Noruega faz com que Meta repense o rastreamento na União Europeia

Pontos principais:

• O órgão regulador da Noruega baniu a publicidade comportamental no Instagram e no Facebook devido à ausência de um consentimento explícito dos usuários;
• A Meta alterou a base legal de processamento de dados pessoais para “consentimento do usuário” na União Europeia;
• Interromper o rastreamento online de usuários será um desafio financeiro e técnico para a Meta;
• Se a pressão à Meta aumentar, existe a possibilidade de que a empresa pare de operar na UE.

O que aconteceu

A Meta, dona do Facebook e do Instagram, está com problemas na Noruega. Em 17 de julho, a Autoridade de Proteção de Dados Norueguesa exigiu que a Meta parasse de mostrar anúncios personalizados para os seus usuários no país com base em seu comportamento online. A autoridade alegou que a Meta está quebrando a lei ao vigiar e criar perfis de usuários sem o seu consentimento explícito, e impôs um ban temporário de três meses à propaganda comportamental em ambas as plataformas. O bloqueio teve início em 4 de agosto e vai durar até outubro. A Meta pode enfrentar uma multa de US$100.000 se não cumprir as exigências e mudar suas práticas de coleta de dados.

Mas o que exatamente é a “publicidade comportamental”? Trata-se de um tipo de publicidade que usa dados pessoais para mostrar anúncios super relevantes baseados em seus interesses e preferências. A Meta coleta estes dados através do monitoramento de sua atividade online, posts de redes sociais, histórico de pesquisa e dados de localização. O problema é que todos estes dados são coletados sem a sua permissão direta, o que significa que você normalmente não sabe quando suas informações pessoais são coletadas e para que finalidade.

Por que a Noruega tem a Meta como alvo agora?

Para um observador mais desatento, a decisão do DPA norueguês de perseguir a prática de publicidade da Meta que já está vigente à tanto tempo pode parecer completamente aleatória. Mas não é bem assim. A ordem apareceu logo após uma decisão da Côrte de Justiça Europeia (em 4 de julho), que afirmou que a Meta não pode usar “interesses legítimos” como base legal para o processamento de dados para anúncios personalizados.

Apenas nesse ano, a Meta já alterou a base legal de processamento de dados de usuários na União Europeia várias vezes. Até abril, a Meta afirmava que sua base legal era “necessidade contratual” de coleta de dados de usuários.

Após a European Data Protection Board (EDPD) ter descoberto que “a publicidade não é necessária para a performance do Facebook e do Instagram,” a Meta mudou a base legal para “interesses legítimos.” No entanto, a decisão de 4 de julho colocou isso em cheque também. Por não ter mais opções, em 1 de agosto a Meta alterou sua base legal mais uma vez, dessa vez finalmente alegando “consentimento do usuário.”

Em teoria, isso quer dizer que a Meta terá que pedir diretamente aos usuários pelo consentimento à publicidade direcionada antes que os dados sejam coletados com este propósito. O Wall Street Journal informou que a Meta ofereceu aos reguladores da UE uma limitação nos anúncios comportamentais estritamente para usuários que optassem por isso.

No entanto, ainda há muitas incertezas com relação a como exatamente a Meta vem pedindo consentimento e se haverá algo obscuro no novo processo. Em resumo, ainda é cedo para comemorar.

A decisão da Meta de mudar a base legal para o seu processamento de dados já gerou uma reação da agência de privacidade norueguesa, que a vê como uma vitória de sua campanha contra o rastreamento online. “Por mais que a Meta afirme que se trata de uma mudança voluntária, isso não é muito convincente,” disse Tobias Judin, porta-voz da agência, ao The Wired. Ele deixou um aviso, no entanto, de que a Meta ainda pode tentar enganar os usuários para tentar conseguir o seu consentimento para este tipo de rastreamento.

O potencial impacto do ban norueguês

A decisão do DPA norueguês não quer dizer que a Meta ou o Instagram estejam com os dias contados na Noruega. Ela também não significa que eles não podem mostrar anúncios personalizados aos seus usuários. O que isso de fato significa é que a Meta será obrigada a a respeitar a escolha e a preferência dos usuários sobre como os seus dados serão usados e compartilhados. A Meta ainda pode continuar a mostrar anúncios direcionados com base nas informações que os usuários compartilham por vontade própria, como detalhes de bios, incluindo idade, gênero, localização e interesses. Além disso, se a Meta conseguir provar que obteve consentimento válido de usuários para coletar seus dados para a publicidade direcionada, ela é livre para seguir com suas práticas.

O órgão regulador norueguês indicou que planeja levar a questão para a EDBP após o fim de agosto. O EDPB é um grupo de autoridades em proteção de dados de todos os países da União Europeia, Noruega, Liechtenstein e Islândia. Eles poderão decidir estender o ban à publicidade comportamental da Meta para além da Noruega. Se isso acontecer, pode haver um impacto significativo na Meta, que é extremamente dependente da receita proveniente de anúncios.

Opções para a Meta: adaptação ao ban

A Meta certamente tem a habilidade de adaptar e conter o rastreamento baseado em localização. Mas há um problema: isso pode custar caro para a empresa de Mark Zuckerberg. Como alternativa, ela pode optar por uma estratégia muito mais simples, já adotada em seu novo app, o Threads: impedir que os noruegueses acessem o Facebook e o Instagram de uma vez por todas, mesmo através de uma VPN.

Se a Meta decidir adaptar o ban ao invés de desistir do mercado norueguês, haverá várias opções. Entre elas, está a coleta de dados de usuários noruegueses que optarem por isso, o fim da coleta de dados na Noruega de uma vez por todas ou a interrupção da veiculação de anúncios no país.

De um ponto de vista técnico, a última opção é a mais fácil de implementar. Impedir que anúncios sejam mostrados para pessoas de um país específico é uma tarefa tecnicamente simples e que poderia ser implementada muito rapidamente. Por outro lado, é muito difícil interromper a coleta de informações para o rastreamento comportamental. Isso ocorre porque esta funcionalidade é uma parte “nativa” das plataformas da Meta e não se pode simplesmente desligá-la.. Cada interação dentro do aplicativo dos usuários é rastreada e analisada para se tornar parte de seu perfil. Em outras palavras, a Meta construiu os seus aplicativos e sites de modo a sempre coletar seus dados, independentemente do que faça. Além disso, mesmo que você não use os aplicativos da Meta, como o Facebook ou o Instagram, a empresa ainda sim pode coletar seus dados através de outros aplicativos que utilizam as ferramentas da app. Aproximadamente 40% dos aplicativos gratuitos da Google Play Store compartilha dados com a Meta via Facebook Software Development Kit (SDK).

Tendo em conta tudo isso, podemos até pensar que as tentativas da Meta de aceitar o ban sejam honestas e, possivelmente, a forma mais simples de fazer isso seja simplesmente bloquear solicitações da Noruega relacionadas à publicidade e ao rastreamento. Na prática, isso significa que, se você usar um app ou site que utilize o SDK da Meta na Noruega, a Meta não receberá ou enviará qualquer informação de seu dispositivo. Isso pode resultar em algumas no mau funcionamento de algumas funcionalidades dos apps e websites da Meta no país. Por exemplo, você pode não ver algumas recomendações ou sugestões baseadas em seu comportamento online.

Se a Meta seguir este caminho, ela estará fazendo algo muito parecido com o que os bloqueadores de anúncios já fazem, impedindo que aplicativos e sites enviem ou recebam informações relacionadas a anúncios ou rastreamento de seu dispositivo.

Por que a Noruega está liderando a defesa à privacidade de dados?

Não é comum que a Noruega assuma a vanguarda de questões envolvendo privacidade na Europa. Estamos mais acostumados a ver a França, a Alemanha e a Irlanda, sede do órgão regulador de privacidade líder na UE, confrontando os gigantes da tecnologia. No entanto isso não deveria causar nenhuma surpresa: a Noruega, que faz parte da União Europeia mas mesmo assim está sujeita ao GDPR, vem se destacando como uma nação pró privacidade. A grande maioria dos noruegueses parece estar ciente de seus direitos ligados à privacidade. Em junho de 2018, mais de 82% dos noruegueses haviam ouvido falar do GDPR, e mais da medade reportou o recebimento de emails pedindo pelo consentimento de plataformas que eles sequer conheciam ou sabiam ter acesso aos seus dados. De acordo com a pesquisa de privacidade de 2019/2020 do DPA norueguês, 83% dos noruegueses estavam preocupados de alguma forma com a sua privacidade. Quase 7 em cada 10 entrevistados disseram ter pouco controle sobre a forma como suas informações pessoais são armazenadas e utilizadas online e 6 em cada 10 afirmaram se sentir impotentes quando se trata de obter o controle de seus dados na internet.

Estas fortes atitudes a favor da privacidade são refletidas em nossos dados. De acordo com o nosso relatório de 2023 sobre o estado do rastreamento através de anúncios ao redor do mundo, o norte europeu desfruta de uma ambiente online que é significativamente menos poluído do que o resto do continente. Nossos dados indicam que os Noruegueses se deparam em média com 20% menos rastreadores do que a média europeia. Tecnicamente, o motivo para isso é que aplicativos e sites locais não são tão agressivos ao rastrear usuários. Isso fica óbvio quando comparamos grandes sites de notícias norueguesas como o vg.no com outros sites da mídia ao redor do mundo. Por exemplo, ao usar o AdGuard no vg.no, nós descobrimos que apenas 5 solicitações foram bloqueadas, enquanto no The Guardian a contagem ultrapassou as 20 solicitações. Vale notar, no entanto, que o número de rastreadores bloqueados em um mesmo site pode variar e este valor depende também das configurações de seu bloqueador de anúncios.

Um olhar para o futuro

Com uma visão mais panorâmica da situação, a decisão do órgão regulador norueguês mostra que a tendência de confrontar o rastreamento comportamental para fins publicitários está ganhando espaço, ao menos na Europa. Até agora, a Meta, diferentemente de outros concorrentes (como o Google e a sua Privacy Sandbox) mostrou-se mais interessada em lutar contra as leis de privacidade em vez de se adaptar a esta tendência. Esta pode ser a última oportunidade para que ela mude suas práticas de forma sincera.

No entanto, se a Meta não revisar sua política de coleta de dados no futuro próximo, e não somente no papel, mas na realidade, ela pode ter que parar de operar na União Europeia mais cedo ou mais tarde.