Meta é multada em 390 milhões de Euros por violações à proteção de dados pessoais

​No dia 4 de janeiro de 2023, a Comissão de Proteção de Dados da Irlanda (Data Protection Commission, ou "DPC") anunciou duas multas contra a Meta Platforms Ireland Limited ("Meta IE"), no valor total de EUR 390 milhões. A decisão final da DPC segue a decisão vinculante do European Data Protection Board ("EDPB") adotada no dia 5 de dezembro de 2022.

1. Termos de Uso e direcionamento de propaganda

Em abril de 2018, o antigo Facebook Ireland Limited – atual Meta IE – havia atualizado os Termos de Uso das redes sociais Facebook e Instagram, justificando uma série de tratamentos de dados dos usuários com base na execução de contrato, o que inclui o direcionamento de propaganda a partir de dados comportamentais.

Desse modo, a Meta IE buscava adequar o tratamento de dados pessoais ao General Data Protection Regulation ("GDPR"), pelo qual todo tratamento deve pautar-se em alguma das bases legais previstas no seu artigo 6º. Segundo a Meta IE, os Termos de Uso constituem um contrato para a prestação dos serviços do Facebook e do Instagram, o que incluiria o direcionamento de propaganda. Logo, o tratamento de dados pessoais dos usuários seria necessário para a execução dos Termos de Uso, com base no artigo 6(1)(b) do GDPR.

Em sua decisão preliminar, a DPC havia concluído que a base legal de execução de contrato seria aplicável, pois a prestação de um serviço personalizado aos usuários – objeto central dos Termos de Uso – incluiria também a personalização de publicidade.

Todavia, o entendimento da DPC foi contestado pelas demais autoridades da UE, cujas divergências foram submetidas para decisão do EDPB. Por sua vez, o EDPB decidiu que o direcionamento de propaganda não seria necessário para a execução dos Termos de Uso das redes sociais, desqualificando a base legal.

2. Falta de transparência no fornecimento de informações

Para além da falta de base legal, em violação ao artigo 6º do GDPR, a decisão da DPC também inclui violações ao princípio da transparência e ao dever de informar os titulares sobre o tratamento de seus dados pessoais, previstos nos artigos 5(1)(a), 12(1) e 13(1)(c) do GDPR.

3. Tratamento desleal

Por fim, o EDPB também identificou uma violação ao princípio da lealdade – previsto no artigo 5(1)(a) do GDPR. Segundo o EDPB, o princípio da lealdade exige que o tratamento de dados pessoais não seja inesperado pelo titular, nem ocorra a partir da sua indução ao erro.

Para tanto, o EDPB destacou a deslealdade da situação "tudo ou nada" gerada pelos Termos de Uso da Meta IE, isto é, o usuário teria que aceitar o tratamento de seus dados para fins publicitários, sob pena de não ter acesso às redes sociais.

>>> Este artigo foi escrito por nossos profissionais da área de Proteção de Dados e Cybersecurity: Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda. Clique aqui para ler mais.