Vishing, IA e o direito à saúde psicológica: o consumidor na era das chamadas telefónicas indesejadas

Doutrina

Chamadas não consentidas. Anedotas e realidade normativa

Gostaria de começar uma sequência de reflexões no blog do NOVA Consumer Lab com uma experiência pessoal, embora não seja exatamente fruto de uma viagem como a de Jorge Morais Carvalho. Não sei quantas vezes isto aconteceu convosco nos últimos meses (contem a experiência nos comentários, talvez sejamos muitos):

A qualquer hora do dia, um número de telefone identificado liga. Às vezes, o meu próprio telemóvel adiciona uma etiqueta de «suspeito de spam» acompanhada de um sinal de STOP; outras vezes, não. Ocasionalmente, o número parece telemóvel e outras parece fixo. O horário em que recebi chamadas vai das 9 da manhã à meia noite. As mais incómodas são as que ocorrem na hora da sesta, porque interrompem o descanso; mas não são menos desagradáveis as que ocorrem durante o horário de trabalho (a primeira impressão é que nos ligam por algo urgente, especialmente quando realmente se espera receber alguma chamada) ou as que ocorrem à noite (será que aconteceu alguma coisa à minha família ou a um amigo?).

Tenho o hábito de atender essas chamadas, apesar do aviso de spam, para surpresa dos meus amigos e familiares. As respostas que recebo são as seguintes:

(1) silêncio e desligamento da chamada em menos de 10 segundos;

(2) voz robótica a dizer «o seu trabalho é muito importante para nós» / «foi selecionado para uma oferta de emprego»;

(3) pessoa humana que me cumprimenta em nome de uma empresa de call center para me fazer uma oferta de mudança de empresa.

Se tenho o telefone em silêncio e vejo uma chamada perdida desses números, retorno a chamada, para maior surpresa dos meus amigos e familiares; e… o meu telefone indica que «o número marcado não existe», para meu espanto e, espero, dos leitores deste blog: como é que não existe se tenho uma chamada perdida dele!

Em Espanha, de acordo com dados do Instituto Nacional de Cibersegurança (INCIBE), desde a entrada em vigor do plano anti-fraudes em março de 2025, as operadoras de telefonia bloquearam cerca de 48 milhões de chamadas fraudulentas. Em Portugal, a ANACOM recebeu em 2025 70 reclamações por este tipo de práticas, mais do dobro do que em 2024 (cerca de 30). A nível mundial, no primeiro trimestre de 2025, foram detetadas 12,5 mil milhões de chamadas suspeitas de serem spam (137 milhões de chamadas por dia).

Estas chamadas pretendem explorar as vulnerabilidades da população, especialmente dos grupos mais vulneráveis. A frase que acabou de ler não é uma redundância: perante determinadas ferramentas de IA, todos somos vulneráveis, uma vez que a vulnerabilidade digital está relacionada com a fonte (IA, tratamento massivo de dados, perfilagem, padrões obscuros); e esta vulnerabilidade digital afeta ainda mais os grupos vulneráveis clássicos (menores, migrantes, idosos…). No caso das chamadas fraudulentas, o grupo mais exposto são os idosos. Precisamente, em junho de 2024, numa operação conjunta das forças de segurança espanholas e portuguesas, foram detidas 54 pessoas responsáveis por roubar pelo menos 84 vítimas através de táticas de vishing e engenharia social.

Tanto Espanha como Portugal propuseram alterações à Lei dos Serviços de Atendimento ao Cliente e à Lei das Comunicações Eletrónicas, respetivamente, com o objetivo de facilitar a identificação e o bloqueio deste tipo de chamadas.

Estas iniciativas pretendem, e devem ser saudadas, eliminar esta prática e os danos que ela causa. No entanto, por um lado, trata-se, por enquanto, de meras propostas de alteração; por outro, não contemplam medidas reativas para as situações em que a referida prática já ocorreu. É importante lembrar que estas não são apenas um meio eficaz para a prática de fraudes, mas que a repetição dessa prática em todos os tipos de população e a qualquer hora do dia gera um estado de inquietação latente dificilmente compatível com uma vida saudável.

O direito à saúde psicológica dos consumidores. Visão comparada Espanha – Portugal

O direito à saúde dos consumidores é reconhecido a nível constitucional tanto em Espanha como em Portugal:

– O artigo 60.º, n.º 1, da Constituição portuguesa estabelece que «Os consumidores têm direito à qualidade dos bens e serviços consumidos, à formação e à informação, à proteção da saúde, da segurança e dos seus interesses económicos, bem como à reparação de danos».

– O artigo 51.1 da Constituição espanhola estabelece que os poderes públicos devem garantir a defesa dos consumidores e utilizadores, protegendo, através de procedimentos eficazes, a segurança, a saúde e os legítimos interesses económicos dos mesmos.

O desenvolvimento do direito à saúde dos consumidores na regulamentação do consumo centrou-se na proteção da saúde física. Assim se pode observar nos artigos 3.º, alínea b), 5.º e 10.º, alínea a), da Lei de defesa do consumidor (Lei n.º 24/96, de 31 , de Julho); e nos artigos 8.1.a, 11, 14, 15 e outros do Texto Reunido da Lei Geral para a Defesa dos Consumidores e Utilizadores (Real Decreto Legislativo 1/2007, de 16 de novembro). Tanto a regulamentação portuguesa como a espanhola utilizam sempre a dupla «saúde e segurança». O caso da regulamentação portuguesa é ainda mais claro, uma vez que fala de «saúde e segurança física» e não apenas de «saúde», como a norma espanhola.

A vertente psicológica do direito à saúde dos consumidores é pouco explorada. Em 2023, o Parlamento Europeu publicou um relatório em que sublinha a necessidade de proteger tanto a saúde física como a saúde mental (p. 3, alínea C). Este relatório salienta igualmente que «a tecnologia digital pode trazer benefícios importantes ao ligar zonas remotas e proporcionar meios acessíveis e económicos de apoio psicológico, mas que, ao mesmo tempo, a omnipresença dos smartphones e das tecnologias digitais, como as aplicações móveis e as redes sociais, representa um risco para a saúde mental e o isolamento social». No entanto, o texto centra-se fundamentalmente nas consequências do uso excessivo das tecnologias digitais, especialmente na população jovem e infantil. Embora seja verdade que as chamadas falsas não seriam possíveis sem o uso das tecnologias digitais atuais, não estamos a falar exatamente da mesma coisa. De qualquer forma, a proteção e a promoção da saúde mental são uma preocupação da Comissão Europeia, como demonstram os documentos emitidos desde 2023 sobre uma abordagem integral da saúde mental na UE. É de salientar, no entanto, que esses documentos não fazem referência explícita à saúde mental dos consumidores.

Não consegui encontrar decisões judiciais em Espanha ou Portugal, nem no Tribunal de Justiça da UE, que tratem da vertente psicológica do direito à saúde dos consumidores. No entanto, é importante lembrar que «saúde» é o «estado do indivíduo em que as funções orgânicas, físicas e mentais decorrem com normalidade». Neste termo, o Dicionário da Língua Portuguesa é mais preciso do que o Dicionário da Real Academia da Língua Espanhola, que define «saúde» como o «estado em que o ser orgânico exerce normalmente todas as suas funções», mas sem fazer referência expressa às funções orgânicas, físicas e mentais. Nesse sentido, parece razoável e coerente com a crescente preocupação da UE com a promoção e o cuidado da saúde mental preencher uma lacuna importante na aplicação da nossa regulamentação de consumo: os consumidores têm direito à saúde e à segurança, não apenas física, mas também mental.

Fora do âmbito do direito do consumo, os danos psicológicos são reconhecidos como danos não patrimoniais, tanto em Portugal como em Espanha. Em Portugal, o artigo 70.º do Código Civil estabelece que «a lei protege os indivíduos contra qualquer ofensa ilícita ou ameaça de ofensa à sua personalidade física ou moral», o que é posteriormente complementado pelos critérios de compensação de danos não patrimoniais (art. 464.º) e de cálculo da indemnização (art. 564.º). Um critério semelhante é seguido em Espanha, neste caso apoiado nos artigos 1902.º e 1103.º a 1107.º do Código Civil. Os danos psicológicos são geralmente considerados como uma categoria específica de danos morais; no entanto, considero oportuno salientar o seguinte:

– Os danos morais visam compensar o sofrimento (pretium doloris, de acordo com o acórdão do Supremo Tribunal de Espanha de 31 de maio de 2000), mas esse sofrimento não tem necessariamente de estar associado a uma doença psicológica (acórdão do Supremo Tribunal de Espanha de 16 de junho de 2016). Tanto é assim que o Tribunal de Justiça da UE reconheceu em várias sentenças que o medo da utilização indevida de dados pessoais após o incumprimento do RGPD constitui um dano moral indemnizável no âmbito do artigo 82.º do RGPD.

– Os danos psicológicos estão associados a uma doença psicológica, normalmente derivada de alguma circunstância traumática ou de um sofrimento. São, deste ponto de vista, danos relativos à saúde.

Para efeitos práticos, o importante é que existe uma prática consolidada de compensar o sofrimento (esteja ou não associado a uma doença psicológica) como dano moral. No entanto, para efeitos do objetivo destas reflexões, penso que é importante salientar que, neste momento, a via fundamental de proteção dos danos à saúde psicológica dos consumidores (questão que faz parte da proteção do seu direito à saúde) não se encontra nas normas de consumo, mas nas normas gerais do direito civil sobre indemnização por danos não patrimoniais.

Ações coletivas em defesa do direito à saúde psicológica dos consumidores?

Esta falta de critérios claros na regulamentação e, naturalmente, ainda mais na jurisprudência, deixa desprotegida metade do conteúdo do direito à saúde dos consumidores, se lembrarmos que, de acordo com o Parlamento Europeu, a saúde física e a saúde mental devem ser tratadas de forma igualitária.

Acrescentemos a tudo isso uma última questão: e a saúde pública psicológica?

Utilizo, emprestadas, as palavras de Ana Rita Fontes Pinto na sua dissertação “A responsabilidade civil pela perturbação psicológica (emotional distress) causada pelos meios de comunicação social”:

«O abalo psicológico que os meios de comunicação social podem provocar no ser humano é inquestionável, tomemos como exemplo a pandemia. Quanta ansiedade e stress foram causados à população pela imensidão de notícias minuto a minuto com atualizações sobre as mortes, internamentos, números de infetados?»

A reflexão, muito oportuna, sobre um dano coletivo à saúde psicológica refere-se à atuação dos meios de comunicação social durante a pandemia. Sem pretender equiparar o stress causado pelos meios de comunicação e redes sociais nos meses mais críticos (nem muito menos entrar na sua ponderação com o dever de informação e a liberdade de expressão), cabe questionar se 137 milhões de chamadas falsas por dia podem estar a causar danos coletivos à saúde psicológica dos consumidores.

Se chegarmos à conclusão de que sim (eu acredito que sim), talvez a ação coletiva contra as empresas responsáveis por essa abundância de chamadas falsas por danos psicológicos coletivos possa ser uma forma de defesa dos consumidores. Para saber mais sobre a ação coletiva, consulte o post de Leonor Gambôa Machado, publicado na semana passada.

Sharenting, responsabilidade parental e o DSA: responsabilidade civil, conhecimento efetivo e risco sistémico

Doutrina

A prática de partilhar imagens ou vídeos de crianças nas redes sociais pelos pais (share + parenting) e outros familiares é conhecida como “sharenting”. Note-se que, apesar do caráter expressivo do termo, os pais não são os familiares que mais partilham fotografias de crianças. Os primos, os irmãos mais velhos e os tios e tias partilham mais frequentemente do que os avós e os pais das crianças. Esta é uma prática que põe em risco os direitos fundamentais dos menores nas redes sociais e à qual a resposta da lei e das autoridades públicas tem sido bastante limitada. Os processos de responsabilidade civil revelam-se excessivamente lentos, tendo em conta a importância do tempo quando se trata da exposição de menores no ambiente digital, e os meios de intervenção das autoridades (por exemplo, o artigo 84.º, n.º 2, da LOPDgdd, que obriga o Ministério Público a atuar) não foram até hoje utilizados.

Talvez o Regulamento dos Serviços Digitais (DSA) nos permita, enquanto consumidores e utilizadores de redes sociais, contribuir para a proteção dos menores contra estas práticas, especialmente quando aqueles que publicam estes conteúdos lucram com eles (influenciadores).

Existem poucos estudos sobre a incidência do sharenting entre os menores, um dos quais é o relatório EU Kids Online, que analisa comportamentos como os seguintes: (1) pais que publicam fotografias sem perguntar aos menores, (2) menores que pedem aos pais para eliminarem conteúdos, (3) menores que se sentem frustrados quando veem conteúdos publicados e (4) consequências negativas para a vida social dos menores em resultado da publicação de conteúdos. As respostas por país podem ser vistas no gráfico abaixo:

A maioria das situações de sharenting tende a envolver práticas sociais com uma influência relativamente baixa (o que não significa que não representem um risco para as crianças), que correspondem ao equivalente funcional no ambiente digital de mostrar fotografias ou vídeos de crianças a familiares e amigos: pessoas cujas contas nas redes sociais têm poucos seguidores, que são cuidadosas nas definições de privacidade das contas e que publicam conteúdos neutros (não íntimos ou humilhantes) sobre crianças. Podemos referir-nos a esta prática como “partilha social”. Se a conta atingir um certo nível de notoriedade, ou se o número de publicações exceder um número significativo, falamos de “oversharenting”, o que não é aceitável devido ao risco que representa para os direitos dos menores. No entanto, deve ter-se em conta que qualquer prática de sharenting comporta um risco para os menores, na medida em que, uma vez carregado o conteúdo na Internet, há pouco controlo sobre a sua difusão (e muito menos sobre a sua eliminação).

A prática de sharenting que representa o maior risco para os menores é o sharenting lucrativo, efetuado por aqueles conhecidos como “instamamis” ou “instapapis”: influenciadores cujo conteúdo está em grande parte (ou mesmo quase inteiramente) relacionado com menores. O sharenting lucrativo deve ser sempre considerado como “oversharenting”.

A prática do sharenting comporta riscos para os direitos fundamentais dos menores, que serão mais ou menos acentuados consoante o nível de notoriedade e o número de publicações. Concretamente, estão em risco o direito à honra (menores em situações domésticas que podem causar constrangimento), o direito à privacidade (menores em situações que gostariam de excluir do conhecimento geral, quer causem ou não constrangimento), o direito à própria imagem (em fotografias ou vídeos em que aparecem sem o seu consentimento) e o direito à proteção de dados (não só imagens ou vídeos, uma vez que a autoimagem também é um dado pessoal, mas também áudios ou textos em que são mencionados menores). A prática do sharenting é igualmente prejudicial ao direito ao livre desenvolvimento da personalidade e contrária ao interesse superior da criança. Por fim, a segurança dos menores também é posta em causa, como alertou o Tribunal da Relação de Évora em 2015, precisamente num caso de sharenting.

Todos estes direitos são reconhecidos tanto a nível internacional como nacional. Podemos citar, sem sermos exaustivos, o artigo 26.º da Constituição Portuguesa, segundo o qual “todos têm direito à identidade pessoal, ao desenvolvimento da personalidade, à capacidade civil, à cidadania, ao bom nome e reputação, à imagem, à palavra, à reserva da intimidade da vida privada e familiar e à proteção jurídica contra quaisquer formas de discriminação (nº 1) e “a lei estabelecerá garantias efetivas contra a obtenção e utilização abusivas, ou contrárias à dignidade humana, de informações relativas às pessoas e famílias” (nº 2), o artigo 18.º, segundo o qual “é garantido o direito à honra, à reserva da intimidade da vida privada e familiar e à imagem” (n.º 1), e “a lei limita a utilização da informática para garantir a honra e a reserva da intimidade da vida privada e familiar dos cidadãos e o pleno exercício dos seus direitos” (nº 4); e o artigo 10.º da Constituição espanhola (“a dignidade da pessoa humana, os direitos invioláveis que lhe são inerentes, o livre desenvolvimento da personalidade, o respeito pela lei e pelos direitos dos outros são a base da ordem política e da paz social”). O direito à proteção de dados é reconhecido no artigo 8.º da Carta dos Direitos Fundamentais da UE, juntamente com o direito ao respeito pela vida privada e familiar (artigo 7.º), bem como pelo RGPD e respetivas implementações nacionais.

O consentimento da criança é essencial para avaliar se algum dos direitos acima mencionados foi violado (outros, como a honra ou a privacidade, dependem não só do conteúdo, mas também das características do conteúdo e das repercussões sociais que este tem). No âmbito dos seus deveres de responsabilidade parental (art. 1877.º e 1878.º CC-PT; art. 154.º CC-ESP, art. 18.º Convenção sobre os Direitos da Criança de 1989), os pais devem proteger a identidade digital da criança e, se esta ainda não tiver capacidade jurídica para consentir, fazê-lo em seu nome. No entanto, o consentimento que os pais podem dar em nome dos filhos deve ser utilizado em benefício destes e não para pôr em risco os seus direitos. Os menores devem adquirir progressivamente a autonomia negocial (art. 127.º do CC-PT; art. 2.º da LOPJM), razão pela qual é por vezes difícil determinar o momento a partir do qual têm capacidade para consentir, consoante as circunstâncias. No que diz respeito ao sharenting, parece que a idade a partir da qual podem consentir (ou opor-se) é de 13 anos, que é a idade a partir da qual podem exprimir o seu consentimento em conformidade com o artigo 8.º do RGPD. Este limite mínimo de idade é seguido em Portugal (art. 16.º da Lei da Proteção de dados pessoais) e é aumentado em um ano em Espanha (art. 7.2 da LOPDgdd).

Tendo em conta os riscos que a prática do sharenting representa para os menores, vale a pena perguntar se existem elementos de defesa contra a mesma.

Podemos começar por dizer que é possível exigir a responsabilidade civil derivada da lesão de direitos de personalidade (arts. 70.º e 483.º CC-PT; art. 1902.º CC-ESP) associada a um exercício ilegítimo dos deveres de responsabilidade parental (art. 334.º CC-PT). É certo que a posição jurisprudencial tradicional da imunidade dos ilícitos familiares deve ser ultrapassada, como bem salienta Mariana García Duarte Marum (pp. 114-115), embora não seja menos verdade que um dos primeiros casos conhecidos de condenação por sharenting condena precisamente uma mãe por publicar posts sobre o quão mal a atitude do filho para com ela a fazia sentir (Sentença do Tribunal de Roma de 21 de dezembro de 2017). Do mesmo modo, pode ser invocada a responsabilidade civil pela violação do direito à proteção de dados, nos termos do art. 82.º do RGPD. Neste caso, colocar-se-ia a questão de saber se os pais devem ser considerados “responsáveis pelo tratamento de dados” nos termos do art. 82.º, n.º 1, do RGPD, ou apenas as próprias redes sociais. Neste último caso, parece razoável estabelecer como critério mínimo para a responsabilidade o facto de terem conhecimento efetivo da ilegalidade do conteúdo, uma questão que discutiremos mais adiante. Em todo o caso, é necessário provar a conduta negligente ou dolosa do arguido para que se possa invocar a responsabilidade civil, não sendo suficiente a mera violação do RGPD (Sentença do TJUE de 4 de maio de 2023).

As dúvidas que acabámos de apontar não são o maior obstáculo à proteção dos menores contra o sharenting através da responsabilidade civil (quer geral, quer por violação das normas de proteção de dados). De facto, em Portugal, Itália e Espanha já existem sentenças de tribunais regionais ou provinciais que condenam o sharenting. O maior problema é a lentidão (associada a qualquer procedimento judicial) com que os conteúdos seriam removidos e o consequente prejuízo que a sua permanência nas redes geraria para os menores. Neste contexto, é possível que o Regulamento dos Serviços Digitais, que entrou em vigor em fevereiro de 2024, possa proporcionar um meio mais ágil de bloquear e, se for caso disso, remover conteúdos relativos a menores nas redes sociais.

Nos termos do artigo 6.º do Regulamento Serviços Digitais (DSA), “em caso de prestação de um serviço da sociedade da informação que consista na armazenagem de informações prestadas por um destinatário do serviço (por exemplo, redes sociais), o prestador do serviço não é responsável pelas informações armazenadas a pedido de um destinatário do serviço, desde que: não tenha conhecimento efetivo da atividade ou conteúdo ilegal e, no que se refere a uma ação de indemnização por perdas e danos, não tenha conhecimento de factos ou de circunstâncias que evidenciem a ilegalidade da atividade ou do conteúdo” (art. 6.1.a). É considerado “conhecimento efetivo” aquelas notificações que “permitem a um prestador diligente de alojamento virtual identificar a ilegalidade da atividade ou das informações em causa sem um exame jurídico pormenorizado” (art. 16.3).

É importante notar que, para que a notificação obrigue a rede social a agir, deve ser suficientemente pormenorizada e precisa, em conformidade não só com o n.º 3 do artigo 16.º do DSA, mas também com o considerando 53, que estabelece que “os mecanismos de notificação e ação deverão permitir a apresentação de notificações que sejam suficientemente precisas e devidamente fundamentadas para permitir que o prestador de serviços de alojamento virtual em causa tome uma decisão informada e diligente, compatível com a liberdade de expressão e de informação, relativamente aos conteúdos a que se refere a notificação, em especial se esses conteúdos devem ser ou não considerados ilegais e devem ser suprimidos ou o acesso aos mesmos deve ser bloqueado. Esses mecanismos deverão facilitar a apresentação de notificações com uma explicação das razões pelas quais a pessoa ou a entidade que apresenta a notificação considera que o conteúdo é ilegal e uma indicação clara da localização desse conteúdo. Sempre que uma notificação contenha informações suficientes para permitir a um prestador diligente de serviços de alojamento virtual identificar, sem um exame jurídico pormenorizado, que é evidente que o conteúdo é ilegal, deverá considerar-se que a notificação dá origem ao conhecimento efetivo ou ao conhecimento da ilegalidade”.

Quando a rede social recebe uma notificação (por exemplo, através das suas caixas de correio de denúncia de conteúdos) que a informa de forma suficientemente pormenorizada sobre conteúdos de partilha de conteúdos e indica os direitos fundamentais dos menores que podem ser afetados, deve agir de forma diligente e imediata para bloquear ou remover esses conteúdos, sob pena de ser considerada responsável pelos mesmos, uma vez que, de acordo com o n.º 1, alínea b), do artigo 6.1.b do DSA, o prestador de um serviço da sociedade da informação será responsável pelo conteúdo que aloje “a partir do momento em que tenha conhecimento da ilicitude, atue com diligência no sentido de suprimir ou desativar o acesso aos conteúdos ilegais”.

O artigo 6.º, em conjugação com o artigo 16.º e o considerando 53, permite a adoção de medidas contra práticas específicas de partilha de bens, independentemente da frequência com que os pais ou familiares praticam a partilha de bens (desde que os direitos dos menores estejam efetivamente em risco, embora seja esse o caso na maioria das situações de partilha de bens) e independentemente da dimensão da plataforma.

Se a plataforma for considerada de grande dimensão (very large online platform, VLOP) nos termos do artigo 33.º do DSA, devem aplicar-se medidas de atenuação dos riscos que sejam razoáveis, proporcionadas e eficazes e adaptadas aos riscos sistémicos específicos identificados nos termos do artigo 34.º. Em 25 de abril de 2023, a Comissão Europeia publicou a primeira lista de plataformas de muito grande dimensão, incluindo redes sociais como o Facebook, o Instagram, o TikTok ou o YouTube. Em 16 de maio de 2024, a Comissão Europeia abriu um processo contra a Meta em relação ao risco de dependência em menores e ao chamado efeito de orifício dos coelhos, mas ainda não se tem conhecimento de ter iniciado um processo semelhante em relação aos riscos de sharenting. Em Espanha, a Lei Orgânica de Proteção de Dados Pessoais e Garantia dos Direitos Digitais foi além do mero desenvolvimento nacional do RGPD e, no n.º 2 do artigo 84.º, estabelece que “a utilização ou difusão de imagens ou dados pessoais de menores nas redes sociais e serviços equivalentes da sociedade da informação que possam implicar uma ingerência ilícita nos seus direitos fundamentais determinará a intervenção do Ministério Público, que solicitará as medidas cautelares e de proteção previstas na Lei Orgânica 1/1996, de 15 de janeiro, de Proteção Jurídica de Menores”. Apesar da clareza da redação literal da norma, não se conhecem ainda ações intentadas pelo Ministério Público em casos de lenocínio lucrativo.

Dados intra commercium e extra commercium – A propósito do tema da Worldcoin

Doutrina

A CNPD decidiu, a 26 de março, suspender a recolha de dados biométricos faciais e da íris que a empresa Worldcoin recolhe há vários meses. A decisão surge na sequência de uma avalanche de denúncias recebidas pela CNPD, denunciando a recolha de dados biométricos de menores sem autorização dos pais ou representantes legais, bem como deficiências na informação prestada para a recolha desses dados, e na sequência de uma recomendação de prudência da própria CNPD aos cidadãos relativamente ao fornecimento desses dados, encorajando “as pessoas a refletirem sobre a sensibilidade dos dados que pretendem fornecer, que são únicos e fazem parte da sua identidade, e os riscos que tal implica, e a ponderarem o significado de a cedência dos seus dados biométricos envolver, em contraprestação, um eventual pagamento”. É preciso ainda ter em conta que, em troca dos dados, a empresa entregou criptomoedas cuja existência tem sido reportada como duvidosa (já para não falar da sua elevadíssima volatilidade em geral).

Em Espanha, no início de março, a AEPD ordenou a suspensão cautelar da atividade da Worldcoin pelos mesmos motivos que a CNPD hoje apresenta. A medida foi objeto de recurso pela Worldcoin. Porém, a Audiencia Nacional considerou que a atuação da AEPD foi correta, porque a salvaguarda do interesse geral, que consiste na garantia do direito à proteção dos dados pessoais dos seus titulares, deve prevalecer sobre o interesse particular da empresa recorrente, de conteúdo fundamentalmente económico. A Audiencia Nacional argumenta que, se se verificasse que a Worldcoin cumpre o RGPD, poderia solicitar uma compensação financeira baseada na medida cautelar, estando reunidos os respetivos requisitos. Não parece muito provável, uma vez que a medida cumpre os três requisitos fundamentais: fumus boni iuris, periculum in mora e proporcionalidade.

O caso, como se pode ver, deu origem a um intenso debate em Espanha e em Portugal, bem como noutros países da União Europeia. A conduta da empresa é duvidosa – e não só devido às deficiências na informação contratual fornecida ou às características da contraprestação oferecida. São também utilizadas práticas questionáveis nos stands de informação e venda da Worldcoin para convencer as pessoas (muitas delas menores de idade) a vender os seus dados biométricos.

Há, no entanto, outro aspeto que importa analisar. Estamos a falar da natureza intra commercium dos dados pessoais.

Há alguns meses, neste blog, discuti os requisitos do pagamento com dados, partindo do princípio de que esta realidade é legalmente possível, e até aconselhável, apesar das reticências expressas na altura pelo EDPS e pelo EDPB, recentemente atualizadas em relação ao debate em torno do modelo “pay or ok”. Isto implica também que a lei deve encarar os dados pessoais não só como parte de um direito fundamental (art. 8.º da Carta Europeia de Direitos Fundamentais; art. 18.º, n.º 4, da Constituição Espanhola; art. 26.º da Constituição Portuguesa), mas também como um ativo económico, ou seja, como bens num sentido patrimonial, que podem ser transacionados e, por conseguinte, utilizados como contraprestação. Se os dados podem constituir uma contraprestação, devem também poder ser uma prestação principal. Por outras palavras, se uma pessoa pode pagar certos bens e serviços digitais com os seus dados pessoais, nada deve impedi-la, pela mesma razão, mas em sentido inverso, de entregar os seus dados pessoais em troca de pagamento (seja em moeda com curso legal, criptomoeda ou qualquer outro tipo de contraprestação).

De acordo com esta lógica, não deveria haver qualquer impedimento à comercialização de dados pessoais, apesar de o direito à proteção de dados ser um direito fundamental; tal como o direito à vida privada e familiar (art. 7.º da Carta Europeia de Direitos Fundamentais; art. 18.º, n.º 1, da Constituição Espanhola; art. 26.º da Constituição Portuguesa), o que não impede que sejam objeto de comercialização através da venda de direitos de imagem a marcas comerciais, da venda de exclusivos de pessoas conhecidas, ou da própria atividade de alguns influencers e youtubers, que claramente comercializam tanto a sua imagem como a sua privacidade.

O caso Worldcoin sugere uma reflexão mais aprofundada sobre o carácter intra commercium dos dados pessoais: será que todos os dados pessoais devem ser comercializáveis e, portanto, servir de contraprestação para o pagamento de certos bens e serviços digitais (ou vice-versa)?

Uma primeira resposta a esta questão pode ser afirmativa: todos os dados pessoais devem ser comercializáveis porque o direito fundamental à proteção de dados pode ser comercializável na mesma medida que outros direitos fundamentais que lhe são próximos, como o direito à privacidade pessoal ou familiar ou o direito à própria imagem. A comercialidade do direito à própria imagem não difere em função do conteúdo da imagem pessoal que é objeto de comércio: é tão comercial posar para uma marca como ser filmado nu para um filme. Será diferente a questão das regras específicas aplicáveis a cada atividade, além da comercialização do direito à própria imagem. Pensemos, por exemplo, na atuação de menores em filmes.

A segunda resposta que pode ser dada é não. Esta resposta, formulada em termos absolutos, já foi partilhada pelo EDPS e pelo EDPB, e já foi respondida em várias ocasiões, em relação à desproporcionalidade da posição e do argumento. Resta, portanto, optar por uma resposta à moda galega: depende. Segundo esta opção (a nosso ver mais precisa e proporcionada), os dados pessoais não devem ser considerados comercializáveis ou não pelo simples facto de serem dados pessoais, mas em função do tipo de informação a que se referem. Deve estabelecer-se uma presunção geral iuris tantum de comercialidade e prever-se restritivamente as categorias de dados pessoais que devem ser excluídas do comércio. Uma primeira tentativa de situar este “depende” seria a grande divisão traçada pelo RGPD entre dados pessoais comuns e categorias especiais de dados pessoais. É claro que os dados pessoais “comuns” seriam totalmente comercializáveis.

O RGPD define dados pessoais como “qualquer informação relativa a uma pessoa identificada ou identificável” (art. 4.1) e distingue duas grandes categorias de dados pessoais: dados pessoais comuns e categorias especiais de dados pessoais. Os dados pessoais comuns são definidos por exclusão: todos os dados que não são considerados categorias especiais de dados pessoais. As categorias especiais de dados pessoais são os dados que revelam a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical; e os dados genéticos, os dados biométricos, os dados relativos à saúde, à vida sexual e à orientação sexual de uma pessoa singular (art. 9.1 RGPD).

As categorias especiais de dados pessoais representam um risco mais elevado para os direitos e liberdades fundamentais (Cons. 51 RGPD), razão pela qual o art. 9.1 RGPD prevê uma proibição geral de tratamento destas categorias de dados. Na prática, este sistema bipartido implica o seguinte: (1) em princípio, todo o tratamento de dados deve ser efetuado de acordo com uma base legítima, tal como estabelecido no art. 6 RGPD. No caso de categorias especiais de dados, não só deve ser selecionado pelo menos um fundamento de legitimação do art. 6 RGPD, como também deve ser encontrada uma exceção à proibição geral de tratamento de categorias especiais de dados (art. 9.1 e 9.2 RGPD).

Embora seja verdade que, em geral, o tratamento de categorias especiais de dados implica um risco maior para os direitos e liberdades das pessoas em causa, nem todos eles devem ser excluídos do comércio, mas apenas aqueles cujo tratamento não está sujeito a um controlo ou regulamento específico e que, por si só, implica um risco ainda maior para os direitos e liberdades não só das pessoas em causa, mas da população em geral. Recordemos que partimos da presunção iuris tantum de que os dados pessoais são bens intra commercium e que, por conseguinte, a exclusão do comércio de certas categorias de dados deve encontrar uma razão justificada que permita destruir a presunção e que mesmo essa razão deve ser interpretada de forma restritiva.

Que dados pessoais devem então ser excluídos do comércio?

Entendemos que a exclusão deve estender-se principalmente a três categorias de dados pessoais, tal como definidas no RGPD: (1) dados genéticos, (2) dados biométricos e (3) dados relativos à saúde:

– Os dados genéticos são “dados pessoais relativos às características genéticas herdadas ou adquiridas de uma pessoa singular que fornecem informações únicas sobre a fisiologia ou a saúde dessa pessoa, obtidas, nomeadamente, a partir da análise de uma amostra biológica dessa pessoa” (art. 4.13 RGPD);

– Os dados biométricos são “dados pessoais obtidos a partir de um tratamento técnico específico, relativos às características físicas, fisiológicas ou comportamentais de uma pessoa singular, que permitem ou confirmam a identificação única dessa pessoa, tais como imagens faciais ou dados dactiloscópicos” (art. 4.14 RGPD);

– E os dados relativos à saúde são “dados pessoais relativos à saúde física ou mental de uma pessoa singular, incluindo a prestação de serviços de saúde, que revelem informações sobre o seu estado de saúde” (art. 4.15 RGPD).

As interfaces cérebro-computador (ICC) permitem medir e registar a atividade gerada pelo cérebro, que servirá de identificador biométrico. As ondas cerebrais registadas por uma BCI são traduzidas em dados fisiológicos depois de processadas e descodificadas. Aplicando ferramentas avançadas de análise de dados e sistemas de IA, é possível inferir pensamentos, sentimentos, estados de saúde, traçar o perfil do indivíduo e fazer inferências sobre o seu passado, presente e futuro. Por outro lado, o cérebro é um identificador único, tal como a impressão digital ou o genoma. Além disso, a neurotecnologia permite não só recolher informações neurológicas em tempo real, mas também gerar estímulos que alteram a atividade cerebral e modificam o comportamento da pessoa a curto e a longo prazo. Em última análise, esta tecnologia e a utilização de dados neurológicos apresentam sérios riscos para os direitos e liberdades fundamentais dos indivíduos. Isto levou alguns Estados, como o espanhol, a começar a propor a elaboração de direitos dos cidadãos em relação à utilização das neurotecnologias, embora, por enquanto, apenas como propostas regulamentares sujeitas a debate (Artigo XXVI Carta dos Direitos Digitais). No que nos diz respeito, os neurodados devem ser entendidos como uma subcategoria dos dados biométricos.

Os dados genéticos, os dados biométricos e os dados relativos à saúde são as únicas três categorias especiais de dados pessoais definidas no art. 4 RGPD e as únicas para as quais o RGPD permite que os Estados-Membros introduzam restrições ao tratamento, desde que não constituam um obstáculo à sua livre circulação (art. 9.4 RGPD). Estas circunstâncias demonstram a importância destas três categorias de dados pessoais, além de serem categorias especiais de dados.

O tráfico de dados genéticos, biométricos e relativos à saúde deve ser objeto de uma regulamentação específica, de modo a que a sua circulação constitua um “tráfico regulamentado”, devido à natureza especial das informações a que se referem. Esta é a razão das possíveis restrições nacionais que o RGPD permite que os Estados-Membros imponham e, sobretudo, a razão da atual construção do Espaço Europeu de Dados de Saúde (EEDS). No âmbito do EEDS, foi publicada uma Proposta de Regulamento sobre o Espaço Europeu de Dados de Saúde, relativa à utilização de dados de saúde, ou seja, dados de saúde e dados genéticos (art. 2.2, alíneas a), b) e c)). No que diz respeito aos dados biométricos, o seu impacto particular nos direitos e liberdades fundamentais refletiu-se no Regulamento relativo à Inteligência Artificial, que classifica os sistemas de identificação biométrica como de alto risco (Anexo III, nº 1, e Cons. 44 e 54).

Uma questão discutível é a de saber onde termina a fronteira dos dados biométricos ou relacionados com a saúde ou, por outras palavras, como lidar com a vis expansiva destas categorias de dados. Um exemplo desta vis expansiva é o facto de uma fotografia de uma pessoa poder ser considerada um dado biométrico se permitir a identificação unívoca ou de uma pessoa (Cons. 51 RGPD), ou o facto de, por vezes, a mera consulta de determinados sítios web também poder ser considerada um dado relativo à saúde (Cons. 68 a 73 da Sentença do TJUE, de 4 de julho de 2023).

Em suma, o princípio da livre circulação de dados pessoais protegido e promovido pelo RGPD (e anteriormente pela Diretiva 95/46/CE) deve levar ao entendimento de que o tráfego económico de dados pessoais é legal, desde que os requisitos para qualquer troca de serviços onerosos sejam cumpridos de acordo com as regras dos Estados-Membros em matéria de obrigações e contratos. Isto implica que o pagamento com dados pessoais para determinados bens e serviços deve ser entendido como possível, por exemplo, escolhendo entre o pagamento com dados de modo a permitir uma navegação personalizada com base em perfis (ver o art. 38 do Digital Services Act) ou pagamento monetário pelo mismo serviço, como recentemente recordado pelo TJUE, na Sentença de 4 de julho de 2023 (Cons. 150 em particular). Do que precede deve resultar que é igualmente lícito vender os próprios dados pessoais em troca de uma contraprestação.

No entanto, embora se deva partir do princípio de que todos os dados pessoais são comercializáveis, devem ser excluídos do comércio os dados pessoais cujo tratamento (e especialmente cujo tráfico não está sujeito a regulamentação específica) tem um maior impacto nos direitos e liberdades fundamentais. Estes dados são, a nosso ver, os dados biométricos (incluindo os neurodados), os dados genéticos e os dados relativos à saúde.

Considerar certas categorias de dados como dados fora do comércio não implica que essas categorias de dados não sejam objeto de análise, nem exclui o desenvolvimento de perfis com base nessa análise de dados. Trata-se apenas de fazer avançar a barreira da proteção, não no final da cadeia de valor dos dados (ou seja, proteção contra atividades de definição de perfis de indivíduos específicos), mas no início (recolha e tráfico livres dos dados que alimentam os perfis). A livre circulação destas categorias de dados também não seria impedida: trata-se apenas de submeter essa circulação a um controlo público no interesse de uma melhor proteção dos direitos e liberdades afetados pela informação a que estas categorias de dados se referem. Aliás, isto já está no espírito do Regulamento europeu relativo ao espaço de dados de saúde.

De acordo com isto, a atividade desenvolvida pela Worldcoin não só constituiria um tratamento de dados questionável pelas razões já invocadas por autoridades nacionais como a AEPD ou a CNPD, mas também por se tratar de um tráfego oneroso de dados pessoais extra commercium.

Outro artigo sobre o ChatGPT? O possível futuro dos modelos fundacionais no Regulamento sobre Inteligência Artificial

Doutrina

Tanto o (ainda) futuro Regulamento sobre Inteligência Artificial (IA) como as ferramentas de Inteligência Artificial Generativa (ChatGPT ou Dall-e, entre outros) foram objeto de ampla discussão ao longo de 2023. As ferramentas de IA generativa, que explodiram em termos de popularidade no início do ano passado, suscitaram propostas de alterações significativas ao texto da Proposta de Regulamento de IA e debates entre Estados. Algumas dessas alterações podem ser encontradas nas Emendas à Proposta de Regulamento sobre IA apresentadas pelo Parlamento Europeu em 14 de junho de 2023. No final de 2023, ainda durante a presidência espanhola da UE, existiam duas posições opostas sobre a regulamentação dos modelos fundacionais: (1) fazê-lo através de códigos de conduta sem um regime de sanções por incumprimento; ou (2) a inclusão de certas obrigações no próprio Regulamento IA, referindo-se principalmente à transparência, embora também relacionadas com os direitos de autor.

Nesta publicação do blog, vamos centrar a nossa atenção em algumas das alterações do Parlamento Europeu sobre modelos fundacionais e na forma como isso afeta a IA generativa.

Para começar, convém esclarecer brevemente três conceitos: IA de objetivo geral, modelos fundacionais e Chat GPT.

Considera-se que os sistemas de IA de uso geral são os concebidos para desempenhar funções de uso geral, como o reconhecimento de texto, imagem e voz, a geração de texto, áudio, imagem ou vídeo, a deteção de padrões, a resposta a perguntas ou a tradução. Estes sistemas não teriam sido possíveis sem a redução dos custos de armazenamento e processamento de grandes quantidades de dados (big data).

Os modelos fundacionais, por outro lado, são modelos de inteligência artificial treinados em grandes quantidades de dados e concebidos para produzir informações gerais de saída capazes de ser adaptados a uma grande variedade de tarefas. Não devemos relacionar os modelos fundacionais exclusivamente com a IA de objetivo geral: um modelo fundacional pode servir tanto para sistemas de IA de objetivo específico como para sistemas de IA de objetivo geral. No entanto, os modelos fundacionais que não sirvam para ferramentas de IA para fins gerais não seriam abrangidos pelo futuro Regulamento relativo à IA (alteração 101 do PE e considerando 60-G).

O ChatGPT colocou desafios sociais e jurídicos significativos, não só em termos de direitos de autor, mas também em termos de cibersegurança e proteção de dados pessoais. Este tema será, no entanto, discutido num texto separado. Por enquanto, vejamos o que o futuro do Regulamento IA pode reservar para os modelos fundacionais, se as alterações do Parlamento Europeu forem aceites.

Os princípios gerais dos sistemas de IA

A alteração 213 do Parlamento Europeu propõe a introdução de um novo artigo 4º-A relativo aos princípios gerais aplicáveis a todos os sistemas de IA. Trata-se, de certa forma, de um equivalente ao artigo 5.º do Regulamento Geral sobre a Proteção de Dados, relativo aos princípios aplicáveis ao tratamento de dados pessoais.

Nos termos do artigo 4.º-A, todos os operadores abrangidos pelo âmbito de aplicação do Regulamento IA devem envidar todos os esforços para desenvolver e utilizar sistemas ou modelos fundacionais em conformidade com os seguintes princípios, destinados a promover uma abordagem europeia coerente, centrada no ser humano, de uma IA ética e fiável:

– Intervenção humana e vigilância

– Robustez técnica e segurança

– Privacidade e governação dos dados

– Transparência (e explicabilidade)

– Diversidade, não discriminação e equidade

– Bem-estar social e ambiental

Estes seis princípios serão aplicáveis tanto aos sistemas de IA como aos modelos fundacionais. No entanto, no caso dos modelos fundacionais, devem ser cumpridos pelos fornecedores ou responsáveis pela aplicação em conformidade com os requisitos estabelecidos nos artigos 28.-B. Note-se que os artigos 28.º a 28.º-B fazem parte do Título III relativo aos sistemas de alto risco. Já salientámos no início que as últimas discussões na negociação do Regulamento no que se refere aos modelos fundacionais não os consideram sistemas de alto risco. O mesmo não parece resultar das alterações do Parlamento. Por conseguinte, deve entender-se que os modelos fundacionais serão regulados nas disposições que os mencionam expressamente, como é o caso do artigo 4º-A ou dos artigos 28º a 28º-B, mas não no Título III do RIA no seu conjunto.

O artigo 28.º do PRIA diz respeito às obrigações dos distribuidores, importadores, utilizadores e terceiros. As alterações do Parlamento propõem a substituição do título por “Responsabilidades ao longo da cadeia de valor da IA dos fornecedores, distribuidores, importadores, responsáveis pela aplicação ou terceiros”. A referência a toda a cadeia de valor da IA é, na minha opinião, uma boa medida, uma vez que sublinha a importância de todo o processo de IA: não só o seu desenvolvimento, mas também a sua utilização. Tenho mais dúvidas em substituir a palavra “obrigações” por “responsabilidades” ou em incluir no título uma lista pormenorizada de todas as partes envolvidas.

A maior parte das obrigações relativas aos modelos fundacionais encontra-se no n.º 3 do artigo 28.º (novo, alteração 399), que se intitula “Obrigações do fornecedor de um modelo fundacional” (o termo “obrigações” é retomado aqui).

Podemos agrupar as obrigações do fornecedor de modelos fundacionais em três grupos:

– Obrigações anteriores à comercialização de modelos fundacionais (n.ºs 1 e 2). Estas obrigações aplicam-se ao fornecedor, independentemente de o modelo ser fornecido autonomamente ou integrado num sistema de IA ou noutro produto ou de ser fornecido ao abrigo de licenças gratuitas e de fonte aberta.

– Obrigações pós-comercialização (n.º 3), e

– Obrigações específicas relativas aos sistemas de IA generativa, ou seja, especificamente destinados a gerar conteúdos, como texto, imagem, áudio ou vídeo complexos (secção 4).

Obrigações anteriores à comercialização do modelo fundacional

De acordo com o art. 28.ter.2, o fornecedor de um modelo fundacional, antes de comercializar ou colocar o modelo em funcionamento, deve (tendo em conta o estado da arte num dado momento):

– Demonstrar a deteção, redução e mitigação de riscos razoavelmente previsíveis para a saúde, a segurança, os direitos fundamentais, o ambiente, a democracia ou o Estado de direito.

o Tal deve ser demonstrado através de uma conceção, testes e análises adequados e com a participação de peritos independentes.

o Deve também fornecer documentação sobre os riscos não mitigáveis remanescentes após o desenvolvimento.

– Só deve processar e incorporar conjuntos de dados sujeitos a medidas de governação adequadas para modelos fundacionais.

o Em particular: adequação das fontes, enviesamentos e atenuação adequada.

– Deve conceber e desenvolver o modelo

o de modo a atingir, ao longo do seu ciclo de vida, níveis adequados de desempenho, previsibilidade, interpretabilidade, correção, segurança e cibersegurança, avaliados por métodos adequados;

o utilizando as normas aplicáveis para reduzir o consumo de energia, a utilização de recursos e os resíduos, bem como para aumentar a eficiência energética e a eficiência global do sistema. A este respeito, devem ser desenvolvidos modelos fundacionais com capacidades para medir e registar o consumo de energia e de recursos e o impacto ambiental.

– Desenvolverá uma documentação técnica exaustiva e instruções de utilização inteligíveis.

– Estabelecer um sistema de gestão da qualidade para garantir e documentar a conformidade com todos os elementos acima referidos (responsabilidade proactiva).

– Registar o modelo básico na base de dados da UE para sistemas independentes de alto risco.

Obrigações pós-comercialização do modelo básico

Durante dez anos após o sistema de IA ter sido colocado no mercado ou em serviço, os fornecedores de modelos fundacionais devem manter a documentação técnica à disposição das autoridades nacionais competentes (Agência de Controlo da IA).

Obrigações específicas para os modelos de IA generativa

Para além das obrigações gerais estabelecidas no ponto 28.ter.2, os fornecedores de sistemas de IA generativa devem:

– Cumprir as obrigações de transparência do artigo 52.º, n.º 1 (obrigação de informar as pessoas que interagem com estes sistemas de que estão a interagir com um sistema de IA).

– Conceber e desenvolver o modelo de forma a garantir salvaguardas adequadas contra a produção de conteúdos que infrinjam a legislação da UE.

– Sem prejuízo da legislação em matéria de direitos de autor, devem documentar e disponibilizar publicamente um resumo suficientemente pormenorizado da utilização de dados de formação protegidos por direitos de autor.

Bónus: dois desafios colocados pela IA generativa

Termino este post partilhando duas preocupações (às quais os nossos leitores poderão responder): os desafios em matéria de propriedade intelectual colocados pela IA generativa e a possibilidade de considerar os modelos fundacionais como de alto risco.

Começo pela primeira, porque é mais ousada da minha parte: quando é que eu, uma pessoa singular, posso ser considerado autor de uma obra literária gerada através de IA generativa (Chat GPT, por exemplo)? Desenvolvo um pouco mais a minha preocupação: não é (ou não deveria ser) a mesma coisa para mim introduzir uma simples pergunta no Chat GPT, como “escreva a oitava parte do Harry Potter”, do que introduzir várias perguntas com um certo nível de complexidade (quanto?), nas quais introduzo certas características específicas do romance. Se aceitarmos que as ferramentas de IA não deixam de ser ferramentas tecnológicas (muito complexas, mas tecnológicas), talvez possamos concordar que se trata de um debate semelhante ao que surgiu na altura em torno da fotografia, que permite distinguir legalmente entre “fotografia (artística)” e “mera fotografia (carregar no botão da câmara)”. Outra questão, mais difícil, seria distinguir, em cada caso, quando as instruções introduzidas numa ferramenta de IA generativa nos permitem falar de utilização artística da IA generativa ou de “mera utilização” da IA generativa.

O segundo desafio é, de facto, abrangido pelo Regulamento IA, mas é importante referi-lo. Consiste na consideração dos modelos fundacionais como sendo de alto risco. O anexo III da proposta de Regulamento IA contém uma lista não fechada de sistemas de IA de alto risco. No entanto, não se deve esquecer que a Comissão teria (na proposta de Regulamento relativo à IA, artigo 7.º) teria poderes para adotar atos delegados que alterem o anexo III para acrescentar sistemas de IA que satisfaçam duas condições: destinar-se a ser utilizados em qualquer dos domínios enumerados nos pontos 1 a 8 do anexo (ou seja, identificação biométrica e categorização de pessoas singulares; gestão e funcionamento de infra-estruturas críticas; educação e formação profissional, emprego, gestão de trabalhadores e acesso ao trabalho independente; acesso e usufruto de serviços públicos e privados essenciais e seus benefícios; questões de aplicação da lei; gestão das migrações; asilo e controlo financeiro; administração da justiça e processos democráticos); comportar um risco de danos para a saúde e a segurança ou um risco de consequências negativas para os direitos fundamentais que seja equivalente ou superior aos riscos de danos associados aos sistemas de IA de alto risco já mencionados no Anexo III, tendo em conta vários critérios, tais como, entre outros, o objetivo pretendido do sistema de IA ou a probabilidade de este ser utilizado de uma determinada forma.

Deve uma IA generativa (que é um exemplo de um modelo fundamental) capaz de produzir vídeos destinados a perturbar os processos democráticos ser considerada de alto risco? Parece claro que sim, uma vez que estas utilizações estão enumeradas no ponto 8 do anexo III, quer se destinem especificamente a perturbar os processos democráticos quer sejam suscetíveis de ser utilizadas para o efeito. O que não é claro neste momento (teremos de aguardar a redação final do texto) é se será considerado de alto risco desde o início, ou apenas depois de a Comissão adotar o ato delegado correspondente para alargar o Anexo III. Por outras palavras, se este ato delegado da Comissão seria constitutivo ou meramente declarativo de que um sistema de AI é de alto risco.

Crédito ao consumo, avaliação da solvabilidade e esquecimento oncológico à luz da Diretiva 2225/2023

Doutrina

No dia 18 de outubro de 2023, foi adotada a nova Diretiva 2225/2023 relativa aos Contratos de Crédito aos Consumidores (DCCC). O diploma é o resultado de um debate no seio das instituições europeias para atualizar a anterior Diretiva do Crédito aos Consumidores (de 2008), que resultou na publicação, em 2021, da Proposta de Diretiva relativa aos Contratos de Crédito aos Consumidores.

A avaliação da solvabilidade (ou credit scoring) pode ser definida como o tratamento de dados sobre o potencial consumidor pelo credor no contexto de um contrato de crédito, a fim de avaliar a sua solvabilidade e quantificar o risco de crédito. Por outras palavras, o risco de não pagamento por parte do consumidor devido à sua falta de solvabilidade antes da concessão do crédito ou durante a sua vigência.

Antes de entrarmos na avaliação da solvabilidade tal como regulada no DCCC, convém recordar que estamos perante uma Diretiva, ainda que de harmonização total. De acordo com o artigo 48.º do DCCC, o prazo para a transposição desta Diretiva é 20 de novembro de 2025, sendo as regras nacionais de transposição aplicáveis a partir de 20 de novembro de 2026. Só se não for transposto para o direito nacional é que o texto em apreço produzirá efeitos diretos. Tudo isto faz com que as reflexões publicadas sobre a recém-publicada DCCC sejam extremamente oportunas, na medida em que o seu articulado se encontra pendente de transposição nacional nos próximos dois anos. O Decreto-Lei n.º 133/2009, de 2 de junho, apenas menciona a obrigação do mutuante de avaliar a solvabilidade do candidato, mas não com o pormenor regulamentado pelo DCCC.

Tanto na Proposta de Diretiva como na versão finalmente publicada da Diretiva, a avaliação da solvência ganhou importância em comparação com a Diretiva de 2008, que apenas menciona esta questão três vezes. A avaliação da solvência tornou-se muito importante, especialmente após a crise de 2008, que foi causada, entre outros fatores, por um sobreendividamento da população. É por isso que a nova DCCC se preocupa em promover práticas responsáveis no mercado do crédito, entre as quais a avaliação da solvabilidade prévia efetuada no interesse do consumidor. O considerando 53 da DCCC estabelece que os Estados-Membros devem adotar medidas adequadas para promover práticas responsáveis em todas as fases da relação de crédito, tais como avisos sobre os riscos em caso de não pagamento ou de sobreendividamento. Mais adiante, o mesmo considerando refere que os mutuantes devem ser responsáveis pelo controlo individual da solvabilidade do consumidor.

A avaliação da solvabilidade está regulamentada nos artigos 18º e 19º da DCCC, que devem ser interpretados em conformidade com os considerandos 53 a 57 da DCCC.

Nos termos do n.º 1 do artigo 18.º da DCCC, os Estados-Membros devem exigir que o mutuante efetue uma avaliação aprofundada da solvabilidade do consumidor antes de celebrar um contrato de crédito. A avaliação da solvabilidade é uma condição prévia essencial para a concessão do crédito e deve ser efetuada de acordo com três critérios orientadores: (1) deve ser efetuada no interesse do consumidor; (2) deve ter por objetivo evitar práticas de empréstimo irresponsáveis e o sobreendividamento; e (3) deve ter devidamente em conta os fatores relevantes para verificar as perspetivas de cumprimento pelo consumidor das obrigações decorrentes do contrato de crédito.

De acordo com o considerando 54 do DCCC, é essencial que a capacidade e a vontade do consumidor de reembolsar o crédito sejam avaliadas e testadas antes da celebração do contrato de crédito. Esta avaliação é tão fundamental que o crédito só deve ser concedido ao consumidor se o resultado da avaliação da solvabilidade indicar que as obrigações decorrentes do contrato de crédito são suscetíveis de serem cumpridas em conformidade com os termos do contrato de crédito (55 DCCC). O n.º 6 do artigo 18.º da DCCC retoma este critério, mas remete para os regulamentos nacionais de transposição da DCCC a obrigação dos Estados-Membros de assegurarem o seu cumprimento. Por conseguinte, será fundamental conhecer a evolução das legislações nacionais no que diz respeito aos efeitos da avaliação da solvabilidade do consumidor.

Embora uma avaliação positiva da solvabilidade seja um requisito prévio para a concessão de crédito, uma avaliação positiva não obriga o mutuante a conceder o crédito (considerando 54 DCCC), sem prejuízo do dever do mutuante de informar o requerente dos critérios e dados utilizados na avaliação da solvabilidade e de lhe permitir solicitar uma revisão da avaliação (considerando 56 DCCC in fine).

O último dos requisitos do artigo 18.º, n.º 1 do DCCC, tendo em conta os fatores relevantes para verificar as perspetivas de cumprimento, condiciona a informação que pode ser tratada para a avaliação da solvabilidade: devem ser avaliados todos os fatores necessários e relevantes que possam influenciar a capacidade de o consumidor reembolsar o crédito.

O n.º 2 do artigo 18.º do DCCC clarifica este critério. Devem ser tidas em conta (1) informações pertinentes e precisas sobre os rendimentos e as despesas do consumidor; bem como (2) informações sobre “outras circunstâncias”, financeiras e económicas, necessárias e proporcionais à natureza, à duração, ao valor e aos riscos do crédito. O primeiro dos elementos a avaliar, o extrato de contas do requerente de crédito, é pouco interpretativo e deve ser fornecido de forma completa e atualizada em todos os casos de pedido de crédito ao consumo. O segundo, em contrapartida, deverá ser ajustado em cada caso em função das características do crédito solicitado (natureza, duração, valor e riscos): pode entender-se que quanto maior for a duração, o valor e os riscos do crédito, mais abundantes e precisas deverão ser as informações sobre o consumidor que solicita o crédito.

Mas que informações? O n.º 2 do artigo 18.º do DCCC inclui uma lista aberta de dados que podem ser avaliados: dados sobre os rendimentos ou outras fontes de reembolso, informações sobre ativos e passivos financeiros ou informações sobre outros compromissos financeiros. A própria redação do artigo deixa claro que podem ser fornecidos outros dados relativos à “situação financeira e económica” do consumidor não incluídos na lista. A delimitação das informações que podem ser avaliadas na avaliação de solvabilidade, juntamente com o objetivo da avaliação de solvabilidade, delimita a concretização do princípio da minimização dos dados neste domínio.

A proibição do tratamento de dados relativos às doenças oncológicas do requerente é coerente com a Resolução do Parlamento Europeu, de 16 de fevereiro de 2022, sobre o reforço da Europa na luta contra o cancro, que “apela à integração na legislação pertinente da União do direito a ser esquecido para os sobreviventes de cancro, a fim de evitar a discriminação e melhorar o seu acesso aos serviços financeiros”. Países como a França, os Países Baixos, a Bélgica e o Luxemburgo foram pioneiros na conceção de tais medidas. Portugal publicou, em 2021, a Lei n.º 75/2021, de 18 de novembro, que reforça o acesso ao crédito e aos contratos de seguro por parte das pessoas que tenham superado ou atenuado situações de risco agravado de saúde (não apenas cancro), proibindo práticas discriminatórias contra as mesmas. No que respeita ao tratamento de dados no âmbito da avaliação da solvabilidade, o artigo 2.º desta lei proíbe a utilização, pelas instituições de crédito ou seguradoras, de qualquer tipo de informação de saúde relativa a uma situação clínica que origine um risco grave.

É também interessante notar, no que diz respeito às informações que devem consubstanciar a avaliação da solvabilidade, o disposto no n.º 11 do artigo 18.º do DCCC: a avaliação da solvabilidade não deve basear-se apenas no historial creditício do consumidor. Por outras palavras, a avaliação da solvabilidade não pode basear-se apenas nos dados negativos ou de insolvência do consumidor, mas deve integrar outros dados (positivos) que permitam obter um perfil completo do historial financeiro do consumidor. Esta possibilidade representa um passo em frente relativamente ao disposto no artigo 20.º da lei espanhola relativa à proteção de dados, quanto aos sistemas de informação de crédito, segundo o qual “presume-se lícito o tratamento de dados pessoais relativos ao incumprimento de obrigações pecuniárias, financeiras ou creditícias por parte dos sistemas comuns de informação de crédito”, desde que se verifiquem determinadas condições.

É de notar que grande parte da informação que alimenta a avaliação da solvabilidade será fornecida pelos próprios requerentes, que devem ser honestos e fornecer informações completas, exatas e relevantes (cf. n.º 7 do artigo 18.º do DCCC). Tal não significa que os requerentes consintam no tratamento dos seus dados para efeitos da avaliação da solvabilidade, mas que cumprem um ónus, tal como o mutuante, de avaliar a solvabilidade do requerente de crédito. Isto significa que a base legítima para o tratamento de dados é o cumprimento de uma obrigação legal (artigo 6.º, n.º 1, alínea c), do RGPD): tanto no caso dos dados fornecidos pelo requerente consumidor como dos dados obtidos pelo mutuante por sua própria conta.

Os dois primeiros requisitos do n.º 1 do artigo 18.º do DCCC são os princípios orientadores de qualquer avaliação da solvabilidade. O objetivo da avaliação da solvabilidade é evitar o sobreendividamento e as práticas irresponsáveis de concessão de crédito aos consumidores. Esta situação prejudica tanto o mercado de crédito como os consumidores, pelo que se coloca a questão de saber se o objetivo do controlo do sobreendividamento é preservar o bom funcionamento do mercado ou a qualidade de vida dos consumidores. A resposta, no caso da DCCC, é clara: tanto o n.º 1 do artigo 18.º como o artigo 54.º estabelecem que a avaliação da solvabilidade deve ser efetuada “no interesse do consumidor”. Por conseguinte, a finalidade do tratamento de dados no caso da avaliação da solvabilidade será a seguinte: tratamento de dados para avaliação da solvabilidade, para prevenção do sobreendividamento e de práticas de empréstimo irresponsáveis, a fim de evitar que prejudiquem a qualidade de vida dos consumidores.

Os procedimentos de avaliação da solvabilidade devem ser transparentes e devidamente documentados, em conformidade com o n.º 4 do artigo 18.º. Um procedimento de avaliação deficiente não deve ser utilizado pelo mutuante para alterar as condições do contrato em detrimento do consumidor. A especificação destas duas obrigações será deixada a cargo da regulamentação de cada Estado-Membro.

Sempre que a avaliação da solvabilidade envolva o tratamento automatizado de dados pessoais (pontuação de crédito), o consumidor requerente deve poder solicitar e obter a intervenção humana do mutuante para: (1) explicar, de forma clara e compreensível, a avaliação de crédito, incluindo a sua fundamentação, riscos, significado e efeitos na decisão de crédito; (2) permitir que o consumidor exprima os seus pontos de vista ao mutuante e, se o considerar adequado, (3) solicitar uma revisão da avaliação de crédito e da decisão de crédito. Esta obrigação é coerente com o artigo 22.º do RGPD, nos termos do qual todas as pessoas em causa têm o direito de não ficar sujeitas a uma decisão baseada exclusivamente no tratamento automatizado de dados, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que a afete significativamente de forma similar (como um perfil de solvabilidade), salvo determinadas exceções previstas no n.º 2 do artigo 22.º.

Por último, o artigo 19.º do DCCC estabelece determinadas disposições relativas às bases de dados (públicas e privadas – n.º 3 do artigo 19.º do DCCC) que podem ser consultadas pelos mutuantes em caso de crédito transfronteiriço. Está prevista a obrigação de cada Estado-Membro garantir que os mutuantes de outros Estados-Membros possam aceder às bases de dados utilizadas no seu território para a avaliação da solvabilidade dos consumidores em condições não discriminatórias (n.º 1 do artigo 19.º do DCCC), desde que os mutuantes estejam sob o controlo da autoridade nacional competente e cumpram o RGPD. No que diz respeito a este trabalho, as bases de dados devem conter, pelo menos, dados negativos de solvabilidade (n.º 4 do artigo 19.º do RGPD), não devem tratar categorias especiais de dados ou dados obtidos a partir de redes sociais (n.º 5 do artigo 19.º do RGPD) e as suas informações devem ser atualizadas e exatas (n.º 7 do artigo 19.º do RGPD). Quando a recusa de um pedido de crédito se basear na consulta de uma base de dados, o mutuante deve informar o consumidor, gratuitamente e sem demora, do conteúdo e dos pormenores da consulta e das categorias de dados tidos em conta (artigo 19.º, n.º 6, do DCCC).

“A-Palavra-Que-Não-Pode-Ser-Pronunciada” – Pagar com dados pessoais em Portugal e em Espanha

Doutrina

Por muito desconfortável que possa parecer, pagar com os seus próprios dados pessoais através do consentimento para o tratamento de dados no contexto da contratação digital é uma realidade. O Supervisor Europeu Da Proteção De Dados (EDPS) no Parecer 4/2017 sobre a Proposta 634/2015 relativa aos contratos de fornecimento de conteúdos digitais e o Gabinete Europeu De Proteção De Dados (EDPB) nas Orientações 5/2020 sobre o consentimento para o tratamento de dados têm sido defensores deste desconforto. No entanto, a realidade do pagamento com dados tem continuado a desenvolver-se, o que torna necessário estabelecer regras mínimas em relação ao pagamento com dados.

Em primeiro lugar, um contrato em que os dados são a contraprestação é um contrato tão oneroso como qualquer outro contrato em que a contraprestação é monetária; por conseguinte, o consumidor também deve beneficiar de proteção. É o que se verifica, por exemplo, no Decreto-Lei 84/2021, que transpõe a Diretiva 2019/770, que estabelece que, quando o consumidor fornece dados pessoais para usufruir de conteúdos ou serviços digitais, deve ser protegido por um conjunto de direitos, nomeadamente em caso de incumprimento ou desconformidade.

A noção de onerosidade encontra-se na catalogação das causas do contrato no art. 1274.º do CC espanhol. Não existe equivalente no CC português, mas existe uma distinção entre onerosidade e gratuitidade em vários contratos em especial. Essencialmente, um contrato é oneroso quando é fonte recíproca de atribuições patrimoniais; e é gratuito quando, em vez dessa reciprocidade, apenas uma das partes se enriquece à custa da outra, sem dar qualquer contrapartida. Para classificar um contrato como oneroso, não importa se a contrapartida é monetária ou de qualquer outro tipo, desde que tenha utilidade económica em sentido lato. E os dados têm utilidade económica.

Estamos perante um pagamento com dados pessoais quando três circunstâncias estão presentes em simultâneo: (1) o tratamento dos dados baseia-se no consentimento da pessoa em causa; (2) o fornecedor do serviço ou do conteúdo digital associa a execução ao consentimento do consumidor; (3) se o consumidor retirar o consentimento ao tratamento dos dados, tem de enfrentar as consequências contratuais relacionadas com a restituição recíproca da execução, mas não sofre qualquer dano adicional.

O último requisito é mais uma consequência: se os dados constituem um pagamento que torna o contrato oneroso, a sua retirada deve ter consequências contratuais. Caso contrário, em vez de liberdade de consentimento, estaríamos perante uma irresponsabilidade de consentimento, o que geraria um desequilíbrio contratual inaceitável. No entanto, nenhum dano suplementar seria causado, uma vez que o RGPD o proíbe (art. 7.º, n.º 3, e cons. 42 in fine).

Apesar da realidade generalizada do pagamento com dados, existem dificuldades regulamentares associadas a uma certa interpretação do RGPD e à transposição e aplicação nacional do RGPD por alguns Estados-Membros. A Diretiva 2019/770, nos seus considerandos 39 e 40, deixa aos Estados-Membros a responsabilidade de regular as consequências contratuais da concessão e retirada do consentimento para o tratamento de dados pessoais, reconhecendo simultaneamente a natureza imperativa do RGPD neste ponto. O que nem o RGPD nem a Diretiva 2019/770 fazem é fornecer uma interpretação concreta da responsabilidade do consumidor em relação à utilização do seu consentimento para o tratamento de dados como pagamento. O artigo 7-4 do RGPD estabelece que, ao avaliar se o consentimento foi dado livremente, deve ser tido em conta se a prestação de um serviço está condicionada ao consentimento para o tratamento de dados pessoais que não são necessários para a execução desse contrato; mas não diz em que sentido é que isso deve ser tido em conta. Proponho, portanto, uma interpretação que permita a coexistência da proteção de dados pessoais e da economia de dados.

Em Espanha, o art. 6.3 da LO 1/2018 estabelece que “A execução do contrato não pode ser condicionada ao consentimento do titular dos dados para o tratamento de dados pessoais para fins não relacionados com a manutenção, o desenvolvimento ou o controlo da relação contratual”. Esta afirmação resume a posição do EDPB e da EDPS nos documentos acima referidos e implicaria uma proibição de pagamento com dados ou, no mínimo, uma antinomia com artigos como o 119.º do TRLDCU, que fala explicitamente de “dados como contraprestação”.

A situação em Portugal é menos problemática. Tanto na perspetiva da Lei 58/2019 (sobre proteção de dados) como na perspetiva do Decreto-Lei 84/2021 (que transpõe a Diretiva 2019/770).

Na perspetiva do direito do consumo, o Decreto-Lei 84/2021 refere que o consumidor fornece dados pessoais para usufruir de conteúdos e serviços digitais, mas não se refere “A-Palavra-Que-Não-Pode-Ser-Pronunciada” (“contraprestação”), seguindo, neste aspeto, o Parecer 4/2017 do EDPS em relação à então Proposta de Diretiva 634/2015. Neste sentido de prudência, o art. 3-3-b) do Decreto-Lei 84/2021 copia o art. 3-1-2 da Diretiva. Quanto à Lei 58/2019, não desenvolve o RGPD em matéria de consentimento e, portanto, não opta por nenhuma interpretação específica. Esta falta de desenvolvimento é uma vantagem, pois nem a Lei 58/2019 nem o Decreto-Lei 84/2021 impedem a interpretação do RGPD num sentido favorável ao pagamento com dados, ainda que não o designemos por esse nome