Digital Services Package: Novas Regras da Comissão Europeia para Plataformas Digitais - Parte II: Digital Markets Act - DMA
Este é o segundo informativo da nossa série de três informativos especiais sobre novas leis e regulamentos que abordam mercados e serviços digitais e, de forma direta ou indireta, o tratamento de dados pessoais. Não pretendemos ser exaustivos no conteúdo publicado, tampouco debater pontos controversos. Nosso objetivo é informar e trazer clareza sobre novos arcabouços legais que estão se desenvolvendo no exterior e que podem impactar empresas no Brasil. Para tanto, selecionamos as disposições que entendemos importantes a fim de esclarecer conceitos e abordar normativos complexos de forma didática. Alguns dos termos e definições foram, inevitavelmente, adaptados para que se assemelhassem a conceitos presentes em nosso ordenamento jurídico.
Na semana passada, iniciamos a série com o Digital Services Act (Lei dos Serviços Digitais), o qual pode ser acessado aqui. Nesta semana, abordaremos o Digital Markets Act (Lei dos Mercados Digitais), que também é parte do Digital Services Package da União Europeia (UE), que visa regulamentar os serviços e o ambiente digital. Ambos haviam sido propostos pela Comissão Europeia ainda em 2020 e foram aprovados pelo Parlamento Europeu em 5 de julho de 2022. No que tange ao Digital Markets Act abordaremos seus principais pontos, considerando o impacto significativo tanto para as big tech quanto para os usuários.
Digital Markets Act - DMA
O DMA concluiu seu ciclo de aprovação no âmbito europeu, sendo ratificado pelo Conselho da União Europeia no dia 18 de julho de 2022. Sua espinha dorsal diz respeito à competitividade dos mercados digitais, afetando principalmente as empresas que concentram grandes fatias do setor. Em suma, o DMA promete regular empresas de tecnologia, fomentando a competição para que novos players adentrem com mais facilidade no mercado digital.
a. Escopo de aplicação do DMA: gatekeepers
Em seus termos, o DMA atua sobre os chamados gatekeepers de core platform services. Na prática, a expressão designa as empresas que controlam serviços centrais para a viabilização de operações no mercado digital. Tais serviços são, por exemplo, sistemas operacionais de celulares, plataformas de busca online, navegadores de internet, redes sociais ou plataformas de e-commerce e marketplace. É justamente por meio dessas plataformas que empresas de negócios digitais operam a fim de atingir seus consumidores finais.
Para ser qualificada como gatekeeper, uma empresa deve satisfazer três elementos: (i) apresentar impacto significativo no mercado europeu; (ii) fornecer um core platform service que configure importante intermediário entre usuários finais e empresas; e (iii) gozar de posição consolidada e duradoura nas suas operações, ou ao menos de previsibilidade sobre sua consolidação em futuro próximo.
Segundo o DMA, esses três elementos são presumidos quando uma empresa satisfaz determinados critérios. Primeiro, a empresa presta seu core platform service em pelo menos três Estados Membros da UE. Segundo, a empresa acumula volumes de negócio iguais ou superiores a €7,5 bilhões em cada um dos três últimos exercícios fiscais; ou detém uma capitalização média, ou o seu equivalente valor de mercado, de ao menos €75 bilhões no último exercício fiscal. Terceiro, a empresa reúne, no último exercício fiscal, 45 milhões de usuários finais ativos mensalmente na UE e, ao menos, 10 mil empresas anualmente ativas na UE, que se utilizam dos seus core platform services.
Empresas que atinjam esses critérios de presunção deverão comunicar seu status à Comissão Europeia em dois meses, contados a partir de maio de 2023. Não obstante, a Comissão Europeia pode designar gatekeepers que não cumpram com os critérios de presunção, mas que detenham os elementos necessários para a sua qualificação.
b. Obrigações relativas a dados pessoais e conexão com o GDPR
Partindo dessa caracterização, o novo regulamento atua como uma regulação prévia (ex ante), tendo em vista o poder de mercado dos gatekeepers.
Assim como o Digital Services Act, conforme descrito em nosso informativo anterior, o DMA também se relaciona com o General Data Protection Regulation (GDPR). O DMA proíbe que gatekeepers combinem dados pessoais de usuários finais, que utilizam sites e aplicativos de software de terceiros, coletados por meio de seu core platform service, com dados de outros serviços, mesmo que ambos sejam do próprio gatekeeper. A exceção à vedação é justamente a obtenção do consentimento do titular nos moldes do GDPR, o qual pode ser coletado apenas uma vez ao ano.
Na exposição de motivos do DMA, a relação entre essa proibição e o GDPR é esclarecida: gatekeepers não poderão utilizar as bases legais legítimo interesse ou execução de contrato para combinarem ou de fazerem cross-using dos dados pessoais coletados em seus diferentes serviços, em especial naqueles que não são fornecidos em conjunto com ou em apoio ao core plataform service relevante. A inscrição automática de usuários finais em diferentes serviços do gatekeeper com o intuito de combinar dados pessoais é também vedada. No entanto, é permitida a utilização das outras bases legais estabelecidas no GDPR, quando aplicáveis, como alternativa ao consentimento: (i) proteção à vida do titular ou terceiros; (ii)
exercício de funções de interesse público ou de autoridade pública da qual
o gatekeeper esteja investido; ou (iii) o cumprimento de obrigação legal. A inscrição
automática de usuários finais em diferentes serviços do gatekeeper
com o intuito de combinar dados pessoais é também vedada.
Mantendo essa mesma relação com o GDPR, dados pessoais coletados por gatekeepers através de empresas que operam sem seu core platform service não poderão ser utilizados para fins de propaganda, salvo se houver consentimento ou nas hipóteses em que forem aplicáveis outras bases legais do GDPR, excluídos o legítimo interesse e a execução de contrato.
Além disso, o DMA proíbe que gatekeepers retenham dados em detrimento das empresas que operam em suas plataformas. Essas empresas fornecem e geram uma vasta quantidade de dados nos core platform services dos gatekeepers. Como são relevantes para a condução dos negócios, os gatekeepers devem fornecer o acesso e o uso efetivos desses dados às empresas que operam na sua plataforma. Especificamente sobre dados pessoais, o gatekeeper deve fornecê-los apenas quando estiverem diretamente relacionados à interação dos usuários finais com produtos ou serviços da empresa que opera no seu core platform service. Quando exigido pelo GDPR, esse compartilhamento depende do consentimento do titular.
Por fim, o DMA proíbe que gatekeepers utilizem dados, desde que não sejam públicos, gerados ou fornecidos por empresas que operam em seus core platform services, a fim de auferir vantagem competitiva contra essas mesmas empresas. Isto inclui dados que sejam gerados por usuários finais enquanto interagem com tais empresas por meio da plataforma do gatekeeper.
c. Sideloading e canais alternativos de pagamento às lojas de aplicativo
Outro aspecto do DMA refere-se aos pagamentos efetuados por meio de plataformas de aquisição de aplicativos. O regulamento reflete questões como aquelas debatidas no caso Epic Games vs. Apple, nos Estados Unidos. A desenvolvedora de jogos processou a Apple por supostos abusos ao exigir que transações via aplicativos, no sistema IOS, fossem feitas pela própria plataforma da Apple Store com uma taxa média de 30%. A Epic Games também contestava a Apple por não permitir a promoção de pagamentos alternativos, fora do aplicativo, com um link que direcionasse usuários ao site da própria desenvolvedora de jogos.
O DMA, portanto, obriga os gatekeepers a permitirem, através dos próprios aplicativos, a promoção e a realização de transações via canais alternativos de pagamento. O DMA também impõe que gatekeepers permitam a instalação de aplicativos de celular através de outras plataformas que não sejam a própria do gatekeeper, prática conhecida como sideloading.
d. Entrada em vigor e aplicação do DMA
As diversas medidas adotadas pela UE demonstram sua postura ativa em fomentar a competição por meio de alternativas aos consumidores no ambiente digital. O incentivo para que novos players adentrem no mercado digital resultará numa maior concorrência e, consequentemente, inovação e eficiência.
O DMA será aplicado pela própria Comissão Europeia a partir de 1º de novembro deste ano, e o processo de designação dos gatekeepers ocorrerá seis meses depois, em maio de 2023. Empresas designadas como gatekeepers terão mais seis meses para se adaptarem, podendo incorrer em sanções após esse período.
O DMA impõe penalidades diversas a depender da infração cometida. Algumas das penalidades pelo seu descumprimento, de forma intencional ou negligente, não podem exceder, por exemplo, o valor máximo de 10% do volume global de negócios do último exercício fiscal do gatekeeper. No caso de reincidência específica da infração, a Comissão Europeia pode aplicar uma sanção de até 20% do volume global de negócios do último exercício fiscal. Na mesma linha, caso haja descumprimento sistemático do DMA, a Comissão Europeia poderá adotar medidas mais rígidas contra o gatekeeper, tais como proibir aquisições relacionadas a serviços digitais.
