Os mandados de geofencing estão a reavaliar, em silêncio, todos os negócios assentes em dados de localização
Dados pessoais recolhidos para uma finalidade nunca foram seus para vender livremente para outra. Tribunais e legisladores apertam ao mesmo tempo o consentimento, os limites de finalidade e as regras de transferência, e esse é um risco que se está a materializar antes de a fiscalização chegar.
Todo o corretor de dados assenta numa suposição mais silenciosa do que a propriedade: a de que dados recolhidos para uma finalidade podem ser vendidos para qualquer outra. Localizações registadas para fazer funcionar uma funcionalidade de mapas, cabazes de compras de programas de fidelização, o número de telemóvel que entregou para ativar a verificação em dois passos, tudo isto é reclassificado como inventário vendável assim que entra num armazém de dados. Essa reutilização é o risco mais mal avaliado do setor, e é no mandado de geofencing que a reavaliação começa.
O que é um mandado de geofencing, e porque deveria interessar à conta de resultados da sua empresa?
Um mandado de geofencing exige que uma empresa entregue todos os dispositivos que estiveram dentro de um perímetro definido, durante uma janela temporal definida. As batalhas judiciais em torno deste instrumento obrigam os tribunais a responder a uma pergunta que a indústria da publicidade digital preferia manter enterrada: mantém-se uma expectativa razoável de privacidade sobre os locais por onde o telemóvel passou, mesmo em espaço público? A privacidade dos dados de localização depende dessa resposta, tal como o valor contabilístico de todos os conjuntos de dados construídos sobre movimento.
Dois tribunais de recurso federais dos EUA já divergiram. Em agosto de 2024, o Quinto Circuito, no processo United States v. Smith, considerou que os mandados de geofencing equivalem, no plano digital, a uma busca genérica e violam a Quarta Emenda da Constituição norte-americana, ainda que tenha permitido manter a prova ao abrigo da exceção de boa-fé. O Quarto Circuito, perante a mesma tecnologia no processo United States v. Chatrie, tratou o histórico de localização como registos na posse de um terceiro e concluiu que não houve busca alguma. O Supremo Tribunal ainda não decidiu a questão. O estado honesto da matéria é: por resolver, a pender para um lado, e dependente da jurisdição.
Lendo os acórdãos, o litígio não é sobre quem é o dono dos dados. É sobre os termos em que uma empresa está autorizada a deter e movimentar esses dados. A questão da Quarta Emenda pergunta se o Estado precisa de um mandado para aceder aos movimentos de alguém; o direito europeu de proteção de dados pergunta se uma empresa tinha um fundamento jurídico para recolher os registos, e um fundamento novo para os reutilizar ou vender. A limitação da finalidade é a ideia estrutural. Dados recolhidos para um motivo declarado não passam a estar livremente disponíveis para outro motivo só porque estão guardados nos seus servidores.
As empresas ainda podem vender os seus dados pessoais?
Nos Estados Unidos, a resposta está a estreitar-se por via legislativa. O Health and Location Data Protection Act, apresentado pela senadora Elizabeth Warren e pela representante Mary Gay Scanlon, proibiria os corretores de dados de vender ou transferir dados de saúde e de localização, obrigaria a Federal Trade Commission a redigir regulamentação de aplicação no prazo de 180 dias, permitiria a fiscalização por particulares e por procuradores-gerais estaduais, e financiaria a FTC com mil milhões de dólares ao longo de dez anos. A proposta ainda não foi aprovada, e pode nunca vir a sê-lo. O mecanismo é a parte que vale a pena ler com atenção: um direito de ação privado permitiria que os particulares processassem por cada registo transferido ilegalmente, sujeito às indemnizações estatutárias que o Congresso viesse a fixar.
Isso não é um preço hipotético. O Illinois já tem um direito de ação privado exatamente com este desenho. Ao abrigo do Biometric Information Privacy Act (BIPA), os particulares podem recuperar indemnizações fixas de 1 000 dólares por cada violação negligente e 5 000 dólares por cada violação dolosa ou temerária, sem necessidade de provar qualquer dano adicional. Indemnizações estatutárias desta ordem foram o que transformou a BIPA numa máquina de acordos judiciais. Junte um valor por violação equivalente a um regime de corretagem de dados assente na transferência, e o negócio sobrevive, mas a sua economia não. O conjunto de dados não muda. É a regra que rege cada linha que o reavalia.
Isto já está a acontecer especificamente com os dados de localização. Em dezembro de 2021, a autoridade norueguesa de proteção de dados aplicou à Grindr uma coima de cerca de 65 milhões de coroas norueguesas, na altura perto de 5 milhões de libras, por partilhar dados de utilizadores, incluindo a localização precisa, com parceiros de publicidade. A falha que ditou a decisão foi o consentimento: a aplicação não conseguiu demonstrar que os utilizadores tinham consentido livremente na partilha subsequente. Uma decisão, uma aplicação, um regulador, e a teoria por trás dela é a mesma que a proposta de lei norte-americana entregaria aos particulares.
O regulador está a pressionar o mesmo ponto sensível em casa. A X Corp pediu à FTC que anulasse a decisão de 2022 que herdou do Twitter, a decisão que fiscaliza a sua conduta em matéria de privacidade. A constatação subjacente a essa decisão é reveladora: números de telemóvel que os utilizadores tinham fornecido para segurança da conta foram introduzidos em sistemas de publicidade. Dados recolhidos para uma finalidade declarada, discretamente redirecionados para outra. Isto é, na prática, uma falha de limitação de finalidade, e uma empresa a pressionar para se libertar dessa fiscalização está a dizer-nos quanto essa fiscalização lhe custa.
Os corretores de dados são legais em Portugal?
As administrações portuguesas não devem arquivar isto como uma história americana. Ao abrigo do RGPD, qualquer tratamento de dados exige um fundamento jurídico, a limitação da finalidade restringe a reutilização, e os titulares dos dados mantêm direitos exequíveis sobre os seus próprios registos, fiscalizados em Portugal pela CNPD. A corretagem de dados opera, mas sobre um consentimento que pode ser retirado e um fundamento que pode ser contestado, e vender ou transferir um conjunto de dados é, em si mesmo, um ato de tratamento que precisa da sua própria justificação. Este é um terreno mais frágil do que uma alegação de propriedade alguma vez admitiu, e é o terreno para onde o direito norte-americano está a deslizar. Quando duas grandes economias se movem na mesma direção, a taxa base sensata para todas as outras desloca-se com elas. Para qualquer empresa que detenha registos de clientes, de saúde ou financeiros, tratar esses dados como um passivo governado, e construir sistemas que presumam que podem ser revogados, sai mais barato do que descobrir o ponto de rutura em tribunal.
O argumento contrário merece ser exposto com clareza. Se o projeto Warren-Scanlon morrer em comissão, se a FTC aliviar as suas decisões em vez de as reforçar, e se os tribunais fixarem a questão da privacidade do lado dos «registos de terceiros», os hábitos antigos mantêm-se e a receita dependente de dados conserva o seu múltiplo de avaliação. Esse desfecho é inteiramente possível, e ninguém deveria excluí-lo do preço.
A assimetria é o que o mercado ainda não avaliou. Se o modelo de transferência e reutilização sobreviver, os corretores de dados continuam sem sobressaltos. Se não sobreviver, a exposição já está nos livros: está nos registos que as empresas estão a vender agora, os mesmos que um regulador ou um tribunal pode alcançar hoje. Deter dados é um ato continuado, e o RGPD trata-o como tal, pelo que não há uma linha limpa entre a recolha do ano passado e o passivo deste ano. As empresas que apostam tudo num único fornecedor de dados insaciável, ou que contabilizam dados comportamentais como um ativo em valorização, estão a descoberto face a um risco que se paga de uma só vez. Calcular essa exposição é uma questão de estratégia técnica tanto quanto de aconselhamento jurídico, e este é o trimestre para a colocar.
Perguntas frequentes
Um mandado de geofencing significa que os dados de localização da minha empresa podem ser apreendidos?
Significa que um tribunal pode obrigá-lo a entregar todos os dispositivos registados dentro de uma área e período definidos. Se esses dados alguma vez gozaram de proteção constitucional é uma questão por resolver nos EUA: o Quinto Circuito considerou tais mandados inconstitucionais em 2024, o Quarto Circuito chegou à conclusão oposta no processo Chatrie, e o Supremo Tribunal ainda não decidiu. A questão comercial que importa é se tinha um fundamento jurídico para deter e negociar os registos, e a disputa sobre o mandado em nada reforça essa base.
De quem são os dados pessoais depois de uma empresa os recolher?
A propriedade é a pergunta errada. Ao abrigo do RGPD, quem recolhe dados detém um fundamento jurídico para os tratar para uma finalidade declarada, a limitação da finalidade restringe a reutilização, e o titular dos dados mantém direitos exequíveis, incluindo a retirada do consentimento. O direito norte-americano está a mover-se na mesma direção, através de propostas que proibiriam por completo a venda de dados de saúde e de localização. O que importa é a permissão para tratar e transferir, e essa permissão pode caducar.
Como usam os corretores de dados os dados de localização, e qual é o novo risco?
Agregam registos de movimento provenientes de aplicações, redes de publicidade e redes de hardware, e depois licenciam os perfis resultantes. O risco emergente está no consentimento e na transferência: um direito de ação privado, a ser aprovado, poderia permitir que os particulares processassem por cada registo transferido ilegalmente, e os reguladores já aplicaram coimas pela partilha ilegal de dados de localização, como fez a Noruega à Grindr em 2021, por um consentimento que nunca tinha sido validamente obtido. Isso transforma um conjunto de dados em massa num passivo contingente, avaliado registo a registo.
Relacionado
- O Prêmio da Soberania: por que a IA soberana corporativa está vencendo pelo acesso, não pela velocidade
- Washington Classificou o Seu Próprio Laboratório de IA Como Risco de Segurança Nacional. Isto Muda o Sentido da Dependência de um Fornecedor de IA
- Porque falham os pilotos de IA nas empresas: o problema é a confiança, não a capacidade
- Security & Trust
Escrito por uma persona editorial de IA do sistema editorial proprietário da Abyshire e revisto pela nossa equipa.