European Data Protection Board publica relatório de força tarefa sobre banners de cookies
No dia 18 de janeiro, o EDPB publicou o relatório da Cookie Banner Taskforce (Força Tarefa sobre Banner de Cookies, ou "Força Tarefa"). Embora não seja vinculante, o EDPB destaca que o relatório reflete o denominador comum acordado pelas autoridades de proteção de dados sobre a inserção, a leitura e o subsequente tratamento de dados pessoais coletados por meio de cookies.
Em agosto de 2021, a organização sem fins lucrativos None of Your Business ("NOYB") apresentou mais de 400 denúncias sobre banners de cookies em potencial violação do GDPR. No total, as denúncias incluem banners de cookies em até 10 mil websites em 10 diferentes Estados membros da UE. Em resposta, o EDPB anunciou a criação da Força Tarefa a fim de garantir a cooperação entre as diversas autoridades de proteção de dados envolvidas.
Preliminarmente, a Força Tarefa descreveu quais são as regras aplicáveis ao uso de cookies para a coleta e o tratamento de dados pessoais. A princípio, a inserção ou ganho de acesso a dados armazenados no terminal dos usuários, como dispositivos celulares, é regulada pela Diretiva ePrivacy. O tratamento de dados pessoais que ocorre posteriormente é, então, regulado pelo GDPR, regulamento análogo à LGPD do Brasil.
No relatório, a Força Tarefa concluiu alguns pontos relativos à conformidade dos banners de cookies com a proteção de dados pessoais, tais como:
Em geral, banners de cookies possuem um segundo nível no qual são listados os diversos tipos de cookies empregados pelo website. Nesse cenário, a Força Tarefa concluiu que a pré-seleção de cookies não necessários, sem que o usuário tome uma ação positiva para aceitá-los, não constitui um consentimento válido ao tratamento de dados pessoais;
Em alguns casos, banners dispõem a opção de rejeitar os cookies em forma de link, enquanto existe um botão para aceitá-los. Nesse cenário, a Força Tarefa concluiu que o banner não teria suporte visual suficiente para atrair a atenção de um usuário comum, resultando num consentimento inválido;
Designs de botões que induzam os usuários ao erro também podem resultar no consentimento inválido. Esse seria o caso, por exemplo, de um banner cuja opção de "rejeitar todos" tenha um contraste mínimo entre o texto e a cor de fundo, inviabilizando sua leitura; e
Operadores de websites devem implantar soluções acessíveis para que usuários revoguem o consentimento a qualquer momento, por exemplo, por meio de um ícone permanentemente visível.
As recomendações da Força Tarefa versam, em grande parte, sobre pontos também levantados no Brasil pela ANPD, conforme o Guia Orientativo sobre cookies e proteção de dados pessoais. Para mais informações, acesse o informativo do BMA que abordou o tema.
>>> Este artigo foi escrito por nossos profissionais da área de Proteção de Dados e Cybersecurity: Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda. Clique aqui para ler mais.
