Em 2020, a noyb (em cooperação com o Conselho Norueguês do Consumidor) apresentou uma queixa contra a empresa de publicidade online Xandr (agora parte da Microsoft) pelo tratamento de dados pessoais do aplicativo de encontros Grindr. Agora, a Autoridade Norueguesa de Proteção de Dados emitiu a sua decisão – e multou a Xandr em 8,5 milhões de euros (92 000 000 NOK) pelas suas violações do RGPD. Esta decisão representa um duro golpe para o setor da tecnologia de publicidade online.
Publicidade online. Muitas aplicações para smartphones enviam dados altamente pessoais dos seus utilizadores a milhares de parceiros publicitários através de identificadores de rastreio online. Um relatório do Conselho Norueguês do Consumidor (NCC) revelou que, sempre que utilizamos aplicações nos nossos telemóveis, são enviados dados pessoais sobre os nossos interesses, hábitos e comportamentos para um grande número de «entidades obscuras». Esta informação é utilizada para criar perfis abrangentes, que podem depois ser utilizados para publicidade direcionada e outros fins.
Três queixas. Em 2020, o NCC e a noyb apresentaram três queixas ao abrigo do RGPD contra a aplicação de encontros Grindr e várias empresas de tecnologia publicitária que receberam dados pessoais através da aplicação. Uma destas queixas dizia respeito à Xandr, uma empresa de publicidade online que agora pertence à Microsoft.
A Xandr violou a lei. Agora, a Autoridade Norueguesa de Proteção de Dados decidiu que a Xandr, da Microsoft, violou o RGPD. A empresa tratou dados pessoais, incluindo informações sensíveis sobre orientação sexual, sem uma base jurídica válida. A Xandr foi condenada a pagar uma multa de cerca de 8,5 milhões de euros.
Felix Mikolasch, advogado especializado em proteção de dados na noyb: «Congratulamo-nos vivamente com esta decisão. As empresas de tecnologia publicitária online, como a Xandr, operam frequentemente nos bastidores e raramente são responsabilizadas pelas suas práticas. Isto estabelece um precedente valioso para casos semelhantes.»
Um duro golpe para o setor da tecnologia publicitária online. A decisão representa um duro golpe para o setor da publicidade online e da vigilância comercial. Muitos sites, aplicações, plataformas, sistemas operativos e outros enviam dados dos utilizadores para empresas de tecnologia publicitária. Estas empresas criam perfis dos utilizadores e acumulam enormes quantidades de dados pessoais, que são partilhados entre milhares de empresas para fins publicitários e outros. A multa atual demonstra que empresas como a Xandr acabam por ser responsabilizadas pelas suas práticas duvidosas. A criação de perfis com base nos interesses, hábitos, localização e comportamento das pessoas requer um consentimento válido — algo que as empresas de tecnologia publicitária quase nunca obtêm.
Finn Myrstad, Diretor de Política Digital do Conselho Norueguês do Consumidor: «Isto envia um sinal forte a todos aqueles cujo modelo de negócio depende do rastreio e da criação de perfis dos consumidores. Para que o consentimento seja verdadeiramente informado e significativo, é difícil perceber como é que a publicidade atual, baseada na vigilância, pode ser considerada legal.»
As grandes empresas tecnológicas estão a exercer forte pressão. Entretanto, a Comissão Europeia pretende alterar o RGPD através do chamado «Omnibus Digital». As grandes empresas tecnológicas têm exercido forte pressão para que a lei seja alterada, de modo a que os identificadores de rastreamento online deixem de se enquadrar no âmbito de aplicação do RGPD – e a Comissão Europeia cedeu à pressão. Em consequência, as empresas de publicidade online duvidosas e a sua perfilagem em massa altamente problemática dos utilizadores poderiam ficar sem restrições. Empresas como a Xandr da Microsoft, a Google, Meta, Apple, a Amazon, Criteo, Grindr e outras empresas deixariam, assim, de poder ser responsabilizadas por violações relacionadas com estes identificadores de rastreio online. Esta proposta da Comissão Europeia está atualmente a ser debatida pelo Parlamento Europeu e pelo Conselho.