A privacidade de dados no universo digital é, sem dúvida, uma das discussões mais urgentes da nossa era.
No centro desse debate, a Meta, gigante por trás de plataformas como Facebook, Instagram e WhatsApp, encontra-se novamente sob análise.
Os esforços recentes da empresa para acalmar as preocupações europeias sobre o uso de dados pessoais no treinamento de seus modelos de Inteligência Artificial não obtiveram o resultado esperado.
Isso levou a um novo e incisivo desafio por parte do grupo de defesa da privacidade noyb.
A discussão reacendeu-se depois que a Meta interrompeu o treinamento de IA no Espaço Econômico Europeu (EEE) em junho do ano passado.
Mais recentemente, a empresa anunciou planos ambiciosos para retomar essa prática, utilizando um vasto universo de conteúdo público.
Entre os dados aproveitados, estão postagens, comentários e interações de usuários com a Meta AI.
A decisão original da Meta de suspender o treinamento de sua IA na região europeia não foi arbitrária.
Ela veio em resposta a preocupações explícitas e formalizadas pela Comissão Irlandesa de Proteção de Dados (DPC), além de uma série de reclamações protocoladas junto a diversas autoridades de proteção de dados espalhadas pelo continente.
O pano de fundo dessa tensão reside nas rigorosas diretrizes do Regulamento Geral de Proteção de Dados (GDPR), que estabelece um alto padrão para o tratamento de informações pessoais.
No final do ano passado, a situação parecia ter encontrado um ponto de inflexão quando o Conselho Europeu de Proteção de Dados (CEPD) emitiu um parecer.
Para a Meta, esse parecer representava uma validação de que a empresa estava, de fato, agindo em conformidade com as exigências legais.
No entanto, para o noyb – organização europeia liderada pelo ativista Max Schrems, conhecido por seus embates legais de alto perfil contra gigantes da tecnologia – a interpretação da Meta está longe de ser precisa.
A noyb discorda veementemente da leitura da empresa sobre o parecer do CEPD, argumentando que o diálogo entre a Meta e as autoridades não resultou em um “sinal verde” explícito.
Segundo Max Schrems, presidente da noyb, “Pelo que ouvimos, a Meta ‘interagiu’ com as autoridades, mas isso não resultou em nenhum ‘sinal verde’.
Parece que a Meta está simplesmente seguindo em frente e ignorando as Autoridades de Proteção de Dados da UE.”
Essa postura, segundo a noyb, demonstra uma desconsideração preocupante pelos órgãos reguladores que zelam pela privacidade de dados dos cidadãos europeus.
O Confronto sobre o “Interesse Legítimo” e a IA
Diante do que considera um avanço sem a devida autorização, a noyb não hesitou em elevar o tom do confronto.
A organização enviou à Meta uma carta de “cessação e desistência” (cease and desist letter), um passo formal que precede uma ameaça concreta de ação coletiva em nível europeu.
A principal alegação do noyb reside na contestação do argumento da Meta de que o “interesse legítimo” da empresa a autoriza a utilizar dados de usuários para treinamento de IA sem a necessidade de consentimento explícito.
Conforme reportado na Forbes, Max Schrems, em sua argumentação, recorda um precedente jurídico importante. ‘O Tribunal de Justiça Europeu já decidiu que a Meta não pode alegar ‘interesse legítimo’ em direcionar publicidade aos usuários.
Como ela poderia ter ‘interesse legítimo’ em coletar todos os dados para treinamento de IA?’, questionou Schrems.
A comparação é pertinente: a base de ‘interesse legítimo’ foi considerada insuficiente para a personalização de anúncios, uma prática que também depende do processamento de vastos volumes de dados pessoais.
Sendo assim, por que seria válida para o treinamento de modelos de IA, que envolvem uma coleta e análise ainda mais abrangentes e potencialmente intrusivas?
A avaliação de um “interesse legítimo” para o tratamento de dados, sob o GDPR, é sempre um teste multifatorial e rigoroso, exigindo um balanço entre os interesses da empresa e os direitos e liberdades fundamentais dos indivíduos.
No caso da Meta, a noyb sustenta que todos os fatores parecem apontar na direção contrária aos argumentos da companhia.
A organização argumenta que, essencialmente, a Meta estaria afirmando que seu interesse em gerar receita e desenvolver tecnologia é mais importante do que os direitos de privacidade de dados de seus usuários.
Essa interpretação levanta sérias preocupações sobre a hierarquia de valores que a empresa estaria adotando em suas operações.
Leia também: Meta demite funcionários por baixo desempenho em nova fase de reestruturação
As contestações do Noyb e o futuro da coleta de dados
Além da questão do “interesse legítimo”, a noyb levanta outras objeções igualmente graves relacionadas à capacidade da Meta de cumprir com outros direitos fundamentais previstos pelo GDPR.
Entre eles, destacam-se o direito de ser esquecido (onde o usuário pode solicitar a exclusão de seus dados), o direito de ter dados incorretos retificados e o direito de acesso aos dados dos usuários em um sistema de IA.
A complexidade aumenta consideravelmente quando se considera que a Meta, notavelmente, fornece seus modelos de IA como software de código aberto para download e uso por qualquer pessoa.
Se um modelo é publicado, argumenta o noyb, a Meta não teria como recuperar ou atualizar essa versão para corrigir dados incorretos ou atender a um pedido de exclusão, criando um cenário de difícil conformidade com o GDPR.
A noyb traça um paralelo contundente entre as atuais práticas da Meta para a coleta de dados de IA e sua antiga abordagem para a coleta de dados de usuários para veicular anúncios.
Esse cenário marcou uma virada histórica: após anos de batalhas judiciais e intensa pressão regulatória sob o GDPR, a Meta finalmente cedeu em 2023.
A empresa abandonou a controversa alegação de ‘interesses legítimos’ e adotou uma política de consentimento explícito (opt-in) para coleta de dados publicitários, passando a exigir uma autorização ativa, específica e inequívoca dos usuários.
Max Schrems sintetiza a essência da disputa: “Essa disputa é essencialmente sobre se devemos pedir o consentimento das pessoas ou simplesmente obter seus dados sem ele. A Meta inicia uma grande luta apenas para ter um sistema de opt-out em vez de um sistema de opt-in. Em vez disso, eles se baseiam em um suposto ‘interesse legítimo’ para simplesmente obter os dados e continuar com eles.”
A Meta defende um modelo de opt-out (em que o usuário deve recusar ativamente a coleta de dados), enquanto ativistas e reguladores argumentam que o opt-in (que exige consentimento explícito) ofereceria maior proteção à privacidade.
Essa divergência reflete o debate sobre como equilibrar a inovação tecnológica com os direitos dos usuários.
A organização de defesa da privacidade vai além, classificando as alegações da Meta de que o roubo de dados pessoais de todos é necessário para o treinamento de IA como “ridículas”.
Em um argumento final provocativo, o noyb ressalta que “Outros provedores de IA não usam dados de redes sociais — e geram modelos ainda melhores que a Meta.”
Essa afirmação questiona a alegação da Meta sobre a suposta indispensabilidade de sua metodologia para o avanço da IA.
O argumento sugere a existência de alternativas viáveis para o desenvolvimento de inteligência artificial, que seriam tanto mais éticas quanto tecnicamente eficazes.
A Meta foi procurada para se manifestar sobre o caso. A resposta da empresa ainda está pendente.
O desfecho desse debate pode estabelecer novos parâmetros para o uso de dados pessoais no desenvolvimento de tecnologias de IA.
Essas definições terão impacto principalmente na Europa, mas também influenciarão práticas em escala global.
Leia mais:
O que é privacidade de dados?
A privacidade de dados refere-se ao direito de um indivíduo de ter controle sobre suas informações pessoais.
Em essência, trata-se da capacidade de determinar quem pode acessar, coletar, usar e compartilhar seus dados.
Em um mundo cada vez mais digitalizado, onde nossas interações online geram um volume imenso de informações, a privacidade de dados tornou-se um direito fundamental e um pilar para a confiança nas relações entre indivíduos, empresas e instituições.
Ela abrange não apenas dados sensíveis (como informações de saúde ou financeiras), mas qualquer dado que possa identificar uma pessoa, direta ou indiretamente.
O objetivo é proteger os indivíduos contra o uso indevido, a exposição não autorizada e as consequências negativas que podem advir da falta de controle sobre suas próprias informações.
Quais são os 4 pilares da privacidade de dados?
Embora as estruturas possam variar ligeiramente, a privacidade de dados é frequentemente construída sobre pilares fundamentais que guiam as práticas de tratamento de informações:
- Transparência: Os indivíduos têm o direito de saber quais dados estão sendo coletados sobre eles, por que estão sendo coletados, como serão usados e com quem serão compartilhados. As empresas devem ser claras e abertas sobre suas políticas de privacidade, utilizando linguagem acessível.
- Controle (ou Consentimento): Os usuários devem ter o poder de decidir se seus dados podem ser coletados e como serão utilizados. Isso geralmente se manifesta através do consentimento explícito (opt-in), onde a permissão é concedida ativamente, ou através de mecanismos que permitam ao usuário gerenciar suas preferências de dados (opt-out).
- Segurança: As organizações são responsáveis por proteger os dados coletados contra acesso não autorizado, vazamentos, roubo, perda ou destruição. Isso envolve a implementação de medidas técnicas (criptografia, firewalls) e organizacionais (políticas de acesso, treinamento de funcionários) robustas.
- Responsabilidade (Accountability): As empresas e organizações são responsáveis por cumprir as leis de proteção de dados e demonstrar sua conformidade. Isso inclui a capacidade de provar que as medidas adequadas foram tomadas para proteger os dados e que os princípios de privacidade foram respeitados. Em caso de falha, a accountability implica em sanções e na necessidade de retificação.
Como garantir a privacidade de dados?
Garantir a privacidade de dados é um esforço contínuo e multifacetado, tanto para indivíduos quanto para organizações.
Para indivíduos:
- Seja Seletivo: Pense duas vezes antes de compartilhar informações pessoais online ou em aplicativos.
- Revise configurações de privacidade: Ajuste as configurações de privacidade em redes sociais, aplicativos e navegadores para limitar o compartilhamento de dados.
- Use senhas fortes e autenticação de dois fatores: Proteja suas contas com senhas complexas e ative a verificação em duas etapas.
- Cuidado com phishing e links suspeitos: Esteja atento a tentativas de fraude que visam obter seus dados.
- Mantenha software atualizado: Atualizações frequentemente incluem correções de segurança.
Para organizações:
- Mapeamento de dados: Entenda quais dados são coletados, onde são armazenados e como são usados.
- Adesão a regulamentações: Cumpra rigorosamente leis como GDPR (na Europa) e LGPD (no Brasil), que estabelecem padrões para o tratamento de dados.
- Privacy by Design: Integre a privacidade desde o design de novos sistemas, produtos e serviços.
- Consentimento claro: Obtenha consentimento explícito e informado dos usuários sempre que necessário.
- Segurança da informação: Implemente medidas de segurança cibernética robustas para proteger os dados.
- Treinamento de funcionários: Capacite os colaboradores sobre a importância da privacidade e as políticas internas.
- Políticas de retenção e descarte: Defina por quanto tempo os dados serão armazenados e como serão descartados de forma segura.
- Resposta a incidentes: Tenha um plano claro para lidar com vazamentos ou violações de dados.
O que diz o Artigo 42 da lei geral de proteção de dados pessoais (LGPD)?
O Artigo 42 da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), a LGPD, trata da responsabilidade civil dos agentes de tratamento de dados.
Ele estabelece que:
“O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.”
Em termos mais simples, este artigo define que a empresa (controlador) ou a pessoa/empresa que realiza o tratamento de dados em nome da empresa (operador) que, por suas ações ou omissões no tratamento de dados pessoais, causar algum tipo de dano a um indivíduo, será responsável por compensar esse dano.
A responsabilidade pode ser solidária, ou seja, controlador e operador podem ser responsabilizados juntos.
Este artigo é crucial porque reforça a responsabilidade (accountability) como um dos pilares da privacidade de dados, impondo consequências legais e financeiras para o descumprimento da LGPD e a ocorrência de danos aos titulares dos dados.
Ele serve como um forte incentivo para que as organizações adotem práticas robustas de proteção de dados.
