O que o RGPD realmente exige que as empresas façam

O Regulamento Geral sobre a Proteção de Dados estabelece regras que parecem simples no papel: as organizações devem recolher apenas os dados pessoais de que necessitam, informar as pessoas claramente sobre como esses dados serão utilizados, protegê-los adequadamente e dar aos indivíduos o direito de aceder, corrigir ou eliminar as suas próprias informações. As empresas que operam na UE, ou que tratam dados pertencentes a residentes da UE, estão legalmente vinculadas a estes requisitos, independentemente de onde a empresa tenha a sua sede.

Mas os casos de multas por incumprimento do RGPD em 2024 mostram que a diferença entre ter uma política de privacidade e cumprir efetivamente o RGPD pode ser enorme. Os reguladores em toda a Europa passaram os últimos anos a transformar princípios abstratos como 'minimização de dados' e 'fundamento jurídico para o tratamento' em obrigações legais concretas com consequências financeiras reais. A dimensão e a frequência das sanções recentes sugerem que as autoridades de proteção de dados já não tratam o RGPD como um exercício burocrático. Estão ativamente a investigar como as empresas tratam os dados nos bastidores.

Ações de fiscalização recentes: Uber, LinkedIn e mais

Um dos exemplos mais claros desta mudança é o caso contra a Uber. A Autoridade de Proteção de Dados neerlandesa multou a empresa de transporte em 825 milhões de euros, uma das maiores sanções ao abrigo do RGPD já emitidas. A penalização centrou-se na forma como a Uber tratou os dados relacionados com condutores que foram automaticamente desativados pelos sistemas da plataforma, levantando questões sobre transparência, tomada de decisão automatizada e se os condutores afetados tinham uma forma significativa de compreender ou contestar as decisões tomadas sobre as suas contas.

No mesmo período, a LinkedIn enfrentou o seu próprio escrutínio no que foi apelidado de controvérsia 'Browsergate'. As alegações centravam-se em afirmações de que a plataforma de networking profissional estava a analisar secretamente as extensões de navegador instaladas pelos utilizadores, levantando questões sobre se os utilizadores tinham dado consentimento informado para este tipo de recolha de dados. Independentemente de todas as alegações serem ou não comprovadas, o caso ilustra como os reguladores e investigadores de privacidade estão cada vez mais focados na recolha de dados em segundo plano que os utilizadores comuns não teriam forma de detetar por si próprios.

Estes casos surgem ao lado de um padrão mais alargado de autoridades europeias a perseguir empresas por práticas de tratamento de dados que outrora poderiam ter passado sem contestação. Separadamente, incidentes como a violação que afetou o registo estatal da Lituânia, que comprometeu centenas de milhares de registos e foi ligada a um ator estrangeiro, sublinham que a fiscalização não se limita à utilização intencional indevida de dados. Falhas de segurança e violações envolvendo o registo estatal da Lituânia enquadram-se no mesmo guarda-chuva regulamentar, uma vez que o RGPD exige que as organizações protejam os dados pessoais contra acessos não autorizados em primeiro lugar.

Como estas multas revelam violações comuns do RGPD

Olhando para estas ações de fiscalização, emergem alguns temas recorrentes. Em primeiro lugar, os sistemas automatizados que tomam decisões sobre pessoas, como desativações de contas, precisam de explicações claras e supervisão humana, não apenas resultados algorítmicos. Em segundo lugar, a recolha de dados que ocorre de forma invisível, sem o conhecimento direto ou consentimento explícito do utilizador, atrai atenção regulatória acrescida, independentemente das intenções declaradas da empresa. Em terceiro lugar, não proteger adequadamente os dados pessoais, seja através de controlos internos fracos ou ataques externos, pode desencadear o mesmo nível de responsabilidade que a utilização intencional indevida desses dados.

O que une estes casos é que os reguladores não estão apenas a penalizar empresas por terem más políticas escritas. Estão a penalizar empresas pelo que realmente acontece aos dados das pessoas na prática, seja um algoritmo opaco, uma ferramenta de análise oculta ou uma base de dados insuficientemente protegida.

O que a fiscalização do RGPD significa para os seus dados pessoais

Para os utilizadores comuns, estas ações de fiscalização são um lembrete de que o RGPD não é apenas uma proteção teórica. Dá-lhe direitos efetivos, incluindo o direito de saber que dados uma empresa detém sobre si, o direito de solicitar correções ou eliminação, e o direito de apresentar uma queixa junto de uma autoridade nacional de proteção de dados se acreditar que esses direitos foram violados. Em França, por exemplo, essa autoridade é a CNIL, e compreender como funciona uma autoridade nacional de proteção de dados como a CNIL pode ajudá-lo a saber a quem recorrer se tiver preocupações sobre as práticas de dados de uma empresa no seu próprio país.

A dimensão de multas como a da Uber também sinaliza às empresas que cortar atalhos na proteção de dados acarreta risco financeiro real, o que, por sua vez, cria incentivo para melhores práticas em toda a indústria, mesmo que o cumprimento ainda varie significativamente entre organizações.

Principais conclusões

Se quiser proteger os seus próprios dados à luz destas tendências de fiscalização, considere tomar algumas medidas concretas. Reveja as definições de privacidade e permissões concedidas a aplicações e plataformas que utiliza regularmente, particularmente aquelas ligadas à sua vida profissional ou financeira. Leia as atualizações das políticas de privacidade quando as empresas as enviarem, uma vez que estas refletem frequentemente alterações feitas em resposta à pressão regulatória. E saiba que tem o direito de apresentar uma queixa junto da autoridade de proteção de dados do seu país se acreditar que uma empresa tratou mal as suas informações. Os casos de multas por incumprimento do RGPD em 2024, como o da Uber, mostram que estas queixas podem levar a uma responsabilização real, não apenas a sanções simbólicas.