5 anos do caso Cambridge Analytica: como garantir que meus dados estão seguros?

Vazamento de dados de mais de 50 milhões de pessoas colocaram em alerta autoridades e usuários.

Em 2018, a Cambridge Analytica,  empresa de consultoria política com sede no Reino Unido, utilizou informações de mais de 50 milhões de pessoas sem o devido consentimento para fins de propaganda política. 

A empresa havia sido contratada para a campanha de Donald Trump nas eleições de 2016 e pelo grupo que promovia a saída do Reino Unido da União Europeia (Brexit).

Os dados dos usuários foram coletados após a empresa lançar um aplicativo de teste psicológico no Facebook, o que permitiu a criação de um sistema em que se tornava possível influenciar as escolhas dos eleitores, segundo denúncia e investigação dos jornais The Guardian e The New York Times.

Em 2019  a empresa Facebook inc. (hoje denominada Meta inc.) foi condenada a pagar multa de 5 bilhões de dólares (aproximadamente 26 bilhões de reais) por ter violado as regras de privacidade de seus usuários, 

Bruno Prado Guedes de Azevedo (33), advogado especialista em Direito Processual, Advocacia Digital e Proteção de Dados esclarece que:

“Esse caso diz muito mais do que simplesmente sobre o compartilhamento não autorizado de dados pessoais dos usuários das redes sociais […] mas especialmente sobre o tratamento desses dados para o estabelecimento de profiling.”

Profiling

Consiste na criação de perfil de cada usuário e o tratamento dessas informações para influenciá-los conforme suas preferências pessoais sobre política, cultura, religião entre outras.

“A disponibilização dos dados pessoais às grandes companhias que hoje operam pela internet colocam em risco a autonomia do titular dessas informações sobre o seu uso e violam diretamente a sua autodeterminação e sua privacidade.”, complementa Bruno Azevedo.

LGPD

A advogada Amanda Thereza Lenci Paccola (30), membro da ANPPD®️ – Associação Nacional dos Profissionais de Privacidade de Dados e da ANADD – Associação Nacional de Advogados do Direito Digital,  explica que no Brasil não existia nenhuma legislação específica relacionada à proteção de dados.

“A falta de uma legislação como essa também começou a trazer problemas internacionais, afetando relações comerciais com países que já tinham um nível de segurança mais alto com legislações específicas como o GDPR”, explica Amanda Paccola.

Inspirada na GDPR (General Data Protection Regulation), legislação europeia sobre a proteção de dados, entra em vigor no país em setembro de 2020 a Lei Geral de Proteção de Dados Pessoais (LGPD).

Sob fiscalização da Autoridade Nacional de Proteção de Dados (ANPD), as empresas que descumprirem a Lei estão sujeitas a  sanções administrativas com penas que podem variar entre advertências, multas de até cinquenta milhões de reais por infração até a proibição total do exercício de atividades relacionadas a tratamento de dados.

“Esta última que, a depender da atividade econômica da empresa infratora, pode representar a paralisação total do seu funcionamento e o risco de prejuízos maior do que qualquer multa.”, pontua Bruno Azevedo.

O advogado ressalta que a LGPD trabalha com o preceito de auto regulação regulada, ou seja, é dever daqueles que tratam dados pessoais para fins econômicos se adequarem à lei independente da fiscalização da ANPD. 

“O que vai fazer, de fato, uma empresa ser condenada ou sancionada é a averiguação se ela estava adequada à lei, se havia implementado protocolos para diminuir o risco de tais incidentes, se houve dano efetivo ao titular e como ela agiu após o incidente”, esclarece Amanda Paccola.

Rhodrigo Deda, advogado na área de Novos Negócios e doutorando em Engenharia de Software pela Universidade Tecnológica Federal do Paraná (UTFPR) ressalta que a ANPD deve neste ano começar a aplicação de sanções contra organizações que descumpram a lei.

Rhodrigo Deda destaca que a LGPD impõe o dever de fornecer ao titular do dado como as informações serão tratadas, por isso, que geralmente as empresas apresentam sua política de privacidade própria, onde informam o que será coletado, para quais finalidades e por quanto tempo são mantidos.

“Quando uma empresa tem sede no Brasil e trata dados de titulares que estão no país, ou mesmo se não tiverem sede aqui, mas oferecem produtos para o público brasileiro, a LGPD precisa ser respeitada” É por isso que geralmente as empresas apresentam sua política de privacidade, onde vão trazer informações a que se refere o artigo 9º da LGPD, informando quais dados são coletados, para quais finalidades, por quanto tempo são mantidos, entre outras informações.

Compartilhamento de dados entre empresas

“Imagine, por exemplo, que uma empresa produz os instrumentos com sensores, que captam movimento, batimento cardíaco, expressões faciais. Essa empresa compartilha esses dados com outra, que produz a experiência de metaverso. Por outro lado, os mesmos dados podem ser usados por uma terceira empresa, cujo foco somente é o de sugerir publicidade na realidade virtual. Se pensarmos somente no dever de informar, que é apenas uma pequena parcela regulatória de privacidade, esse emaranhado de compartilhamentos já traz desafios para as empresas.” , exemplifica Rhodrigo Deda.

O advogado ressalta que será preciso que profissionais experientes consigam entender a cadeia de compartilhamento e os contratos entre as empresas, a fim de informar bem o cidadão, bem como para produzir mecanismos de conformidade com a lei satisfatórios.

Realidades Virtuais 

Mesmo em um ambiente digital, como nos metaversos*, a LGPD se aplica a essas plataformas, explica Amanda Paccola.

“Qualquer plataforma, ainda que seja uma plataforma estrangeira, se ela tiver ofertando um serviço dentro do nosso território nacional, ela vai se submeter a LGPD.”, comenta a especialista.

Bruno Azevedo explica que a Lei Geral de Proteção de Dados tem uma aplicação muito mais ampla do que leis que disciplinam as relações tradicionais, pois já foi idealizada com base e preceitos de um mundo globalizado e digital. 

*Metaversos: realidades virtuais ligadas ao nosso mundo físico nas quais acontecem interações, conversas, reuniões, jogos, comércios (como NFTs), comércio eletrônico, compra de imóveis etc. O termo surgiu em 1992 em uma peça de ficção científica chamada “Snow Crash”, em português conhecida como A Nevasca.