A multa e o que abrange
A autoridade norueguesa de proteção de dados, a Datatilsynet, multou a 12 de outubro a Xandr, hoje parte da Microsoft, em 92 milhões de NOK por tratar e partilhar dados pessoais sensíveis de utilizadores do Grindr em violação da legislação de proteção de dados.
| Ponto | Pormenor |
|---|---|
| Multa | 92 milhões de NOK, cerca de 8,6 milhões de euros pela conversão da autoridade (a noyb refere 8,5 milhões e o BleepingComputer 9,6 milhões de dólares) |
| Posição | A multa mais alta que a Datatilsynet aplicou até hoje |
| Período | De julho de 2018 a abril de 2020, quase dois anos |
| Base do montante | O volume de negócios anual próprio da Xandr, não o da Microsoft |
| Multa anterior ao Grindr | 65 milhões de NOK em 2021 por infrações equivalentes |
| Prazo de recurso | Três semanas após a receção da decisão |
A Xandr participava no real-time bidding como compradora e como vendedora. Quando alguém abria o Grindr, os seus dados pessoais eram em muitos casos retransmitidos através da Xandr a potencialmente milhares de anunciantes, que licitavam para lhe mostrar um anúncio, tudo oculto ao utilizador. Entre os dados havia informação que revela a orientação sexual, à qual a autoridade atribui proteção especial: ser utilizador do Grindr indica, só por si, essa orientação. O Tribunal de Recurso de Borgarting decidiu no mesmo sentido no caso da própria multa de 65 milhões de NOK aplicada ao Grindr por infrações equivalentes em 2021.
Porque falhou apoiar-se no consentimento do Grindr
A Datatilsynet concluiu que era necessário consentimento explícito para tratar estes dados e que a Xandr nada fizera para assegurar um consentimento válido. A defesa da Xandr foi dizer que julgava que o Grindr tinha recolhido o consentimento dos utilizadores, mas a autoridade não aceita que as empresas possam simplesmente atirar a responsabilidade umas para as outras.
A autoridade considerou a Xandr corresponsável pelo tratamento juntamente com o Grindr, pelo que a obrigação de ter um fundamento jurídico era da própria Xandr. A diretora-geral Line Coll formulou o princípio com clareza: a responsabilidade pela proteção de dados não se transfere, e cada empresa tem de assegurar por si, e poder documentar, que trata os dados pessoais de forma lícita.
A informação sobre a vida sexual ou a orientação sexual pertence às categorias especiais do artigo 9.º do RGPD, cujo tratamento é proibido salvo se se aplicar uma exceção. Dois fatores agravaram a multa: a prática durou quase dois anos e a Xandr retirou um benefício financeiro direto da partilha ilícita.
O que diz a Microsoft e o que acrescenta a noyb
A Microsoft disse ao BleepingComputer que a investigação e o seu resultado incidem sobre factos anteriores à aquisição da Xandr, que os quadros legais e a sua aplicação mudaram desde então e que está a rever a decisão e a avaliar as opções. A Xandr opera hoje como Microsoft Advertising.
A autoridade calculou o montante sobre o volume de negócios anual total da Xandr e não sobre o da Microsoft, porque a Xandr não fazia parte da Microsoft no período em causa. Ainda assim, a multa recai agora numa empresa detida pela Microsoft, um lembrete de que o historial dos dados acompanha a empresa que se compra.
A noyb, que apresentou a queixa original com o Conselho Norueguês do Consumidor em 2020, classifica a decisão como um golpe importante para a publicidade em linha. Defende ainda que a proposta Digital Omnibus da Comissão Europeia, agora em discussão no Parlamento e no Conselho, retiraria os identificadores de rastreamento em linha do âmbito do RGPD depois de forte lobby das grandes tecnológicas. É a leitura da noyb da proposta, não uma declaração da Comissão.
Um hábito de verificação para quem recebe dados
A lição prática é que a afirmação de um parceiro de que existe consentimento é uma alegação a verificar, e essa verificação cabe-lhe a si.
A decisão trata de tecnologia publicitária, mas o seu raciocínio serve qualquer empresa que receba dados pessoais através de uma plataforma publicitária, de um SDK, de um parceiro de leads ou de uma lista comprada. A tabela é uma sugestão da Servola para aplicar o princípio, não texto da decisão.
| Onde recebe dados pessoais | O que verificar | Que provas guardar |
|---|---|---|
| Plataforma publicitária ou feed de SDK | Que consentimento o remetente recolheu e se a redação cobre a sua utilização | O texto do consentimento e a confirmação escrita da plataforma |
| Parceiro de leads ou de listas | Se cada pessoa aceitou ser contactada por si | Uma amostra de registos de consentimento e a cláusula contratual sobre o fundamento jurídico |
| Etiquetas e píxeis no seu próprio sítio | O que cada fornecedor faz com os dados dos visitantes e se o seu banner o cobre | A lista de fornecedores e o registo de consentimentos com datas |
Trate como dados do artigo 9.º qualquer feed que possa revelar saúde, convicções ou orientação sexual e verifique antes de usar o primeiro registo. Uma única fonte não verificada pode transformar em infração tudo o que vem depois.
Leia a seguir: A Google Foi Multada Por Provas Que Não Tinha | A Twitch treina a IA da Amazon com as tuas streams por defeito
