Philippe Sundfeld

Maria Luiza Fernandes

Este é o <a href="https://www.jota.info/opiniao-e-analise/artigos/lgpd-e-o-inicio-do-fim-da-cultura-do-consentimento-28062021">segundo</a> artigo da <a href="https://www.jota.info/tudo-sobre/lgpd-e-a-fadiga-do-consentimento">série</a> sobre consentimento publicada pelo LUNA: Centro de Estudos Avançados em Tecnologia &amp; Sociedade. Depois de abordar a cultura do consentimento e a Lei Geral de Proteção de Dados Pessoais (LGPD)<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn1" name="_ftnref1">[1]</a>, este artigo explora os desafios da sua obtenção, sobretudo no ambiente web e mobile, bem como os desafios que poderiam tornar inválida a manifestação do titular.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
A LGPD traz diretrizes aos controladores ao exigir uma manifestação “livre”, “informada” e “inequívoca”, por meio da qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade específica. Estes comandos criam uma moldura sobre como deve se obter o consentimento, mas deixam margem para o controlador escolher como fazê-lo.
Ocorre que, com a inexistência de diretrizes mais específicas na legislação, tornou-se comum a utilização de banners e pop-ups que não dão ao titular a opção de manifestar o aceite a finalidades específicas ou que, por vezes, impedem o usuário de acessar a página ou app caso não haja qualquer manifestação positiva. Frente a esse cenário, este artigo analisa como essas práticas podem tornar esse consentimento viciado, bem como quais boas práticas podem ser adotadas pelo mercado a fim de conferir maior transparência aos titulares em relação ao tratamento dos dados pessoais.
<blockquote class="jota-article__eye">Para isso, é fundamental reconhecer que o indivíduo que no contexto da LGPD é o ‘titular de dados’ e é também na maioria das vezes o ‘usuário’ de um produto ou serviço. Assim, na condição de usuário, torna-se essencial entender seu perfil (persona) e mapear sua jornada, para melhor compreender quais são as principais necessidades e dificuldades em relação ao produto e propor a solução mais satisfatória.</blockquote>
Pensando nisso, é importante indagar se: (1) o modelo atual de obtenção do consentimento - ou mesmo a adoção de banners e pop-ups como forma de conferir maior transparência, caso a opção seja por base legal diversa - atende às necessidades dos usuários? (2) Se usuários por vezes não enxergam valor ao ter seu aceite requisitado ou sequer entendem o que está sendo requisitado, cumpre-se ainda assim com a lei?
Ao colocar o titular no centro dessa relação a fim de lhe conferir maior poder sobre o uso de seus dados, a LGPD se aproxima de outra área do conhecimento, User Experience (UX ou experiência do usuário). Nesse sentido, ao analisar cookie banners, é latente a necessidade de engajar profissionais com conhecimento específico no tema, uma vez que são capazes de melhor traduzir um comando legal ao titular de dados, ao mesmo tempo em que se alinha à estratégia da empresa para obtenção de melhores taxas de consentimento, equilibrando os interesses que compõem essa relação.
No universo web, o consentimento costuma ser obtido em websites por meio de banners na página inicial com opções sobre o uso de cookies para diferentes fins, como permitir análise  comportamental, publicidade direcionada ou aferir o desempenho do site. Tal tarefa é desempenhada por Consent Management Platforms(CMPs), ferramentas que atuam não apenas mostrando o banner ao usuário do website, mas também obtendo e registrando a opção feita sobre o tratamento de dados.
<h3>Experiência do usuário, cookie banners e pop-ups</h3>
Já no contexto dos aplicativos mobile, a prática é mostrar ao usuário um pop-up no momento em que este abre o app pela primeira vez. Pop-ups costumam incluir uma descrição sobre o uso dos dados e hiperlink para uma Política de Privacidade, seguidos por um botão de aceite proeminente.
<blockquote class="jota-article__eye">Na prática, cookie banners e pop-ups são vistos como um desafio pelo controlador do website ou app, por criar fricção na experiência do usuário. Há, como dito acima, um interesse do controlador em customizá-los de forma a influenciar o usuário a aceitar todos os usos de dados e maximizar o aceite.</blockquote>
Mas até que ponto o controlador pode influenciar a experiência do usuário para buscar maior adesão? O termo “dark patterns” reflete justamente o design adotado pela plataforma numa tentativa de influenciar a tomada de decisão por parte do usuário de forma que nem sempre reflete a sua real intenção. Isso envolve estratégias como criar obstáculos, limitar as opções apenas a certas escolhas, induzir a interpretações equivocadas ou ainda esconder ou adiar a prestação de informações relevantes.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn2" name="_ftnref2">[2]</a> Tais condutas estão na mira de reguladores no exterior, que as consideram possíveis violações à privacidade de usuários.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn3" name="_ftnref3">[3]</a>
Pesquisas têm demonstrado o papel da UX para influenciar o usuário a aceitar as finalidades de usos de dados sugeridas pelo controlador. Um estudo conduzido em 2020 com estudantes universitários considerou de que forma a decisão do usuário é influenciada pelo design do banner - em específico, a presença de um botão destacado por default e pelo número de opções disponíveis.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn4" name="_ftnref4">[4]</a>
Parte do resultado é previsível: houve maior índice de aceite por participantes que visualizaram um botão de aceite destacado, em comparação com participantes cuja UX não trazia opção em destaque; no entanto, os participantes que clicaram no botão de aceite destacado se arrependeram da decisão por falta de informações disponíveis. Outra conclusão do estudo foi a de que não há relação direta entre um número maior de opções de escolha nos banners e a dificuldade de manuseio.
Em outra pesquisa<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn5" name="_ftnref5">[5]</a>, verificou-se que a inclusão apenas do botão de aceite levou a um aumento de 22 a 23% na conversão de usuários, quando comparado com um cenário em que um botão para negar o tratamento dos dados também era incluído. No mesmo sentido, a inclusão de controles mais granulares na primeira página da UX levou a uma queda perceptível de 8 a 20% no volume de aceites. Importante ressalvar que a pesquisa não chegou a analisar a qualidade do consentimento - se seria válido -, mas apenas as taxas de conversão.
Há modelos de experiência do usuário mais meticulosos na indústria, que encaram a UX como um importante vetor para alcançar um grau maior de controle e transparência. Na cadeia de publicidade direcionada, os publishers podem seguir as diretrizes TCF 2.0, ou Transparency and Consent Framework, para demonstrar sua maturidade e gerar confiança aos seus parceiros comerciais. O framework exige que o website ou app informe sobre todos os terceiros que podem ter acesso aos dados pessoais dos usuários do website ou app, e por quais motivos, antes mesmo da coleta.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn6" name="_ftnref6">[6]</a> O titular também deve ter a possibilidade de negar ou aceitar o compartilhamento de dados com cada um destes terceiros de forma individualizada, fugindo do modelo tudo ou nada.
Até recentemente as diretrizes TCF 2.0 eram, possivelmente, o framework com as regras mais específicas sobre experiência de usuário para obtenção do consentimento. No entanto, em 25 de junho de 2021 foi publicada a ISO 29184, que trata dos avisos de privacidade online e obtenção do consentimento. Em linhas gerais, a ISO traça recomendações semelhantes, porém mais enxutas e que atendem a um público maior que o framework  TCF 2.0.
Do ponto de vista do usuário, pode-se argumentar que alguns modelos específicos de obtenção do consentimento podem violar a LGPD. Para ilustrar, uma análise feita no contexto do regulamento europeu de privacidade, a GDPR - similar, porém não idêntico ao modelo adotado pela LGPD -, avaliou a experiência do usuário nas cinco das principais Consent Management Platforms do Reino Unido, comparando suas formas de implementação nos dez mil websites mais visitados da região em 2020 e concluiu que apenas 11,8% cumpriam os requisitos mínimos da norma para o consentimento ser considerado válido.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn7" name="_ftnref7">[7]</a>
Um primeiro desafio prático são os extremos entre a falta de informação, de um lado, e a informação excessiva, de forma técnica e sem contexto de outro. É difícil argumentar que cookie banners e pop-ups de apps apresentam, em geral, informação suficiente para uma escolha consciente por parte do usuário, enquanto a abordagem do TCF 2.0 parece demasiado técnica, fazendo com que o modelo seja mais compreensível apenas a especialistas na área.
Outro desafio prático reside em como configurar a manifestação do usuário como inequívoca, na linha do que exige a LGPD. No caso de banners, opções pré-selecionadas ou opções destacadas para “selecionar” todas as finalidades de usos colocam o usuário em posição passiva, e é possível argumentar que alguns usuários podem ser incentivados a clicar em opções que não necessariamente serão as mais benéficas para eles. Por fim, cabe a reflexão se a UX de banners e pop-ups de fato dá poder de escolha ao usuário ou, como sintetizam alguns doutrinadores especializados, apenas cria uma ilusão de controle.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn8" name="_ftnref8">[8]</a>
Mas há alternativas onde a experiência do usuário pode ajudar a solucionar esses desafios e a cumprir com os comandos da LGPD.
Uma alternativa aos modelos de banner baseados no “tudo ou nada” seria a adoção da estratégia que já tem sido utilizada inclusive para políticas de privacidade ou até mesmo contratos mais extensos: dar ao usuário uma visão inicial, por padrão mais simples e de forma agrupada, em relação às finalidades para as quais cookies estão sendo executados, com possibilidade de escolha pelo titular e maior transparência principalmente àquilo que pode lhe gerar maior risco. Além disso, é possível customizar a linguagem com o público alvo do produto, não apenas educando o usuário mas também deixando claro quais reflexos sua escolha trará. Cabe, também, oferecer ao usuário a opção de chegar a uma segunda tela ou documento onde há conteúdo mais detalhado em relação a cada um dos cookies executados, quais dados são coletados e com quem são compartilhados - ou seja, dispor das mesmas informações de forma mais detalhada e granular.
Há ainda margem para experiências. No ambiente mobile, a proposta do app Infofed, um serviço de eSports baseado na Tailândia, traz reflexões interessantes. O aplicativo abandonou o pop-up comum para criação de conta e obtenção de consentimento em favor de um chatbot. O bot educa o usuário ao informar sobre as finalidades de usos de dados pessoais em porções pequenas, à medida que o usuário avança na experiência do cadastro e onboarding.<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftn9" name="_ftnref9">[9]</a> O resultado é uma experiência que fomenta uma relação de confiança com o usuário e encoraja um diálogo sobre como os dados são utilizados.
Ao nos debruçarmos sobre a experiência do usuário como um caminho para melhor traduzir a lei, há a possibilidade de se chegar a um denominador comum. A UX a favor da privacidade pode  facilitar a entrega de um comando técnico a partir do contexto, forma e conteúdo informado ao usuário. A partir dessa perspectiva, há margem para aperfeiçoar a transparência de produtos e serviços, customizar  experiências, facilitar a compreensão do usuário e, de fato, dar controle sobre como seus dados são tratados - indo além da discussão sobre o simples aceite a um checkbox. Somados estes elementos, a UX tem, enfim, papel chave em tornar o consentimento livre, informado e inequívoco, tal como exige a LGPD.
<div id="sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6', 'UA-53687336-1').createForm();</script>
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref1" name="_ftn1">[1]</a> LGPD e a fadiga do consentimento: Luna - Centro de discussões sobre direito, tecnologia &amp; sociedade. Disponível em <a href="https://www.jota.info/tudo-sobre/lgpd-e-a-fadiga-do-consentimento">https://www.jota.info/tudo-sobre/lgpd-e-a-fadiga-do-consentimento</a>
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref2" name="_ftn2">[2]</a> MACHULETS, Dominique; BÖHME, Rainer. Multiple Purposes, Multiple Problems:
A User Study of Consent Dialogs after GDPR. Disponível em <a href="https://arxiv.org/pdf/1908.10048.pdf">https://arxiv.org/pdf/1908.10048.pdf</a>
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref3" name="_ftn3">[3]</a> Em maio deste ano , a FTC sediou um evento e abriu chamada pública como forma de colher inputs sobre o assunto. Detalhes em <a href="https://bit.ly/3dOKK5E">https://bit.ly/3dOKK5E</a>.
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref4" name="_ftn4">[4]</a> MMACHULETS, Dominique; BÖHME, Rainer. Multiple Purposes, Multiple Problems:
A User Study of Consent Dialogs after GDPR. Disponível em <a href="https://arxiv.org/pdf/1908.10048.pdf">https://arxiv.org/pdf/1908.10048.pdf</a>
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref5" name="_ftn5">[5]</a> NOUWENS, Midas. LICCARDI, Illaria. VEALE, MIchale, et al. Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence. Disponível em <a href="https://arxiv.org/pdf/2001.02479.pdf?fbclid=IwAR3T83kn_TixGxrL6SY7HYvoTR1lirBnp2UM1lSoKREWbFLQBRGA4z3P80g">https://arxiv.org/pdf/2001.02479.pdf?fbclid=IwAR3T83kn_TixGxrL6SY7HYvoTR1lirBnp2UM1lSoKREWbFLQBRGA4z3P80g</a>
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref6" name="_ftn6">[6]</a> A IAB, entidade que publica e mantém a TCF 2.0, mantém certo controle sobre quem cumpre ou não com as normas. Ela certifica empresas para que façam a ponte entre publishers de websites e aplicativos e obtenham consentimento dos titulares - essas empresas certificadas são chamadas de CMP, ou Consent Management Platforms.
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref7" name="_ftn7">[7]</a> KUNER, Svantesson. Cate et al, The language of data privacy law (and how it differs from reality), Journal of Data Privacy Law, vol. 6, num. 4, 2016. Disponível em <a href="https://academic.oup.com/idpl/article/6/4/259/2926179?searchresult=1">https://academic.oup.com/idpl/article/6/4/259/2926179?searchresult=1</a>.
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref8" name="_ftn8">[8]</a> SOLOVE, Daniel, SCHWARTZ, Paul. Information Privacy Law, 7a edição, 2021. p 36.
<a href="applewebdata://0B609E9F-AF4B-4CA2-8274-A1B5C269FEF9#_ftnref9" name="_ftn9">[9]</a> O projeto é parte da iniciativa TTC Labs, mantida pelo Facebook. Veja mais detalhes em <a href="https://www.ttclabs.net/design/Increased%20Transparency%20for%20Thai%20Users">https://www.ttclabs.net/design/Increased%20Transparency%20for%20Thai%20Users</a>.

christian-erfurt-sxQz2VfoFBE-unsplash

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O direito à privacidade e o uso de banners e pop-ups que não dão ao titular a opção de aceitar finalidades específicas de uso de dados

LGPD e UX: um equilíbrio para o consentimento

O direito à privacidade e o uso de banners e pop-ups que não dão ao titular a opção de aceitar finalidades específicas de uso de dados