WhatsApp foi multado em 5,5 milhões de euros por uma violação GDPR

A recente notícia de uma multa de 5,5 milhões de euros imposta pela Comissão de Protecção de Dados (DPC) da Irlanda ao WhatsApp por violação da GDPR está a enviar ondas de choque através do mundo da tecnologia. A GDPR, ou Regulamento Geral de Protecção de Dados, é um conjunto de regulamentos recentemente implementados para proporcionar aos consumidores um maior controlo sobre os seus dados pessoais e sobre a forma como são utilizados. Na sequência de uma queixa de um sujeito de dados alemão em 25 de Maio de 2018, quando a GDPR entrou em vigor, a DPC lançou uma investigação que acabou por conduzir à monumental multa da WhatsApp.

A WhatsApp actualizou os seus termos de serviço antes da entrada em vigor da GDPR, informando os utilizadores que continuar a utilizar significaria dar consentimento para partilhar dados pessoais com o Facebook e as suas afiliadas. Como parte da sua violação da GDPR, a empresa foi acusada de não informar os seus utilizadores em pormenor sobre a forma como os seus dados pessoais seriam utilizados – um requisito essencial nos termos dos regulamentos. Tais actividades foram descritas como “processamento ilegal” em vários países da UE, deixando empresas como a WhatsApp vulneráveis a pesadas multas devido à sua incapacidade de informar devidamente os utilizadores sobre as suas actividades de partilha de dados.

 

Para além da multa maciça imposta pela DPC, que é uma das maiores desde que a GDPR entrou em vigor, a WhatsApp foi também ordenada a voltar a dar cumprimento ao seu processamento de dados no prazo de seis meses e deve agora assegurar-se de que informa plenamente os seus utilizadores sobre a forma como as suas informações pessoais serão partilhadas com terceiros ou outras empresas da família Facebook. Esta decisão altera certamente o jogo para empresas que operam em toda a Europa e que estão sujeitas a regulamentos semelhantes – devem agora ter um cuidado extra em assegurar que sejam tomadas todas as medidas necessárias para que não sejam infringidas tais leis ou corram o risco de serem atingidas com pesadas sanções financeiras no futuro.

A Comissão de Protecção de Dados da Irlanda (DPC) multou uma empresa do Grupo Meta, a WhatsApp, em 5,5 milhões de euros. A nova sanção vem por violação do GDPR, o Regulamento Geral de Protecção de Dados. A WhatsApp foi também condenada a voltar a processar os seus dados em conformidade com o regulamento no prazo de seis meses.

A multa, como o próprio DPC explica, é a conclusão de uma investigação que surgiu após uma queixa de um indivíduo alemão (noyb) em 25 de Maio de 2018 – a data em que o GDPR entrou em vigor. Em antecipação desse evento, a WhatsApp actualizou os seus termos de serviço, informando os utilizadores que pretendam continuar a ter acesso ao serviço após a introdução da GDPR que teriam de clicar em “Aceitar e Continuar” para aceitar os novos termos, ou não poderiam utilizar o serviço.

A WhatsApp acreditava que a aceitação dos termos actualizados criava um contrato entre a WhatsApp e o utilizador, e que o processamento de dados para melhoria do produto e segurança do serviço estava “incluído” nesse consentimento. O queixoso argumentou de forma diferente, alegando que a empresa estava efectivamente a tentar utilizar o consentimento como base jurídica para o processamento de dados do utilizador.

Na prática, ao condicionar a acessibilidade dos seus serviços à aceitação pelos utilizadores dos Termos de Serviço actualizados, o WhatsApp estava efectivamente a “forçar” os utilizadores a consentirem no tratamento dos seus dados pessoais para melhorar e assegurar o serviço. O queixoso argumentou que isto violava o GDPR.

Após a investigação, o DPC constatou uma falta de transparência no que diz respeito ao tratamento de dados pessoais. Considerando que já tinha imposto uma sanção muito substancial de 225 milhões de euros ao WhatsApp por violação desta e de outras obrigações de transparência, não propôs a imposição de outras sanções ou medidas correctivas. No entanto, após divergências de opinião sobre alguns pontos com os seus pares no espaço europeu, o caso aterrou na mesa do Conselho Europeu para a Protecção de Dados (EDPB).

Em 5 de Dezembro de 2022, a EDPB rejeitou uma série de objecções levantadas por entidades europeias e aceitou a posição da DPC, sujeita apenas à inclusão de uma violação adicional. Em 12 de Janeiro, a DPC adoptou a decisão vinculativa da EDPB e concluiu que a WhatsApp não tinha o direito de aplicar a base jurídica do contrato para a prestação de serviços de melhoria e segurança. Face a esta nova violação, o DPC impôs uma sanção administrativa de 5,5 milhões de euros.

A WhatsApp, já com a intenção de apelar, afirmou através de um porta-voz, “Acreditamos firmemente que a forma como o serviço funciona é tanto técnica como juridicamente adequada”.

Conclusão

Em conclusão, é evidente que a GDPR é um importante conjunto de regulamentos relativos a dados pessoais e à sua utilização pelas empresas. Neste caso, a Comissão de Protecção de Dados verificou que a WhatsApp não tinha cumprido o regulamento, impondo uma multa de 5,5 milhões de euros e ordenando-lhes que pusessem o seu processamento de dados em conformidade no prazo de seis meses. O incidente serve para lembrar a todas as empresas de tomarem as medidas necessárias para assegurar o cumprimento do GDPR, ou então enfrentar sanções financeiras significativas. Para todos os interessados em manter-se a par de todas as notícias, análises e fugas de informação sobre tecnologia, o AndroidGeek é o local perfeito para se manterem informados! O AndroidGeek oferece actualizações regulares sobre novas tecnologias, análises de produtos e informação sobre fugas de informação por parte de pessoas de dentro da indústria. Junte-se a nós hoje e mantenha-se a par de tudo o que acontece no mundo da tecnologia!