A trajetória de sanções impostas à Meta Platforms Inc., proprietária do Facebook, Instagram, Threads e WhatsApp, pelas autoridades da União Europeia, evidencia recorrentes violações de privacidade. A Comissão de Proteção de Dados (DPC) da Irlanda multou a Meta em 1,2 bilhão de euros pela transferência ilegal de dados de usuários europeus para os EUA. A DPC havia multado o Instagram em 405 milhões de euros por tratar inadequadamente dados de crianças. A Meta também foi multada em 390 milhões de euros por irregularidade na aplicação do consentimento como hipótese legal de tratamento por obrigar ilegalmente usuários a aceitarem o uso de seus dados pessoais após queixas da Noyb, e teve de implementar uma opção de consentimento “sim/não” para a personalização de anúncios.
A inteligência artificial (IA) generativa, usando aprendizado de máquina, permite a IAs como ChatGPT, Gemini e DALL-E criarem textos, imagens, códigos, músicas e muito mais. Esses sistemas respondem a solicitações em linguagem natural, gerando conteúdo de forma autônoma, mas dependem de grandes volumes de dados para treinamento.
A hipótese legal do legítimo interesse, conforme artigos 7.º, IX, e 10 da Lei Geral de Proteção de Dados Pessoais (LGPD), permite o tratamento de dados pessoais desde que os interesses do controlador não prevaleçam sobre os direitos dos titulares, mas há necessidade de um teste de balanceamento no qual é analisada a finalidade legítima, verificando se o interesse do controlador é justificável; a necessidade do tratamento dos dados pessoais; o balanceamento, se os benefícios superam os riscos; e as salvaguardas, incluindo transparência, minimização e a opção de opt-out. Para exercer o direito de oposição ao tratamento de dados, conforme § 2.º do artigo 18 da LGPD, os titulares precisam que o controlador ofereça essa opção, o que não foi constatado.
No voto n.º 11/2024, a diretora Miriam Wimmer, da Autoridade Nacional de Proteção de Dados (ANPD), destacou a inadequação do uso do legítimo interesse pela Meta no tratamento de dados de crianças e adolescentes, resultando na suspensão imediata desse tratamento por risco de danos graves aos titulares. O tratamento de dados de crianças exige salvaguardas adicionais, conforme o artigo14 da LGPD, que estabelece o melhor interesse da criança como prioridade. O legítimo interesse pode ser usado, mas com extrema cautela e transparência, assegurando medidas para proteger os direitos dos menores. A Convenção sobre os Direitos da Criança, ratificada pelo Brasil, reforça que o melhor interesse da criança deve ser primordial. Essa convenção, aprovada pela Organização das Nações Unidas (ONU) em 1989, estabelece, em seu artigo 3.º, que “todas as ações relativas às crianças, levadas a efeito por instituições públicas ou privadas de bem-estar social, tribunais, autoridades administrativas ou órgãos legislativos, devem considerar, primordialmente, o interesse maior da criança”, alinhando-se com a LGPD.
A elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é essencial para avaliar e mitigar riscos associados a tratamentos de alto risco, garantindo a conformidade com a LGPD. O RIPD deverá ser elaborado em atividades de alto risco com base no legítimo interesse, com fundamento no artigo 10, § 3.º da LGPD e critérios do artigo 4.º da Resolução 2 da ANPD (enquanto não houver regulamento específico, conforme o artigo 55-J, XII, da LGPD), especialmente no treinamento com dados de usuários para IA generativa quando se soma mais de um critério específico aos gerais.
Por outro lado, o tratamento com base no legítimo interesse não pode envolver dados pessoais sensíveis, como aqueles relacionados à origem racial ou étnica, convicções religiosas, opinião política, dados de saúde, vida sexual, dados genéticos ou biométricos, pois esses requerem proteção qualificada, sendo que o tratamento indevido pode ferir aspectos íntimos da personalidade do titular. O artigo 11 da LGPD restringe o tratamento desses dados a hipóteses específicas, não incluindo o legítimo interesse, exceto para prevenção à fraude e segurança (alínea “g” do inciso II), o que não ampara o tratamento em tela. Se for eleito o consentimento para tratar essas informações, ele deve ser específico e destacado, além de prévio, livre, informado e inequívoco, conforme artigos 11, I, 5.º, XII e 18, VIII da LGPD, e acompanhado da possibilidade de revogação, conforme artigos 8.º e 18, IX da LGPD.
A decisão do Conselho Diretor da ANPD de suspender o tratamento de dados pela Meta põe em relevo a importância da conformidade com a LGPD e da implementação de medidas robustas de transparência e segurança. Em um ambiente digital em constante evolução, é crucial que as empresas operem de forma responsável e respeitem os direitos fundamentais dos titulares de dados pessoais. A análise jurídica da aplicação do legítimo interesse pela Meta evidencia a necessidade de uma abordagem rigorosa e cuidadosa, garantindo a proteção efetiva dos dados pessoais e promovendo a confiança no uso ético da tecnologia.
*
SÃO, RESPECTIVAMENTE, PROFESSOR TITULAR SÊNIOR DA FACULDADE DE DIREITO DA USP, EX-PRESIDENTE DO TRIBUNAL REGIONAL FEDERAL DA 3.ª REGIÃO; E PROFESSORA AUTORA DE PROTEÇÃO DE DADOS DA FGV DIREITO RIO, PÓS-DOUTORA EM DIREITO PELA UFRGS, DOUTORA EM ENGENHARIA DA INFORMAÇÃO E INTELIGÊNCIA ARTIFICIAL PELA UFABC
