A Comissão Europeia, o corpo executivo da União Europeia (UE), se vê em meio a um embaraçoso escândalo de privacidade após a confirmação, na última sexta-feira, de que sua campanha publicitária na plataforma X (anteriormente conhecida como Twitter) violou as próprias regras de proteção de dados do bloco europeu. O resultado dessa investigação, realizada pelo Supervisor Europeu de Proteção de Dados (EDPS), destaca a contradição entre as práticas da Comissão e os direitos de privacidade que ela mesma busca proteger.
Em busca de influenciar a opinião pública sobre uma proposta legislativa controversa, a Comissão lançou, no outono de 2023, uma campanha de anúncios que3 processava dados sensíveis — especificamente, opiniões políticas — para direcionar publicidade microsegmentada. O objetivo da campanha era promover uma proposta que obrigaria aplicativos de mensagens a escanear comunicações de cidadãos em busca de material de abuso sexual infantil (CSAM). Críticos alertaram que esse plano da UE poderia ameaçar direitos democráticos fundamentais, colocando em risco a criptografia de ponta a ponta e sendo legalmente questionável.
A denúncia que levou à investigação foi apresentada pela organização sem fins lucrativos noyb, que, em novembro de 2023, acusou a Direção Geral de Migração e Assuntos Internos da Comissão de realizar microsegmentações ilegais. Segundo a noyb, as constatações do supervisor de dados da UE validam a afirmação de que a Comissão atuou de forma ilegal, embora o EDPS tenha emitido apenas uma reprimenda, sem impôr multas.
No comunicado em que anunciava os resultados da investigação, Felix Mikolasch, advogado de proteção de dados da noyb, afirmou: “Desde o caso da Cambridge Analytica, é evidente que anúncios direcionados podem influenciar a democracia. Usar preferências políticas para anúncios é claramente ilegal. No entanto, muitos atores políticos ainda dependem disso, e as plataformas online quase não tomam ações.” A noyb assinalou que a campanha da Comissão, ao tentar promover indiretamente a regulamentação do CSAM, visava cidadãos na Holanda que demonstravam desinteresse por tópicos associados a determinadas opiniões políticas, como #Qatargate, Brexit, Marine Le Pen, e Giorgia Meloni.
Essas palavras-chave podem ser especialmente associadas a pessoas de posições políticas mais à direita, o que torna a ação da Comissão um proxy para o tratamento de dados sensíveis, aproximadamente classificados como dados pessoais sob as leis de proteção de dados da UE. A legislação da UE exige que qualquer processamento de dados pessoais sensíveis requer consentimento explícito, algo que a Comissão não obteve.
A União Europeia, anteriormente, havia comunicado ao TechCrunch que a campanha publicitária foi “projetada e implementada através de um contrato quadro com um prestador de serviços”. A Comissão também afirmou que o contrato com o prestador incluía “salvaguardas de proteção de dados” destinadas a garantir a conformidade com as regulamentações relevantes, alegando que a X poderia ser responsabilizada por não ter implementado a campanha de acordo com as regras legais aplicáveis, nomeadamente o Regulamento Geral de Proteção de Dados (GDPR).
Assim, a Comissão tentou atribuir a responsabilidade à plataforma X pela segmentação publicitária ilegal. No entanto, a noyb também está investigando a X por sua participação nesta questão. Vale ressaltar que, mesmo diante da decisão do EDPS sobre o processamento ilegal na X, a Comissão continuou a argumentar que não tinha a intenção de processar categorias especiais de dados pessoais, enfatizando que isso “não deveria ter ocorrido”.
Além disso, conforme informações da noyb, o fato de o EDPS ter aplicado apenas uma reprimenda e não uma multa se deve ao fato de que a Comissão suspendeu a prática contestada. Essa suspensão sugere que não veremos mais microsegmentação controversa por parte da UE tão cedo. Com uma nova comissão de comissários assumindo, Ylva Johansson, a comissária de Assuntos Internos que liderou a proposta do CSAM, não está mais no cargo para receber a reprimenda do EDPS.
Em um momento anterior, a Comissão ainda questionava se dados sensíveis haviam sido processados pela campanha, mas a decisão do EDPS agora confirma que esse processamento ocorreu e foi ilegal. Essa confirmação poderá impactar as alegações ainda em aberto contra a X e similares que envolvem microsegmentação de dados sensíveis. Observando como essas tecnologias de anúncio normalmente funcionam, há uma chance maior de que tais alegações possam resultar em multas reais segundo o GDPR, onde as penalidades podem chegar a até 4% do faturamento global anual.
“Temos muitos outros casos de microsegmentação política nos Estados-Membros”, destacou Mikolasch. “Muitos partidos políticos se envolvem nessa prática ilegal. Esperamos que a decisão do EDPS sirva como um guia para as autoridades nacionais que atualmente investigam tais práticas.”
Buscamos um comentário da Comissão em relação à decisão do EDPS e a porta-voz, Patricia Poropat, reconheceu o nosso pedido, mas até o fechamento deste relatório não havia fornecido uma declaração. Também fizemos perguntas ao EDPS e à Comissão de Proteção de Dados da Irlanda, autoridade que deve liderar a investigação sobre microsegmentação na X, e atualizaremos este artigo conforme recebemos respostas.
Danny Mekić, o tecnólogo que inicialmente identificou a campanha publicitária da Comissão e levantou preocupações sobre sua microsegmentação, celebrou a “ação rápida” do EDPS, expressando satisfação com o resultado da investigação. No entanto, questionou por que uma sanção mais abrangente não foi imposta, lembrando das declarações feitas por Johansson após a publicação de seu artigo, nas quais a comissária afirmara que a campanha era “100%” legal.
“Neste caso, dadas as afirmações da comissária, uma investigação mais abrangente sobre essa prática ilegal, que é considerada ‘prática normal’, seria justificada”, opinou Mekić, acrescentando que “na minha consideração, uma sanção mais severa já seria justificável, pois a Comissão Europeia falhou em levar a sério sinais tão importantes e fundamentados de especialistas”.
Este relato foi atualizado com comentários adicionais.
