupado com o fato de o Conselho não ter ido longe o suficiente para distorcer esse mecanismo divisivo de consentimento forçado.
“O CEPD recorda todos os elementos relevantes, mas não afirma inequivocamente a consequência óbvia, que é que ‘pagar ou aceitar’ não é legal”, disse-nos. “Ele nomeia todos os elementos por que é ilegal para o Meta, mas há milhares de outras páginas onde ainda não há resposta.”
Como se já não bastassem 42 páginas de orientação sobre este tópico complicado, o Conselho também tem mais em andamento: Talus diz que pretende desenvolver diretrizes sobre consentimento ou modelos de pagamento “com um escopo mais amplo”, acrescentando que irá “envolver-se com as partes interessadas nessas próximas diretrizes”.
Os editores de notícias europeus foram os primeiros a adoptar a controversa táctica de consentimento, pelo que a futura opinião “mais ampla” do EDPB será provavelmente observada com atenção pelos intervenientes na indústria dos meios de comunicação social.
