Um site de dicionário com 1.741 parceiros de partilha de dados

O grupo austríaco de defesa da privacidade noyb apresentou uma queixa ao abrigo do RGPD contra o dict.cc, o popular dicionário online, sobre a forma como recolhe o consentimento para o rastreamento online. O problema não é o site pedir autorização. É o que acontece quando um utilizador tenta realmente compreender aquilo com que está a concordar.

De acordo com os cálculos da noyb, o banner de consentimento do dict.cc nomeia 1.741 "parceiros" distintos que podem receber ou processar dados dos visitantes. Para tomar uma decisão informada, um utilizador teria, em teoria, de ler as políticas de privacidade de cada um desses parceiros antes de clicar em aceitar. A noyb estima que só essa tarefa demoraria cerca de 172 horas, mais do que uma semana inteira de leitura ininterrupta, apenas para avaliar uma única visita a um site de dicionário.

Este fosso entre o que a lei exige e o que a interface realmente permite está no centro da queixa e levanta uma questão que vai muito além de um único site: pode o consentimento que demora dias a ser devidamente avaliado alguma vez ser considerado informado?

Por que é que isto parece um padrão obscuro e não uma falha de design

O princípio fundamental do RGPD, consagrado no Artigo 5.º, n.º 1, alínea a), exige que os dados pessoais sejam tratados de forma lícita, leal e transparente. O consentimento ao abrigo da lei só é válido se for livre, específico e informado. A queixa da noyb defende que um banner que enumera mais de mil parceiros torna estruturalmente impossível um consentimento informado. Aos utilizadores restam duas opções reais: clicar em aceitar sem compreender aquilo com que concordam ou abandonar totalmente o site.

Esta é uma forma familiar no ecossistema do rastreamento online. As paredes de consentimento com listas enormes de parceiros não são uma complexidade acidental. Funcionam como atrito, concebido para tornar a recusa ou a análise cuidadosa tão morosa que a aceitação se torna o caminho de menor resistência. O mecanismo ecoa o que os investigadores encontraram noutras investigações sobre rastreamento, incluindo a reportagem sobre como o TikTok rastreia utilizadores mesmo sem uma aplicação instalada através de pixels que a maioria das pessoas nunca vê ou aos quais nunca consente de forma significativa. Em ambos os casos, a arquitetura técnica da recolha de dados ultrapassa a capacidade realista de qualquer utilizador para a analisar.

A escala da lista de parceiros do dict.cc também reflete um padrão mais amplo na forma como os dados pessoais fluem através dos ecossistemas comerciais assim que a recolha começa. Quando dezenas ou centenas de terceiros são contratualmente integrados numa cadeia de ad-tech ou análise, o operador original do site perde frequentemente a visibilidade prática sobre a forma como esses dados são utilizados a jusante, mesmo que continue a ser legalmente responsável pela recolha inicial do consentimento.

O que a autoridade reguladora austríaca tem agora de decidir

A queixa coloca a autoridade de proteção de dados austríaca numa posição difícil. As entidades reguladoras têm geralmente aceitado que os banners de consentimento possam listar terceiros, uma vez que o RGPD não proíbe totalmente ecossistemas publicitários complexos. Mas a queixa da noyb obriga a uma questão mais específica: a partir de que ponto uma lista de parceiros se torna tão vasta que o consentimento recolhido através dela deixa de ser legalmente válido, independentemente da forma como o banner é redigido ou concebido?

Se a autoridade reguladora der razão à noyb, a decisão poderá ter repercussões em todo o setor da publicidade digital, onde listas extensas de parceiros associadas a quadros como o Transparency and Consent Framework do IAB são uma prática comum, e não uma peculiaridade do dict.cc. Muitos editores dependem de listas de parceiros igualmente longas para rentabilizar o tráfego através da publicidade programática. Uma decisão contra o dict.cc poderá pressionar sites em toda a Europa a reduzir o número de parceiros, simplificar os fluxos de consentimento ou enfrentar queixas semelhantes.

Não é a primeira vez que as entidades reguladoras têm de lidar com práticas de dados que, tecnicamente, cumprem as regras de divulgação, mas que, na prática, derrotam o seu propósito. Os casos de dados de trabalhadores e estudantes, como o escrutínio em torno das práticas de rastreamento de alunos do PowerSchool, mostram uma tensão semelhante: o consentimento ou o aviso existem no papel, mas a capacidade real da pessoa afetada para compreender ou contestar a recolha de dados é mínima.

O que é que isto significa para si

Se alguma vez clicou em "Aceitar Todos" num banner de cookies sem ler uma palavra, não está sozinho e, de acordo com esta queixa, também não é totalmente culpado. O design de muitos banners de consentimento pressupõe, e indiscutivelmente depende, exatamente desse comportamento.

Alguns passos práticos podem ajudar:

  • Procure uma opção "Rejeitar Todos" ou "Gerir Preferências" antes de clicar num banner. Muitos sites escondem-na, mas o RGPD exige que exista.
  • Utilize ferramentas ou extensões de privacidade do navegador que bloqueiam rastreadores de terceiros por predefinição, reduzindo a quantidade de dados que chega a essas redes de parceiros.
  • Preste atenção ao número de "parceiros" que um banner de consentimento nomeia. Um número na casa dos milhares, como no caso do dict.cc, é um sinal de que o acordo de partilha de dados do site está mais próximo de um mercado de ad-tech do que de uma simples configuração de análise.
  • Apoie ou acompanhe ações de fiscalização como as queixas da noyb. A pressão regulatória é frequentemente a única força que altera a forma como estes banners são construídos.

O resultado final

Esta queixa ao abrigo do RGPD contra o dict.cc não é realmente sobre um site de dicionário. É um caso de teste para saber se o "consentimento" pode sobreviver ao contacto com a escala da publicidade digital moderna. Quando concordar com um banner de cookies exigiria mais de uma semana de leitura para ser feito corretamente, o banner já terá, indiscutivelmente, falhado na sua única função: garantir que os utilizadores sabem aquilo com que estão a concordar. A forma como a autoridade reguladora austríaca decidir aqui poderá determinar se fluxos de consentimento igualmente inchados continuam a ser uma prática padrão ou começam a desaparecer da web.