Portabilidade de dados e privacidade

PLANEJANDO O CAMINHO A SEGUIR �

Erin EganVice-Presidente e Diretora de Privacidade, Políticas Públicas Setembro 2019

Introdução ���������������������������������������������������������������������������������������������������������������������������������������������������������� 03

I� O desafio ���������������������������������������������������������������������������������������������������������������������������������������������������������� 05

II� Cinco perguntas sobre portabilidade e responsabilidade ����������������������������������������������������������������������������������������������������������������������������������������������������07

Questão 1: O que é “portabilidade de dados”? ��������������������������������������������������������������������������������07

Questão 2: Quais dados devem ser portáveis? ���������������������������������������������������������������������������������11

Questão 3: Quem são as pessoas cujos dados devem ser portáveis? �����������������12

Questão 4: Como podemos proteger a privacidade e, ao mesmo tempo, permitir a portabilidade? ���������������������������������������������������������������������������������������14

Questão 5: Depois que os dados das pessoas são transferidos, quem será o responsável se eles forem usados ou protegidos indevidamente? ��������������������������������������������������������������������������������������������������������������������������������������������������������������������������18

III� Próximos Passos ������������������������������������������������������������������������������������������������������������������������������ 20

Notas Finais ������������������������������������������������������������������������������������������������������������������������������������������������������� 21

Índice

2

Portabilidade de dados e privacidade

PLANEJANDO O CAMINHO A SEGUIR �

3

É consenso cada vez maior entre formuladores de políticas do mundo todo que a portabilidade de dados — o princípio segundo o qual as pessoas devem poder levar os dados que compartilham com um serviço para outro serviço — pode ajudar a promover a concorrência online e incentivar o surgimento de novos serviços� Especialistas em concorrência e proteção de dados concordam que, embora envolva problemas complexos, a portabilidade permite que as pessoas controlem seus dados e pode ajudá-las a escolher entre provedores de serviços online�

São claras as vantagens da portabilidade de dados para pessoas e mercados, e é por isso que nosso CEO, Mark Zuckerberg, recentemente pediu a criação de regras que garantam a portabilidade�1 Mas para criar ferramentas de portabilidade em que as pessoas possam confiar e que possam usar com eficácia, devemos desenvolver regras claras sobre que tipos de dados devem ser portáveis e quem é o responsável por proteger esses dados à medida que eles migrem para outros provedores�2 O objetivo deste estudo é aprofundar a discussão sobre o teor dessas regras�

Esperamos que este estudo sirva de referência para o debate entre interessados do mundo inteiro sobre como criar produtos de portabilidade de forma a proteger a privacidade e, ao mesmo tempo, ajudar a manter vibrante a concorrência entre os serviços online� Ao concluir esta série de debates, esperamos ter um quadro de portabilidade que melhore os esforços de desenvolvimento de produtos nossos e de outros serviços, bem como guie a colaboração no setor e tenha o potencial de influenciar uma legislação futura�

SETEMBRO 2019

4 PLANEJANDO O CAMINHO A SEGUIR

Para tanto, o estudo levanta cinco questões sobre privacidade e portabilidade:

Felizmente já temos algumas perspectivas de alguns atores-chave sobre estas questões, como a orientação de 2017 das autoridades de proteção de dados da UE sobre o direito de portabilidade de dados no contexto do Regulamento Geral de Proteção de Dados da União Europeia (RGPD)� Temos também dois estudos recentes da Comissão de Proteção de Dados Pessoais de Cingapura, além de um relatório sobre políticas concorrenciais na era digital encomendado pela Direção-Geral da Concorrência da Comissão Europeia e um relatório sobre mobilidade de dados providenciado pelo Departamento de Assuntos Digitais, Cultura, Mídia e Esporte do Reino Unido� Porém, acreditamos que o setor ganharia muito com mais debates e orientações�

O que é “portabilidade de dados”?Todas as transferências de dados para terceiros realizadas pelo usuário devem ser consideradas “portabilidade de dados”?

Quais dados devem ser portáveis? Os dados portáveis devem ser limitados àqueles que a pessoa forneceu ao provedor de serviços (e o que significa “fornecer” dados)?

Quem são as pessoas cujos dados devem ser portáveis?Se os dados são associados a mais de uma pessoa — um cenário comum para os serviços de redes sociais —, os provedores que fazem a transferência devem limitar a portabilidade de dados? Como os provedores podem assegurar que os direitos de cada pessoa serão respeitados?

Como podemos proteger a privacidade e, ao mesmo tempo, permitir a portabilidade?Se existentes, quais são as responsabilidades dos provedores em relação a (1) usuários solicitantes, (2) terceiros com interesses afetados pela transferência e (3) potenciais destinatários dos dados?

Depois que os dados das pessoas são transferidos, quem será o responsável se eles forem usados ou protegidos indevidamente?Como deve ser alocada a responsabilidade entre os provedores que transferem e os que recebem os dados? Os próprios usuários devem ser responsabilizados por problemas que afetarem seus dados (ou dados de amigos)?

SETEMBRO 2019

5 PLANEJANDO O CAMINHO A SEGUIR

É importante frisar que este estudo tem como foco a portabilidade de dados como ato de iniciativa de usuários individuais de um serviço; não é o nosso objetivo examinar a transferência de informações de empresa para empresa (B2B)� Reconhecemos que este segundo tipo de transferência pode ser importante para a escolha do usuário e, também, para a concorrência� É por esse motivo que estamos buscando formas de disponibilizar dados para outras organizações que possam, por exemplo, ajudá-las a treinar modelos de inteligência artificial� As questões de privacidade suscitadas por esses tipos de transferências são diferentes daquelas surgidas quando pessoas optam por transferir seus dados� Neste estudo, nosso foco serão as transferências realizadas por pessoas, mas vamos continuar consultando especialistas ao examinar outros tipos de transferências�

Agradecemos de antemão sua participação nesta conversa crucial� Queremos ouvir opiniões de todos os envolvidos e esperamos receber em breve os seus comentários�

I� O desafio Um dos princípios de privacidade mais importantes do Facebook é permitir que as pessoas controlem o uso de suas informações em nossos serviços�3 Guiados por esse princípio, desenvolvemos ferramentas como os controles que permitem às pessoas selecionar quem pode ver suas informações de perfil e suas publicações, e as Preferências de Anúncios, que ajudam as pessoas a controlar como suas informações são usadas para lhes exibir anúncios�

Essas ferramentas ajudam as pessoas a controlar como suas informações são usadas no Facebook� Mas também entendemos que dar às pessoas controle significa facilitar a escolha e a concorrência, já que elas passam a ter o poder de migrar suas informações para outro serviço — por isso, em outras palavras, devemos criar produtos que permitem a portabilidade de dados�

A portabilidade de dados tornou-se uma exigência legal em certos lugares recentemente, por meio de leis como o RGPD4 e a Lei de Privacidade do Consumidor da Califórnia (CCPA, na sigla em inglês)5, mas há algum tempo o Facebook vem pensando em maneiras de melhorar a capacidade das pessoas de transferir seus dados do Facebook para outras plataformas e serviços� Por exemplo, desde 2010 oferecemos o recurso “Baixar suas informações”, concebido para que as pessoas pudessem acessar e compartilhar suas informações com outros serviços online� Com a entrada em vigor do RGPD, adequamos melhor o recurso para fins de portabilidade, permitindo que as pessoas recebam as suas informações no formato JSON estruturado de ampla utilização�

Embora o recurso “Baixar suas informações” seja uma ferramenta robusta de portabilidade de dados, acreditamos que podemos ir além e melhorar o poder de escolha e controle e facilitar ainda mais para as pessoas a exportação de seus dados para outros serviços� Em recente artigo de opinião, Mark Zuckerberg escreveu que a “portabilidade real de dados deveria ser algo semelhante à forma como as pessoas já usam nossa plataforma para entrar em um aplicativo, e não como os meios existentes pelos quais você pode baixar um arquivo com suas informações”�6 Isto é, as pessoas devem ser capazes de transferir suas informações diretamente para o provedor de sua escolha da mesma forma como usam o recurso “Entrar com o Facebook” hoje�

SETEMBRO 2019

6 PLANEJANDO O CAMINHO A SEGUIR

Para que esse objetivo seja alcançado, nos juntamos a empresas como Google, Microsoft, Twitter, Apple e outras no Projeto de Transferência de Dados, um projeto de software de código aberto criado para ajudar os participantes a desenvolver sistemas interoperáveis que permitirão às pessoas transferir seus dados diretamente entre provedores de serviço online�7 Este projeto foi inspirado, em parte, no direito à portabilidade previsto no RGPD, mas acreditamos que a portabilidade de dados logo será a norma em outras regiões do planeta� Como exemplo, entrarão em vigor em 2020 novas disposições sobre portabilidade de dados na Califórnia; os governos de Cingapura, Austrália, Índia, Hong Kong e outros países poderão em breve aprovar leis de apoio à portabilidade; e a Comissão Europeia vem estudando a portabilidade no contexto da política de concorrência da era digital�8

Os defensores da portabilidade reconhecem que seu sucesso depende do tratamento que o setor dará a questões fundamentais de privacidade, como as que discutimos neste estudo�9 Mas não há uma orientação detalhada sobre como os provedores de serviços podem ou devem equilibrar os benefícios da portabilidade à autonomia pessoal, à inovação e à concorrência e seus riscos possíveis à privacidade e à segurança�10 Por exemplo, o Grupo de Trabalho do Artigo 29 da UE (sucedido pelo Comitê Europeu para a Proteção de Dados, que adotou as orientações daquele) reconheceu os riscos de segurança oferecidos pelas ferramentas de portabilidade, mas simplesmente declarou que as medidas de segurança não podem “obstar” as pessoas de exercer seus direitos de portabilidade�11 Da mesma forma, o Grupo de Trabalho admitiu a importância de limitar o direito das pessoas à portabilidade nos casos em que seu exercício possa prejudicar outras pessoas, mas não forneceu qualquer orientação específica em relação a como ou quando implementar essa limitação�12

SETEMBRO 2019

7 PLANEJANDO O CAMINHO A SEGUIR

Além disso, algumas orientações sobre portabilidade parecem conflitar com outras sobre as responsabilidades das empresas na proteção contra o uso indevido de dados por terceiros para os quais autorizam as transferências de dados� Reguladores no campo de privacidade deixam claro que, pelo menos no contexto de algumas relações com terceiros, plataformas como a nossa devem ter proteções que respondam pelos riscos de privacidade inerentes às transferências�13 Mas em relação ao direito de portabilidade do RGPD, o Grupo de Trabalho aprova a ideia de permitir que as pessoas divulguem seus dados a terceiros14 e afirma que “o controlador de dados não é responsável pela conformidade do controlador de dados destinatário com a legislação de proteção de dados, considerando que não cabe ao controlador de dados remetente escolher o destinatário”�15

Vários relatórios sobre concorrência em mercados digitais enfatizam o valor da portabilidade para a inovação e observam que precisamos abordar a questão dos riscos em potencial à privacidade e à segurança� Por exemplo, o relatório do Digital Competition Expert Panel, do Reino Unido, ponderou que “qualquer estratégia de apoio a esta forma de compartilhamento de dados também deverá assegurar a adoção de uma proteção robusta à privacidade, a fim de respeitar os direitos de privacidade e as expectativas dos usuários”�16 Mas o relatório não menciona como deve ser feita essa proteção�

À medida que avançamos em direção a um mundo com mais portabilidade, nós e outras empresas poderíamos nos valer de regras claras que ajudassem a resolver esses tipos de questões — sobre portabilidade, privacidade e responsabilidade�

II� Cinco perguntas sobre portabilidade e responsabilidadeComo discutimos acima, a portabilidade de dados ajuda as pessoas a controlar seus dados e a escolher os serviços que melhor atendam às suas necessidades� Ao mesmo tempo, a portabilidade pode apresentar desafios à proteção de interesses relativos à privacidade� Para superar esses desafios, estamos buscando opiniões e orientações de várias fontes sobre como desenvolver a portabilidade de forma a empoderar as pessoas, promover a concorrência e, ao mesmo tempo, preservar a confiança nos serviços online�17 Nesta seção, apresentamos cinco perguntas essenciais, cujas respostas ajudarão a construir a próxima geração de produtos de portabilidade� Também oferecemos algumas ponderações sobre como responder a essas questões de forma a contribuir ainda mais para o debate sobre esses tópicos relevantes�

QUESTÃO 1: O QUE É “PORTABILIDADE DE DADOS”?

Com base em algumas fontes que discutem a portabilidade de dados, seria possível supor que se trata de um conceito simples e direto, com um significado consolidado� Por exemplo, o Grupo de Trabalho do Artigo 29 explicou que, no contexto do RGPD, portabilidade é simplesmente o direito de receber dados pessoais e transmiti-los de um provedor de serviços para outro�18 A Organização Internacional de Normatização (ISO) define “portabilidade de dados” como “a capacidade de transferir dados facilmente de um sistema para outro, sem a necessidade de nova inserção dos dados”, focando na facilidade com que os dados podem ser movimentados�19

SETEMBRO 2019

8 PLANEJANDO O CAMINHO A SEGUIR

Mas quando vamos além de discussões etéreas sobre portabilidade, encontramos considerável variação nas perspectivas das pessoas� De fato, já recebemos pedidos — às vezes do mesmo interessado — para ampliar a portabilidade de dados e para limitar a capacidade das pessoas de compartilhar seus dados com terceiros�20 Geralmente, este último acontece no contexto das plataformas de aplicativos para o consumidor (ou “Plataforma”, para simplificar) que, entre outras coisas, se referem ao conjunto de tecnologias que disponibilizamos para desenvolvedores que querem habilitar as pessoas a (1) compartilhar suas informações do Facebook com o aplicativo do desenvolvedor ou (2) enviar informações do aplicativo do desenvolvedor para o Facebook� A ferramenta de Plataforma mais conhecida é “Entrar com o Facebook”, que permite às pessoas entrar e compartilhar suas informações com aplicativos de terceiros�

Principalmente depois do caso Cambridge Analytica, consistentemente ouvimos pedidos de diferentes interessados para limitar as informações que os aplicativos podem receber por meio de “Entrar com o Facebook” e para aprimorar nossa supervisão sobre os aplicativos que recebem essas informações�21 Esses pedidos sugerem que alguns comentadores podem ver as transferências de dados de plataforma para aplicativo como algo diverso das transferências possibilitadas pela “verdadeira” portabilidade de dados� Por exemplo, no caso Consent Order no FTC, de 2019, o Facebook trata as transferências por portabilidade separadamente das outras transferências�22

Em contraste, outros comentadores sugeriram que o caso Cambridge Analytica aconteceu por causa da portabilidade de dados, insinuando que plataformas como a nossa (e também iOS, Android, Twitter e outras) já estão proporcionando a portabilidade de dados ao permitir

que as pessoas compartilhem seus dados com aplicativos na Plataforma�23

A pergunta que surge destas ideias é a seguinte: quando podemos considerar que a solicitação de transferência de dados feita por uma pessoa é uma solicitação de portabilidade? A resposta é crucial, e não apenas por causa dos direitos legais intrínsecos às solicitações de portabilidade� Nos termos do RGPD, por exemplo, os pedidos de portabilidade devem ser cumpridos “sem entraves”, o que levanta dúvidas sobre a existência de circunstâncias nas quais o provedor de serviço pode negar o pedido, limitar os dados disponíveis em resposta ao pedido ou restringir a capacidade do terceiro de usar os dados após a transferência� É certo que vários atores acreditam que as plataformas devem impor restrições ao uso de dados aos destinatários de dados de usuários, mas permanece a incerteza sobre a disponibilização de mecanismos alternativos pelos provedores de serviços para

Usuário Solicitante

Entidade Remetente Entidade Destinatária

SERVICE B

SETEMBRO 2019

9 PLANEJANDO O CAMINHO A SEGUIR

permitir transferências sem essas restrições� Se isso for possível, qual será a diferença entre essas duas transferências?

Para começar a responder a esta questão, é importante reconhecer que a maioria das transferências de dados para terceiros, conduzidas por usuários, são parecidas e operam de forma semelhante� Em regra, as transferências envolvem três participantes: usuários solicitantes, entidades remetentes e entidades destinatárias�24

Do ponto de vista técnico, uma transferência de dados começa quando a pessoa solicitante instrui a entidade remetente a exportar seus dados� A entidade remetente envia os dados solicitados à pessoa solicitante (que pode usá-los ou enviá-los à entidade destinatária) ou diretamente à entidade destinatária� Uma vez compartilhados os dados com a entidade destinatária, o usuário poderá interagir com os dados naquele ou por meio daquele serviço�

Mas transferências que parecem semelhantes tecnicamente podem funcionar de forma distinta na prática� Um dos fatores que diferenciam as transferências entre si é a relação entre a entidade remetente e a entidade destinatária, e as regras, se existentes, que regem as transferências entre elas� Em geral, as transferências de dados para terceiros conduzidas por usuários podem ser entendidas como ocorridas em um espectro, com mais restrições progressivas impostas à medida que fica mais próxima a relação entre as entidades remetente e destinatária (ignorando-se, por ora, qual deve ser o escopo dos dados transferidos, o que discutiremos mais à frente)� Três categorias amplas de transferências conduzidas por usuários podem ser descritas da seguinte maneira:

Transferências abertas:Os usuários solicitantes podem receber seus dados e transferi-los para qualquer entidade destinatária sem qualquer controle ou limitação (além daquelas previstas em lei) imposta pela remetente sobre a destinatária� Nesse modelo, os usuários podem realizar a transferência para uma destinatária por meio de seus próprios dispositivos (como em nossa ferramenta “Baixar suas informações”), ou a entidade remetente pode facilitar uma transferência direta�

Relação

Transferências Abertas

Transferências Condicionadas

Transferências em Parceria

SETEMBRO 2019

10 PLANEJANDO O CAMINHO A SEGUIR

Além da conexão técnica estabelecida para o fim de permitir a transferência, não há qualquer relação entre as entidades remetente e destinatária� Esse modelo parece ser o mais parecido com aquele previsto pelas orientações do RGPD e do Grupo de Trabalho�

Transferências condicionadas:Os usuários solicitantes podem receber seus dados e transferi-los para qualquer destinatária que atenda a determinadas condições impostas pela remetente� A relação entre as entidades remetente e destinatária só existe para a finalidade de permitir as solicitações de usuários; não existe uma relação contínua� Como examinamos abaixo, esta pode ser uma forma de habilitar as solicitações de usuários a portar dados diretamente entre serviços, a solução técnica visada pelo Projeto de Transferência de Dados�

Transferências em parceria:Os usuários solicitantes podem receber seus dados e transferi-los para uma destinatária com a qual a remetente tenha uma relação contínua no que tange a tais transferências� Seus termos podem incluir regras sobre como a destinatária poderá usar os dados obtidos na transferência� Neste caso, existe uma relação entre as entidades remetente e destinatária para uma finalidade além da simples efetivação das solicitações de transferências de usuários, como a integração dos recursos de uma das entidades aos produtos da outra� Transferências por meio da Plataforma Facebook são um exemplo de transferências em parceria�

Ao pensar em portabilidade, é sempre bom perceber as diferenças entre essas categorias de transferências de dados conduzidas por usuários� As questões que precisamos responder são: quais transferências devem ser consideradas como envolvendo “portabilidade de dados” e quais obrigações de cada participante da transação, se existentes, devem derivar de cada modelo? As transferências abertas parecem ser claramente consistentes com a natureza da portabilidade de dados, conforme esta é descrita no RGPD e em outros documentos� Mas e as transferências condicionadas, nas quais a entidade remetente pode optar por limitar os terceiros aos quais o usuário pode enviar dados? Essas limitações são coerentes com o direito à portabilidade? As transferências em parceria, assim como as transferências da Plataforma, devem ser vistas como portabilidade de dados?

SETEMBRO 2019

11 PLANEJANDO O CAMINHO A SEGUIR

Em nossas conversas com interessados até agora, a visão generalizada sobre essas questões é a de que a entidade remetente pode — e deve — impor algumas restrições básicas de privacidade e proteção de dados para as transferências, mesmo quando as realizam para cumprir um pedido de portabilidade� Porém, como discutimos abaixo, persistem as dúvidas sobre quais tipos de condições são adequados� Restrições como as que impomos na Plataforma são consideradas por alguns rígidas demais para serem consistentes com a portabilidade� Nosso recente acordo com a FTC sugere que alguns órgãos reguladores podem perceber as transferências do tipo Plataforma como distintas das transferências de portabilidade�25 A linha que separa essas duas categorias provavelmente será a linha entre portabilidade e outras transferências de dados�

QUESTÃO 2: QUAIS DADOS DEVEM SER PORTÁVEIS?

Um dos principais objetivos da portabilidade de dados é dar às pessoas o controle sobre seus dados� Mas o que são exatamente “seus dados”? Parece óbvio que as pessoas devem ter a possibilidade de transferir dados como as fotos que carregam em um serviço ou suas publicações em uma rede social� Não é tão óbvio quais outros dados devem ser incluídos�

As pessoas devem ter a possibilidade de exportar as informações que um provedor de serviço recebe quando elas utilizam seus recursos — informações como histórico de pesquisa, dados de localização e registros de atividades? E as informações sobre as pessoas produzidas pelo provedor de serviço com base nos dados carregados por elas ou em suas interações com o serviço, como as inferências usadas para personalizar músicas, eventos e anúncios ou para identificar atividade potencialmente fraudulenta?

As orientações do RGPD e do Grupo de Trabalho sugerem que devem existir limites em relação aos dados sujeitos ao direito de portabilidade� O RGPD exige a portabilidade de dados pessoais que a pessoa “forneceu” a uma controladora de dados�26 O Grupo de Trabalho sugeriu que as pessoas possam transferir dados pessoais que fornecem de forma ativa e consciente ao provedor de serviços ou que este observe sobre elas à medida que usam seus serviços, mas não os dados que o provedor de serviços infere sobre elas, com base nesse uso�27

Outra questão, principalmente quando se trata de dados sobre o uso de um serviço por uma pessoa, é como a retenção de dados pelo provedor de serviços se relaciona com a questão sobre quais dados devem ser portáveis� É praticamente incontroverso que os provedores de serviços não devem ser obrigados a manter dados simplesmente para fins de portabilidade� Assim, pelo menos alguns dados não serão portáveis, simplesmente porque não estarão disponíveis no momento da solicitação� Mas e os dados que estão tecnicamente disponíveis, mas que logo serão excluídos? O provedor de serviços deve criar ferramentas para exportá-los também?

Ainda outra questão é se existem casos nos quais o ônus de tornar portáveis os dados supera o interesse da pessoa em exportá-los� Por exemplo: os dados do uso do serviço por uma pessoa podem incluir uma lista de todas as páginas ou conteúdos que a pessoa visualizou em determinado período, todos os links em que clicou e todas as notificações que recebeu� Os provedores de serviços geralmente mantêm registros dessas informações

SETEMBRO 2019

12 PLANEJANDO O CAMINHO A SEGUIR

durante certo tempo, mas o processo de tornar portáveis esses dados de registro pode ser desafiador, e os benefícios para o usuário nem sempre serão óbvios� Seria útil, por exemplo, a possibilidade de exportar uma lista de todos os links em que você clicou no Facebook durante um período? Ou um arquivo de todos os anúncios que você viu ao rolar seu Feed de Notícias?

Considerando que a portabilidade é em parte destinada a incentivar a concorrência e o surgimento de novos serviços, devemos analisar essas questões à luz do ônus operacional que elas impõem aos provedores de serviços com menos recursos que empresas como o Facebook� Vistas desse ângulo, parece claro que algumas limitações devem ser impostas em relação à obrigação do provedor de serviços de tornar portáveis dados observados� Avaliar os períodos de retenção de dados e o ônus sobre os provedores, sopesando-os aos benefícios aos usuários, pode ser útil para determinar as limitações e a quem elas devem se aplicar�28 Mas precisaremos responder a questões sobre como essa distribuição deverá ser realizada, e por quem�

QUESTÃO 3: QUEM SÃO AS PESSOAS CUJOS DADOS DEVEMSER PORTÁVEIS?

Oferecer portabilidade de dados permite que as pessoas exerçam controle sobre seus dados� Mas o que acontece quando uma pessoa quer transferir dados associados a outra pessoa? E se, por exemplo, a Pessoa A quiser transferir suas fotos de um serviço para outro, mas as fotos incluírem imagens da Pessoa B? Quais são os direitos de controle da Pessoa B sobre suas informações nesse cenário? E se as pessoas quiserem exportar o conteúdo de seu catálogo telefônico ou lista de aniversários de contatos para outro serviço? Os contatos cujas informações seriam compartilhadas com o novo serviço têm direito de opinar?

Como bem ilustram esses exemplos, às vezes é difícil delinear quais dados devem ser transferidos em resposta a um pedido de portabilidade�29 Descobrimos que isso é particularmente verdadeiro para o Facebook, que tem como uma de suas principais funções permitir que os usuários se conectem com outras pessoas e criem experiências em comum� E a capacidade de transferir dados sobre seus contatos, ou amigos, pode suscitar questões de privacidade especialmente desafiadoras�30

Já foi sugerido que os únicos dados que devem ser transferidos após um pedido de portabilidade são aqueles “pertencentes” ao solicitante�31 Se os usuários solicitantes são os titulares dos dados fornecidos a um serviço, diz o argumento, eles devem poder fazer o que quiserem com os dados, inclusive transferi-los para outra entidade� Por outro lado, se os usuários solicitantes não forem os titulares dos dados que desejam transferir, não poderão transferi-los�

O conceito de dados como propriedade tem sido considerado controverso por alguns e pode causar mais dúvidas que ultrapassam o contexto da portabilidade�32 Por exemplo, na prática, muitos tipos de informações possuem mais de um titular� Se você tem meu número de telefone na sua agenda, por exemplo, você é o proprietário desse número de telefone? Além disso, na UE, a proteção de dados (como direito fundamental) não varia dependendo de quem é o titular dos dados, se é que existe titular�33

13 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

Outra estratégia para selecionar as pessoas cujos dados serão portáveis em resposta a uma solicitação pode se basear em fatores como quem forneceu os dados, se o provedor de serviços os associou a um usuário específico e a confidencialidade dos dados� Pense no seguinte cenário:

A Pessoa A faz upload de um vídeo em que ela aparece com mais três amigos (Pessoas B, C e D)� Ela não pratica qualquer ato que permita ao serviço identificá-los (como “marcá-los”)� À primeira vista, parece claro que a Pessoa A deve ter o direito de transferir o vídeo para outro serviço� Mas quais direitos (se existirem) têm as Pessoas B, C e D em relação ao vídeo? E quem está em melhor posição (entre a Pessoa A e o provedor de serviços) para questionar esses direitos?

Agora analise uma versão ligeiramente diferente do mesmo cenário: a Pessoa A faz upload do vídeo, mas agora marca as Pessoas B, C e D, que, por acaso, são usuárias do mesmo serviço� Nesse caso, o provedor de serviços pode estar obrigado a informar às Pessoas B, C e D sobre a solicitação de portabilidade� Supondo que isso aconteça, eles devem ter o direito de impedir que a Pessoa A transfira o vídeo?

Qual seria a resposta se, em vez de vídeo, estivéssemos tratando de endereços de e-mail da lista de contatos da Pessoa A? Seria mais fácil ou difícil para a Pessoa A portar e-mails, em comparação às suas fotos? E os e-mails que uma pessoa quiser exportar para um novo serviço de correio eletrônico (por exemplo, do Gmail para o Outlook)?

Pensamos que uma abordagem multifatorial, que leve em conta essas questões e os fatores acima, é preferível a uma abordagem focada na propriedade dos dados� Mas a forma de pesar esses fatores ao se analisar quem terá dados portáveis exige muito mais discussão e orientação�34

Muitas vezes, comentadores descrevem a questão das pessoas cujos dados devem ser transferidos em razão da portabilidade como conexa à portabilidade do “gráfico de rede social” da pessoa — o mapa das conexões entre um usuário e outros usuários e entidades do serviço� Alguns entusiastas da portabilidade de dados alegam que serviços como o nosso devem permitir que as pessoas transfiram seus próprios dados e os dados de seu gráfico de rede social, em parte porque esses últimos podem ajudar outras empresas de redes sociais a inovar�35 Sem um gráfico de rede social portável, dizem os defensores da portabilidade, os usuários não poderão migrar para redes sociais alternativas�

Consideramos que existem fortes argumentos de ambos os lados: permitir a portabilidade do gráfico de rede social pode ser importante para a inovação e a concorrência, mas isso vem acompanhado de importantes questões de privacidade� A principal delas é se conseguiremos encontrar maneiras de permitir esse compartilhamento de forma a proteger a privacidade de todos os envolvidos� Vamos abordar esse assunto na próxima seção�

14 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

QUESTÃO 4: COMO PODEMOS PROTEGER A PRIVACIDADE E, AO MESMOTEMPO, PERMITIR A PORTABILIDADE?

As primeiras três perguntas tratam de questões relativas a circunstâncias anteriores à decisão de portar dados� Uma vez sabendo (1) que estamos lidando com uma transferência de dados conduzida pelo usuário, (2) quais tipos de dados devem ser transferidos e (3) quais pessoas podem ter seus dados transferidos, precisamos, agora, nos perguntarmos como permitir a portabilidade protegendo a privacidade�

Embora existam leis que tornam obrigatória a transferência de dados — inclusive leis de portabilidade de dados — não há muita orientação sobre a proteção da privacidade nessas transferências� Diversos atores levantaram preocupações sobre os riscos de privacidade e segurança das ferramentas de portabilidade e sobre a falta de clareza dos legisladores e reguladores em relação ao que é esperado das entidades remetentes�36

É fundamental mais clareza nesses pontos porque, para que a portabilidade de dados melhore o controle das pessoas sobre seus dados, os usuários precisam confiar que seus dados serão tratados com responsabilidade durante e após a transferência� Percebemos que facilita refletir sobre essas questões de privacidade e portabilidade levando em consideração os atos das entidades remetentes em relação a (1) usuários solicitantes, (2) usuários não solicitantes cujos dados seriam transferidos e (3) entidades destinatárias�

Usuários solicitantes Considerando que portabilidade significa ajudar as pessoas a ter controle de seus dados, parece evidente que as entidades devem se concentrar em assegurar que os usuários solicitantes possam fazer escolhas informadas sobre a transferência de seus dados� Isso significa garantir que os usuários solicitantes tenham informações sobre a entidade para a qual querem transferir seus dados� Mas exatamente o tipo de informação a pessoa deve ter — e como ela deve ser disponibilizada (e por quem) — são questões que continuam sem uma resposta satisfatória dos legisladores, reguladores e outros interessados�

Ao avaliar a portabilidade prevista no RGPD, o Grupo de Trabalho esclareceu que, embora as pessoas sejam “responsáveis” por “identificar as medidas mais adequadas para garantir a segurança dos dados pessoais” junto à entidade para a qual vão transferir seus dados, o titular de dados deve ser “informado” das medidas, para poder tomar as providências necessárias�37

Compare essa orientação ao recente documento de discussão da Comissão de Proteção de Dados Pessoais de Cingapura, que sugere que as entidades remetentes devem ir além e fornecer informações sobre como os dados do usuário serão utilizados pela destinatária, a natureza do novo produto ou serviço que o usuário está adquirindo e as práticas de registro de rastreamento, reputação e gestão e proteção de dados da entidade que receberá os dados, entre outros�38 No documento de consulta sobre o tópico, publicado em maio de 2019, a Comissão também propôs que seja exigido das organizações o fornecimento de informações relevantes às pessoas como parte de um código de prática obrigatório�39

Essas perspectivas são pontos de partida úteis, mas acreditamos que há muito mais a ser discutido sobre as informações (se existentes) que devem ser fornecidas às pessoas que

15 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

querem transferir seus dados — além de como essas informações podem ser apresentadas de maneira proveitosa, e quem as apresentará�

Usuários não solicitantesAlgumas solicitações de portabilidade de dados podem envolver dados associados a pessoas diferentes daquela que fez o pedido (“usuários não solicitantes”)� Como vimos acima, existem questões complexas sobre a possibilidade de transferência dos dados desses usuários� Se for possível transferi-los, os provedores de serviços precisarão se responsabilizar pela privacidade desses usuários�

Alguns atores propuseram mecanismos de autorização ou meios similares para permitir que as pessoas concedam umas as outras permissão para que seus dados sejam exportados de um determinado serviço — isto é, para que o Usuário A conceda ao Usuário B permissão para compartilhar os dados do Usuário A com uma entidade destinatária�40 Tendo em conta o foco no consentimento como parte de uma potencial solução ao problema da transferência de dados de usuários não solicitantes, queremos analisar se e como os serviços podem oferecer poder de escolha e controle relevantes a esses usuários� A exigência de autorização restringe indevidamente a portabilidade? Se negativa a resposta, como a autorização seria obtida? Os usuários não solicitantes poderão, por exemplo, escolher se seus dados serão exportados sempre que um amigo quiser compartilhá-los em um aplicativo? Essa abordagem causaria excesso de notificações? 41 Para os usuários de um serviço específico, seria melhor oferecer às pessoas uma configuração permitindo que elas sempre autorizem seus amigos (ou outros contatos) a transferir todas ou determinadas categorias de seus dados pessoais a terceiros? E como lidar com não usuários cujas informações são compartilhadas em um determinado serviço?

a� Portabilidade de dados do gráfico de rede social Como se discutiu acima, alguns atores enxergam a transferência de informações do gráfico de rede social (como listas de contatos) uma maneira importante de ajudar novas empresas de redes sociais a inovar e criar novos serviços�42 Houve muito debate e algumas propostas concretas sobre como exportar esse tipo de informação� Entre as propostas, permitir a exportação de versões criptograficamente obscurecidas (ou “com hash”) de identificadores de usuários e seus contatos foi descrita como “talvez a solução mais promissora para a portabilidade de gráficos de redes sociais”�43

Essa solução tem como finalidade ocultar formas de identificação dos usuários (por exemplo, endereços de e-mail) para a entidade destinatária e, ao mesmo tempo, oferecer alguma capacidade de reconstruir o gráfico de rede social do usuário remetente, possivelmente ajudando a resolver os desafios de privacidade relacionados ao compartilhamento de dados de amigos com terceiros ao evitar a exposição desnecessária de dados pessoais� No entanto, especialistas notaram que essa proposta “exigiria um grande esforço de colaboração técnica que poderia acarretar desafios inesperados de privacidade e segurança, além de problemas de conformidade legal�”44 Investigamos abaixo as duas abordagens mais discutidas sobre o compartilhamento de dados de contatos com hash e os potenciais desafios que elas podem produzir�

Em primeiro lugar, o provedor poderia compartilhar uma lista de identificadores em hash associados ao usuário solicitante e seus contatos� A maneira mais simples de fazer isso é

16 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

compartilhando versões em hash do nome (que não é necessariamente exclusivo) ou endereço de e-mail de um contato� Se tanto o Usuário A como o Usuário B estiverem conectados ao Usuário C e ambos compartilharem suas listas de contatos em hash com um serviço, esse serviço saberá que o Usuário A e o Usuário B estão conectados ao Usuário C, mas não poderá obter informações adicionais sobre este último, salvo se ele também houver transferido seus dados pessoais para o mesmo serviço�

Outra opção é compartilhar identificadores associados não aos usuários, mas às relações entre eles� Nesse sistema, se os Usuários A e B forem amigos do Usuário C e ambos compartilharem suas listas de contato, diferentemente da situação acima, o serviço destinatário não conseguirá saber que os Usuários A e B são amigos do Usuário C� Isso ocorre porque o identificador da relação entre os Usuários A e C é diferente do identificador da relação entre os Usuários B e C� No entanto, se o Usuário C optar por também compartilhar sua lista de contato, ele compartilhará os mesmos dois identificadores da sua relação com os Usuários A e B, respectivamente, quando então o serviço destinatário poderá combinar esses identificadores para saber que o Usuário C está conectado aos Usuários A e B�

Ambas as abordagens têm suas desvantagens, que exigem maior discussão com os interessados� Na primeira abordagem, o destinatário deverá poder inferir informações sobre o Usuário C somente com base em sua relação com os Usuários A e B� Por exemplo, se os Usuários A e B trabalham na mesma empresa ou são membros do mesmo partido político, o destinatário poderá ser capaz de deduzir esses fatos sobre o Usuário C e descobrir a sua identidade com poucas informações adicionais� A segunda abordagem não oferece esse problema, mas sua utilidade para o destinatário poderá ser mais limitada, uma vez que uma relação só será reconhecida pelo serviço destinatário se ambos os contatos optarem por compartilhar suas informações com este�

Outro desafio do compartilhamento do gráfico de rede social é definir um modelo de dados comum que seja específico o suficiente para ser útil, mas amplo o suficiente para ser aplicado em todos os serviços� Por exemplo: algumas redes sociais admitem uma única conta por usuário, enquanto outras permitem que o usuário tenha várias contas� Se o Usuário A estiver conectado a uma conta do Usuário B, mas não à outra, como essa relação se refletiria quando qualquer deles compartilhasse uma lista de contatos com um serviço que só permite uma única conta por usuário? Os dados correrão um risco ainda maior se os usuários transferirem dados de contato de uma rede social que permite pseudônimos para outra que exige nomes reais� Os destinatários (ou mesmo o usuário solicitante) podem ser capazes de deduzir a verdadeira identidade dos usuários sob pseudônimos com base nos pontos em comum com seus contatos conhecidos�

Além do mais, o compartilhamento do gráfico de rede social pode ficar mais complexo quando levamos em consideração as camadas adicionais de interação social� Por exemplo, se uma publicação do Usuário A for transferida para outra rede social, e o Usuário B houver comentado ou curtido a publicação, quando esse comentário poderá estar visível, quem poderá vê-lo e como o Usuário B deverá ser identificado no novo serviço, se for identificado? As respostas para essas perguntas podem variar de acordo com os controles de público do novo serviço, e também com os mecanismos usados para portar e identificar contatos no novo serviço�

17 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

Potenciais destinatários de dados pessoaisNo ano passado, recebemos muitos comentários de interessados dizendo que os provedores de serviços deveriam desenvolver mais recursos mais para proteger os dados contra uso indevido, pelo menos por determinados terceiros�45 Mas que recursos seriam estes quando o assunto é portabilidade?

Há poucos comentários especializados sobre esse assunto� No contexto do RGPD, as orientações do Grupo de Trabalho só afirmam que o controlador de dados remetente “é responsável por tomar todas as medidas de segurança necessárias para assegurar que os dados pessoais sejam transmitidos com segurança (com o uso de criptografia de ponta a ponta ou de dados) para o destino correto (com o uso de medidas de autenticação fortes)”�46 As orientações sugerem medidas de mitigação de riscos, como o uso de informações de autenticação adicionais, ou a suspensão ou interrupção da transmissão se houver a suspeita de dano a uma conta� Entretanto, essas medidas de segurança “não devem ter uma natureza restritiva, nem obstar a que os usuários exerçam os seus direitos”�47

Além dessas noções básicas, o Grupo de Trabalho não oferece orientações sobre como os provedores de serviços devem oferecer proteção contra uso indevido por terceiros� Em conversas com interessados, frequentemente ouvimos que os provedores de serviços remetentes devem levar em conta a imposição de controles adicionais, para assegurar que os destinatários processem dados do usuário com a privacidade e a segurança em mente� Por exemplo, os provedores podem exigir que os destinatários confirmem (1) a finalidade e o uso de dados pessoais que receberem de acordo com a solicitação de portabilidade de dados e (2) que estão processando os dados de acordo com as leis aplicáveis e as exigências de proteção de dados� Também ouvimos que os provedores devem até mesmo considerar o monitoramento do processamento de dados das entidades destinatárias e a fiscalização das organizações destinatárias que deixam de processar os dados de acordo com as leis aplicáveis e os requisitos de proteção de dados, uma exigência extremamente desafiadora (se não impossível) e que não parece ser obrigatória segundo a formulação de portabilidade do RGPD�

Ao mesmo tempo, há a preocupação de que esses tipos de requisitos sejam inconsistentes com a “verdadeira” portabilidade: se as pessoas quiserem transferir seus dados para uma entidade específica, seria tarefa da entidade remetente avaliar a finalidade do processamento dos dados da pessoa ou averiguar se a destinatária está cumprindo a lei? E se as entidades remetente e destinatária não concordarem com as exigências da lei? A entidade remetente pode decidir? Pode existir um ponto no qual os esforços de cuidado da entidade remetente que excedam a segurança da transferência imponham um atrito indevido sobre a capacidade do usuário de mudar para serviços concorrentes�

Uma resposta sugerida para essa preocupação é o sistema de acreditação�48 No modelo de acreditação, potenciais destinatários de dados de usuários podem demonstrar, por meio de certificação de um órgão independente, que atendem aos padrões de proteção e processamento de dados previstas em uma determinada regulamentação, como o RGPD�49 As entidades acreditadas poderiam, então, ser identificadas por um selo e estariam qualificadas para receber dados de provedores de serviços remetentes� O órgão independente (potencialmente consultando os reguladores relevantes) poderia avaliar

18 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

a conformidade de entidades certificadas, revogando a acreditação quando adequado�

Outra possível solução, potencialmente atraente para provedores que operam em países sem uma estrutura de proteção de dados abrangente, seria a criação de um código de conduta dedicado à portabilidade, administrado por uma organização independente�50 O código de conduta exigiria que as entidades implementassem garantias de privacidade e segurança antes de receber dados solicitados pelo usuário� A organização independente poderia realizar o monitoramento e a fiscalização de potenciais violações de seus signatários� Um ponto a ser discutido em relação a esse modelo é como devem ser tratadas as entidades destinatárias que não cumprem ou não adotam o código� Mesmo que a solicitação de transferência de informações do usuário para essas destinatárias tenha que ser cumprida, as informações sobre sua falta de conformidade ou recusa em adotar o código de conduta ainda forneceriam informações importantes aos usuários sobre a proteção da privacidade e da segurança da entidade�

QUESTÃO 5: DEPOIS QUE OS DADOS DAS PESSOAS SÃO TRANSFERIDOS, QUEM SERÁ O RESPONSÁVEL SE ELES FOREM USADOS OU PROTEGIDOS INDEVIDAMENTE?

As pessoas e os provedores de serviços precisam saber com clareza quem é o responsável por processar e proteger dados antes, durante e depois de uma transferência de dados solicitada pelo usuário� Os reguladores decidiram que plataformas como o Facebook devem ser as responsáveis por garantir a proteção dos dados após certas transferências a terceiros solicitadas pelos usuários� Isso se repete quando o assunto é solicitação de portabilidade de dados?

Em relação ao exercício do direito de portabilidade previsto no RGPD, as orientações do Grupo de Trabalho estabelecem uma nítida alocação de responsabilidade quando o provedor de serviços transfere dados para outra entidade, a pedido do usuário�51 A responsabilidade geralmente segue os dados do usuário em seu novo destino� Antes e durante qualquer transferência de dados, o provedor de serviços remetente deve garantir que está agindo em nome do usuário solicitante, proteger a transmissão durante seu curso até o destinatário correto e mitigar eventuais riscos associados à portabilidade de dados� Os destinatários devem assegurar o recebimento apenas dos dados necessários e relevantes para o serviço que estão prestando ao usuário solicitante�

Após a transferência, o provedor de serviço remetente não é mais responsável pelo processamento realizado pelo titular dos dados ou por outra empresa que recebe os dados pessoais (já que está apenas agindo em nome do titular dos dados, e não escolhendo a organização destinatária)� Em vez disso, de acordo com o Grupo de Trabalho, a responsabilidade recai sobre a destinatária, que agora deve processar e proteger os dados pessoais que aceitou, de acordo com suas obrigações previstas no RGPD�

O documento de discussão da Comissão de Proteção de Dados Pessoais de Cingapura também propõe um modelo de responsabilidade, segundo o qual as entidades remetentes estariam isentas de alegações de danos decorrentes do uso indevido de dados pela destinatária — um resultado que a Comissão julga adequado, considerando que os remetentes não conseguem verificar todos os potenciais destinatários� O estudo também

19 PLANEJANDO O CAMINHO A SEGUIR

SETEMBRO 2019

determina que a remetente não deve ser responsabilizada por problemas “referentes à precisão e à qualidade dos dados transferidos, salvo quando ficar demonstrado que os dados foram danificados sob custódia da remetente”�52 Em seu documento de consulta mais recente, a Comissão não menciona responsabilidade, mas parece limitar as obrigações pós-transferência das entidades remetentes à “confirmação do recebimento dos dados pela organização destinatária e auxílio em relação a eventuais dúvidas relativas aos dados transmitidos”�53

Mas é certo que existem situações sobre as quais legisladores e reguladores esperam que as entidades remetentes conservem sua responsabilidade mesmo após a transferência� Uma possível forma de harmonizar essa realidade às orientações do Grupo de Trabalho e ao documento de discussão da Comissão de Proteção de Dados Pessoais é esclarecendo melhor que a responsabilidade do provedor de serviços pode variar dependendo do tipo de transferência — isto é, se é uma transferência aberta, condicionada ou em parceria, conforme discutimos na Seção II�A� Por exemplo, os provedores devem ser considerados mais responsáveis em uma transferência em parceria (por exemplo, um modelo como a Plataforma Facebook) devido à sua relação mais próxima com a organização destinatária e ao fato de a finalidade da transferência ultrapassar o cumprimento de uma solicitação do usuário?

Nas transferências abertas, talvez a maior responsabilidade do provedor de serviços seria a de auxiliar os usuários a assumirem a responsabilidade pelos riscos associados à migração de seus dados para outro serviço� Se isso acontecer, a responsabilidade pela proteção dos dados recairia unicamente sobre o destinatário� Os provedores de serviços podem criar ferramentas para ajudar o usuário a entender os riscos e os protocolos de segurança dos dados transmitidos� Os provedores também devem considerar oferecer aos usuários orientações para verificar a existência de potenciais abusos ou proteções insuficientes nas organizações destinatárias� Por exemplo, os provedores poderiam ensinar os usuários a confirmar a autenticidade da organização destinatária (que ela realmente é quem diz ser), a verificar a segurança do site das organizações destinatárias (por exemplo, a diferença entre HTTP e HTTPS), a proteger seus dispositivos ao baixar dados (por exemplo, não usar Wi-Fi público para download de dados) e a identificar se a organização destinatária tem políticas adequadas implementadas (por exemplo, examinar as políticas de privacidade para verificar se a entidade venderá os dados de usuários que recebe)�

Nas transferências condicionadas, os provedores de serviços poderiam exigir das destinatárias a confirmação de que elas são acreditadas por um órgão normatizador, de acordo com o código de conduta relevante, ou que processarão dados pessoais segundo as leis aplicáveis e as exigências de proteção de dados antes de cumprir a solicitação de transferência� Uma vez recebida essa certificação, os provedores poderiam ficar isentos de responsabilidade (e da obrigação de indenizar) por questões relacionadas aos dados surgidas após a transferência�

Nas transferências em parceria, poderia ser mais adequado impor algum nível de responsabilidade à entidade remetente, mesmo em relação a condutas ocorridas após a transferência� Na medida do possível, também pode ser adequado ter uma supervisão reforçada sobre o tratamento de dados pessoais pela destinatária após a transferência�

Por fim, existe a questão complexa da responsabilidade referente a pessoas cujos dados são transferidos para outro provedor em razão da solicitação de portabilidade� As orientações

SETEMBRO 2019

20 PLANEJANDO O CAMINHO A SEGUIR

do Grupo de Trabalho observam que, se a solicitação de portabilidade de dados do usuário envolver dados pessoais de terceiros, o usuário solicitante também será responsável pelas operações de tratamento que iniciou (na medida em que esse tratamento não seja decidido pelo controlador), não incidindo uma isenção para uso doméstico e pessoal�54 Impor responsabilidade (e reparação de danos) aos usuários solicitantes que transferem dados de contatos pode arrefecer o interesse pela portabilidade em geral, e pela portabilidade do gráfico de rede social especificamente� Seria melhor uma solução que limitasse a responsabilidade dos usuários solicitantes aos casos que envolvam comportamentos realmente irrazoáveis ou negligentes, como a transferência consciente de dados de contatos para uma destinatária reconhecida pelo uso indevido de dados ou práticas de proteção insuficientes?

III� Próximos passosA portabilidade de dados promete oferecer às pessoas um controle inédito sobre suas informações e apoiar inovação e concorrência contínuas e vibrantes online� O RGPD e outras leis estimularam um grande investimento em ferramentas de portabilidade� Este estudo e as conversas que se seguirão têm o objetivo de promover a portabilidade ao expor seus problemas e começar a responder às perguntas complexas sobre como é possível implementá-la de forma a proteger a privacidade� Acreditamos muito que isso é possível, e esperamos colaborar com muitos atores nos próximos meses a respeito de soluções�

Portabilidade de dados e privacidade: Planejando o caminho a seguir

NOTAS FINAIS �

21

1� V. Mark Zuckerberg, The Internet Needs New Rules. Let’s Start in These Four Areas, Washington Post (30/01/2019), https://www�washingtonpost�com/opinions/mark-zuckerberg-the-internet-needs-new-rules-lets-start-in-these-four-areas/2019/03/29/9e6f0504-521a-11e9-a3f7-78b7525a8d5f_story�html?utm_term=�6247ef86cd32 (em inglês)

2� V. id.3� Princípios de privacidade do Facebook, Facebook, https://www�

facebook�com/about/basics/privacy-principles (último acesso em 16/08/2019)�

4� Regulamento 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/EC, 2016, JO L 119/1, art� 20 [doravante denominado RGPD]�

5� CÓdigo Civil da CalifÓrnia § 1798�100(d) (em vigor a partir de 1/01/2020)�

6� Zuckerberg, nota 1 supra� 7� V. About Us, Data Transfer Project, https://datatransferproject�dev/

(último acesso em 16/08/2019)�8� V. Jacques Crémer, et al., Competition Policy for the Digital Era,

Report for the European Commission (2019), http://ec�europa�eu/competition/publications/reports/kd0419345enn�pdf (em inglês)

9� V. Jason Furman et al., Unlocking Digital Competition, Report of the Digital Competition Expert Panel 9 (2019), https://assets�publishing�service�gov�uk/government/uploads/system/uploads/attachment_data/file/785547/unlocking_digital_competition_furman_review_web�pdf (em inglês) (“Podem ocorrer situações nas quais a abertura de alguns dados mantidos por empresas digitais e a oferta de acesso em termos razoáveis é uma etapa essencial e justificada para desbloquear a concorrência� Qualquer medida desse tipo precisaria proteger a privacidade pessoal e analisar cuidadosamente se os benefícios justificam o impacto na empresa que armazena os dados”)�

10� V. p. ex., Datum Future, Data Portability: What is at stake? (julho de 2019), https://www�datumfuture�org/wp-content/uploads/2019/07/Datum-Future-Data-Portability-July-2019�pdf� (em inglês)

11� V. Grupo do Artigo 29° para a Proteção de Dados, Orientações sobre o direito à portabilidade dos dados, p� 23 (2017), https://ec�europa�eu/newsroom/article29/item-detail�cfm?item_id=611233 (“Available language versions”, arquivo wp242rev01_pt�pdf) [doravante denominado Grupo de Trabalho do Art� 29, Orientações]�

12� Id. p� 13� 13� V., p. ex., Information Commissioner’s Office, Monetary Penalty

Notice (24/10/2018), https://ico�org�uk/media/action-weve-taken/mpns/2260051/r-facebook-mpn-20181024�pdf (em inglês); Office of the Privacy Commissioner of Canada, PIPEDA Report of Findings #2019-002 (25/04/2019), https://www�priv�gc�ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2019/pipeda-2019-002/ (em inglês); Stipulated Order for Civil Penalty,

Monetary Judgment, and Injunctive Relief, United States v. Facebook, Inc., No� 19-cv-2184 (F�T�C� 24/07/2019), https://www�ftc�gov/system/files/documents/cases/182_3109_facebook_order_filed_7-24-19�pdf (em inglês) [doravante denominadas Decisão e Ordem]�

14� V. Grupo de Trabalho do Art� 29, Orientações, nota 11 supra, p� 23�15� V. id� p� 7 (grifo nosso)�16� Furman et al., nota 9 supra, p� 80�17� Esses desafios vão além dos desafios tradicionais de segurança de

dados que surgem quando disponibilizamos o acesso a dados pessoais por meios mecânicos (embora estes sejam, por si sós, muito importantes)� O risco de divulgação involuntária ou vazamento de dados cresce inevitavelmente com o aumento das formas de acesso aos sistemas� Os sistemas complexos e independentes necessários para implementar a portabilidade de dados invariavelmente criarão formas adicionais de acesso a dados e serviços controlados — que podem ser traduzidas como maior risco de segurança para os usuários� V., de forma geral, John Palfrey e urs Gasser, Nascidos na era Digital: Entendendo a primeira geraÇÃo de Nativos digitais (2011)�

18� V. Grupo de Trabalho do Art� 29, Orientações, nota 11 supra, p� 5�19� OrganizaÇÃo Internacional de NormatizaÇÃo, ISO/IEC 19941:2017,

Information Technology – Cloud Computing – Interoperability and Portability (2017), https://www�iso�org/obp/ui/#iso:std:66639:en (em inglês)�

20� V. Decisão e Ordem do Facebook, nota 13 supra. V. tb. Separate Statement of Commissioner Noah Joshua Phillips, Federal Trade Commission v. Unrollme Inc., No� 1723139 (8/08/2019), https://www�ftc�gov/system/files/documents/public_statements/1539865/phillips_-_unrollme_statement_8-8-19�pdf (sugerindo que a decisão do Google de restringir o uso, por terceiros, de informações das contas Gmail de consumidores para fins como pesquisa de mercado e publicidade, mas de promovê-lo como meio de melhorar a privacidade do consumidor também pode limitar o poder de escolha do consumidor e a concorrência) (em inglês)�

21� V. fontes citadas na nota 13 supra�22� Decisão e Ordem do Facebook, nota 13 supra�23� V. p. ex., Ben Thompson, The Bill Gates Line Follow-up, Twitter and

the Bill Gates Line, Data Portability and Facebook, Stratechery (29/05/2018), https://stratechery�com/2018/the-bill-gates-line-follow-up-twitter-and-the-bill-gates-line-data-portability-and-facebook/ (reconhecendo que a “portabilidade e a interoperabilidade forçadas de dados” poderia “devolver o Facebook ao estado em que estava na API gráfica social original”, que foi o que impulsionou a Cambridge Analytica) (em inglês); Ben Thompson, The Facebook Brand, Stratechery (19/05/2018), https://stratechery�com/2018/the-facebook-brand/ (observando que a API gráfica do Facebook permitiu que os usuários “revelassem tudo sobre seus amigos” e que “foi exatamente assim que o pesquisador envolvido no caso Cambridge Analytica” obteve acesso a dados de usuários do Facebook) (em inglês); Paul Przemysław Polański, Some

NOTAS FINAIS �

22

Thoughts on Data Portability in the Aftermath of the Cambridge Analytica Scandal, Journal of European Consumer and Market Law, volume 7, p� 141 (2018) (descrevendo o caso Cambridge Analytica como o resultado de uma falha de implementação de API e pedindo uma interpretação conservadora do direito de portabilidade de dados) (em inglês)�

24� Existem diferentes técnicas para realizar essas transferências, e os pesquisadores vêm desenvolvendo modelos multilaterais que permitem às pessoas gerenciar seus dados e decidir onde armazená-los� Por exemplo, os sistemas de gestão de informações pessoais (“SGIP”) permitem que as pessoas armazenem seus dados localmente ou via armazenamento em nuvem e “definam em uma granularidade suficiente como suas informações pessoais devem ser usadas e para quais finalidades”� V. Autoridade Europeia para a Proteção de Dados, Parecer sobre Sistemas de Gestão de Informações Pessoais, Parecer 9/2016, p� 7 (20/10/2016), https://edps�europa�eu/sites/edp/files/publication/16-10-20_pims_opinion_en�pdf (em inglês)� Além desse, um projeto do MIT, o “Solid”, visa à criação de “aplicativos de rede social descentralizados” que permitirão aos usuários migrar suas informações para onde quiserem e alternar entre diferentes plataformas� V. CSAIL-MIL, What Does Solid Offer?, Solid, https://solid�mit�edu/ (último acesso em 22/05/2019, em inglês)� No início deste ano, a iniciativa Data Mobility Infrastructure Sandbox começou a avaliar a viabilidade da portabilidade de dados facilitada por entidades como SGIP� V. Ctrl-Shift, Data Mobility Infrastructure Sandbox (2019), https://www�ctrl-shift�co�uk/wp-content/uploads/2019/06/DMIS_June_2019_Downloadable_Singles_Final4�pdf (em inglês)�

25� Terceiros que recebem Informações Abrangidas por meio de uma “transferência iniciada pelo Usuário de Informações Abrangidas como parte de um protocolo ou norma de portabilidade de dados” não estão necessariamente sujeitos aos mesmos controles e proteções de terceiros que recebem Informações Abrangidas por outros meios� V� Decisão e Ordem do Facebook, nota 13 supra�

26� RGPD, art� 20(1)�27 � V. Grupo de Trabalho do Art� 29, Orientações, nota 11 supra, p� 11� 28� A importância de assegurar que pequenas empresas não sejam

sobrecarregadas por novas exigências é um tema que vem sendo considerado por vários legisladores dos EUA na criação de novas normas sobre privacidade� Vários projetos de lei sobre privacidade contêm algumas exceções para entidades pequenas� A Lei DASHBOARD, idealizada pelos Senadores Mark Warner (Partido Democrata, Virgínia) e Josh Hawley (Partido Republicano, Missouri), por exemplo, limita sua aplicabilidade a entidades que “(1) produzem uma quantidade significativa de receita com o uso, coleta, processamento, venda ou compartilhamento de dados de usuários; e (2) têm mais de 100�000�000 usuários mensais exclusivos nos Estados Unidos pela maior parte do ano no período de um ano anterior”� V. comunicado à imprensa, Sen� Mark R� Warner, Warner & Hawley Introduce Bill to Force Social Media Companies to Disclose How They Are Monetizing User Data (24/06/2019), https://www�warner�senate�gov/public/index�cfm/2019/6/warner-hawley-introduce-bill-to-force-social-media-companies-to-disclose-how-they-are-monetizing-user-data (em inglês)� Em outro exemplo, em uma recente sessão, o deputado Jan Schakowsky (Partido Democrata, Illinois) observou que “não podemos perder de vista as pequenas e médias empresas e como leis e regulações rígidas podem prejudicá-las� Empresas grandes e estabelecidas conseguem navegar em um regime de privacidade complexo e oneroso� Mas milhões de dólares em custos de conformidade não são uma prática viável para startups e pequenas empresas�” V. Protecting Consumer Privacy in the Era of Big Data,

Sessão da Subcomissão de Proteção ao Consumidor da Comissão de Energia e Comércio do 116° Congresso dos EUA (2019) (pronunciamento do deputado Jan Schakowsky, Presidente da Subcomissão) (em inglês)� Da mesma forma, legisladores da UE vêm procurando evitar gravames desproporcionais sobre pequenas e médias empresas criando exceções para certas obrigações de proteção de dados� V., p. ex., RGPD, art� 30(5) (isentando pequenas e médias empresas com 250 ou menos empregados de determinadas obrigações de manutenção de registros do RGPD)� O RGPD também procura minimizar ônus desproporcionais aos provedores permitindo que as controladoras recusem o cumprimento de direitos de titulares de dados quando “manifestamente infundados ou excessivos, nomeadamente devido ao seu caráter repetitivo”� V. RGPD, art� 12(5)(b)�

29� V., p. ex., Dr� Aysem Diker Vanberg, The Right to Data Portability in the GDPR: What Lessons Can Be Learned from the EU Experience, 21(7) Journal of Internet Law 1, 3 (2018) (“Permitir que um usuário transfira as informações de um segundo usuário para outra plataforma pode violar os direitos de privacidade do segundo usuário�”) (em inglês); Helena Ursic, Unfolding the New-Born Right to Data Portability: Four Gateways to Data Subject Control, 15(1) SCRIPT-ED 42, 56 (2018), https://script-ed�org/wp-content/uploads/2018/08/ursic�pdf (observando “dificuldades adicionais no exercício do direito à portabilidade de dados” quando os dados contêm “dados interligados de várias pessoas”) (em inglês); Barbara Engels, Data Portability Among Online Platforms, 5 Internet Policy Review, junho de 2016, 4-5, https://policyreview�info/articles/analysis/data-portability-among-online-platforms (“Permitir que uma pessoa transfira as informações de um segundo usuário pode violar os direitos de privacidade do segundo usuário�”) (em inglês)�

30� V. Comments of New America’s Open Technology Institute, In re Competition and Consumer Protection in The 21st Century: The Intersection Between Privacy, Big Data, and Competition, at 4 (F�T�C� 20/08/2018), https://www�ftc�gov/system/files/documents/public_comments/2018/08/ftc-2018-0051-d-0034-154926�pdf [doravante denominados Comentários do OTI] (“Em nenhum outro lugar a tensão entre o direito de portabilidade e o direito de privacidade de amigos é maior do que na questão da portabilidade de informações sobre seus contatos em redes sociais, ou seu gráfico de rede social”) (em inglês)�

31� Ver. p. ex., Ira Rubinstein, Big Data: The End of Privacy or a New Beginning?, 3 InternationalL Data Privacy Law, p� 74, 74–87 (2013), (apoiando a ideia de um modelo baseado na titularidade de dados pessoais que protege a privacidade) (em inglês); Paul M� Schwartz, Property, Privacy, and Personal Data, 117 Harvard Law Review p� 2056 (2003), https://scholarship�law�berkeley�edu/cgi/viewcontent�cgi?referer=&httpsredir=1&article=1068&context=facpubs (desenvolvendo um modelo de informações pessoais titularizadas que protege a privacidade) (em inglês); v� tb� Peter Swire e Yianni Lagos, Why the Right to Data Portability Likely Reduces Consumer Welfare: Antitrust and Privacy Critique, Maryland Law Review, vol� 72, p� 335, p� 373 (2013) (sugerindo que o direito à portabilidade de dados “se parece mais com a teoria da propriedade de dados pessoais” do que com o direito de acesso e reconhecendo o debate sobre se informações pessoais são propriedade) (em inglês)�

32� V. p. ex. Hayley Tsukayama, Knowing the “Value” of Our Data Won’t Fix Our Privacy Problems, Electronic Frontier Foundation (15/07/2019), https://www�eff�org/deeplinks/2019/07/knowing-value-our-data-wont-fix-our-privacy-problems (em inglês); Sarah Jeong, Selling Your Private Information Is a Terrible Idea, N�Y� Times (5/07/2019), https://www�nytimes�com/2019/07/05/opinion/health-data-property-privacy�html (em inglês)�

NOTAS FINAIS �

23

33� V. Comissão Europeia, Documento de Trabalho dos Serviços da Comissão sobre a Livre Circulação dos Dados e Questões Emergentes Relativas à Economia Europeia dos Dados (10/01/2017), https://ec�europa�eu/digital-single-market/en/news/staff-working-document-free-flow-data-and-emerging-issues-european-data-economy (em inglês); v. tb. Cameron F� Kerry e John B� Morris, Why Data Ownership Is the Wrong Approach to Protecting Privacy, Brookings Institution (26/06/2019), https://www�brookings�edu/blog/techtank/2019/06/26/why-data-ownership-is-the-wrong-approach-to-protecting-privacy/ (em inglês)�

34� Argumentos semelhantes podem ser levados em consideração para se determinar como abordar problemas de privacidade relacionados a transferências de dados entre empresas (o que, como acima observado, está além do escopo deste estudo, mas é tão importante para promover a concorrência quanto o direito individual à portabilidade de dados�) No contexto dessas transferências, frequentemente há fatores adicionais presentes que podem impactar significativamente a questão da privacidade em transferências�

35� V. Bennett Cyphers e Danny O’Brien, Facing Facebook: Data Portability and Interoperability Are Anti-Monopoly Medicine, Electronic Frontier Foundation (24/07/2018), https://www�eff�org/deeplinks/2018/07/facing-facebook-data-portability-and-interoperability-are-anti-monopoly-medicine (em inglês); Kevin Bankston, How We Can ‘Free’ Our Facebook Friends, New America Weekly (28/06/2018), https://www�newamerica�org/weekly/edition-211/how-we-can-free-our-facebook-friends (em inglês); v. tb. Orla Lynskey, Aligning Data Protection Rights with Competition Law Remedies? The GDPR Right to Data Portability, European Law Review 793, 804-05 (2017) (“A impossibilidade de acessar dados de “amigos” pode constituir um obstáculo à entrada de potenciais concorrentes”) (em inglês)� Mas ver Thompson, The Bill Gates Line Follow-up, nota 23 supra�

36� V., p. ex., Comentários do OTI, nota 30 supra, p� 4 (“A maioria dos serviços permitirá agora que você faça download de suas próprias publicações em redes sociais, mas e os comentários de outras pessoas nessas publicações, ou seus comentários e marcações nas publicações e fotos de outras pessoas? � � � � Estes são apenas alguns exemplos da tensão não resolvida entre meu direito à portabilidade e o direito à privacidade dos meus amigos, e essa tensão é ainda maior quando o assunto é portabilidade de informações de seus contatos de redes sociais, ou seu “gráfico de rede social”); Lynskey, nota 35 supra, p� 808 (“Assegurar a segurança de dados será um custo em potencial e complicação adicional para as controladoras de dados, dada a tensão entre a segurança e o acesso a dados� Talvez o Grupo de Trabalho do Artigo 29 esteja subestimando a dimensão desse desafio para as controladoras de dados dizendo simplesmente que o RGPD pode também ‘suscitar alguns problemas de segurança’ e, ao mesmo tempo, frisando que as controladoras de dados permanecerão responsáveis por ‘adotar todas as medidas de segurança necessárias para assegurar que dados pessoais sejam transferidos com segurança’�”); Vanberg, nota 29 supra, p� 7 (“O Grupo de Trabalho do Artigo 29 certamente não foi bem-sucedido em esclarecer melhor quais padrões de segurança são esperados�”)

37� V. Grupo de Trabalho do Art� 29, Orientações, nota 11 supra, p� 22�38� V. Personal Data Protection Commission of Singapore, Discussion

Paper on Data Portability 20 (25/02/2019), https://www�pdpc�gov�sg/-/media/Files/PDPC/PDF-Files/Resource-for-Organisation/Data-Portability/PDPC-CCCS-Data-Portability-Discussion-Paper---250219�pdf (em inglês) [doravante denominado Documento de DiscussÃo PDPC]�

39� V. Personal Data Protection Commission of Singapore, Public Consultation on Review of the Personal Data Protection Act of 2012 − Proposed Data Portability and Data Innovation Provisions 17 (22/05/2019) (em inglês) [doravante denominado Consulta PÚblica PDPC]�

40� V. Gennie Gebhart, Bennet Cyphers e Kurt Opsahl, What We Mean When We Say “Data Portability,” Electronic Frontier Foundation (13/09/2018), https://www�eff�org/deeplinks/2018/09/what-we-mean-when-we-say-data-portability (em inglês); Bankston, nota 35 supra�

41� O excesso de notificações é um problema frequentemente discutido no contexto das notificações de violações� V., p. ex., Jeri Clausing, ‘Security Fatigue’ Complicates the Battle Against Data Breaches, Internet Society (21/12/2016), https://www�internetsociety�org/blog/2016/12/security-fatigue-complicates-the-battle-against-data-breaches/ (em inglês); Christopher Mele, Data Breaches Keep Happening. So Why Don’t You Do Something?, N�Y� Times (1/08/2018), https://www�nytimes�com/2018/08/01/technology/data-breaches�html (em inglês)�

42� V. Bankston, nota 35 supra; Josh Constine, Facebook Shouldn’t Block You from Finding Friends on Competitors, TechCrunch (13/04/2018), https://techcrunch�com/2018/04/13/free-the-social-graph (em inglês); Cyphers e O’Brien, nota 35 supra; v. tb. Lynskey, nota 35 supra, p� 804-05 (“A impossibilidade de acessar dados de amigos pode constituir um obstáculo à entrada de potenciais concorrentes�”)� Mas ver Thompson, The Bill Gates Line Follow-up, nota 23 supra�

43� V. Comentários do OTI, nota 30 supra, p� 6-7�44� Id. p� 7�45� V., p. ex., fontes citadas na nota 13 supra�46� Grupo de Trabalho do Art� 29, Orientações, nota 11 supra, p� 23�47� Id.48� V. Documento de DiscussÃo PDPC, nota 38 supra, p� 20; Gus Rossi e

Charlotte Slaiman, Interoperability = Privacy + Competition, Public Knowledge (26/04/2019), https://www�publicknowledge�org/news-blog/blogs/interoperability-privacy-competition (“Como eles estão lidando com dados pessoais, terceiros que querem interoperabilidade deveriam seguir um modelo aberto claro e transparente de privacidade do usuário, incluindo potenciais requisitos para a pré-aprovação ou certificação por uma entidade independente”)�

49� V., p. ex.., RGPD, art� 42-43�50� Recentemente, a Comissão de Proteção de Dados Pessoais de

Cingapura sugeriu que lhe fosse dado o poder de emitir códigos de práticas de observância obrigatória para os setores relacionados à proteção do consumidor, à garantia de contrapartida, interoperabilidade e segurança de dados� V. Consulta PÚblica, nota 39 supra, p� 17 (os códigos de práticas ofereceriam padrões mínimos de interoperabilidade e segurança, critérios de verificação da identidade de organizações destinatárias antes da transferência e informações a serem fornecidas ao consumidor para que ele possa exercer seu direito à portabilidade de dados)�

51� V. Grupo de Trabalho do Art� 29, Orientações, nota 11 supra, p� 7-8�52� V. Documento de DiscussÃo, nota 38 supra, p� 20�53� V. Documento de Consulta PDPC, nota 39 supra, p� 14�54� Grupo de Trabalho do Art� 29, Orientações, nota supra 11, p� 11�