Autoridade de Proteção de Dados da Bélgica reconhe que estrutura de coleta de consentimento de usuários para anúncios do IAB Europa descumpre com o GDPR

No dia 2 de fevereiro, a Autoridade de Proteção de Dados da Bélgica (APD) reconheceu que o Transparency and Consent Framework (TCF) desenvolvido pelo Interactive Advertising Bureau da Europa (IAB Europa) descumpre com as disposições do Regulamento Geral sobre a Proteção de Dados da União Européia (General Data Protection Regulation – GDPR). O TCF consiste em um conjunto de especificações técnicas e políticas que auxilia os anunciantes, provedores de tecnologia, fornecedores, agências, plataformas de gerenciamento de consentimento e outros atores da cadeia de publicidade digital, a cumprir com os requisitos do GDPR e outras regulamentações aplicáveis, de modo a informar aos usuários sobre o tratamento de seus dados pessoais e facilitar a gestão de suas preferências para a publicidade online.

Quando os usuários acessam um site ou aplicativo, uma barra de gestão de privacidade (pop-up, banners de cookies) aparece para que eles possam consentir com a coleta e compartilhamento de seus dados pessoais com as empresas de publicidade e marketing digital ou se opor a tais tratamentos de dados. O TCF, por meio de ferramentas de gerenciamento de consentimento, facilita o controle e monitoramento das preferências dos usuários.

Desde 2019, a APD recebeu diversas reclamações sobre a desconformidade do TCF, desenvolvido pelo IAB Europa, em relação ao GDPR. Com base nas reclamações e investigação conduzida, a APD identificou algumas violações ao GDPR, dentre as quais: (i) a ausência de uma base legal válida para o tratamento e divulgação das preferências dos usuários no âmbito do TCF; (ii) bases legais inadequadas para o tratamento de dados pessoais de usuários pelas organizações participantes do TCF; (iii) informações genéricas e insuficientes fornecidas aos usuários, impossibilitando que compreendessem as finalidades do tratamento de seus dados pessoais, dada à complexidade; e (iv) a ausência de um registro das atividades de tratamento de dados (ROPA), (v) a não nomeação de um Encarregado e a (vi) falta elaboração de um Relatório de Impacto à Proteção de Dados (RIPD) pelo IAB Europa.

A APD aplicou uma multa de € 250.000 ao IAB Europa, bem como determinou que apresente um plano de ação para implementar as medidas necessárias para conformidade de suas atividades com a legislação, no prazo de dois meses. O IAB Europa publicou uma nota, na qual discorda do entendimento de que o IAB Europa é controlador dos dados pessoais dos usuários no contexto do TCF e recorreu da decisão da APD. Contudo, o IAB Europa se compromete a colaborar com a APD para garantir que a utilização do TCF no mercado seja feita em observância à GDPR.

Outra iniciativa recente relativa ao uso de cookies, foi o anúncio do Google Privacy Sandbox, que visa remover o uso de cookies de terceiros no Chrome e interromper o rastreamento de usuários em dispositivos móveis Android. O uso de cookies, em especial os chamados os third-party cookies, seriam substituídos por um novo conjunto de ferramentas de direcionamento de publicidade e outras funcionalidades, resultando em maior proteção à privacidade dos usuários.

Em resposta à iniciativa, em janeiro de 2021, a Competition and Markets Authority (CMA), órgão regulador da concorrência no Reino Unido, abriu uma investigação antitruste contra a Google para averiguar condutas anticompetitivas da empresa em suas operações de publicidade online, em especial o Google Privacy Sandbox. A investigação pretendia examinar se a Google estaria restringindo o acesso de terceiros aos dados de usuários para fins de publicidade em sites e aplicativos, e, assim, favorecendo seus próprios serviços de anúncios em detrimento dos concorrentes. Neste contexto, a CMA e o Information Commissioner's Office (ICO), a autoridade de proteção de dados britânica, solicitaram informações à Google acerca das funcionalidades e possíveis impactos da plataforma. Tais solicitações resultaram em uma série de compromissos propostos pela Google. Houve, então, um trabalho conjunto nas fases de desenvolvimento e testes das funcionalidades do Google Privacy Sandbox, sendo possível, ainda, a participação de terceiros interessados por meio de consultas públicas. A finalidade da cooperação é garantir a proteção dos dados pessoais e, ao mesmo tempo, manter a concorrência nos mercados digitais. A Google já anunciou que irá replicar globalmente as mudanças feitas em decorrência da cooperação nos seus sistemas.

Certamente, as regras e ferramentas para a coleta e gerenciamento de cookies, bem como o tratamento de dados pessoais para fins de publicidade digital direcionada, estão passando por profunda transformação na Europa. O cenário no Brasil, no entanto, é diferente, uma vez que o tema ainda deve ser regulamentado pela ANPD por meio de um guia de orientação ou regulamentação específica.

• Para ler a decisão completa da APD, clique aqui.
• Para saber mais sobre o Google Privacy Sandbox, clique aqui e aqui. 

Este conteúdo faz parte do informativo mensal de Proteção de Dados e Cybersecurity. Clique aqui para ler as outras notícias.