Tribunal alemão decide que a tecnologia de rastreamento da Meta viola a lei europeia de proteção de dados pessoais

• Um tribunal alemão decidiu que o pixel de rastreamento da Meta e suas tecnologias violam o GDPR
• Com essa decisão, outros usuários também poderão entrar com ações de indenização sem precisar provar danos individuais
• O tribunal mencionou que a Meta obtém lucros enormes ao identificar pessoas e traçar seus perfis
• Especialistas indicam que esta decisão sugere risco de ações em massa contra todos os sites e apps que usam tecnologia de rastreamento
• Há um dano estimado de 5.000 euros por pessoa, então quanto mais visitantes houver, maior poderá ser o valor total

---

Tribunal alemão decide que a tecnologia de rastreamento da Meta viola a lei europeia de proteção de dados pessoais

Principais pontos da decisão

• O tribunal distrital de Leipzig, na Alemanha, decidiu que a Meta insere pixels de rastreamento e kits de desenvolvimento de software (SDKs) em sites e apps de terceiros para coletar dados pessoais sem consentimento dos usuários
• A decisão deixa claro que essa tecnologia viola o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia
• Os juízes apontaram que a Meta obtém receitas enormes por meio de atividades de profiling baseadas em dados pessoais, sem consentimento individual dos usuários
• O comunicado à imprensa destacou que, mesmo sem estar conectado a uma conta do Facebook ou do Instagram, a Meta pode identificar a pessoa ao visitar sites de terceiros

Efeitos da decisão

• A decisão resultou na condenação da Meta a pagar 5.000 euros (cerca de US$ 5.900) de indenização em uma ação movida por um usuário alemão do Facebook
• O tribunal afirmou que esse julgamento cria um precedente para que muitos usuários entrem com ações semelhantes mesmo sem comprovar detalhadamente danos individuais
• Especialistas analisam que a decisão pode representar um risco para todos os operadores de sites e apps que utilizam tecnologia de rastreamento da Meta
• O CEO da consultoria AesirX avaliou que o caso tem potencial para ações coletivas (class action) e para causar um "impacto fatal nos negócios"

Perspectivas futuras

• Todos os visitantes na Alemanha que não consentiram com a tecnologia de rastreamento da Meta podem ser incluídos em ações coletivas
• Se o número de visitantes for alto, o valor total da indenização pode crescer exponencialmente
• Especialistas avaliam este julgamento como uma das decisões mais importantes do ano na Europa

Link de referência

• Comunicado oficial do tribunal distrital de Leipzig

Conclusão

• A decisão sinaliza uma mudança importante no reforço da proteção de dados pessoais e na responsabilidade legal de empresas de tecnologia e operadores de sites
• Cresce a necessidade de o setor reavaliar medidas técnicas para conformidade com o GDPR e obtenção do consentimento dos usuários

[GN⁺]

Comentários no Hacker News

• Embora esta decisão de Leipzig chame atenção, o impacto real pode não ser tão grande quanto os €5.000; o tribunal afirmou que a vítima pode processar sem precisar provar dano individual, mas a forma de ações coletivas na Europa ainda é diferente do modelo dos EUA; na Alemanha, ao contrário dos EUA, não há honorários de êxito da mesma forma, há incentivos diferentes como o risco de arcar com custos processuais em caso de derrota, e os mecanismos de reparação coletiva também são limitados; a maioria dos consumidores alemães provavelmente não vai entrar individualmente com ações de €5.000 por causa de um pixel de rastreamento, porque isso exige tempo e dinheiro; pessoalmente, eu gostaria que associações de defesa do consumidor ou entidades especializadas com recursos financeiros liderassem esse tipo de processo; a Alemanha até está ampliando seu framework de ações coletivas, mas ainda é centrado em entidades qualificadas, mais do que em autores individuais
  • Na Alemanha, todos os consumidores são incluídos automaticamente; ao contrário de outros países europeus, eles não precisam se inscrever separadamente na ação, sendo incluídos por padrão; por isso, ações coletivas pedindo indenização de EUR 500 contra o X e de EUR 2000 contra o Tiktok já estão em andamento na Alemanha
  • Alguém talvez consiga transformar isso em produto e fazer um negócio do tipo “Damos €2500 de graça para você! Assine aqui!”
• Vale notar que essa decisão pode não se manter na apelação; o texto completo ainda não foi publicado, e por enquanto só conhecemos o conteúdo por meio do comunicado à imprensa; por exemplo, o tribunal reconheceu a responsabilidade por indenização sem sequer ouvir uma descrição concreta do dano por parte do autor, então será interessante ver como isso será tratado na decisão final; isso parece ser algo contra o qual a Meta certamente pode recorrer; como há questões de direito da UE ainda não resolvidas, também existe a possibilidade de remessa ao ECJ; de todo modo, essa decisão criou incerteza jurídica no curto prazo e muita gente provavelmente vai querer processar, mas se houver apelação e o caso for ao ECJ, isso pode levar anos, então é algo a acompanhar
  • Fico em dúvida sobre quem é responsável, se o Facebook ou o operador do site em que o rastreamento ocorreu; meu entendimento do GDPR era que o site tem a responsabilidade de obter consentimento antes de repassar informações para uma rede de anúncios
• A esta altura, eu já esperaria que algum escritório jurídico meio suspeito tivesse começado a procurar pessoas na mesma situação do usuário envolvido, oferecendo mover a ação em troca de uma parte do valor, tipo 10%; se eles processassem por mim, eu toparia; mas esse tipo de problema precisa ser enfrentado não com ações individuais, e sim com regulação forte, como aplicar de fato multa de 4% da receita anual global diretamente na empresa, para que ela trate a lei como algo mais do que uma recomendação
  • Em outras áreas, como compensação por passagens aéreas, já existem empresas (legítimas) que oferecem esse serviço; a lei da advocacia na Alemanha impõe algumas restrições a honorários de êxito, mas esse pedido de indenização de €5.000 pode ser tratado como simples “cobrança de crédito”, o que talvez seja permitido; o maior risco é a decisão ser revertida em apelação ou haver jurisprudência diferente em tribunais de outras regiões; portanto, até haver confirmação pelo tribunal supremo federal ou pelo ECJ, só quem tiver capital considerável conseguirá sustentar litígios com base nessa decisão por muito tempo
  • Não existe na Europa algo exatamente igual à class action americana; existe a diretiva europeia de “ação representativa”, mas seu alcance é muito mais estreito do que o das class actions dos EUA
  • Com esse precedente, parece que agora vão surgir processos no estilo class action
• Cinco anos atrás, quando uma notícia dessas aparecia no HN, usuários americanos faziam barulho dizendo que a Europa só queria arrumar desculpa para arrancar dinheiro de empresas dos EUA; agora o clima mudou completamente; fico feliz em ver que, mesmo com algumas limitações, a abordagem europeia estava certa
  • Essas alegações são o oposto dos fatos; na prática, a maior parte das multas é aplicada a empresas europeias; não são só as Big Tech que violam as regras, empresas europeias também fazem isso com frequência, só que usuários americanos normalmente não ficam sabendo desses casos; além disso, o atual sistema de proteção de dados tem uma história bem anterior ao surgimento da FAANG, já que foi desenvolvido com base no Bundesdatenschutzgesetz alemão dos anos 90; também vale consultar o site de rastreamento de multas
  • Que cinco anos, essa conversa parece ter aparecido até na semana passada
  • Sou americano, mas minha preocupação com as leis europeias de privacidade sempre foi só a questão de jurisdição; como isso não se aplica a este caso, concordo totalmente com a decisão
  • Nos EUA, o mercado de publicidade já foi totalmente entregue a gigantes como Google e Meta, e as pequenas e médias empresas estão migrando para assinaturas; no fim, a menos que a UE também impeça o modelo de assinatura, não há muito mais o que fazer
• Espero mesmo que isso evolua para uma ação coletiva; eu com certeza gostaria de participar
• Agora estou esperando ver decisões como essa começarem a se concretizar; a análise neste blog também vale a leitura
• Como sempre, tenho a sensação de que no fim não vai acontecer nenhuma mudança significativa
• É interessante que o tribunal tenha enfatizado a identificabilidade pessoal mesmo sem login; isso desmonta frontalmente a defesa favorita das empresas de que seria “rastreamento anônimo”
• Dá para ver mais detalhes na análise completa no Linkedin, e o fato de que na Alemanha o consumidor entra automaticamente na ação sem precisar se inscrever a diferencia bastante de outros países europeus
• Acho que isso pode acabar virando um tema de disputa geopolítica e comercial entre Europa e EUA; pode até escalar para a questão de tarifas; no fundo, trata-se de saber se a Europa pode exercer sua autoridade para proteger seus próprios cidadãos, embora eu honestamente tenha dúvidas sobre quão bem ela vai conseguir fazer isso