Consentimento

A Clubhouse e a privacidade dos utilizadores

Doutrina

A nova rede social Clubhouse é já bastante conhecida entre o público, tendo chegado a Portugal no início deste ano. A sua popularidade eclodiu após ter sido palco de um debate entre Elon Musk, Marc Andreessen, Vlad Tenev e muitos outros empresários e elementos do público em geral, que chegaram mesmo a esgotar a capacidade da sala de chat hospedada pela Clubhouse para o efeito. O seu crescimento exponencial trouxe também alguns desafios e uma certa polémica em torno da privacidade dos utilizadores.

O grande fator que torna a Clubhouse atrativa prende-se com a sua exclusividade: além de apenas estar disponível para iOS, cada utilizador começa com dois convites para enviar a outras pessoas para aderirem à rede social. Esta rede social permite manter diálogos com outros utilizadores através de áudio – diálogos estes que, de acordo com a política de privacidade, não ficam gravados, pois quando a sala virtual é encerrada, não subsiste qualquer registo daquele chat. Existem exceções: os áudios dos utilizadores poderão ser temporariamente armazenados se houver, por exemplo, o reporte de um incidente. Nesta é ainda possível acumular-se seguidores e seguir outros utilizadores. O nome de utilizador é público e poderá ser utilizado para encontrar outros utilizadores. É possível mudar a fotografia de perfil, ligar a aplicação às contas do Twitter e Instagram, entre muitas outras opções.

Não obstante toda esta atratividade e utilidade, várias têm sido as preocupações levantadas pelos utilizadores no que se refere à privacidade. Até agora, muitos foram os relatos apresentados de falhas nesta vertente. Um dos casos mais falados é datado de fevereiro deste ano: um utilizador conseguiu transmitir em direto o áudio de uma sala de chat no seu website, mas foi rapidamente banido pois a gravação ou streaming sem a autorização explícita dos oradores viola os termos e condições da rede social.

Outro incidente ocorreu há poucos dias: a Clubhouse sofreu um ataque informático, o que resultou na disponibilização da informação relativa a 1,3 milhões de utilizadores em plena internet. Do que foi possível apurar, não foram revelados dados relativos a cartões bancários, moradas e emails. No entanto, a informação disponibilizada poderá facilitar ataques de phishing. A Clubhouse manifestou-se publicamente quanto a este assunto, afirmando que os dados disponibilizados já seriam públicos e poderiam ser consultados por qualquer utilizador através da aplicação.

Outro problema e desafio que a Clubhouse comporta relaciona-se com a facilidade de difusão de opiniões e informações, sem qualquer controlo por parte de um moderador associado à rede social – deste modo, será mais fácil a propagação de fake news, ódio, difamação contra utilizadores, teorias da conspiração, etc. O facto de as conversas não deixarem qualquer registo, após o encerramento de cada sala, implica que se os incidentes não forem reportados em tempo útil, não restem quaisquer provas que permitam reagir contra estes abusos.

Apesar destes incidentes, a questão mais relevante que cumpre analisar prende-se com o seguinte: se um utilizador quiser convidar amigos a utilizar a aplicação, terá de autorizar o acesso da aplicação à sua lista de contactos. Se não autorizar este acesso, o utilizador poderá continuar a utilizar a aplicação, mas ser-lhe-á relembrado constantemente através de uma notificação de que ainda não deu tal permissão.

Importa agora analisar a Política de Privacidade da Clubhouse, através de uma visão guiada pelo Regulamento Geral de Proteção de dados (RGPD). Na política de privacidade consta que a rede social recolhe dados fornecidos pelo utilizador titular de dados quer quando este acede à rede social, quer quando este a utiliza, criando ou partilhando conteúdos e comunicando com outros utilizadores da rede, o que é algo normal e necessário à execução do contrato, ou seja, de acordo com o art. 6.º, nº 1, alínea b), do RGPD, estamos perante um tratamento válido e lícito. Além do tratamento ser válido e lícito, também a questão dos deveres de informação é cumprida, pois aplica-se o artigo 14º, uma vez que a pessoa que recebe o convite recebe todas as informações necessárias sobre o tratamento de dados, os seus direitos, prazos de conservação. Supõe-se também que se o titular de dados não aceitar o convite num certo período de tempo, o Clubhouse deve apagar os dados utilizados nesta operação de tratamento (caso não lhe tenha sido dada autorização para o acesso contínuo à lista de contactos pelo utilizador). Releva ainda para a discussão o facto de na política de privacidade, no ponto relativo a Networks and Connections, a rede social menciona que, se o utilizador escolher dar permissão à aplicação para esta fazer o upload, sincronizar ou importar as informações da sua lista de contactos pessoais, esta poderá ser utilizada para “melhorar a experiência do utilizador em vários aspetos”, notificando-o quando um dos seus contactos se junte à rede social e utilizando a lista de contactos para recomendar outros utilizadores que possa querer seguir e recomendando, por sua vez, a sua conta a outros utilizadores.

Dado o exposto, se a aplicação requer que o utilizador dê permissão para que a mesma possa aceder à sua lista de contactos, estaremos já perante outra base de licitude, que será o consentimento, ou seja, sem o consentimento do utilizador titular de dados, a rede social não poderá ter acesso a esta informação (art. 6º, n.º 1, alínea a), do RGPD). Levantam-se aqui várias questões: em primeiro lugar, existem queixas de utilizadores que não deram permissão e mesmo assim a aplicação teve acesso aos dados das suas listas de contactos. Em segundo lugar, é suspeito e bastante invasivo um utilizador dar permissão para o acesso à sua lista de contactos à aplicação, e pessoas que nem sequer utilizam a aplicação veem os seus dados recolhidos e tratados pela Clubhouse sem terem dado o seu consentimento. Esta prática designa-se shadow profile.

Podemos concluir que, apesar de esta não aceitação da permissão de acesso à lista de contactos por parte do utilizador não afetar o funcionamento e utilização da rede social por parte do mesmo, este não poderá disfrutar da experiência completa da rede social, uma vez que será mais difícil encontrar e conectar-se com os seus amigos e familiares e, além disso, também não poderá enviar os seus dois convites disponibilizados inicialmente, o que criará entraves à socialização com amigos, que é o verdadeiro objetivo da rede social. Todavia, a autorização que o titular de dados dá para o acesso da aplicação à lista de contactos não se trata de um verdadeiro consentimento para o tratamento, na medida em que o utilizador não é o titular destes dados, devendo tratar-se de uma imposição dos termos de serviço do IOS e da App Store da Apple. Esta autorização dada pelo utilizador vai de encontro ao princípio da transparência e lealdade do RGPD, sendo que até pode ser considerada como uma oportunidade dada ao utilizador de exercer o direito de oposição.

Em março, surgiu uma atualização para tentar colmatar esta e muitas outras questões e falhas, sobretudo no que se refere à encriptação. No entanto, as queixas mantêm-se. Aguardemos o desenrolar da situação.

As aparências iludem – Opção pré-validada, sim ou não?

Jurisprudência

O Tribunal de Justiça da União Europeia (TJUE) proferiu, no passado dia 11 de novembro, uma decisão no Processo C-61/19 em que abordou o tratamento de dados pessoais e proteção da vida privada, nomeadamente o conceito de “consentimento”, como manifestação de vontade livre, específica e informada.

Este Acórdão, visto em pormenor, é extenso e intenso, tanto no tratamento das várias questões que, à sua maneira, enuncia e resolve, como numa série de outras em que nos faz pensar, o que provavelmente justifica mais do que um post neste blog.

Começando pelo princípio como é habitual e desejável, há que explicar do que se trata. Ninguém melhor que o próprio Tribunal para o fazer, pelo que o seu Comunicado à Imprensa n.º 137/20 pode ser lido na íntegra aqui e o Acórdão aqui.

Resumidamente, neste processo existe um pedido decisão prejudicial apresentado pelo Tribunal Regional de Bucareste, no âmbito de um litígio em que a Orange România SA (Orange) apresentou um recurso destinado a obter a anulação de uma decisão através da qual a ANSPDCP (Autoridade Nacional para a Supervisão do Processamento de Dados Pessoais da Roménia – ANS) lhe aplicou uma coima por ter recolhido e conservado cópias de títulos de identidade dos seus clientes sem o consentimento válido destes e lhe ordenou que destruísse essas cópias.

Aquele pedido teve por objeto a interpretação do artigo 2.°, alínea h), da Diretiva 95/46/CE, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, bem como do artigo 4.°, ponto 11, do Regulamento Geral sobre a Proteção de Dados (RGPD) que revoga aquela Diretiva, questionando-se quais são as condições que, naquele âmbito, devem ser preenchidas para se poder considerar que uma manifestação de vontade é “específica e informada” e “expressa livremente”.

Decide o Tribunal, após estabelecer que cabe ao responsável pelo tratamento dos dados o ónus da prova relativa ao preenchimento dos requisitos do consentimento, o seguinte: “Um contrato relativo ao fornecimento de serviços de telecomunicações que contém uma cláusula segundo a qual a pessoa em causa foi informada e deu o seu consentimento para a recolha e a conservação de uma cópia do seu título de identidade para fins de identificação não é suscetível de demonstrar que essa pessoa deu validamente o seu consentimento, na aceção destas disposições, para essa recolha e para essa conservação, quando

–  a opção relativa a essa cláusula foi validada pelo responsável pelo tratamento dos dados antes da assinatura desse contrato ou, quando

–  as estipulações contratuais do referido contrato são suscetíveis de induzir a pessoa em causa em erro quanto à possibilidade de celebrar o contrato em questão mesmo que se recuse a autorizar o tratamento dos seus dados, ou quando

–  a livre escolha de se opor a essa recolha e a essa conservação é afetada indevidamente por esse responsável, ao exigir que a pessoa em causa, a fim de se recusar a dar o seu consentimento, preencha um formulário suplementar onde fique registada essa recusa.”.

Vamos aqui brevemente analisar a parte em que o Tribunal considera que a existência num contrato de “uma cláusula segundo a qual a pessoa em causa foi informada e deu o seu consentimento”, não é suficiente para demonstrar que “essa pessoa deu validamente o seu consentimento, na aceção destas disposições “ se “a opção relativa a essa cláusula foi validada pelo responsável pelo tratamento dos dados antes da assinatura desse contrato”.

Em primeiro lugar, assinale-se o uso da expressão “Cláusula”, termo tipicamente relativo ao conteúdo dos contratos, para algo que consubstanciaria uma autorização para tratamento de dados pessoais, à partida alheia ao próprio contrato. Tanto mais que, se o Tribunal assim não considerasse, isto é, se considerasse que o tratamento de dados estaria relacionado com a própria execução do contrato, a causa de legitimidade para o tratamento não seria a do artigo 6.º, n.º 1, alínea a) do RGPD, isto é, não seria o consentimento do titular dos dados. A relação entre a proteção de dados e outras áreas do Direito está a crescer e a impor-se. A propósito, e sobre a relação com o Direito do Consumo, pode-se ler neste blog comentário ao recente Acórdão Privacy International.

Em segundo lugar, assinale-se o uso da expressão (dar, ou não dar), “validamente o seu consentimento”, quando o que estaria em causa seria existir ou não uma causa de licitude do tratamento dos dados. Isto é, efetivamente não se trataria de uma questão de validade de um consentimento, expressão que remete de novo para a típica terminologia contratual, nomeadamente a relativa às declarações negociais, essas sim perfeitas ou com vícios que poderiam levar à invalidade. No caso da proteção de dados, do que se trata é de saber se um determinado tratamento de dados pessoais cabe na regra geral da ilicitude, ou em alguma das suas exceções. No RGPD, regulam essencialmente os artigos 6.º a 11.º. Na Diretiva 95/46, era também de (i)licitude que se tratava, prevendo o seu artigo 5.º que ” Os Estados-membros especificarão, dentro dos limites do disposto no presente capítulo, as condições em que é lícito o tratamento de dados pessoais.”. Sabemos que a expressão “consentimento válido”, no âmbito da proteção de dados, se vulgarizou. A questão é saber se é usada por estar em causa a (in)validade, ou se o seu uso se deve a falta de termos e conceitos que cubram realidades que, não sendo novas, só recentemente suscitam grande atenção.

Em terceiro lugar, saliente-se que o TJUE, no Acórdão Orange, quando trata da existência de opção validada “pelo responsável pelo tratamento dos dados antes da assinatura desse contrato”, socorre-se da célebre decisão do Acórdão Planet 49. Seria uma boa ajuda se os casos tivessem realmente uma substância comum o que, embora ambos se refiram ao “consentimento” relacionado com a proteção de dados e incluam um formulário, não parece acontecer. Ao nível do soundbite, dos títulos de notícias e dos resumos superficiais, a questão aparenta ser idêntica já que tem a ver com a pré-validação de uma opção em que está vertida uma declaração de consentimento do titular para tratamento dos seus dados pessoais antes da finalização do contrato.

No entanto, no Acórdão Planet 49, em que a empresa organizou um jogo promocional no seu sítio Internet onde se inscreviam os que pretendiam participar, existia uma quadrícula de seleção relativa à instalação de cookies para recolha de dados pessoais que “estava pré-validada”. O que significa que o formulário online já trazia a declaração “Concordo” preenchida (Ponto 27.). Decidiu o Tribunal que “um consentimento dado através de uma opção pré-validada não implica um comportamento ativo por parte do utilizador de um sítio Internet.” (Ponto 52.).

Diferente parece ser a situação no caso Orange, já que existiria um processo negocial, com base num guião, em que intervinham diretamente os “agentes de venda” que antes da celebração do contrato informavam os clientes “designadamente sobre as finalidades da recolha e da conservação das cópias dos títulos de identidade, bem como sobre a escolha de que os clientes dispõem quanto a essa recolha e a essa conservação, antes de obterem oralmente o consentimento desses clientes para que se proceda a essa recolha e a essa conservação. Segundo a Orange România, a opção relativa à conservação das cópias de títulos de identidade era, assim, validada unicamente com base no acordo livremente expresso nesse sentido pelos interessados quando da celebração do contrato.” (Ponto 43.). Isto é, a ser verdade este procedimento, e o mesmo não é contestado, o consentimento expresso, livre, específico e informado constaria daquela declaração verbal. Acresce que, após essa manifestação, seria o agente de venda a preencher o campo correspondente à validação, tudo indica que por indicação ou, pelo menos, com a concordância do cliente. Isto é, ao contrário do Acórdão Planet 49, a opção não vinha pré-validada. O formulário seria preenchido, é certo que pelo “agente de venda”, de acordo com a manifestação do consentimento verbal do cliente. O que reduz esta específica questão à prova da declaração verbal de consentimento, não se tendo conhecimento de que houvesse discrepâncias entre o que era declarado e o que era preenchido. No final do processo negocial, o cliente assinava o contrato que incluía aquele consentimento, ou a sua recusa.

Conclui-se, portanto, que no caso Orange, ao contrário do que acontecia no caso Planet 29, não estava realmente em causa a existência de uma opção pré-validada pela empresa, que o cliente precisasse de desmarcar para retirar o seu consentimento.