A alteração na política de privacidade e termos de uso do WhatsApp, presente em 99% dos celulares dos brasileiros^[1], foi alvo de intenso debate nos primeiros meses de 2021. Apesar de inédita e promissora, a articulação institucional de ao menos cinco autoridades brasileiras precisa ser seguida de procedimento investigatório e sancionatório para não legitimar um cenário de violações às legislações consumerista, concorrencial e de proteção de dados, o que pode gerar consequências de impacto que atinjam praticamente todos os brasileiros.

Desde 2016, a política de privacidade do WhatsApp viola o Código de Defesa do Consumidor (CDC, Lei nº 8.078/90), o Marco Civil da Internet (Lei nº 12.965/11) e, desde sua entrada em vigor, também a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/18). Os novos termos de privacidade apresentados, ao invés de adequar a prática das empresas às legislações, consolida e expande as ilegalidades. Os problemas são intensificados pelo abuso da posição dominante do Facebook e do WhatsApp.

Em um momento chave para a consolidação do ecossistema brasileiro de proteção de dados – a LGPD entrou em vigor em agosto de 2020 e a Autoridade Nacional de Proteção de Dados (ANPD) foi formalmente instituída em novembro do mesmo ano –, uma atuação consistente será um importante marco positivo nesse processo, ao passo que um olhar negligente ou pela metade pode ser compreendido como uma permissão para violações sistemáticas ao nosso arcabouço jurídico. O mesmo vale para a leniência das outras autoridades.

Neste breve artigo, buscaremos resumir as principais alterações da política de privacidade e analisar possíveis violações ao direito do consumidor e à proteção de dados pessoais, a atuação das autoridades e a resposta da empresa e de sua controladora (Facebook Inc.), bem como apresentar alguns dos principais aspectos concorrenciais envolvidos.

De 2016 a 2021: o que mudou?

O WhatsApp, em suas comunicações à imprensa^[2] ou ao consumidor, reforça que pouco mudou, sendo tais alterações relacionadas “apenas” a conversas entre empresas e clientes no WhatsApp e à apresentação de mais informações sobre o tratamento de dados pessoais^[3].

Contudo, as mudanças são relevantes e impactam a proteção dos dados do consumidor, como já foi reconhecido por autoridades brasileiras e internacionais que atuam no caso, sendo possível, em síntese^[4], apontar quatro principais novidades:

(i) O Facebook passa a oferecer o serviço de Gerenciamento e hospedagem da comunicação no WhatsApp Business, sem garantias de que essas conversas, cujo conteúdo o Facebook passa a ter acesso, não serão usadas para fins excessivos.

(ii) Será disponibilizado um serviço de pagamentos diretamente no app, o Facebook Pay, e com isso serão coletados dados adicionais, como conta para pagamento, dados da transação e informações necessárias para concluir a transação, sem explicitar se esses dados são compartilhados com as empresas do grupo Facebook, podendo-se admitir que isso ocorrerá, haja visto a amplitude das permissões de compartilhamento.

(iii) O Facebook passa a disponibilizar um “catálogo para empresas”, que, conectado à função de pagamento, oferece uma loja dentro do app, o “WhatsApp Shops” (que apelidamos em alusão ao Facebook Shops), transformando o até então aplicativo de mensagens em um aplicativo multifuncional.

(iv) Os dados gerados pela função Status (conteúdos visíveis a seus contatos que desaparecem em 24h), criada depois de 2016, também podem ser compartilhados com empresas do Facebook.

A inadequação à LGPD e ao CDC

Há visíveis problemas de informação sobre os novos serviços apresentados pela plataforma. Primeiro, não é expresso se o Facebook atua como operador no gerenciamento e hospedagem das comunicações do WhatsApp Business e, portanto, sem poder usar estes dados para finalidades próprias.

Segundo, não há informação exaustiva sobre quais dados são coletados com o Facebook Pay, o compartilhamento destes dados com outras empresas do Facebook e quais finalidades atendem.

Terceiro, não existem informações sobre quais dados são coletados com base na navegação sobre os catálogos para empresas, tampouco informações sobre seu compartilhamento e finalidades secundárias.

Essas transformações, que alteram a natureza de troca de mensagens do app e propiciam novas interações com empresas, geram novos dados pessoais, inclusive dados sensíveis, que são monetizados pelo grupo empresarial Facebook.

Além disso, tanto na política de 2016 quanto na de 2021, há graves problemas de transparência. Não há correlação entre categorias de dados coletadas com suas finalidades específicas e com quem são compartilhadas, o que prejudica a compreensão do complexo fluxo informacional existente.

Ainda, as informações prestadas são extremamente genéricas, muitas delas escondidas em links externos. Tampouco há informações fundamentais, como a situação de quem optou por restringir o compartilhamento dos dados em 2016, o tratamento dado a crianças e adolescentes, as categorias de dados coletadas e compartilhadas estritamente necessárias para a execução do serviço e as que têm uso secundários e, por fim, a base legal de cada um dos compartilhamentos, dentre outros pontos não explicados.

Outra questão fundamental é a não validade das bases legais utilizadas. O WhatsApp afirma utilizar a base legal do legítimo interesse ou necessidade contratual para as finalidades de compartilhamento com empresas do Facebook para prestação de serviços de infraestrutura, tecnologia e sistemas, para promover segurança e integridade e para melhorar experiência do usuário (como personalização de ofertas e conteúdo). O legítimo interesse, de modo exclusivo, é utilizado como justificativa para o fornecimento de serviços de mensuração e análise e outros serviços comerciais^[5].

O legítimo interesse, no entanto, não é aplicável a estas finalidades, pois: (i) a vagueza da política de privacidade do WhatsApp e a falta de articulação entre as categorias de dados, sua finalidade e compartilhamento demonstram a incapacidade de atrelar o tratamento de dados a situações concretas; (ii) não é demonstrado que os dados coletados e compartilhados são estritamente necessários para atingir as finalidades almejadas; (iii) o compartilhamento de dados com empresas do Facebook, sendo inserido em um complexo fluxo informacional, foge das legítimas expectativas do consumidor e; (iv) não é apresentado medidas de salvaguardas para minimização de riscos.

Tampouco é aplicável a base legal de necessidade contratual para as finalidades apontadas, pois não são tratamentos de dados intrínsecos ao objeto principal e primário da relação contratual (a prestação de serviço de mensageria).

Dessa forma, a única base legal aplicável para compartilhamento dos dados coletados no WhatsApp para finalidades alheias à execução do serviço (como de publicidade-marketing e analytics) é a do consentimento. No entanto, não foram preenchidas as qualificações básicas necessárias para o consentimento informado, expresso e livre, considerando a ausência de opções para controle do fluxo de dados^[6].

Por fim, a falta de escolha acerca de seu fluxo informacional, atrelada à obrigatoriedade de cessão dos dados para finalidades e controladores desconhecidos, implica violação ao direito de escolha e prática abusiva, por colocar o consumidor em desvantagem excessiva.

A compreensão da vulnerabilidade do consumidor deve ser feita em consideração da posição dominante do WhatsApp e do Facebook no mercado brasileiro, bem como da essencialidade de seus serviços para a comunicação, estudos e trabalho do consumidor brasileiro.

Aspectos concorrenciais e abuso de posição dominante

Os problemas são intensificados pelo abuso da posição de dominância do Facebook e do WhatsApp. Isso porque essas mudanças nas políticas de privacidade no estilo "tudo ou nada" são uma alteração unilateral do contrato com imposição de cláusulas abusivas e anticoncorrenciais, que (i) são somente aceitas porque não há alternativa viável para substituição do WhatsApp devido às suas externalidades de rede e o efeito lock-in dos consumidores^[7] e (ii) fazem com que o Facebook ganhe ainda mais poder com o compartilhamento de novos dados do WhatsApp.

Recorda-se que essa degradação da privacidade, na prática uma redução da qualidade do serviço prestado, ainda fere as legítimas expectativas do consumidor em relação ao WhatsApp (que afirmou que nunca utilizaria os dados de seus usuários para fins de publicidade)^[8] e ao Facebook (que afirmou, quando da aquisição do WhatsApp, que não integraria os dados das empresas)^[9]^-[10].

Uma avaliação da atuação das instituições no caso

Em função da natureza multidisciplinar do caso, autoridades brasileiras atuaram em cooperação interinstitucional inédita e promissora. Em maio, o Ministério Público Federal (MPF), a Secretaria Nacional do Consumidor (Senacon), o Conselho Administrativo em Defesa da Concorrência (Cade) e a ANPD expediram uma recomendação conjunta^[11], para que o WhatsApp adiasse a vigência de sua Política de Privacidade enquanto não fossem adotadas as recomendações sugeridas e após as análises dos órgãos reguladores; se abstivesse de restringir o acesso dos usuários às funcionalidades do aplicativo, caso estes não adiram à nova política de privacidade, antes da análise pelos órgãos competentes; e adotasse as providências orientadas, nos termos da LGPD, no Relatório no 9/2021/CGF/ANPD e Nota Técnica no 02/2021/CGTP/ANPD^[12].

Ao Facebook, solicitou-se que se abstivesse de “realizar qualquer tipo de tratamento ou compartilhar dados recebidos a partir do recolhimento realizado pelo WhatsApp Inc. com base nas alterações da Política de Privacidade do aplicativo previstas para entrar em vigor no dia 15 de maio de 2021, enquanto não houver o posicionamento dos órgãos reguladores”^[13].

Consideramos extremamente positivo que as autoridades tenham emitido recomendação conjunta. As imbricações do caso entre os direitos do consumidor, seus aspectos concorrenciais e de proteção de dados são de difícil separação – não há como avaliar práticas abusivas e consentimento livre sem a avaliação da posição dominante das empresas envolvidas, por exemplo.

A soma de esforços é também positiva em função da criação recente da ANPD, que ainda não possui estrutura interna consolidada e que não tem, neste momento, competência para a aplicação de sanções.

A robustez de uma ação conjunta é particularmente relevante se considerado o poder econômico e político do grupo Facebook, que tem como histórico a desídia em prestar informações enganosas^[14], de modo que uma cooperação interinstitucional, tendo uma abordagem compreensiva de diferentes campos jurídicos, pode trazer maior legitimidade, força política e qualidade jurídica.

No entanto, a Recomendação não é vinculativa e não impõe penalidades pelo seu não cumprimento, ficando a cargo de cada uma das autoridades a condução de investigação e eventual sancionamento.

Conforme noticiado pela ANPD^[15] o WhatsApp garantiu que não haveria restrição à utilização do aplicativo – inicialmente até 90 dias a partir do dia 15 de maio e, em seguida, indefinidamente – ainda que o usuário não concorde com as alterações na política de privacidade.

A medida é evidentemente inócua, considerando que a imensa maioria da população já aceitou a nova política de privacidade^[16], que aqueles que não aceitaram seguirão recebendo as notificações insistentes e que isso não altera as práticas ilegais existentes desde 2016. Assim, a plataforma ignorou o cerne da recomendação expedida pelas autoridades: a suspensão do compartilhamento de dados entre as empresas.

Nesse sentido, a articulação institucional dos órgãos, sem um completo procedimento investigatório e sancionatório tempestivo, pode legitimar um cenário de violações explícitas.

A forma como as autoridades brasileiras seguirão com sua atuação no caso será determinante para avaliar como a legislação sobre o direito fundamental à proteção de dados pessoais será interpretada frente ao gigantesco poder de mercado e político da big tech, podendo ter efeito cascata sobre a compreensão de diversos conceitos: bases legais, princípios de finalidade e necessidade, direitos de revogação e oposição, direito à informação em serviços digitais, nível de intervenção em mercados digitais e outros.

É certamente um grande desafio, mas a cooperação entre diversas instituições brasileiras (e também com autoridades de proteção de dados ou da concorrência de outros países) parece ser um bom caminho. Caso contrário, há o risco do ecossistema institucional de proteção de dados sinalizar ser incapaz de fazer com que grandes empresas movidas a dados cumpram o básico da legislação de proteção de dados pessoais, de defesa do consumidor e, no fim, dos direitos fundamentais.

^[1] Disponível em: <https://noticias.r7.com/tecnologia-e-ciencia/whatsapp-esta-instalado-em-99-dos-celulares-no-brasil-02032020>.

^[2] Como em: <https://www1.folha.uol.com.br/tec/2021/01/whatsapp-adia-mudanca-na-politica-de-privacidade-apos-protestos.shtml>.

^[3] Disponível em: <https://faq.whatsapp.com/general/security-and-privacy/were-updating-our-terms-and-privacy-policy>. Outros exemplos são: “Queremos esclarecer que a atualização dos Termos de Serviço e da Política de Privacidade não afeta, de forma alguma, suas mensagens pessoais”, disponível em: <https://faq.whatsapp.com/general/security-and-privacy/about-new-business-features-and-whatsapps-privacy-policy-update>.

^[4] Para uma análise mais profunda dos elementos novos na política de privacidade, bem como de uma análise das violações cometidas pela empresa e seu grupo empresarial, recomendamos a manifestação produzida pelo Idec e enviada à Senacon e à ANPD. Disponível em: <https://idec.org.br/dicas-e-direitos/mudanca-na-privacidade-do-whatsapp-e-agora>.

^[5] Há outras bases legais apontadas na nota técnica e outras finalidades para a base de necessidade contratual, que não são objeto deste artigo. Tampouco são analisadas a aplicabilidade de outras bases legais previstas na LGPD.

^[6] Para uma análise mais completa acerca da validade das bases legais ver: <https://idec.org.br/sites/default/files/doc3_whatsapp.pdf>.

^[7] Ou seja, o valor do uso do WhatsApp aumenta conforme a quantidade de seus usuários (externalidade de rede), o que os torna cativos (efeito lock-in) dentro da plataforma. Olhando por outro ponto de vista, isso significa que, ainda que existam competidores, é difícil que uma outra plataforma de troca de mensagens consiga exercer rivalidade efetiva contra o WhatsApp. Esse efeito é ainda mais intensificado pela prática de zero rating (de não desconto na franquia de dados de internet móvel) das operadoras móveis, que acabam por beneficiar os grupos dominantes, como o próprio grupo Facebook.

^[8] Disponível em: <https://blog.whatsapp.com/why-we-don-t-sell-ads/?lang=en>.

^[9] Disponível em: <https://ec.europa.eu/commission/presscorner/detail/pl/IP_17_1369>.

^[10] Para uma análise mais completa dos aspectos concorrenciais do caso, ver: <https://idec.org.br/sites/default/files/doc4_whatsapp.pdf>.

^[11] Disponível em: <https://www.gov.br/anpd/pt-br/assuntos/noticias/cade-mpf-anpd-e-senacon-recomendam-que-whatsapp-adie-entrada-em-vigor-da-nova-politica-de-privacidade>.

^[12] Disponível em: <https://www.gov.br/anpd/pt-br/assuntos/noticias/inclusao-de-arquivos-para-link-nas-noticias/NOTATECNICADACGTP.pdf>.

^[13] Também foi protocolada a Ação Civil Pública nº 1046324-90.2021.8.26.0100, que pode repercutir no caso. A ação não é, entretanto, objeto deste artigo.

^[14] Como já mencionado, na compra do WhatsApp o Facebook alegou que não seria possível integrar os dados de ambas as empresas, o que acabou por fazer anos depois e o sujeitou à imposição de multa por parte da Comissão Europeia. Não obstante, a multa representa valor ínfimo frente ao valor da operação, tendo pouco caráter dissuasório.

^[15] Disponível em: <https://www.gov.br/anpd/pt-br/assuntos/noticias/a-nova-politica-de-privacidade-do-whatsapp>.

^[16] Como informado pela própria empresa. Disponível em: <https://faq.whatsapp.com/general/security-and-privacy/what-happens-when-our-terms-and-privacy-policy-updates-take-effect/?lang=pt_br>.

Autoridades precisam fazer com que big techs cumpram o básico da legislação

Barrar políticas de privacidade abusivas do Whatsapp representará momento chave para autoridades brasileiras