GRUPO DE TRABALHO DO ARTIGO 29.º PARA A PROTECÇÃO DE DADOS. Parecer 2/2010 sobre publicidade comportamental em linha - PDF
GRUPO DE TRABALHO DO ARTIGO 29.º PARA A PROTECÇÃO DE DADOS. Parecer 2/2010 sobre publicidade comportamental em linha
Download "GRUPO DE TRABALHO DO ARTIGO 29.º PARA A PROTECÇÃO DE DADOS. Parecer 2/2010 sobre publicidade comportamental em linha"
Milton Igor Benke Castilho
1 GRUPO DE TRABALHO DO ARTIGO 29.º PARA A PROTECÇÃO DE DADOS 0909/10/PT WP 171 Parecer 2/2010 sobre publicidade comportamental em linha Adoptado em 22 de Junho de 2010 O grupo de trabalho foi instituído pelo artigo 29.º da Directiva 95/46/CE. Trata-se de um órgão consultivo europeu independente em matéria de protecção de dados e de privacidade. As suas tarefas são definidas no artigo 30.º da Directiva 95/46/CE e no artigo 15.º da Directiva 2002/58/CE. O secretariado é assegurado pela Direcção D (Direitos Fundamentais e Cidadania) da Comissão Europeia, Direcção-Geral da Justiça, da Liberdade e da Segurança, B-1049 Bruxelas, Bélgica, Gabinete LX-46 01/190. Sítio Web:
2 Índice Síntese Introdução Publicidade comportamental em linha Sistemas de distribuição de anúncios no contexto da publicidade comportamental Tecnologias de monitorização Criação de perfis, tipos de identificadores Quadro normativo Introdução Âmbito de aplicação do artigo 5.º, n.º 3, e da Directiva 95/46/CE Âmbito de aplicação material do artigo 5.º, n.º Âmbito de aplicação material da Directiva 95/46/CE: o tratamento de dados pessoais Interacção entre as duas directivas Âmbito de aplicação territorial do artigo 5.º, n.º 3, e da Directiva 95/46/CE Papel e responsabilidade dos diferentes intervenientes Obrigação de obter o consentimento prévio informado A obrigação de obter o consentimento prévio das pessoas em causa no contexto da publicidade comportamental Os mecanismos de aceitação prévia são mais adequados à prestação de um consentimento informado Consentimento informado: crianças A obrigação de prestar informações no contexto da publicidade comportamental Que informações devem ser prestadas e por quem? Outras obrigações e princípios resultantes da Directiva 95/46/CE Obrigações relativas a categorias específicas de dados Cumprimento dos princípios relativos à qualidade dos dados Direitos das pessoas em causa Outras obrigações Conclusões e recomendações Legislação aplicável Jurisdição, questão territorial estabelecimento Papel e responsabilidade Obrigações e direitos...26
3 Síntese A publicidade comportamental implica a monitorização dos utilizadores quando navegam na Internet e a criação de perfis ao longo do tempo, que são mais tarde utilizados para lhes apresentar anúncios baseados nos seus interesses. Embora o Grupo de Trabalho do Artigo 29.º não questione os benefícios económicos que a publicidade comportamental poderá trazer às partes interessadas, acredita firmemente que esta prática não pode pôr em causa os direitos dos utilizadores em matéria de privacidade e de protecção de dados. O quadro regulamentar europeu sobre a protecção de dados, que estabelece garantias específicas neste domínio, tem de ser respeitado. Com vista a facilitar e incentivar o seu cumprimento, o presente parecer procura clarificar o quadro jurídico aplicável a todas as entidades envolvidas na publicidade comportamental. Em especial, o parecer salienta que os fornecedores de redes de publicidade estão sujeitos ao artigo 5.º, n.º 3, da Directiva da Privacidade Electrónica, nos termos do qual a instalação de testemunhos de conexão (cookies) ou de dispositivos análogos no equipamento terminal dos utilizadores, bem como a obtenção de informações através de tais dispositivos, depende do consentimento informado dos utilizadores. O parecer chama igualmente a atenção para o facto de, actualmente, a configuração dos programas de navegação e os mecanismos de auto-exclusão só permitirem que o consentimento seja validamente prestado num número muito restrito de casos. O parecer convida os fornecedores de redes de publicidade a criarem mecanismos de aceitação prévia, que exijam que as pessoas em causa pratiquem um acto voluntário, manifestando a intenção de receber testemunhos de conexão ou dispositivos análogos e a aceitação de que o seu comportamento de navegação seja posteriormente monitorizado para fins de apresentação de publicidade personalizada. O parecer considera que a aceitação da recepção de um testemunho de conexão por parte do utilizador poderá também implicar a aceitação de leituras posteriores do mesmo e, consequentemente, da monitorização do seu comportamento de navegação na Internet. Por conseguinte, para cumprir os requisitos do artigo 5.º, n.º 3, não seria necessário solicitar o consentimento para cada leitura do testemunho. No entanto, a fim de manter as pessoas em causa cientes dessa monitorização, os fornecedores de redes de publicidade deveriam: i) estabelecer um prazo de validade para o consentimento; ii) dar a possibilidade de o revogar com facilidade; e iii) criar ferramentas visíveis, que seriam apresentadas sempre que a monitorização tivesse lugar. Esta prática permitiria resolver o problema de sobrecarregar os utilizadores com inúmeros avisos, assegurando simultaneamente que o envio de testemunhos de conexão e a posterior monitorização do comportamento de navegação na Internet para fins de apresentação de publicidade personalizada apenas teria lugar com o consentimento informado das pessoas em causa. Uma vez que a publicidade comportamental se baseia na utilização de identificadores que permitem criar perfis de utilizadores muito pormenorizados (que, em muitos casos, são considerados dados pessoais), a Directiva 95/46/CE também é aplicável. O parecer considera que os fornecedores de redes de publicidade deveriam cumprir as obrigações emergentes desta directiva, nomeadamente no que respeita aos direitos de acesso, rectificação, apagamento, conservação, etc. Tendo em conta que os editores poderão ter uma certa responsabilidade pelo tratamento de dados no contexto da publicidade comportamental, o parecer insta estes agentes a partilhar com os fornecedores de redes de publicidade a responsabilidade pela prestação de informações às pessoas em causa e encoraja a criatividade e a inovação neste domínio. Dada a natureza da publicidade comportamental, o cumprimento dos requisitos de transparência é condição essencial para que as pessoas possam autorizar a recolha e o tratamento dos seus dados pessoais e ter uma verdadeira escolha nesta matéria. O parecer descreve as obrigações de informação dos fornecedores de redes de publicidade/editores relativamente às pessoas em causa, baseando-se, em especial, na 3
4 Directiva da Privacidade Electrónica, que exige o fornecimento de informações «claras e completas» aos utilizadores. O parecer analisa e clarifica as obrigações estabelecidas pelo quadro normativo aplicável. Contudo, não especifica como é que essas obrigações devem ser cumpridas do ponto de vista tecnológico. Em vez disso, em diferentes domínios, o parecer convida a indústria a encetar um diálogo com o Grupo de Trabalho do Artigo 29.º, com vista a propor, com a maior brevidade possível, meios técnicos e outros que permitam cumprir o disposto no quadro normativo descrito no presente parecer. Para tal, o Grupo de Trabalho do Artigo 29.º entrará em contacto com as partes interessadas e solicitará o seu contributo. As entidades que não forem expressamente consultadas poderão enviar o seu contributo para o secretariado do Grupo de Trabalho do Artigo 29.º O GRUPO DE PROTECÇÃO DAS PESSOAS SINGULARES NO QUE DIZ RESPEITO AO TRATAMENTO DE DADOS PESSOAIS Instituído pela Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de , Tendo em conta o artigo 29.º e o artigo 30.º, n.º 1, alínea a), e n.º 3, da referida directiva, bem como o artigo 15.º, n.º 3, da Directiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de Julho de 2002, Tendo em conta o artigo 255.º do Tratado CE e o Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho, de 30 de Maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, Tendo em conta o seu regulamento interno, ADOPTOU O PRESENTE DOCUMENTO: 1. Introdução A publicidade em linha é uma das principais fontes de rendimento de um vasto leque de serviços em linha e um factor importante para o crescimento e expansão da economia da Internet. Porém, na prática, a publicidade comportamental suscita questões importantes em matéria de protecção de dados e privacidade. Graças às tecnologias de base da Internet, os fornecedores de redes de publicidade podem monitorizar as pessoas em causa ao longo do tempo através de diversos sítios Web. As informações recolhidas sobre o comportamento de navegação destas pessoas são analisadas, tendo em vista a criação de perfis exaustivos sobre os seus interesses. Estes perfis podem ser utilizados para apresentar publicidade personalizada às pessoas em causa. Face à crescente utilização da publicidade comportamental baseada em testemunhos persistentes (tracking cookies ou persistent cookies) e dispositivos análogos e tendo em conta o seu elevado grau de intrusão na privacidade das pessoas, o Grupo de Trabalho do Artigo 29.º decidiu dedicar o presente parecer à análise da publicidade comportamental em linha em diversos sítios Web, o que não impede que, em futuros pareceres, venha a analisar outras tecnologias de publicidade. Com o presente parecer, o Grupo de Trabalho do Artigo 29.º pretende clarificar o quadro normativo aplicável aos agentes envolvidos na publicidade comportamental. Convida igualmente a indústria a apresentar propostas, com a maior brevidade possível, sobre meios técnicos e outros que permitam cumprir o quadro normativo aqui descrito, bem como a encetar um diálogo com o Grupo de Trabalho do Artigo 29.º sobre estes meios. Este grupo 1 JO L 281 de , p
5 avaliará oportunamente a situação e adoptará as medidas que se revelarem necessárias e adequadas para assegurar o cumprimento do quadro normativo aqui descrito. 2. Publicidade comportamental em linha A publicidade em meios interactivos abrange um vasto leque de métodos que visam a criação de anúncios mais incisivos. Estes métodos podem ser classificados em várias categorias, incluindo publicidade contextual, publicidade segmentada e publicidade comportamental. A publicidade comportamental tem por base a observação do comportamento das pessoas ao longo do tempo, procurando estudar as características deste comportamento através das suas acções (várias visitas ao mesmo sítio Web, interacções, palavras-chave, produção de conteúdo em linha, etc.), com vista a criar um perfil específico e, deste modo, apresentar-lhes anúncios que correspondem aos interesses implícitos no seu comportamento. Enquanto a publicidade contextual 2 e a publicidade segmentada 3 utilizam «instantâneos» daquilo que as pessoas em causa vêem ou fazem num determinado sítio Web ou características conhecidas dos utilizadores, a publicidade comportamental fornece potencialmente aos anunciantes uma imagem muito detalhada da utilização da Internet, com informações sobre muitos dos sítios Web e páginas específicas consultadas, por quanto tempo foram visualizados determinados artigos ou produtos, por que ordem, etc Sistemas de distribuição de anúncios no contexto da publicidade comportamental A publicidade comportamental envolve os seguintes agentes: a) os fornecedores de redes de publicidade, os distribuidores mais importantes de publicidade comportamental, uma vez que estabelecem a ligação entre os editores e os anunciantes; b) os anunciantes que pretendem promover um produto ou serviço junto de um determinado público-alvo; e c) os editores, os proprietários dos sítios Web que procuram obter receitas com a venda de espaço publicitário no(s) seu(s) sítio(s) Web 4. A apresentação de anúncios através de redes de publicidade funciona basicamente da seguinte forma: o editor reserva espaço no seu sítio Web para exibir um anúncio e confia as restantes etapas do processo publicitário a um ou mais fornecedores de redes de publicidade, que são responsáveis pela distribuição dos anúncios aos editores e procuram maximizar, tanto quanto possível, o seu impacto. Os fornecedores de redes de publicidade controlam a tecnologia de segmentação e as bases de dados conexas. Quando maior for a rede de publicidade, mais recursos terá ao seu dispor para monitorizar os utilizadores e o seu comportamento 5. Em 2. A publicidade contextual é constituída por anúncios seleccionados com base no conteúdo que a pessoa em causa está a visualizar naquele momento. No caso de um motor de pesquisa, o conteúdo pode ser inferido a partir das palavras-chave utilizadas na pesquisa, a interrogação anterior ou o endereço IP do utilizador caso indique a sua provável localização geográfica. 3 Publicidade seleccionada com base em características conhecidas da pessoa em causa (idade, sexo, localização, etc.), que esta forneceu na fase de registo. 4 Para além das redes de publicidade, a publicidade comportamental também pode recorrer à colocação de anúncios em sítios Web. Neste método, o anunciante informa o editor do seu público-alvo com base em critérios que poderão ir além de informações demográficas, tais como o tradicional trio «grupo etário, sexo e país» ou critérios muito mais precisos (tais como palavras-chave ou interesses). O editor procura então exibir os anúncios ao público-alvo escolhido, implementando a tecnologia de segmentação e controlando a colocação e distribuição dos anúncios. Este método é utilizado em algumas plataformas de redes sociais, permitindo a segmentação de utilizadores com base nos seus interesses. 5 New York Times, «To Aim Ads, Web is Keeping Closer Eye on You», 10 de Março de Este artigo fornece informações estatísticas sobre a frequência com que as grandes redes de publicidade monitorizam as visitas de uma pessoa a um sítio Web. No caso da rede de publicidade Yahoo!, o utilizador 5
6 regra, o anunciante negocia com uma ou mais redes de publicidade e não conhece necessariamente a identidade de todos os editores que irão distribuir os seus anúncios (ou até mesmo de nenhum deles). Por sua vez, o editor poderá ter celebrado vários contratos com diferentes redes de publicidade, por exemplo reservando espaço no sítio Web para diferentes redes de publicidade. A colaboração entre redes de publicidade através de um sistema de concursos é uma prática cada vez mais comum Tecnologias de monitorização A maioria das tecnologias de monitorização e publicidade utilizadas no contexto da publicidade comportamental implica algum tipo de tratamento de dados relativos ao cliente. Estas tecnologias utilizam informações armazenadas no programa de navegação e no equipamento terminal do utilizador. Em especial, a tecnologia mais utilizada para monitorizar os utilizadores na Internet baseia-se em «testemunhos persistentes». Os testemunhos permitem monitorizar a navegação de um utilizador na Internet durante um período de tempo alargado e, em teoria, através de vários domínios 7. Geralmente, funciona da seguinte forma: em regra, o fornecedor da rede de publicidade instala um testemunho persistente no equipamento terminal da pessoa em causa 8 quando esta visita pela primeira vez um sítio Web que exibe um anúncio da sua rede. O testemunho é um pequeno texto alfanumérico, que é armazenado no equipamento terminal da pessoa em causa por um fornecedor de redes de publicidade (e ao qual este tem posteriormente acesso) 9. No contexto da publicidade comportamental, o testemunho permitirá ao fornecedor da rede de publicidade reconhecer um utilizador que visite novamente aquele sítio Web ou qualquer outro sítio Web que seja parceiro da rede de publicidade. Com base nestas sucessivas visitas, o fornecedor da rede de publicidade poderá criar um perfil do visitante, que será utilizado para apresentar publicidade personalizada. Uma vez que estes testemunhos persistentes são instalados por uma entidade diferente do servidor Web que apresenta o conteúdo principal da página Web (ou seja, o editor), são também frequentemente designados por «testemunhos de terceiros» (norte-americano) médio era supostamente monitorizado vezes por mês no final de more%20than%20you%20think%22&st=cse A maioria das grandes redes de publicidade mantém uma colaboração estrutural com muitas outras redes secundárias. Por exemplo: lista de parceiros do Google Adsense, URL:http://www.google.com/support/adsense/bin/answer.py?answer=94149, lista de parceiros do Yahoo!, URL:http://info.yahoo.com/privacy/us/yahoo/thirdparties/ Este sistema funciona, de um modo geral, da seguinte forma: a rede de publicidade principal convida outras redes de publicidade a apresentarem uma proposta para o espaço publicitário no sítio Web e escolhe a que apresentar a melhor proposta. Outras tecnologias de monitorização baseiam-se, por exemplo, na utilização de endereços IP e assinaturas dos programas de navegação. A Electronic Frontier Foundation estudou a identificabilidade da assinatura de cada programa de navegação (agente de utilizador), incluindo o software utilizado, a versão, a linguagem e os suplementos instalados, URL: Quanto aos endereços IP, uma start-up norte-americana anunciou recentemente que possuía uma base de dados com 65 milhões de endereços IP associados aos nomes e endereços dos utilizadores, URL: Se a pessoa em causa utilizar vários programas de navegação, serão instalados testemunhos diferentes para cada programa. Este texto alfanumérico pode ser utilizado para diversos fins, tais como a memorização de preferências, o armazenamento de informações sobre a sessão ou a identificação da pessoa em causa através de um identificador único. 6
7 Os testemunhos estão associados a um domínio: só podem ser lidos ou modificados por um sítio Web de um domínio semelhante 10 (por ex., um testemunho instalado pelo fornecedor da rede de publicidade a.omeusítio.com pode ser lido pelo fornecedor b.omeusítio.com, mas não pelo fornecedor c.outro.com). A duração dos testemunhos varia, podendo ser prorrogada posteriormente ou não, na sequência de novas visitas ao mesmo sítio Web (esta é uma decisão que caberá ao programador). Os «testemunhos persistentes» têm uma duração pré-determinada muito longa ou duram até que sejam eliminados manualmente. A maioria dos programas de navegação na Internet permite bloquear testemunhos de terceiros. Alguns programas de navegação suportam sessões de navegação «privadas», que destruirão automaticamente todos os testemunhos criados quando a janela do programa é fechada 11. Algumas redes de publicidade estão a substituir ou a complementar os tradicionais testemunhos persistentes com novas tecnologias de monitorização optimizadas, tais como os «testemunhos Flash» (objectos partilhados locais) 12. Os testemunhos Flash não podem ser eliminados através das tradicionais definições de privacidade de um programa de navegação. Há quem afirme que os «testemunhos Flash» foram já expressamente utilizados como ferramenta para restaurar «testemunhos tradicionais» que foram recusados ou eliminados pela pessoa em causa 13. Esta prática é conhecida por respawning. Para efeitos do presente parecer, o termo «testemunhos de conexão» ou simplesmente «testemunhos» abrange todas as tecnologias baseadas no princípio do armazenamento de informações no equipamento terminal do utilizador e do acesso às informações já armazenadas no mesmo, salvo indicação em contrário. Tal como salientado anteriormente, uma rede de publicidade só pode geralmente monitorizar uma parte do comportamento de navegação na Internet da pessoa em causa, dado que a sua capacidade de monitorização se limita ao conjunto de editores a ela associados. Porém, foi recentemente testada uma outra prática, segundo a qual a rede de publicidade estabelece uma parceria com um ISP para monitorizar o comportamento de navegação do utilizador e inserir testemunhos persistentes em todo o tráfego não encriptado 14. O Grupo de Trabalho do Artigo 29.º não tem conhecimento de qualquer aplicação actual desta tecnologia na UE, mas considera que esta prática suscita questões jurídicas graves que ultrapassam o tratamento de dados pessoais, independentemente dos fins para que estes são utilizados. No entanto, a análise desta tecnologia de publicidade está fora do âmbito do presente parecer No entanto, há soluções simples assentes na colaboração das partes, que permitem contornar estas restrições e partilhar testemunhos. O proprietário de um domínio pode configurar o seu DNS para permitir que um terceiro utilize um dos seus subdomínios. Este terceiro poderá então partilhar determinados testemunhos com o proprietário do domínio. Outras técnicas envolvem a utilização de javascript para transmitir pedidos Web a outros servidores, o que permite que ainda mais entidades combinem ou sincronizem os seus dados de monitorização (http://blog.kruxdigital.com/2010/02/24/cookie-synching/). As versões mais recentes de muitos programas de navegação populares (por ex., Internet Explorer 8, Google Chrome, Firefox, Safari, etc.) suportam sessões de navegação que eliminam automaticamente todos os testemunhos instalados durante aquela sessão. O W3C também está a desenvolver uma norma «DOM Storage», que permitirá o armazenamento local de um elevado volume de dados no computador do utilizador através de scripts. Os testemunhos Flash têm capacidade para armazenar informações sobre as definições e contornar as preferências do utilizador. Ver Soltani, Ashkan, Canty, Shannon, Mayo, Quentin, Thomas, Lauren e Hoofnagle, Chris Jay, «Flash Cookies and Privacy» (10 de Agosto de 2009). Disponível no sítio Web da SSRN: Por exemplo, a empresa Phorm, através da sua tecnologia denominada Webwise, disponibilizava um serviço de segmentação comportamental que recorre a inspecções profundas de grande escala para analisar as páginas visualizadas pelos internautas. Para prestar este serviço, a Phorm celebrou acordos de parceria com ISP. 7
8 2.3. Criação de perfis, tipos de identificadores Existem duas grandes abordagens para a criação de perfis de utilizadores: i) os perfis implícitos são criados por inferência, com base na observação do comportamento individual e colectivo dos utilizadores ao longo do tempo, especialmente através da monitorização das páginas que estes visitaram e dos anúncios que visualizaram ou em que clicaram; ii) os perfis explícitos são criados com base nos dados pessoais que os próprios fornecem a um serviço Web, nomeadamente na fase de registo. Estas duas abordagens podem ser combinadas. Além disso, os perfis implícitos podem passar a ser explícitos quando a pessoa em causa cria os seus dados de acesso a um sítio Web 15. As redes de publicidade criam perfis implícitos recorrendo simultaneamente a técnicas de monitorização, tecnologias baseadas em testemunhos de conexão e software de mineração de dados. É possível deduzir o sexo e o grupo etário da pessoa em causa através da análise das páginas que esta visita e dos anúncios que chamam a sua atenção. O perfil baseado na análise dos testemunhos armazenados no equipamento terminal da pessoa em causa pode ser complementado com dados agregados derivados do comportamento de outras pessoas que exibem padrões comportamentais semelhantes noutros contextos. Os sistemas de publicidade em linha classificam frequentemente as pessoas em causa em segmentos com base nas suas áreas de interesse ou categorias de marketing (por exemplo, «jardinagem», «saúde e beleza», «electrónica», etc.). A localização da pessoa em causa é também uma importante fonte de informação para a criação de perfis, podendo ser deduzida, por exemplo, a partir do endereço IP dos terminais e pontos de acesso WiFi Quadro normativo 3.1. Introdução O artigo 5.º, n.º 1, da Directiva 2002/58/CE 17 protege a confidencialidade das comunicações em geral. A protecção da confidencialidade das comunicações no caso concreto da utilização de testemunhos de conexão e dispositivos análogos está essencialmente regulada no artigo 5.º, n.º 3. O presente parecer toma como referência a Directiva 2002/58/CE alterada (a seguir designada «Directiva da Privacidade Electrónica» ou «Directiva da Privacidade Electrónica alterada»). Os Estados-Membros têm até Maio de 2011 para transpor a Directiva da Privacidade Electrónica alterada para o direito interno. No entanto, o Grupo de Trabalho do Artigo 29.º toma já por referência a versão alterada da directiva, pois pretende que o presente parecer mantenha a sua validade após a transposição da mesma e, mais concretamente, porque deseja alertar as partes interessadas para a necessidade de cumprir integralmente o artigo 5.º, n.º 3, com a nova redacção. Igualmente relevantes neste contexto são o considerando 66, introduzido pela revisão da directiva em 2009, e os considerandos 24 e Algumas redes de publicidade dão aos utilizadores registados a possibilidade de consultar e editar, pelo menos até certo ponto, os respectivos perfis implícitos. Podem ser recolhidas, de outras fontes, informações adicionais sobre a localização, com vista à criação de perfis. Directiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de Novembro de 2009, que altera a Directiva 2002/22/CE relativa ao serviço universal e aos direitos dos utilizadores em matéria de redes e serviços de comunicações electrónicas, a Directiva 2002/58/CE relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas e o Regulamento (CE) n.º 2006/2004 relativo à cooperação entre as autoridades nacionais responsáveis pela aplicação da legislação de defesa do consumidor. 8
9 Tendo em conta a relevância do artigo 5.º, n.º 3, é útil reproduzir aqui o texto alterado, com indicação das alterações introduzidas ao texto anterior: «Os Estados-Membros velarão por que a utilização de redes de comunicações electrónicas para a armazenagem asseguram que o armazenamento de informações ou para obter a possibilidade de acesso à informação armazenada a informações já armazenadas no equipamento terminal de um assinante ou utilizador só sejam permitidos na condição de serem fornecidas ao assinante ou ao utilizador em causa se este tiver dado o seu consentimento prévio com base em informações claras e completas, nos termos da Directiva 95/46/CE, nomeadamente sobre os objectivos do processamento, em conformidade com a Directiva 95/46/CE, e de lhe ter sido dado, pelo controlador dos dados, o direito de recusar esse processamento. Tal não impediráe qualquer o armazenamento técnico ou o acesso que tenham como única finalidade exclusiva efectuar ou facilitar a transmissão de uma comunicação através de uma rede de comunicações electrónicas, ou que sejam estritamente necessários ao fornecedor para fornecer um serviço no âmbito da sociedade de informação que tenha sido explicitamente expressamente solicitado pelo assinante ou pelo utilizador.» Para além da Directiva da Privacidade Electrónica, a Directiva 95/46/CE relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (a seguir designada «Directiva 95/46/CE») é aplicável a matérias que não estejam expressamente abrangidas pela Directiva da Privacidade Electrónica quando esteja em causa o tratamento de dados pessoais Âmbito de aplicação do artigo 5.º, n.º 3, e da Directiva 95/46/CE Para os agentes envolvidos na publicidade comportamental, é útil saber o que gera a obrigação de cumprir o artigo 5.º, n.º 3, da Directiva da Privacidade Electrónica e a Directiva 95/46/CE, respectivamente. Para tal, é necessário analisar o âmbito de aplicação das duas directivas. Concretamente, iremos primeiro abordar o âmbito de aplicação material de ambas (3.2.1 e 3.2.2) e a sua interacção (3.2.3). Seguidamente, debruçar-nos-emos sobre o seu âmbito de aplicação territorial (3.2.4) Âmbito de aplicação material do artigo 5.º, n.º 3 O artigo 5.º, n.º 3, exige a obtenção de consentimento informado para armazenar licitamente informações ou para ter a possibilidade de acesso a informações armazenadas no equipamento terminal de um assinante ou utilizador 19. Tendo em conta que i) os testemunhos persistentes são «informações» armazenadas no equipamento terminal da pessoa em causa e que ii) os fornecedores de redes de publicidade têm acesso a estes testemunhos quando as pessoas em causa visitam um sítio Web parceiro, o artigo 5.º, n.º 3, é plenamente aplicável. Por conseguinte, o armazenamento de testemunhos de conexão ou dispositivos análogos (independentemente do seu tipo) 20, bem como qualquer utilização posterior de testemunhos previamente armazenados para ter a possibilidade de acesso a informações das pessoas em causa, terão de cumprir o disposto no artigo 5.º, n.º Ver artigo 1.º, n.º 2, da Directiva Privacidade Electrónica, que dispõe: «Para os efeitos do n.º 1, as disposições da presente directiva especificam e complementam a Directiva 95/46/CE». 19 A Directiva Privacidade Electrónica menciona assinantes e utilizadores. O termo «assinantes» abrange pessoas singulares ou pessoas em causa (na acepção da Directiva 95/46/CE) e pessoas colectivas. O termo «utilizadores» refere-se às pessoas em causa que utilizam um serviço de comunicações electrónicas, não sendo necessariamente assinantes desse serviço. Por uma questão de coerência, o presente parecer utiliza, sempre que possível, o termo «pessoa em causa». 20 O artigo 5.º, n.º 3, é neutro do ponto de vista tecnológico, pelo que é aplicável não apenas a testemunhos de conexão, como também a qualquer outra tecnologia utilizada para armazenar ou ter a possibilidade de acesso a informações armazenadas no equipamento técnico das pessoas em causa, tal como programas-espiões (spyware), programas malévolos (malware), etc. 9
10 O artigo 5.º, n.º 3, é aplicável ao armazenamento e/ou acesso a «informações», qualquer que seja o seu tipo. Não é um requisito da aplicação desta disposição que estas informações sejam dados pessoais na acepção da Directiva 95/46/CE. O considerando 24 explica a razão de ser desta abordagem, referindo que «o equipamento terminal dos utilizadores ( ) e todas as informações armazenadas nesse equipamento constituem parte integrante da esfera privada dos utilizadores e devem ser protegidos ao abrigo da Convenção Europeia para a Protecção dos Direitos Humanos e das Liberdades Fundamentais». É a necessidade de proteger uma área considerada parte integrante da esfera privada da pessoa em causa que gera as obrigações previstas no artigo 5.º, n.º 3, e não o facto de as informações serem, ou não serem, dados pessoais. O Grupo de Trabalho já salientou, no Parecer 1/2008 (documento WP 29) 21, que o artigo 5.º, n.º 3, é uma disposição geral, aplicável não apenas aos serviços de comunicações electrónicas como também a quaisquer outros serviços quando as respectivas técnicas forem utilizadas. Além disso, o artigo 5.º, n.º 3, é aplicável quer a entidade que instala o testemunho seja um responsável pelo tratamento ou um subcontratante Âmbito de aplicação material da Directiva 95/46/CE: o tratamento de dados pessoais Se as informações recolhidas através da instalação do testemunho ou de um dispositivo análogo forem consideradas dados pessoais, é também aplicável, para além do artigo 5.º, n.º 3, a Directiva 95/46/CE. O Grupo de Trabalho do Artigo 29.º salienta que os métodos de publicidade comportamental descritos no presente parecer implicam frequentemente o tratamento de dados pessoais, segundo a definição constante do artigo 2.º da Directiva 95/46/CE e a interpretação do Grupo de Trabalho 22. Tal deve-se a diversos factores: i) a publicidade comportamental envolve normalmente a recolha de endereços IP e o tratamento de identificadores únicos (através do testemunho). A utilização destes dispositivos com um identificador único permite monitorizar os utilizadores de um determinado computador, mesmo quando são utilizados endereços IP dinâmicos. Por outras palavras, estes dispositivos permitem identificar as pessoas em causa, ainda que os seus verdadeiros nomes não sejam conhecidos. ii) Além disso, as informações recolhidas no contexto da publicidade comportamental são relativas às características ou ao comportamento de uma pessoa e são utilizadas para influenciar essa pessoa 23. O facto de existir a possibilidade de associar, em qualquer momento, estes perfis a informações directamente identificáveis fornecidas pela pessoa em causa, tais como informações relacionadas com o registo, vem confirmar este entendimento. Outras situações que podem levar à identificabilidade são as fusões, as perdas de dados e a crescente disponibilidade de dados pessoais na Internet em combinação com endereços IP. 21 Parecer 1/2008 sobre questões de protecção de dados ligadas aos motores de pesquisa, adoptado em 4 de Abril de Ver a interpretação do conceito de dados pessoais no Parecer 4/2007 do Grupo de Trabalho do Artigo 29.º sobre o conceito de dados pessoais, adoptado em 20 de Junho de No seu Parecer 1/2008 sobre questões de protecção de dados ligadas aos motores de pesquisa, adoptado em 4 de Abril de 2008, o Grupo de Trabalho do Artigo 29.º confirmou que, na maioria dos casos, os testemunhos e os endereços IP devem ser considerados dados pessoais. Este parecer refere que, «se um testemunho contiver um identificador único do utilizador, esse identificador constitui claramente um dado pessoal. A utilização de testemunhos persistentes ou de meios análogos com um identificador único do utilizador permite acompanhar os utilizadores de um determinado computador mesmo que sejam utilizados endereços IP dinâmicos. Os dados comportamentais que são gerados através da utilização destes meios permitem aprofundar ainda mais as características pessoais da pessoa em causa». 10
11 Interacção entre as duas directivas Se ambas as directivas forem aplicáveis, é necessário determinar as disposições aplicáveis de cada uma delas. Nesta matéria, o considerando 10 da Directiva da Privacidade Electrónica dispõe que a Directiva 95/46/CE é aplicável «a todas as questões relacionadas com a protecção dos direitos e liberdades fundamentais não abrangidas especificamente pelas disposições da presente directiva, incluindo as obrigações que incumbem à entidade que exerce o controlo e os direitos das pessoas singulares». Trata-se de um caso de aplicação do critério da especialidade, segundo o qual a lei especial (lex specialis) prevalece sobre a lei geral (lex generalis). Assim sendo, o artigo 5.º, n.º 3, da Directiva da Privacidade Electrónica, que diz respeito ao consentimento informado, será directamente aplicável. A Directiva 95/46/CE será plenamente aplicável, excepto em relação às disposições expressamente previstas na Directiva da Privacidade Electrónica, que correspondem essencialmente ao artigo 7.º da Directiva 95/46/CE sobre os fundamentos legais do tratamento de dados 24. As restantes disposições da Directiva 95/46/CE, incluindo os princípios relacionados com a qualidade dos dados, os direitos da pessoa em causa (tais como os direitos de acesso, apagamento e oposição), a confidencialidade e segurança do tratamento e as transferências internacionais de dados, serão plenamente aplicáveis Âmbito de aplicação territorial do artigo 5.º, n.º 3, e da Directiva 95/46/CE O âmbito de aplicação territorial do quadro normativo acima descrito é estabelecido pelo artigo 3.º, n.º 1, da Directiva da Privacidade Electrónica 25, em conjunto com o artigo 4.º, n.º 1, alíneas a) e c), da Directiva 95/46/CE 26. Em pareceres anteriores, o Grupo de Trabalho do Artigo 29.º forneceu orientações sobre o conceito de estabelecimento e a utilização do equipamento referidos no artigo 4.º, n.º 1, alíneas a) e c) respectivamente, como factores determinantes da aplicabilidade da Directiva 95/46/CE 27. Estas orientações são plenamente aplicáveis aos fornecedores de redes de publicidade Papel e responsabilidade dos diferentes intervenientes Tal como referido anteriormente, a publicidade comportamental envolve vários intervenientes, nomeadamente os fornecedores de redes de publicidade, os editores e os anunciantes. É importante analisar o papel que cada um deles desempenha, a fim de determinar as suas obrigações ao abrigo da legislação sobre protecção de dados em vigor. Nesta matéria, o Grupo de Trabalho do Artigo 29.º observa o seguinte: Também se pode considerar que o princípio do tratamento leal e lícito consagrado no artigo 6.º, n.º 1, alínea a), está incluído no artigo 5.º, n.º 3, na medida em que, para ser leal, o tratamento têm de ser transparente. O âmbito de aplicação da Directiva Privacidade Electrónica encontra-se estabelecido no seu artigo 3.º, n.º 1, nos termos do qual o artigo 5.º, 3.º, é aplicável ao armazenamento de informações ou à possibilidade de acesso a informações armazenadas no equipamento terminal das pessoas em causa que utilizam redes públicas de comunicações na UE. As duas situações que desencadeiam a aplicação da directiva (ou, em rigor, da legislação nacional de transposição) são as seguintes: i) quando o tratamento dos dados é efectuado no contexto das actividades de um estabelecimento do responsável pelo tratamento, nos termos do artigo 4.º, n.º 1, alínea a); ii) quando o responsável pelo tratamento não está estabelecido no território da UE e recorre, para tratamento de dados pessoais, a meios, automatizados ou não, situados nesse território, nos termos do artigo 4.º, n.º 1, alínea c). Ver Documento de trabalho sobre a determinação da aplicação internacional da legislação da UE em matéria de protecção de dados ao tratamento de dados pessoais na Internet efectuado por sítios não europeus (WP 56), adoptado em 30 de Maio de 2002, e, mais recentemente, Parecer 1/2008 sobre questões de protecção de dados ligadas aos motores de pesquisa, adoptado em 4 de Abril de
12 Relativamente aos fornecedores de redes de publicidade: Em primeiro lugar, as obrigações estabelecidas no artigo 5.º, n.º 3, da Directiva da Privacidade Electrónica são aplicáveis a todos aqueles que instalam testemunhos e/ou acedem a informações a partir de testemunhos já armazenados no equipamento terminal das pessoas em causa. Para efeitos do artigo 5.º, n.º 3, é irrelevante que a entidade que instala ou lê o testemunho seja um responsável pelo tratamento ou um subcontratante. No contexto da publicidade comportamental, a obrigação de obter o consentimento informado recai, segundo esta interpretação, sobre os fornecedores de redes de publicidade. Em segundo lugar, se a publicidade comportamental envolver o tratamento de dados pessoais, os fornecedores de redes de publicidade desempenham também o papel de responsável pelo tratamento. Esta questão é muito importante, na medida em que serão aplicáveis outras obrigações previstas na Directiva 95/46/CE. Os fornecedores de redes de publicidade têm total controlo sobre as finalidades e os meios de tratamento. «Alugam» espaço nos sítios Web dos editores para colocarem anúncios, armazenam e/ou lêem informações relacionadas com testemunhos e, na maioria dos casos, recolhem os endereços IP e, possivelmente, outros dados revelados pelo programa de navegação. Além disso, os fornecedores de redes de publicidade utilizam as informações recolhidas sobre o comportamento de navegação dos internautas para criarem perfis, bem como para seleccionarem e fornecerem os anúncios a exibir com base neste perfil. Neste cenário, actuam claramente como responsáveis pelo tratamento. Relativamente aos editores: Os editores, entre outras tarefas, alugam espaço nos seus sítios Web para as redes de publicidade colocarem anúncios. Configuram esses sítios Web de forma a que os programas de navegação dos visitantes sejam automaticamente redireccionados para a página Web do fornecedor da rede de publicidade (que, por sua vez, enviará um testemunho de conexão e apresentará publicidade personalizada). Esta prática coloca a questão da sua responsabilidade em matéria de tratamento de dados. Tal como sublinhou recentemente o Grupo de Trabalho do Artigo 29.º 28, a qualificação do editor e do fornecedor da rede de publicidade como co-responsáveis pelo tratamento dependerá das condições de colaboração entre ambos. Neste contexto, o Grupo de Trabalho do Artigo 29.º observa que, num cenário típico em que os fornecedores de redes de publicidade apresentam publicidade personalizada, os editores dão o seu contributo ao configurarem os sítios Web de forma a que, quando um utilizador visita um sítio Web do editor, o seu programa de navegação é automaticamente redireccionado para a página Web do fornecedor da rede de publicidade. Desta forma, o programa de navegação do utilizador transmitirá o seu endereço IP ao fornecedor da rede de publicidade, que enviará então o testemunho de conexão e publicidade personalizada. Neste cenário, é importante salientar que os editores não transferem o endereço IP do visitante para o fornecedor da rede de publicidade. É o programa de navegação do visitante que transfere automaticamente esta informação para o fornecedor da rede de publicidade. No entanto, tal só acontece porque o editor configurou o seu sítio Web de forma a que o visitante seja automaticamente redireccionado para o sítio Web do fornecedor da rede de publicidade. Por outras palavras, o editor desencadeia a transferência do endereço IP, que é o primeiro passo do processo que permitirá o posterior tratamento dos dados pelo fornecedor da rede de publicidade para fins de apresentação de publicidade personalizada. Deste modo, ainda que, de um ponto de vista 28 Parecer 1/2010 sobre os conceitos de «responsável pelo tratamento» e «subcontratante», adoptado em 16 de Fevereiro de
13 técnico, a transferência do endereço IP seja realizada pelo programa de navegação da pessoa que visita o sítio Web do editor, não é esta quem desencadeia a transferência. A sua única intenção era visitar o sítio Web do editor e não o sítio Web do fornecedor da rede de publicidade. Actualmente, este é um cenário muito comum. Face a esta situação, o Grupo de Trabalho do Artigo 29.º considera que os editores têm uma certa responsabilidade pelo tratamento dos dados, que resulta da legislação nacional que transpõe a Directiva 95/46/CE e/ou outra legislação nacional 29. Esta responsabilidade não abrange todas as actividades de tratamento necessárias para a apresentação de publicidade comportamental (por ex., o tratamento de dados efectuado pelo fornecedor da rede de publicidade, que consiste na criação de perfis que são depois utilizados para apresentar publicidade personalizada). No entanto, a responsabilidade dos editores abrange a primeira fase do processo, ou seja, a parte inicial do tratamento de dados, nomeadamente a transferência do endereço IP quando as pessoas visitam os seus sítios Web. Tal deve-se ao facto de os editores facilitarem esta transferência e de co-determinarem as suas finalidades, ou seja, apresentar publicidade personalizada aos visitantes. Em resumo, por estes motivos, os editores têm uma certa responsabilidade por estes actos enquanto responsáveis pelo tratamento. Porém, esta responsabilidade não implica o cumprimento da maioria das obrigações estabelecidas nas directivas. Neste aspecto, é necessário interpretar o quadro normativo de forma flexível, aplicando apenas as disposições pertinentes. Os editores não têm em seu poder informações pessoais; por isso, não faria sentido sujeitá-los a algumas das obrigações previstas na directiva, tais como aquelas que estão relacionadas com o direito de acesso. Porém, como veremos mais adiante, a obrigação de informar as pessoas do tratamento dos dados é plenamente aplicável aos editores. Acresce que, tal como referido no parecer do Grupo de Trabalho do Artigo 29.º supramencionado, os editores serão considerados co-responsáveis pelo tratamento se recolherem dados pessoais sobre os visitantes dos seus sítios Web, tais como nome, morada, idade, localização, etc., e os transmitirem ao fornecedor da rede de publicidade. Na medida em que actuem como responsáveis pelo tratamento, os editores estão sujeitos às obrigações emergentes da Directiva 95/46/CE em relação à parte do tratamento de dados sob o seu controlo. Neste aspecto, em conjunto com os fornecedores de redes de publicidade, os editores «devem assegurar-se de que a complexidade e as especificidades técnicas do sistema de publicidade comportamental não os impedem de encontrar formas adequadas de cumprir as obrigações impostas aos responsáveis pelo tratamento e de garantir os direitos das pessoas em causa» 30. Em resumo, os editores devem estar cientes de que, ao celebrarem contratos com redes de publicidade na sequência dos quais os fornecedores destas redes têm acesso a dados pessoais dos visitantes dos seus sítios Web, estão a assumir algumas responsabilidades perante esses visitantes. O âmbito da sua responsabilidade, nomeadamente como responsáveis pelo tratamento, deve ser analisado caso a caso e depende das condições específicas de O Grupo de Trabalho do Artigo 29.º observa que a obrigação de informar e outras possíveis obrigações também poderão resultar da aplicação de princípios gerais de direito (direito das obrigações e responsabilidade civil), bem como das leis que visam a protecção do consumidor relacionadas com práticas comerciais das empresas face aos consumidores, tais como a Directiva 2005/29/CE do Parlamento Europeu e do Conselho, de 11 de Maio de 2005, relativa às práticas comerciais desleais das empresas face aos consumidores no mercado interno e que altera a Directiva 84/450/CEE do Conselho, as Directivas 97/7/CE, 98/27/CE e 2002/65/CE e o Regulamento (CE) n.º 2006/2004 (directiva relativa às práticas comerciais desleais). Parecer 1/2010 sobre os conceitos de «responsável pelo tratamento» e «subcontratante» 13
14 colaboração com os fornecedores de redes de publicidade estabelecidas nos contratos de prestação de serviços entre eles celebrados. Assim sendo, estes contratos devem definir o papel e as responsabilidades de ambas as partes à luz das condições de colaboração neles estabelecidas. Relativamente aos anunciantes: Quando a pessoa em causa clica num anúncio e visita o sítio Web do anunciante, este pode identificar a campanha que deu origem ao clique. Se o anunciante obtiver as informações de segmentação (por ex., certos dados demográficos, tais como «jovens mães» ou um grupo de interesse, tal como «adeptos de desportos radicais») e as conjugar com o comportamento de navegação da pessoa em causa na Internet ou os dados de registo, será um responsável pelo tratamento independente no que respeita a esta parte do tratamento dos dados. O presente parecer tem por objecto as operações de tratamento de dados realizadas pelo fornecedor da rede de publicidade e pelo editor que consistem na apresentação de anúncios personalizados, sendo omisso em relação a outras operações de tratamento de dados que sejam eventualmente realizadas pelos anunciantes. 4. Obrigação de obter o consentimento prévio informado De acordo com a regra geral enunciada no artigo 5.º, n.º 3, primeiro período, os Estados-Membros «asseguram que o armazenamento de informações ou a possibilidade de acesso a informações já armazenadas no equipamento terminal de um assinante ou utilizador só sejam permitidos se este tiver dado o seu consentimento prévio com base em informações claras e completas, nos termos da Directiva 95/46/CE, nomeadamente sobre os objectivos do processamento.» Este artigo sofreu alterações quando a Directiva da Privacidade Electrónica foi alterada em A redacção do artigo na versão alterada clarifica e reforça a necessidade de obter o consentimento prévio informado dos utilizadores 31. O Grupo de Trabalho do Artigo 29.º considera que a análise jurídica adiante apresentada é relevante e válida face à versão actual e à versão alterada do artigo 5.º, n.º 3. A secção que se segue analisa várias formas de cumprir os requisitos do artigo 5.º, n.º 3. Após a análise da questão do consentimento, são fornecidas mais orientações sobre a obrigação de prestar informações A obrigação de obter o consentimento prévio das pessoas em causa no contexto da publicidade comportamental Nos termos do artigo 5.º, n.º 3, um fornecedor de redes de publicidade que pretenda armazenar ou ter a possibilidade de acesso a informações armazenadas no equipamento terminal de um utilizador poderá fazê-lo se i) tiver fornecido informações claras e completas ao utilizador, nos termos da Directiva 95/46/CE, nomeadamente sobre os objectivos do tratamento, e ii) tiver obtido o consentimento do utilizador para o armazenamento de informações ou o acesso às informações armazenadas no seu equipamento terminal, depois de ter fornecido as informações exigidas na alínea i). Da letra do artigo 5.º, n.º 3, decorre que i) o consentimento tem de ser obtido antes do testemunho ser instalado e/ou as informações armazenadas no equipamento terminal do utilizador serem recolhidas, o que habitualmente se designa por «consentimento prévio», e 31 Fá-lo de duas formas: em primeiro lugar, substituindo a expressão «direito de recusar» pela necessidade de obter o «consentimento», tal como referido na Directiva 95/46/CE e, em segundo, utilizando o verbo no passado («tiver dado»). 14
15 que ii) o consentimento só será considerado informado se tiverem sido fornecidas ao utilizador informações prévias sobre o envio e os objectivos do testemunho. Neste contexto, é importante ter em conta que, para o consentimento ser válido, sejam quais forem as circunstâncias em que é prestado, deve constituir uma manifestação de vontade, livre, específica e informada da pessoa em causa. O consentimento tem de ser obtido antes da recolha dos dados pessoais para que as pessoas em causa possam compreender que estão a dar o seu consentimento e qual o âmbito desse consentimento. Além disso, o consentimento tem de ser revogável. As subsecções que se seguem analisam se o consentimento através da configuração do programa de navegação e das opções de auto-exclusão facultadas pelos fornecedores de redes de publicidade cumpre os requisitos do artigo 5.º, n.º O consentimento através da configuração do programa de navegação Os editores e os fornecedores de redes de publicidade envolvidos em publicidade comportamental instalam testemunhos persistentes no equipamento terminal das pessoas em causa quando estas visitam um sítio Web que faz parte da rede de publicidade, a menos que o programa de navegação do utilizador esteja configurado para rejeitar testemunhos. Na prática, uma vez instalado o testemunho, a pessoa em causa, ao navegar na página Web em que é apresentado o anúncio, tem a oportunidade de obter informações sobre os testemunhos e o modo como deverá configurar o programa de navegação para os controlar. Estas informações são fornecidas pelos editores e pelos fornecedores de redes de publicidade. Estes responsáveis pelo tratamento fornecem geralmente informações sobre testemunhos de terceiros utilizados para fins de publicidade comportamental nos seus termos e condições gerais e/ou garantias de confidencialidade. Estas informações poderão incluir as utilizações/finalidades básicas desses testemunhos e instruções sobre formas de os evitar através da configuração do programa de navegação. Contudo, esta prática não cumpre os requisitos do artigo 5.º, n.º 3, especialmente na versão alterada, que coloca a tónica na prestação de informações prévias e na obtenção de consentimento prévio (antes do início do tratamento). O considerando 66 da Directiva da Privacidade Electrónica alterada refere que o consentimento do utilizador pode ser manifestado através do uso dos parâmetros adequados do programa de navegação ou de outra aplicação, «sempre que tecnicamente possível e eficaz, e em conformidade com as disposições aplicáveis da Directiva 95/46/CE». Não se trata de uma excepção ao artigo 5.º, n.º 3, mas sim o reconhecimento de que, no actual ambiente tecnológico, o consentimento pode ser prestado de várias formas sempre que tecnicamente possível e eficaz, e em conformidade com os outros requisitos da validade do consentimento. Neste contexto, coloca-se uma questão importante: em que condições a configuração do programa de navegação cumprirá os requisitos da Directiva 95/46/CE e, consequentemente, constituirá um consentimento válido «em conformidade com a Directiva 95/46/CE»? O Grupo de Trabalho do Artigo 29.º considera que tal só acontecerá num número muito restrito de casos porque: Em primeiro lugar, tendo em conta a definição e os requisitos do consentimento válido estabelecidos no artigo 2.º, alínea h), da Directiva 95/46/CE, de um modo geral não se pode considerar que as pessoas em causa prestaram o seu consentimento pelo simples facto de terem adquirido/utilizado um programa de navegação ou outra aplicação pré-configurados para permitir a recolha e tratamento dos seus dados. A maioria das pessoas em causa não tem conhecimento de que o seu comportamento na Internet está a ser monitorizado, das finalidades da monitorização, etc. Nem sempre sabem como configurar o programa de navegação para rejeitar os testemunhos, mesmo que esta informação seja incluída nas garantias de confidencialidade. É uma falácia considerar que, de um modo geral, a inacção da pessoa em causa (o facto de não ter configurado o programa de navegação para rejeitar 15
16 testemunhos) constitui uma manifestação clara e inequívoca da sua vontade. Tal como foi salientado no Parecer 1/2008 do Grupo de Trabalho do Artigo 29.º anteriormente mencionado, «a responsabilidade pelo tratamento [do testemunho] não pode ser limitada à responsabilidade de o utilizador adoptar ou não determinadas precauções na configuração do seu navegador.» Actualmente, dos quatro principais programas de navegação no mercado, apenas um está pré-configurado para bloquear testemunhos de terceiros a partir do momento em que é instalado. Os outros três estão pré-configurados para aceitar todos os testemunhos. Nestes casos, os testemunhos são enviados e as informações são recolhidas antes da obtenção do consentimento, o que contraria a exigência de consentimento prévio 32. Em segundo lugar, para que seja possível prestar um consentimento informado através da configuração do programa de navegação, não deve existir a possibilidade de «contornar» a escolha feita pelo utilizador ao configurar o programa. Porém, na prática, os testemunhos eliminados podem ser facilmente «recuperados» pelos chamados testemunhos Flash, permitindo que o fornecedor da rede de publicidade continue a monitorizar o utilizador. A disponibilidade e a crescente utilização desta tecnologia põem em causa a possibilidade de prestar um consentimento informado, válido e eficaz através da configuração do programa de navegação. Por último, o consentimento para a recepção de testemunhos em bloco através da configuração do programa de navegação implica a aceitação de futuras operações de tratamento por parte dos utilizadores, possivelmente sem qualquer conhecimento das finalidades ou utilizações do testemunho. A aceitação em bloco de futuras operações de tratamento sem conhecimento das circunstâncias que lhe estão subjacentes não pode ser considerada um consentimento válido 33. Por conseguinte, para que os programas de navegação ou outras aplicações possam «prestar» um consentimento válido, será necessário ultrapassar estes problemas. Na prática, tal significa que: a) Os programas de navegação ou outras aplicações que estão pré-configurados para rejeitar testemunhos de terceiros e que exigem que a pessoa em causa pratique um acto voluntário para aceitar tanto a instalação como a transmissão contínua de informações contidas nos testemunhos por sítios Web específicos, podem prestar um consentimento válido e eficaz. Se, pelo contrário, o programa de navegação estiver pré-configurado para aceitar todos os testemunhos, tal consentimento não cumpre os requisitos do artigo 5.º, n.º 3, na medida em que, de um modo geral, não constitui uma verdadeira manifestação da vontade da pessoa em causa. Tal consentimento não será específico nem prévio (ao tratamento). Embora seja concebível que uma determinada pessoa tenha decidido manter a Outro problema reside no facto de os três programas de navegação supramencionados continuarem a transmitir informações sobre os testemunhos instalados, mesmo quando o programa de navegação está configurado para rejeitar (novos) testemunhos de terceiros. Por outras palavras, as informações sobre testemunhos instalados antes de o programa ter sido configurado para rejeitar testemunhos continuarão a ser enviadas para o fornecedor da rede de publicidade. Actualmente, apenas um dos principais programas de navegação permite aos utilizadores bloquear simultaneamente a instalação e a transmissão de dados sobre testemunhos de terceiros (ou seja, incluindo testemunhos instalados antes do programa de navegação ter sido configurado para rejeitar testemunhos). Tal significa que também os testemunhos originais (instalados quando o utilizador visita o sítio Web de um motor de pesquisa ou uma rede social, por exemplo) podem continuar a ser lidos por esse sítio Web quando o utilizador visita um sítio Web parceiro do primeiro. Tal como referido no documento de trabalho do Grupo de Trabalho do Artigo 29.º sobre uma interpretação comum do n.º 1 do artigo 26.º da Directiva 95/46/CE, de 24 de Outubro de 1995, adoptado em 25 de Novembro de 2005, no contexto de transferências futuras de dados, «a importância do consentimento constituir um acto pela positiva exclui de facto qualquer hipótese de sistema em que a pessoa em causa só tivesse o direito de se opor à transferência depois de realizada: o consentimento específico de uma transferência deve ser genuinamente requerido para que esta possa realizar-se». 16
17 configuração do seu programa de navegação para aceitar todos os testemunhos de terceiros, os fornecedores de redes de publicidade não podem realisticamente partir do princípio de que a grande maioria dos utilizadores que «configurou» o programa de navegação para aceitar testemunhos tenha feito uma escolha deliberada nesse sentido. b) Os programas de navegação, isoladamente ou em conjunto com outras ferramentas de informação, incluindo a cooperação dos fornecedores de redes de publicidade e dos editores, deveriam fornecer informações claras, completas e perfeitamente visíveis, a fim de assegurar um consentimento genuinamente informado. Para cumprir os requisitos da Directiva 95/46/CE, os programas de navegação deveriam fornecer, em nome do fornecedor da rede de publicidade, as informações relevantes sobre as finalidades dos testemunhos e o seu posterior tratamento. Deste modo, não é suficiente emitir avisos genéricos sem referir expressamente a rede de publicidade que instala o testemunho. O Grupo de Trabalho do Artigo 29.º entende que, a menos que os requisitos supramencionados sejam cumpridos, o fornecimento de informações e, em certa medida, o apoio ao utilizador na rejeição dos testemunhos (explicando como o poderão fazer) não podem, de um modo geral, ser considerados consentimento informado nos termos do artigo 5.º, n.º 3, da Directiva da Privacidade Electrónica e também à luz do artigo 2.º, alínea h), da Directiva 95/46/CE. Dado o papel que a configuração do programa de navegação desempenha na garantia de que as pessoas em causa prestam efectivamente o seu consentimento para o armazenamento de testemunhos e o tratamento das suas informações, parece fundamental que os referidos programas estejam pré-configurados para proteger a privacidade ou, por outras palavras, que a configuração pré-definida seja a de «não aceitação e não transmissão de testemunhos de terceiros». Para complementar e tornar esta medida mais eficaz, os programas de navegação deveriam lançar automaticamente um assistente de privacidade aquando da sua instalação ou actualização e prever um modo fácil de escolher a opção desejada durante a utilização. O Grupo de Trabalho do Artigo 29.º insta os fabricantes de programas de navegação a adoptar medidas urgentes em coordenação com os fornecedores de redes de publicidade O consentimento e o exercício de opções de auto-exclusão É cada vez maior o número de fornecedores de redes de publicidade que disponibilizam mecanismos de «auto-exclusão» que permitem aos utilizadores recusar a recepção de publicidade direccionada 34. Se quiser utilizar este mecanismo, a pessoa em causa tem de aceder ao sítio Web do fornecedor ou fornecedores de redes de publicidade e indicar que não deseja ser monitorizada para fins de apresentação de publicidade direccionada. Estes mecanismos visam complementar o consentimento através da configuração do programa de navegação e, até certo ponto, resolver os problemas acima descritos. Estes mecanismos de auto-exclusão baseados em testemunhos são uma evolução positiva e devem ser encorajados, na medida em que facilitam as actuais possibilidades técnicas de auto-exclusão das pessoas em causa. No entanto, em princípio, não substituem o seu consentimento. Apenas em casos concretos muito específicos se poderia defender que existiria um consentimento tácito. Seria o caso de um utilizador experiente que decidisse, tendo conhecimento da prática da publicidade comportamental e da opção de auto-exclusão, não exercer essa opção (sobretudo se o fizesse antes de ser enviado qualquer testemunho para o utilizador). Todavia, este não é um mecanismo adequado para obter o consentimento 34 Ver, por exemplo, a opção de auto-exclusão da Network Advertising Initiative, que abrange várias redes: 17
18 informado do utilizador médio por motivos semelhantes aos expostos anteriormente a propósito da configuração do programa de navegação, nomeadamente: Em primeiro lugar, a maioria dos utilizadores não possui os conhecimentos básicos necessários sobre o processo de recolha de dados, as suas utilizações, o modo como a tecnologia funciona e, acima de tudo, como e onde exercer a opção de auto-exclusão. Por este motivo, na prática, é muito reduzido o número de pessoas que exercem esta opção, não porque tenham tomado uma decisão informada de aceitar publicidade comportamental, mas sim porque não se aperceberam de que, ao nada fazerem, estão, de facto, a aceitar. Em segundo lugar, o consentimento implica a participação activa da pessoa em causa antes da recolha e do tratamento dos dados. O mecanismo de auto-exclusão refere frequentemente uma «não» reacção da pessoa em causa após o tratamento já ter sido iniciado. Além disso, este mecanismo não implica qualquer tipo de participação activa; a vontade da pessoa em causa é simplesmente presumida ou considera-se tacitamente manifestada. Assim sendo, não cumpre os requisitos de validade do consentimento. À luz do exposto, o Grupo de Trabalho do Artigo 29.º considera que os mecanismos de auto-exclusão baseados em testemunhos não proporcionam ao utilizador médio um meio eficaz de prestar o seu consentimento para a recepção de publicidade comportamental. Neste aspecto, não cumprem os requisitos do artigo 5.º, n.º Os mecanismos de aceitação prévia são mais adequados à prestação de um consentimento informado O Grupo de Trabalho do Artigo 29.º considera que os mecanismos de aceitação prévia, que exigem que a pessoa em causa pratique um acto voluntário para manifestar o seu consentimento antes que o testemunho lhe seja enviado, são mais consentâneos com o artigo 5.º, n.º 3. Reportando-se ao consentimento como fundamento legal do tratamento, o Grupo de Trabalho do Artigo 29.º confirmou recentemente este entendimento, afirmando que a evolução tecnológica requer igualmente uma análise atenta do consentimento e que, na prática, o artigo 7.º da Directiva 95/46/CE nem sempre é correctamente aplicado, especialmente no contexto da Internet, na qual o consentimento tácito nem sempre conduz a um consentimento inequívoco [tal como exigido pelo artigo 7.º, alínea a), da directiva]. O Grupo de Trabalho do Artigo 29.º acrescentou que, para as pessoas em causa poderem manifestar de forma inequívoca a sua vontade ex ante, antes do tratamento dos seus dados pessoais por terceiros, é necessário um consentimento explícito (e, por conseguinte, um acto de aceitação) para todas as operações de tratamento baseadas no consentimento. 35 Num parecer anterior que abordava esta questão, o Grupo de Trabalho do Artigo 29.º 36 recomendou a utilização de mensagens específicas: «No caso dos cookies, (...) o utilizador deveria ser informado de quando o software da Internet tenciona receber, armazenar ou enviar um cookie. A mensagem deveria especificar, numa linguagem compreensível a nível geral, qual a informação que se tenciona armazenar no cookie, com que objectivo e, também, qual o seu prazo de validade.» Depois de receber estas informações, a pessoa em causa deveria ter a possibilidade de aceitar ou recusar a criação de um perfil pessoal para fins de publicidade comportamental. 35 O Grupo de Trabalho do Artigo 29.º reconhece o trabalho desenvolvido por algumas associações, tais como The Future of Privacy, no contexto da promoção do uso de ícones para fins de informação. 36 Recomendação 1/99 sobre o tratamento invisível e automatizado de dados pessoais na Internet: 18
19 O Grupo de Trabalho do Artigo 29.º está ciente dos actuais problemas práticos que a obtenção do consentimento suscita, sobretudo se este for necessário sempre que um testemunho seja lido para fins de apresentação de publicidade direccionada. Para evitar este problema, de acordo com o considerando 25 da Directiva da Privacidade Electrónica {«o direito a recusar [testemunhos de conexão] poderá ser proposto uma vez em relação aos diversos dispositivos a instalar no equipamento terminal do utente durante ( ) posteriores ligações»}, a aceitação de um testemunho por parte dos utilizadores poderia ser considerada válida não apenas para o envio do testemunho, mas também para a posterior recolha dos dados resultantes do mesmo. Por outras palavras, o consentimento para instalar o testemunho e utilizar as informações para enviar publicidade direccionada abrangeria as «leituras» do testemunho que têm lugar sempre que o utilizador visita um sítio Web parceiro do fornecedor da rede de publicidade que instalou inicialmente o testemunho. Porém, tendo em conta que i) esta prática significaria que as pessoas aceitariam ser monitorizadas «uma vez para sempre» e que ii) as pessoas poderiam simplesmente «esquecer-se» de que, por exemplo, há um ano, tinham concordado em ser monitorizadas, o Grupo de Trabalho considera ser necessário implementar algumas garantias. Em especial, o Grupo de Trabalho do Artigo 29.º propõe três medidas: Em primeiro lugar, limitar temporalmente o consentimento. O consentimento para ser monitorizado não deveria ser «para sempre», sendo antes válido por um determinado período de tempo, por exemplo, um ano. Findo este período, os fornecedores de redes de publicidade teriam de obter novamente o consentimento. Para tal, os testemunhos poderiam ter uma duração limitada após terem sido instalados no equipamento terminal do utilizador (sem possibilidade de prorrogação do prazo de validade). Em segundo lugar, os riscos acima descritos poderiam ser ainda mais mitigados com a adopção de práticas de informação adicionais, que serão abordadas mais adiante no ponto Em terceiro lugar, o consentimento prestado livremente pode ser sempre revogado. Deveria ser dada às pessoas em causa a possibilidade de revogar facilmente o seu consentimento quanto à monitorização para efeitos de apresentação de publicidade comportamental. Neste contexto, é fundamental fornecer informações claras sobre esta faculdade e a forma de a exercer (ver adiante a secção 4.2). O Grupo de Trabalho do Artigo 29.º convida a indústria da publicidade a implementar os métodos acima descritos ou outros métodos que impliquem um acto voluntário prévio dos utilizadores, pelo qual aceitem i) o armazenamento do testemunho e ii) a utilização do testemunho para os monitorizar através de sítios Web, a fim de apresentar publicidade comportamental. Tal poderá passar também pela concepção dos programas de navegação e da tecnologia que lhes está subjacente Consentimento informado: crianças No Parecer 2/2009, o Grupo de Trabalho do Artigo 29.º abordou a protecção dos dados pessoais das crianças 37. Os problemas relacionados com a obtenção de consentimento informado assumem ainda maior importância quando estão em causa crianças. Para além dos requisitos acima (e abaixo) descritos quanto à validade do consentimento, em alguns casos o consentimento das crianças tem de ser prestado pelos pais ou por outros representantes legais. No caso em apreço, tal significa que os fornecedores de redes de publicidade teriam de 37 Parecer sobre a protecção dos dados pessoais das crianças (orientações gerais e situação especial das escolas): 19
20 prestar aos pais informações sobre a recolha e a utilização dos dados das crianças e obter o seu consentimento antes de utilizarem estes dados para fins de publicidade comportamental dirigida às crianças 38. À luz do exposto e tendo em conta a vulnerabilidade das crianças, o Grupo de Trabalho do Artigo 29.º entende que os fornecedores de redes de publicidade não deveriam oferecer categorias de interesses destinadas a apresentar publicidade comportamental ou a influenciar crianças A obrigação de prestar informações no contexto da publicidade comportamental A transparência é uma condição essencial para que as pessoas possam prestar o seu consentimento para a recolha e posterior tratamento de dados pessoais. Tal como referido anteriormente, os utilizadores poderão não conhecer ou compreender a tecnologia subjacente à publicidade comportamental ou nem sequer perceber que são o alvo deste tipo de publicidade. Por conseguinte, é extremamente importante assegurar a prestação eficaz de informações suficientes que cheguem efectivamente ao conhecimento dos internautas. As pessoas em causa só estarão em posição de fazer uma escolha se estiverem informadas Que informações devem ser prestadas e por quem? O artigo 5.º, n.º 3, estabelece que devem ser fornecidas ao utilizador informações, «nos termos da Directiva 95/46/CE, nomeadamente sobre os objectivos do processamento». O artigo 10.º da Directiva 95/46/CE regula o fornecimento destas informações 39. No que respeita à publicidade comportamental, as pessoas em causa devem ser informadas, designadamente, sobre a identidade do fornecedor da rede de publicidade e os objectivos do tratamento. A pessoa em causa deve ser informada de forma clara que o testemunho permitirá ao fornecedor de publicidade recolher informações sobre visitas a outros sítios Web, os anúncios exibidos, os anúncios em que clicaram, duração da visualização, etc. Deveria ser fornecida uma explicação simples sobre a utilização do testemunho para criar perfis com vista à apresentação de publicidade direccionada. O considerando 25 da Directiva da Privacidade Electrónica exige que sejam fornecidas informações «claras e precisas». As declarações do tipo «os anunciantes e outros terceiros também poderão utilizar os seus próprios testemunhos ou gráficos-espiões» não são, de modo algum, suficientes. No que respeita às modalidades de prestação destas informações, o considerando 25 exige que sejam «tão conviviais quanto possível». O Grupo de Trabalho do Artigo 29.º considera que a apresentação de um mínimo de informações directamente no monitor, de forma interactiva, facilmente visível e compreensível, seria a forma mais eficaz de respeitar este princípio 40. É importante que as informações sejam de fácil acesso e claramente visíveis. Estas informações básicas não podem estar «escondidas» em termos e condições gerais e/ou declarações de privacidade. 38 Para além da legislação e das normas aplicáveis em matéria de publicidade. 39 Entre estas informações contam-se, em especial, a identidade do responsável pelo tratamento, as finalidades do tratamento, bem como os destinatários dos dados e a existência do direito de acesso, desde que estas informações sejam necessárias para garantir um tratamento leal. 40 Este entendimento segue as orientações anteriormente fornecidas num documento do GT 29; ver Recomendação 2/2001 sobre determinados requisitos mínimos para a recolha de dados pessoais em linha na União Europeia (GT 43), adoptado em 17 de Maio de 2001, disponível em: 20