Os 27 países da União Europeia aprovaram a 21 de outubro a sua posição sobre o Omnibus Digital, o pacote que a Comissão Europeia propôs para simplificar o RGPD, as regras dos cookies e a notificação de ciberataques. O ponto mais sensível é o uso de dados pessoais para treinar assistentes de IA. Vejamos, no texto do Conselho da UE, as empresas passam a poder usá-los com base no seu “interesse legítimo”, sem pedir consentimento.
Falta, porém, um passo essencial, visto que ainda não é lei. É a posição com que os governos vão negociar com o Parlamento Europeu, que ainda não fechou a sua, e o texto final pode mudar bastante. Explicamos o que propõe o Conselho, a diferença entre consentimento e interesse legítimo, o que muda nos cookies e o que podes fazer já.
O que muda no uso de dados pessoais para treinar IA
O Conselho propõe acrescentar ao RGPD um novo artigo, o 88.º bis, dedicado ao tratamento de dados «no contexto do desenvolvimento e do funcionamento» de sistemas e modelos de IA. Diz que esse tratamento pode ser feito com base no interesse legítimo de quem trata os dados ou de terceiros, uma das bases legais que o RGPD já prevê.
Não é, contudo, uma carta branca. O texto exige que se faça a avaliação habitual do interesse legítimo, caso a caso, e diz que esse interesse cede quando se sobrepõem os direitos das pessoas, em particular quando se trata de uma criança. Mantém também o direito de oposição e afasta a regra quando outra lei europeia ou nacional exigir expressamente o consentimento.
O que caiu foi a lista de salvaguardas que a Comissão tinha proposto, como a minimização dos dados na escolha das fontes, a proteção contra a revelação de dados que fiquem retidos no modelo e um direito de oposição incondicional. No texto do Conselho, ficam substituídas por uma referência genérica a «medidas técnicas e organizativas adequadas».
A diferença entre consentimento e interesse legítimo
O consentimento é o que conheces dos avisos e das caixas para assinalar: a empresa só pode usar os teus dados se disseres que sim, e podes retirar a autorização a qualquer momento.
O interesse legítimo funciona ao contrário. A empresa pode usar os dados sem te perguntar, desde que tenha um interesse válido, que o tratamento seja necessário e que esse interesse não pese mais do que os teus direitos. Cabe-lhe fazer essa ponderação e justificá-la, e cabe-te a ti, se não concordares, opor-te.
Na prática, a diferença está em quem tem de agir. Com consentimento, a empresa tem de te convencer. Com interesse legítimo, és tu que tens de dizer que não.
Cookies e violações de dados também mudam
O pacote não se fica pela IA. Na posição do Conselho, as regras dos cookies continuam na Diretiva ePrivacy, mas com duas novidades que vais notar no browser: tem de ser possível recusar os cookies com um só clique e, depois de recusares, o site não pode voltar a pedir o mesmo consentimento durante pelo menos quatro meses.
Muda também a notificação de violações de dados. As empresas só teriam de avisar a autoridade de proteção de dados quando a falha puder causar um risco elevado para as pessoas, e o prazo passaria de 72 para 96 horas.
Porque é que ainda não é lei
O que foi aprovado a 21 de outubro, pelos embaixadores dos 27 países em Bruxelas, foi um mandato de negociação. O Parlamento Europeu ainda tem de aprovar a sua posição e, só depois, as duas instituições negoceiam um texto comum com a Comissão, no chamado trílogo.
Mesmo depois de aprovado, o regulamento não se aplica de um dia para o outro. O próprio texto do Conselho prevê que várias regras só comecem a contar meses ou anos depois da entrada em vigor, por isso os efeitos práticos ainda vão demorar.
As críticas já chegaram. A noyb, a associação de defesa da privacidade fundada por Max Schrems, chamou à proposta uma:
“expropriação digital dos europeus a favor das empresas de IA”.
Em defesa do texto, pesa o facto de manter, como se lê no próprio mandato, o teste do interesse legítimo e o direito de oposição.
O que podes fazer já
Para já, nada muda. O RGPD atual continua em vigor e a Comissão Nacional de Proteção de Dados (CNPD) continua a ser a autoridade a quem te podes queixar em Portugal.
O direito de oposição também já existe. Se uma empresa usa os teus dados com base no interesse legítimo, incluindo para treinar IA, podes opor-te e ela tem de parar, a não ser que demonstre razões imperiosas. Várias plataformas têm formulários próprios para isso nas definições de privacidade, e vale a pena procurá-los nas redes sociais e nos serviços que mais usas.
A nossa análise
A posição do Conselho não legaliza tudo, mas inverte o ponto de partida. Até aqui, as empresas de IA viviam numa zona cinzenta. Com este texto, passam a ter uma base legal clara para usar dados pessoais, e cabe às pessoas reagir, uma a uma, se não concordarem com a diretiva.
O que mais preocupa é o desaparecimento das salvaguardas concretas que a Comissão tinha posto no papel. Um direito de oposição só funciona se as pessoas souberem que os seus dados estão a ser usados, e o Parlamento Europeu tem agora a oportunidade de devolver essa transparência ao texto.