Meta enfrenta limites de retenção de dados em seu negócio de publicidade na UE após decisão do tribunal superior

O tribunal superior da União Europeia apoiou um desafio de privacidade às políticas de retenção de dados da Meta. Decidiu na sexta-feira que as redes sociais, como o Facebook, não podem continuar a usar as informações das pessoas para direcionamento de anúncios indefinidamente.

O julgamento poderá ter implicações importantes na forma como a Meta e outras redes sociais financiadas por publicidade operam na região.

Devem ser aplicados limites de tempo de conservação dos dados pessoais para cumprir os princípios de minimização de dados contidos no Regulamento Geral de Proteção de Dados (RGPD) do bloco. As violações do regime podem levar a multas de até 4% do volume de negócios anual global – o que, no caso da Meta, poderia colocá-la em risco de mais milhares de milhões de dólares em penalidades (NB: já está no topo da tabela de classificação das Big Tech infratores do GDPR).

A decisão do TJUE segue um parecer anterior sobre o caso, publicado por um conselheiro judicial em abril, que também apoiou limites à retenção de dados pessoais para segmentação de anúncios.

Contatado para obter uma resposta, o porta-voz da Meta, Matt Pollard, disse que a empresa está aguardando para ver o julgamento completo.

“Aguardamos a publicação da decisão do Tribunal e teremos mais para compartilhar no devido tempo”, disse ele ao TechCrunch por e-mail. “A Meta leva a privacidade muito a sério e investiu mais de cinco mil milhões de euros para incorporar a privacidade no centro de todos os nossos produtos. Todos que usam o Facebook têm acesso a uma ampla gama de configurações e ferramentas que permitem às pessoas gerenciar como usamos suas informações.”

A gigante da adtech ganha dinheiro rastreando e traçando perfis de usuários de suas redes sociais, tanto em seus próprios serviços quanto na web, por meio de uma rede de tecnologias de rastreamento que inclui cookies, pixels e plug-ins sociais, a fim de vender publicidade microdirecionada. serviços. Portanto, quaisquer limites à sua capacidade de traçar perfis contínuos de usuários da web em uma região importante para seus negócios podem afetar suas receitas.

No ano passado, Meta sugeriu que cerca de 10% da sua receita publicitária global é gerada na UE.

Outro sucesso de Schrems vs. Facebook

A decisão do TJUE segue-se a um encaminhamento de um tribunal na Áustria onde o activista europeu pela privacidade, Max Schrems, apresentou uma contestação à recolha de dados do Facebook e à base jurídica para publicidade, entre outras questões.

Comentando a vitória em um comunicado publicado pela noyb, organização sem fins lucrativos de direitos de privacidade de Schrems, sua advogada, Katharina Raabe-Stuppnig, escreveu: “Estamos muito satisfeitos com a decisão, embora este resultado fosse muito esperado”.

“A Meta basicamente vem construindo um enorme conjunto de dados sobre usuários há 20 anos e está crescendo a cada dia. No entanto, a legislação da UE exige a «minimização dos dados». Seguindo esta decisão, apenas uma pequena parte do conjunto de dados da Meta poderá ser usada para publicidade – mesmo quando os usuários consentirem com os anúncios. Esta decisão também se aplica a qualquer outra empresa de publicidade online, que não tenha práticas rigorosas de eliminação de dados”, acrescentou.

O desafio original ao negócio publicitário da Meta remonta a 2014, mas não foi totalmente ouvido na Áustria até 2020, segundo noyb. O Supremo Tribunal austríaco encaminhou então várias questões jurídicas ao TJUE em 2021. Algumas foram respondidas através de um desafio separado ao Meta/Facebook, numa decisão do TJUE de julho de 2023 – que anulou a capacidade da empresa de reivindicar um “interesse legítimo” para processar pessoas. dados para anúncios. As restantes duas questões foram agora tratadas pelo TJUE. E são mais más notícias para o negócio de publicidade baseado em vigilância da Meta. Limites se aplicam.

Resumindo esta componente do acórdão num comunicado de imprensa, o TJUE escreveu: “Uma rede social online como o Facebook não pode utilizar todos os dados pessoais obtidos para efeitos de publicidade direcionada, sem restrição de tempo e sem distinção quanto ao tipo de dados.”

A decisão parece importante devido à forma como as empresas de publicidade, como a Meta, funcionam. Resumindo, quanto mais dados eles puderem obter, melhor – no que diz respeito a eles.

Em 2022, um memorando interno escrito por engenheiros da Meta que foi obtido pela placa-mãe da Vice comparou suas práticas de coleta de dados a despejar garrafas de tinta em um vasto lago e sugeriu que a agregação de dados pessoais da empresa carecia de controles e não se prestava a ser capaz de silo diferentes tipos de dados ou aplicar limites de retenção de dados.

Embora a Meta tenha afirmado na época que o documento “não descreve nossos extensos processos e controles para cumprir as regulamentações de privacidade”.

Ainda não se sabe exatamente como o gigante da adtech precisará alterar suas práticas de retenção de dados após a decisão do TJUE. Mas a lei é clara que deve ter limites. “As empresas (de publicidade) devem desenvolver protocolos de gerenciamento de dados para excluir gradualmente dados desnecessários ou parar de usá-los”, sugere noyb.

Não há mais uso de dados confidenciais

O TJUE também opinou sobre uma segunda questão que lhe foi submetida pelo tribunal austríaco como parte do litígio de Schrems. Isto diz respeito a dados sensíveis que foram “manifestamente tornados públicos” pelo titular dos dados, e se características sensíveis poderiam ser usadas para direcionamento de anúncios por causa disso.

O tribunal decidiu que não poderia, mantendo o princípio de limitação de finalidade do GDPR.

“Teria um enorme efeito inibidor sobre a liberdade de expressão, se perdesse o seu direito à protecção de dados no momento em que critica o processamento ilegal de dados pessoais em público”, escreveu Raabe-Stuppnig, saudando que “o TJUE rejeitou esta noção .”

Questionado sobre o uso dos chamados dados de categoria especial pela Meta – já que informações pessoais confidenciais, como orientação sexual, dados de saúde e opiniões religiosas são conhecidas pela lei da UE – Pollard afirmou que a empresa não processa essas informações para direcionamento de anúncios.

“Não usamos categorias especiais de dados que os usuários nos fornecem para personalizar anúncios”, escreveu ele. “Também proibimos os anunciantes de compartilhar informações confidenciais em nossos termos e filtramos qualquer informação potencialmente sensível que possamos detectar. Além disso, tomamos medidas para remover quaisquer opções de segmentação de anunciantes com base em tópicos considerados sensíveis pelos usuários.”

Esta componente da decisão do TJUE pode ter relevância para além da operação de serviços de redes sociais em si, uma vez que os gigantes da tecnologia – incluindo a Meta – têm recentemente lutado para reaproveitar dados pessoais como material de formação em IA. Raspar a Internet é outra tática que os desenvolvedores de IA usaram para capturar as grandes quantidades de dados necessários para treinar grandes modelos de linguagem e outros modelos de IA generativos.

Em ambos os casos, a recolha de dados pessoais para uma nova finalidade (formação em IA) pode constituir uma violação do princípio de limitação de finalidade do RGPD.