Meta leva multa de € 1,2 bilhão e é ordenada a suspender transferência de dados na Europa

A GDPR – legislação de privacidade de dados da União Europeia (UE) – condenou a Meta à maior multa já aplicada sob a lei em toda a sua história: € 1,2 bilhão (R$ 6,43 bilhões), mais a suspensão da transferência de dados de usuários do Facebook entre os EUA e a Europa.

A decisão, tomada pelo Comitê Europeu de Proteção de Dados (EDPB, na sigla em inglês), acata a acusação de que a empresa liderada por Mark Zuckerberg violou “constantemente” estipulações previstas em acordos impostos pela UE no que tange à transferência de dados de usuários sob proteção do bloco a chamados “países terceiros” – algo que, estudos já mostraram, o próprio Facebook tem problemas em saber.

Mark Zuckerberg, CEO e fundador da Meta (Imagem: Anthony Quintano/Wikimedia Commons)

Para entender isso de forma simples: a Meta é sediada nos EUA, mas tem produtos globais que, de uma forma ou de outra, estão presentes na Europa. Logo, os dados transferidos entre os usuários e a empresa trafegam limites internacionais e, por isso, legislações específicas devem ser colocadas em prática. Como o “usuário” tende a ter a preferência de privacidade e, neste caso, ele está na Europa, então a abrangência legal que vale é a GDPR, a lei que governa a prática legal de proteção de dados no “Velho Continente”.

Este é mais um capítulo em uma discussão que já dura mais de uma década, iniciada na Irlanda. Legalmente falando, as big tech – categoria onde encontramos marcas como Google, Apple e…bem, a Meta – têm a habilidade de transferir a localização de seus servidores, o que lhes permite explorar brechas nas legislações de diversos países.

A fim de contornar isso, a União Europeia desenvolveu – em conjunto com os EUA – o chamado “Escudo de Privacidade EUA-UE”, uma espécie de ato legal que “apertaria” os trâmites legais contra ações como a movimentação de servidores e, ao menos no papel, tornar a transferência internacional de dados mais ética e mais segura.

As empresas, no entanto, vivem brigando com essa legislação na justiça, alegando – mas sem explicar o motivo exato – que seus negócios não poderiam operar se obedecessem à ela.

Daí a parte “histórica” da decisão: legisladores irlandeses fizeram a argumentação de que a Meta se vale desses contornos legais para violar atribuições de privacidade de usuário que são obrigatórias segundo a GDPR e, como essa lei tem vigência por todo o bloco europeu, a UE – por meio do EDPB – reconheceu a argumentação.

Pelo comunicado do EDPB:

“O EDPB entendeu que a violação cometida pela Meta IE [a sede irlandesa da empresa] é bastante séria, já que envolve preocupações sobre transferências [de dados] sistemáticas, redundantes e continuadas. O Facebook tem milhões de usuários na Europa, então o volume de informações pessoais trafegadas é massivo. A multa sem precedentes é um aviso poderoso de que violações sérias terão consequências duradouras.”

Obviamente, a condenação é em primeira instância e ainda cabe à Meta entrar com recurso – e, obviamente, ela vai – mas os termos da decisão preveem não apenas o pagamento da multa bilionária, mas também que a Meta entre em conformidade com a GDPR “em até seis meses”, período este em que a transferência de dados EUA-UE estaria suspensa.

A Meta confirmou a apelação em um post no blog oficial, chamando a decisão de “injusta e desnecessária”, ainda alegando que “a culpa” do problema estaria em alguma espécie de atrito internacional entre os EUA e a Europa ao invés de suas próprias práticas.

O problema com essa argumentação é o de que, embora reconhecida pela UE, a decisão implica apenas os negócios da Meta na Irlanda. Outras partes do bloco europeu ainda continuarão em pleno funcionamento. Mais além, a condenação vale apenas para o Facebook – Instagram e WhatsApp seguem sem menção direta.

Vale citar: não é a primeira condenação da Meta sob a mesma lei. E essa mesma lei tem uma série de outras empresas tão reconhecidas quanto em seu rol de penalizações.

O medo, no entanto, é outro: juridicamente falando, a decisão mais localizada pode abrir um precedente para que países maiores – e, consequentemente, com um impacto maior no faturamento da Meta – comecem a entender que também podem pesar a mão em sentenças de processos similares sob a GDPR. E é isso que a Meta não quer.