2023-01-17

O Comité Europeu para a Proteção de Dados (“CEPD”) pronunciou-se sobre a (i)licitude do tratamento de dados pessoais para fins publicitários (publicidade direcionada) pelo Facebook, em particular, se a execução de um contrato entre o utilizador da plataforma e o Facebook constitui fundamento jurídico para justificar aquele tratamento de dadosDecisão Vinculativa 3/2022 (“Decisão” ou “Decisão Vinculativa”).

Esta Decisão surge na sequência de três queixas apresentadas contra a META (que controla, entre outros, o Facebook e o Instagram) pelo grupo de defesa da privacidade “NOYB - European Center for Digital Rights”, em maio de 2018, no culminar da data de aplicação do Regulamento Geral sobre a Proteção de Dados – “RGPD”.

Neste contexto, a autoridade de proteção de dados irlandesa emitiu um projeto de decisão, no qual considerou a execução de um contrato um fundamento válido para o tratamento dos dados pessoais. Propôs, todavia, a aplicação de uma multa (entre os 26 e 36 milhões de euros), por falta de transparência, ao Facebook.

Algumas autoridades de controlo europeias, discordando do teor desta decisão, pediram ao CEPD que se pronunciasse sobre a matéria.

O RGPD estabelece os fundamentos de licitude para o tratamento de dados pessoais, de entre os quais, a execução de um contrato quando o tratamento seja necessário a essa execução. Isto não significa, todavia, que um responsável pelo tratamento possa, de forma discricionária, escolher o fundamento de licitude que melhor servirá os seus interesses comerciais.

A Decisão Vinculativa considerou que as plataformas da META não podem usar os seus “Termos de Serviço” como justificação da publicidade direcionada. A publicidade direcionada promovida pela META no contexto do Facebook não é, em termos objetivos, necessária à execução do alegado contrato com os seus utilizadores; não constituindo um elemento essencial à execução do contrato.

Com efeito, o CEPD considerou que não existe um fundamento de licitude para o tratamento dos dados pessoais, tendo estes sido ilicitamente tratados pelo Facebook. Os utilizadores devem ter a opção de consentir, ou não, no tratamento de dados para fins publicitários.

Esta Decisão Vinculativa destina-se à autoridade de proteção de dados irlandesa que deverá emitir a sua decisão final. Recentemente, a mesma autoridade de controlo aplicou uma multa de 390 milhões de euros à META IRLANDA por violação do RGPD pelo Facebook e Instagram.

pesquisa