Uma controvérsia publicitária microdirecionada que implicou legisladores da União Europeia em práticas hostis à privacidade, proibidas por leis que eles ajudaram a aprovar, é objeto de uma nova reclamação de organizações sem fins lucrativos de direitos de privacidade, noyb.

A queixa contra a Direcção-Geral de Migração e Assuntos Internos da Comissão Europeia é apresentada hoje, junto da Autoridade Europeia para a Protecção de Dados (AEPD), que supervisiona o cumprimento das instituições da UE com as leis de protecção de dados do bloco.

noyb acusa a Comissão de “micro-direcionamento ilegal” no X (Twitter) relacionado com uma proposta legislativa da Comissão destinada a combater o abuso sexual infantil.

Afirma que também está a considerar apresentar uma queixa contra X por fornecer ferramentas que permitiram aos funcionários da UE segmentar anúncios usando categorias relacionadas com opiniões políticas e crenças religiosas – informações que são conhecidas como dados de “categoria especial” no âmbito do Regulamento Geral de Proteção de Dados (GDPR) do bloco. Estas categorias sensíveis de dados pessoais requerem o consentimento explícito das pessoas para o processamento e não está claro se a permissão individual foi obtida de todos os utilizadores cujos dados foram processados ​​desta forma (seja por X; ou pela Comissão) antes dos anúncios serem direcionados aos utilizadores de a plataforma de microblog.

“Atualmente, estamos considerando registrar uma reclamação contra X, já que a empresa e a Comissão da UE são controladoras conjuntas da campanha publicitária em questão”, disse um porta-voz da noyb ao TechCrunch. “A queixa contra X seria provavelmente apresentada a uma autoridade nacional de controlo, como a autoridade neerlandesa de protecção de dados… Informaremos a AEPD se esta medida for tomada.”

O uso de dados pessoais sensíveis para fins de segmentação de anúncios também é proibido pelo livro de regras digitais recentemente reiniciado do bloco, a Lei de Serviços Digitais (DSA).

As multas por violações do GDPR podem chegar a 4% do faturamento anual global, enquanto as violações do DSA podem atingir até 6% do mesmo. (Ironicamente, a Comissão é responsável por supervisionar a conformidade do DSA de X, portanto, se noyb avançar com uma reclamação contra a empresa de tecnologia, isso poderia – teoricamente – levar a UE a multar X por aceitar seus próprios anúncios… 🙈)

noyb está apoiando um reclamante holandês que diz ter visto uma publicação sobre X da Divisão de Assuntos Internos da Comissão (que ainda está ativo na plataforma no momento em que este artigo foi escrito), alegando que 95% dos holandeses alegadamente disseram que a detecção de abuso infantil online é mais importante ou tão importante quanto o seu direito à privacidade online.

Os detalhes de segmentação associados à campanha publicitária da Comissão estão disponíveis através de ferramentas públicas de transparência de anúncios que a DSA exige que plataformas como X forneçam. Assim, de certa forma, a queixa de Noyb mostra que as leis de transparência da UE estão a funcionar.

noyb também argumenta que a estatística no anúncio polêmico é “enganosa” – citando reportagens da mídia sugerindo que os dados se baseiam apenas em sondagens de opinião realizadas pela Comissão, que, segundo ela, não mencionaram os efeitos negativos da proposta de digitalização de mensagens.

“Embora a publicidade online não seja ilegal em si, a Comissão Europeia direccionou-se aos utilizadores com base nas suas opiniões políticas e crenças religiosas”, escreveu noyb num comunicado de imprensa. “Especificamente, os anúncios só foram exibidos para pessoas que não estavam interessadas em palavras-chave como #Qatargate, brexit, Marine Le Pen, Alternative für Deutschland, Vox, Christian, Christian-phobia ou Giorgia Meloni.”

Não está claro por que os funcionários da Comissão selecionaram estes parâmetros específicos de segmentação de anúncios para a campanha. Mês passadoo comissário responsável pela divisão de Assuntos Internos afirmou repetidamente não saber.

noyb prossegue, observando que a Comissão já levantou preocupações sobre a utilização de dados pessoais para micro-direcionamento – descrevendo a prática como “uma séria ameaça a um processo eleitoral justo e democrático”.

“Parece que a Comissão da UE tentou influenciar a opinião pública em países como os Países Baixos, a fim de minar a posição do governo nacional no Conselho da UE. Este comportamento — especialmente em combinação com a microssegmentação ilegal — constitui uma ameaça grave para o processo legislativo da UE e contradiz completamente a posição da Comissão intenção de tornar a publicidade política mais transparente”, disse, referindo-se a outro Proposta legislativa da UE destinada a regulamentar a publicidade política.

“noyb solicita à AEPD que investigue exaustivamente este assunto de acordo com o RGPD da UE”, acrescentou noyb. “Dada a gravidade das violações e o grande número de pessoas afetadas, noyb também sugere que a AEPD aplique uma multa.»

Comentando em comunicado, Maartje de Graaf, advogada de proteção de dados da noyb, disse: “É surpreendente que a Comissão Europeia não siga a lei que ajudou a institucionalizar há apenas alguns anos. Além disso, X afirma proibir o uso de dados confidenciais para direcionamento de anúncios, mas não faz nada para realmente impor essa proibição.”

“A Comissão da UE não tem base legal para processar dados confidenciais para publicidade direcionada no X. Ninguém está acima da lei e a Comissão da UE não é exceção”, acrescentou Felix Mikolasch, outro advogado de proteção de dados da noyb, em uma segunda declaração de apoio.

O grupo de privacidade é provavelmente mais conhecido por uma série de reclamações estratégicas contra gigantes da adtech como Meta – onde noyb escreveu uma série de desafios de sucesso nos últimos anos. Mas desta vez o seu objectivo é atacar a Comissão Europeia, acusando o órgão executivo do bloco de aproveitar as ferramentas de segmentação adtech de uma forma que infringe os direitos dos cidadãos.

Como nós relatado no mês passadoa controvérsia do anúncio de microssegmentação surgiu depois que os usuários da web detectaram anúncios que a divisão de Assuntos Internos da Comissão estava veiculando no X, em uma tentativa de angariar apoio para a (também controversa) proposta legislativa de digitalização de CSAM.

O projeto de proposta CSAM da Comissão contém poderes que podem levar as plataformas de mensagens a serem obrigadas a digitalizar o conteúdo das cartas de todos os utilizadores para detetar material de abuso sexual infantil, mesmo nos casos em que o conteúdo das mensagens é encriptado de ponta a ponta (E2EE).

É uma proposta extremamente controversa que foi criticada por especialistas jurídicospesquisadores de privacidade e segurança, grupos da sociedade civil e a AEPDentre outros – com receios de que isso levaria as plataformas a aplicar vigilância em massa aos cidadãos europeus e prejudicaria a segurança do E2EE, forçando as empresas que recebem ordens de detecção a implementarem a verificação lateral do cliente.

Os legisladores da UE no Parlamento Europeu uniram-se em oposição à proposta de digitalização CSAM da Comissão – recentemente sugerindo uma abordagem alternativa isso removeria a verificação controversa. Os eurodeputados defendem a sua proposta, que limitaria a ordem de deteção de CSAM a indivíduos ou grupos suspeitos de abuso sexual infantil; e permitir apenas a verificação de CSAM em plataformas não E2EE (entre uma série de revisões sugeridas), seria mais eficaz no combate ao abuso sexual infantil, respeitando ao mesmo tempo as liberdades que os cidadãos das nações democráticas têm o direito de esperar.

Não está claro onde o arquivo CSAM terminará, já que o protocolo da UE exige um ciclo de negociações nos colegisladores da UE no Conselho, com a Comissão também envolvida nessas chamadas conversações de trílogo, que visam chegar a um acordo sobre um texto final.

Mas, entretanto, o executivo da UE enfrenta questões embaraçosas sobre os métodos utilizados pelos funcionários para promover a sua proposta. E, no mês passado, admitiu ter aberto uma investigação para determinar se alguma regra havia sido quebrada como resultado da campanha publicitária microdirecionada no X.

Numa audição no Parlamento Europeu mês passado, Yla Johansson, comissária de assuntos internos do bloco, responsável pela proposta de digitalização CSAM, defendeu a campanha publicitária que ela disse que seu escritório havia realizado – alegando que era uma prática normal para o bloco usar ferramentas de publicidade digital para promover seus projetos de lei. No entanto, ela admitiu que era certo que o bloco investigasse se houve violação das regras.

Mas com a investigação interna, a Comissão propõe-se essencialmente corrigir o seu próprio trabalho de casa. É por isso que a queixa apresentada por Noyb à AEPD — que poderá levar à abertura de uma investigação externa pelo seu supervisor de dados — parece importante.

A AEPD tem poderes para sancionar as instituições da UE, incluindo a Comissão, se confirmar violações das regras. Esses poderes incluem a capacidade de emitir multas. Também pode aplicar poderes de investigação e corretivos, como emitir ordens para adequar as operações ao GDPR — ou impor uma proibição de processamento.

A dor de reputação caso a UE seja considerada violadora das suas regras também seria provavelmente um forte elemento dissuasor contra qualquer tentação futura de recorrer a ferramentas de segmentação comportamental hostis aos direitos para impulsionar a sua agenda legislativa.

Solicitado uma atualização sobre a investigação interna da Comissão sobre os anúncios, um porta-voz disse ao TechCrunch:

Temos conhecimento de relatórios relativos a uma campanha realizada pelos serviços da Comissão na plataforma X. Estamos atualmente a realizar uma revisão exaustiva desta campanha. Como reguladores, a Comissão é responsável por tomar as medidas adequadas para garantir o cumprimento destas regras por todas as plataformas. Internamente, fornecemos orientações atualizadas regularmente para garantir que os nossos gestores de redes sociais estejam familiarizados com as novas regras e que os contratantes externos também as apliquem na íntegra.

A Comissão não forneceu quaisquer detalhes sobre o prazo para a conclusão da sua investigação interna.