CD nº 12/2024 — Meta: medida preventiva sobre uso de dados pessoais para treinar IA generativa

Página 1

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretora Miriam Wimmer

VOTO Nº 11/2024/DIR-MW/CD

PROCESSO Nº 00261.004509/2024-36 INTERESSADO: META PLATFORMS INC - FACEBOOK SERVIÇOS ONLINE DO BRASIL DIRETORA RELATORA MIRIAM WIMMER

1. ASSUNTO

1.1. Medida preventiva para evitar dano grave e irreparável ou de difícil reparação

1. EMENTA

1. GRUPO META. ALTERAÇÃO NA POLÍTICA DE PRIVACIDADE. TRATAMENTO DE DADOS PESSOAIS COM A FINALIDADE DE TREINAMENTO DE SISTEMAS DE INTELIGÊNCIA ARTIFICIAL GENERATIVA.

1. DIREITO FUNDAMENTAL À PROTEÇÃO DE DADOS PESSOAIS. INDÍCIOS DE: (I) AUSÊNCIA DE HIPÓTESE LEGAL APROPRIADA PARA A REALIZAÇÃO DO TRATAMENTO; (II) FALTA DE TRANSPARÊNCIA NA DIVULGAÇÃO DAS NOVAS INFORMAÇÕES AOS TITULARES; (III) LIMITAÇÃO AO EXERCÍCIO DE DIREITOS; E (IV) TRATAMENTO DE DADOS PESSOAIS DE CRIANÇAS E ADOLESCENTES SEM AS DEVIDAS SALVAGUARDAS.

1. RISCO IMINENTE DE DANO GRAVE E IRREPARÁVEL OU DE DIFÍCIL REPARAÇÃO.

1. MEDIDA PREVENTIVA PARA DETERMINAR, ATÉ ULTERIOR DECISÃO DESTA AUTORIDADE, A IMEDIATA SUSPENSÃO NO BRASIL: (I) DA VIGÊNCIA DA NOVA POLÍTICA DE PRIVACIDADE DA EMPRESA, NO QUE TOCA À PARTE RELATIVA AO USO DE DADOS PESSOAIS PARA FINS DE TREINAMENTO DE

Página 2

SISTEMAS DE IA GENERATIVA; E (II) DO TRATAMENTO DE DADOS PESSOAIS DOS TITULARES PARA ESSA FINALIDADE EM TODOS OS “PRODUTOS DA META”, INCLUSIVE DE PESSOAS NÃO USUÁRIAS DE SUAS PLATAFORMAS, SOB PENA DE MULTA DIÁRIA DE R$ 50.000,00 (CINQUENTA MIL REAIS) POR DIA DE DESCUMPRIMENTO.

1. RELATÓRIO

3.1. Trata-se do Despacho FIS/CGF (SEI nº 0129833) por meio do qual a Coordenação-Geral de Fiscalização (CGF) submeteu à apreciação do Conselho Diretor, nos termos do art. 26, inciso IV, do Decreto nº 10.474, de 26 de agosto de 2020, c/c o art. 55, § 3º do Regimento Interno da ANPD, aprovado pela Portaria nº 1, de 8 de março de 2021, proposta de “adoção de medida preventiva em face do Grupo Meta no Brasil, para que a empresa suspenda o tratamento de dados pessoais, inclusive de não usuários dos produtos e serviços, no âmbito das redes sociais Facebook, Instagram,

Threads e do aplicativo de mensagens WhatsApp, com a finalidade de desenvolver modelo de inteligência artificial generativa, sob pena de multa diária, em virtude do risco iminente de dano irreparável aos direitos fundamentais dos titulares afetados. “

3.3. A descrição e a análise preliminar do caso concreto, com a respectiva fundamentação para a imposição de medida preventiva, foram apresentadas na Nota Técnica nº 27/2024/FIS/CGF/ANPD (SEI nº 0129769), a qual, em síntese, relata que: (i) conforme nova política de privacidade recentemente divulgada, a Meta estaria coletando dados pessoais compartilhados por cidadãos brasileiros no Instagram e no Facebook, incluindo informações contidas em fotografias, áudios e imagens compartilhadas em seus serviços e produtos, com a finalidade de treinar e aperfeiçoar seus sistemas de inteligência artificial generativa (IA generativa); (ii) há sério questionamento quanto à utilização da hipótese legal do legítimo interesse para a coleta e o processamento desses dados pessoais, particularmente em razão do possível tratamento de dados pessoais sensíveis, os quais não podem ser tratados com base na referida hipótese legal. No mínimo, dever-se-ia utilizar hipótese legal mais restritiva, nos termos do art. 11 da Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD). A falta de hipótese legal autorizativa para o tratamento de dados pessoais ou a sua inadequação para o alcance da finalidade pretendida, por si só, torna a atividade ilegal à luz das normas de proteção de dados pessoais; (iii) não são prestadas as informações adequadas e necessárias para que os titulares possam ter ciência sobre as possíveis consequências

Página 3

advindas do tratamento de seus dados pessoais para o desenvolvimento de modelos de IA generativa. A empresa limita-se a expressar, de forma genérica, em seu Canal de Privacidade, a ideia de que a IA generativa trará muitas possibilidades futuras para pessoas, criadores de conteúdo e empresas. Há, desse modo, sério déficit informacional no que se refere ao tratamento dos dados pessoais para essa finalidade, inclusive de terceiros não usuários das plataformas, o que aumenta a assimetria de informações entre titulares e controlador; (iv) a opção de opt-out fornecida aos usuários, que permitiria aos titulares se opor ao tratamento de seus dados pessoais, não é disposta de maneira evidente, e a complexidade para exercício dessa opção assemelha-se a um padrão obscuro de mascaramento de informações. Os usuários precisam realizar diversas ações para que possam, se este for o seu interesse, informar à empresa quanto a sua oposição na utilização de seus dados e para o exercício dos direitos previstos no art. 18 da LGPD. Ou seja, o número elevado de ações que o usuário precisa realizar para expressar a sua oposição em relação ao tratamento de seus dados pode levá-lo a tomar decisões que seriam contrárias à sua vontade; (v) as atividades de tratamento em análise atingem número substancial de titulares, uma vez que, no Brasil, somente o Facebook, uma das redes sociais controladas pela Meta, possui cerca de 102 milhões de usuários ativos. Ademais, conforme informado pela própria empresa, as atividades de tratamento envolvem dados pessoais de não usuários, bastando que suas imagens, vídeos ou, até mesmo, arquivos de áudio tenham sido compartilhados por algum usuário em produtos ou serviços da empresa; (vi) a suspensão do tratamento de dados pela Meta, até eventual revogação da medida preventiva pela ANPD, se mostra, nesse contexto, fundamental para evitar dano grave, possivelmente irreparável, aostitulares que tiveram seus dados pessoais inseridos no modelo de IA generativa.

3.4. Além dos documentos mencionados, foram juntados ao processo: no]cias publicadas na imprensa sobre o caso (SEI nº 0129841; 0129842) e o Despacho Decisório nº 17/2024/FIS/CGF (SEI nº 0129788), por meio do qual a CGF decidiu pela instauração de processo administrativo fiscalizatório em face da empresa para apurar as irregularidades acima descritas.

3.5. O processo foi distribuído a este Gabinete após sorteio realizado em 28 de junho de 2024, conforme certificado nos autos (SEI nº 0129957).

1. ANÁLISE

Página 4

I - Requisitos para concessão de medida preventiva pela ANPD

4.1. A Lei nº 9.784, de 29 de janeiro de 1999, autoriza, em seu art. 45, em caso de risco iminente, a concessão de medidas de natureza cautelar pela Administração Pública, sem a prévia manifestação do interessado, desde que de forma motivada.

4.2. No caso da Autoridade Nacional de Proteção de Dados (ANPD), o Decreto nº 10.474 atribuiu competência aos Diretores do Conselho Diretor para “ adotar medidas preventivas e fixar o valor da multa diária pelo seu descumprimento” (art. 26, IV).

4.3. Tal previsão regulamentar se harmoniza com o disposto no art. 45 da Lei nº 9.784/1999 e, mais especificamente, com o disposto nos arts. 52, III, e 54 da LGPD, os quais atribuem competência para a ANPD aplicar, de modo fundamentado, a sanção de multa diária, acompanhada da descrição da obrigação imposta e o prazo para o seu cumprimento.

4.4. O Regimento Interno da ANPD também atribuiu, em seu art. 7º, IV, competência aos Diretores para “ adotar medidas preventivas e fixar o valor da multa diária pelo seu descumprimento, no âmbito dos processos de sua relatoria”. Já no art. 55, o Regimento Interno detalhou o procedimento a ser observado na hipótese: Art. 55. Os Diretores do Conselho Diretor da ANPD poderão, motivadamente e observadas as competências estabelecidas neste Regimento, adotar medidas preventivas indispensáveis para evitar dano grave e irreparável ou de difícil reparação, de ofício ou mediante a prévia manifestação dos interessados. § 1º Até que eventual pedido de concessão de efeito suspensivo seja julgado, todas as decisões previstas na medida preventiva deverão ser cumpridas. § 2º A decisão do pedido de concessão de efeito suspensivo terá caráter urgente e prioritário em face dos demais. § 3º As medidas preventivas podem ser adotadas no curso do procedimento ou, em caso de risco iminente, antes dele. § 4º Assim que possível, o processo no qual tenha sido proferida medida preventiva deverá ser encaminhado para deliberação do Conselho Diretor.

4.5. Considerando os dispositivos legais e regulamentares mencionados, conclui-se que a ANPD, por meio de seus Diretores, detém competência para adotar medidas preventivas, de natureza cautelar, inclusive sem a prévia oitiva do interessado, a fim de evitar a iminente ocorrência de danos graves e irreparáveis ou de difícil reparação, sob pena de aplicação de multa diária em caso de descumprimento da obrigação imposta.

Página 5

4.6. Embora as normas citadas autorizem a concessão de medida preventiva por decisão monocrática de um de seus Diretores, entendo que, no presente caso, o mais adequado é que a concessão da medida preventiva seja apreciada pelo Conselho Diretor e, dada a urgência da matéria, emitida a decisão por meio de circuito deliberativo, a ser realizado nos termos do art. 40, § 1º, do Regimento Interno. 4. 7. Conforme passo a demonstrar, o caso em tela atende aos requisitos para a concessão de medida preventiva, uma vez que presentes os fundamentos jurídicos necessários para tanto e caracterizado o risco iminente de ocorrência de danos graves e de difícil reparação aos titulares afetados pela conduta da empresa.

4.8. Como elementos para a determinação da presente medida, vislumbra-se a plausibilidade do direito, haja vista a ocorrência de potenciais violações à LGPD quanto aos seguintes aspectos: (i) uso inadequado da hipótese legal do legítimo interesse (art. 7º, IX), tendo em vista o tratamento de dados pessoais sensíveis, a não observância das legítimas expectativas dostitulares e o não atendimento aos princípios da finalidade e da necessidade; (ii) ausência de transparência no tratamento de dados (art. 6º, VI), dada a falta de divulgação de informações claras, precisas e facilmente acessíveis sobre a alteração da política de privacidade; (iii) limitações excessivas ao exercício dos direitos dos titulares (art. 18); e (iv) tratamento de dados pessoais de crianças a adolescentes sem as devidas salvaguardas (art. 14).

4.9. Ainda, é clara a presença de risco iminente de dano grave e irreparável ou de difícil reparação, considerando-se, em especial, a realização de tratamento de dados pessoais de milhões de titulares, inclusive de crianças e adolescentes, sem a devida observância da LGPD e com impacto direto sobre o direito fundamental à proteção de dados pessoais.

4.10. Ressalta-se que, por se tratar de medida preventiva, as condutas da empresas são avaliadas, neste momento, de forma não exauriente, isto é, sem a profundidade exigida para a obtenção de um juízo de certeza, característica esta que é própria dos processos de natureza cautelar. Assim, a avaliação pormenorizada das condutas será realizada no âmbito do processo fiscalizatório instaurado para este fim, a ser conduzido pela área técnica competente. Dessa forma, o objetivo principal da presente medida preventiva é assegurar a não ocorrência de danos graves iminentes e garantir a efetividade da atuação da ANPD com vistas à proteção dos direitos dos titulares.

II - Fundamentos jurídicos

Página 6

4.11. A Meta anunciou recentemente uma atualização em sua política de privacidade, que entrou em vigor, segundo informação disponível na página da empresa, no último dia 26 de junho (disponível em: https://www.facebook.com/privacy/policy). A nova política se aplica aos “Produtos da Meta”, que incluem, entre outros, o Facebook, o Messenger e o Instagram (incluindo apps como Boomerang e Threads), conforme informado pela empresa. A lista completa dos “Produtos da Meta” pode ser consultada no seguinte link: https://www.facebook.com/privacy/policy/? annotations[0]=0.ex.0-WhatProductsDoesThis.

4.12. A presente decisão se aplica aos “Produtos da Meta” e à política de privacidade mencionados acima e, mais especificamente, à parte da política de privacidade relativa ao uso de dados pessoais para fins de treinamento de sistemas de inteligência artificial (https://www.facebook.com/privacy/genai).

4.13. A nova política de privacidade permite que a empresa utilize informações publicamente disponíveis e conteúdos compartilhados por usuários de suas plataformas, incluindo dados pessoais contidos em postagens, áudios e imagens, para fins de treinamento e aperfeiçoamento de sistemas de IA generativa. Também podem ser utilizadas informações detitulares que não são usuários das plataformas. É o caso, por exemplo, de uma pessoa que é mencionada em uma postagem ou que aparece em uma imagem compartilhada por um usuário.

4.14. Conforme noticiado pela imprensa (SEI nº 0129841), “a mudança da política de privacidade vem em um momento em que a gigante das redes sociais expande o recurso ‘IA da Meta’, que acrescenta um robô de IA generativa no WhatsApp, Instagram e Facebook. A ferramenta vai começar a chegar no Brasil, gradualmente, em julho”.

4.15. É importante ressaltar que mesmo dados pessoais publicamente disponíveis são objeto de proteção legal. Nesse sentido, entre outros dispositivos legais aplicáveis, o art. 7º, § 3º, da LGPD, estabelece que “ o tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização”. Ademais, conforme o § 7º do mesmo artigo, em caso de tratamento posterior desses dados, devem ser “observados os propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos nesta Lei”. 4. 16. Em sua página “Central de Privacidade” (https://www.facebook.com/privacy/genai), a Meta fornece as informações relativas ao uso de dados para fins de treinamento de sistemas de IA generativa:

Página 7

Como é necessária uma grande quantidade de dados para ensinar modelos eficazes, uma combinação de fontes é usada para treinamento. Usamos informações que estão publicamente disponíveis online e informações licenciadas. Também usamos informações compartilhadas nos produtos e nos serviços da Meta. Essas informações podem abranger publicações ou fotos e legendas. Não usamos o conteúdo das suas mensagens privadas com amigos e familiares para treinar nossas IA. Há mais detalhes sobre como usamos as informações dos produtos e serviços da Meta na nossa Política de Privacidade. Quando coletamos informações públicas da internet ou licenciamos dados de outros provedores para treinar os modelos, isso pode incluir informações pessoais. Por exemplo, se coletarmos uma publicação aberta de blog, ela pode incluir o nome e as informações de contato do autor. Quando obtemos informações pessoais como parte desses dados públicos e licenciados que usamos para treinar nossos modelos, não vinculamos especificamente esses dados a nenhuma conta da Meta. Mesmo que você não use nossos produtos e serviços nem tenha uma conta, ainda podemos processar informações sobre você para desenvolver e melhorar a IA na Meta. Por exemplo, isso pode acontecer se você aparecer em qualquer lugar de uma imagem compartilhada nos nossos produtos ou serviços por alguém que os usa ou se alguém mencionar informações sobre você em publicações ou legendas que compartilhar nos nossos produtos e serviços.

4.17. Como se pode observar, a empresa expõe que informações publicamente disponíveis e informações compartilhadas em produtos e serviços da Meta, incluindo dados pessoais, podem ser utilizadas para treinamento de seus sistemas de IA generativa. Somente não é utilizado o conteúdo de “mensagens privadas com amigos e familiares”, o que parece indicar que inclusive conversas com empresas ou com sistemas de IA também podem ser coletadas, já que essas, a princípio, não se caracterizam como mensagens privadas com amigos e familiares.

4.18. O fato é que, em todos esses casos, a empresa realiza uma operação que configura “tratamento de dados pessoais” (art. 5º, X, LGPD), o que demanda a avaliação de sua conformidade com a LGPD e com o direito fundamental à proteção de dados pessoais previsto na Constituição Federal (art. 5º, LXXIX).

4.19. De acordo com a análise técnica juntada ao processo (Nota Técnica nº 27/2024/FIS/CGF/ANPD, SEI nº 0129769), essa operação apresenta três potenciais irregularidades, a saber: (a) ausência de hipótese legal adequada para a realização do tratamento; (b) falta de transparência na divulgação das novas informações aos titulares; e (c) limitação ao exercício de direitos dos titulares. Além destas, constato a existência de outra potencial irregularidade, relativa à seguinte questão: (d) tratamento de dados pessoais

Página 8

de crianças e adolescentes, em violação ao seu melhor interesse e sem as devidas salvaguardas.

4.20. A seguir, passo a analisar cada um destes pontos.

a) Hipótese legal

4.21. Quanto à hipótese legal utilizada para o tratamento dos dados pessoais, a Meta informa o seguinte em sua página “Central de Privacidade”: Estamos empenhados em ser transparentes sobre as bases legais que usamos para processar informações. Acreditamos que o uso dessas informações é do interesse legítimo da Meta, dos nossos usuários e de outras pessoas. Na Região Europeia e no Reino Unido, baseamo-nos em interesses legítimos para coletar e tratar quaisquer informações pessoais incluídas nas fontes publicamente disponíveis e licenciadas para desenvolver e melhorar a IA na Meta. Em outras jurisdições, quando aplicável, usamos bases legais adequadas para coletar e tratar esses dados. Você tem direitos relacionados à forma como suas informações são usadas para IA na Meta. Isso inclui o direito de se opor ao uso de informações que você compartilhou nos produtos e serviços da Meta para o desenvolvimento e aprimoramento da IA na Meta. Você também pode enviar solicitações relacionadas às suas informações pessoais de terceiros que estão sendo usadas para desenvolver e melhorar a IA na Meta. Talvez seja necessário entrar na sua conta para ver os formulários apropriados para sua região. Você pode saber mais sobre seus outros direitos relacionados às informações que compartilhou nos produtos e serviços da Meta na nossa Política de Privacidade.

4.22. Portanto, a Meta afirma que, na União Europeia e no Reino Unido, utiliza a hipótese legal do legítimo interesse, a mesma que deve ser utilizada no Brasil, dada a similaridade entre a LGPD e a legislação europeia.

4.23. Tal conclusão é reforçada pelo fato de que não parecem ser aplicáveis ao caso outras hipóteses legais previstas no art. 7º ou 11 da LGPD, cabendo destacar, inclusive, que não há no]cia de obtenção de consentimento dos titulares para a utilização de seus dados pessoais com a finalidade de treinamento e aperfeiçoamento de sistemas de IA generativa.

4.24. Dito isso, a questão passa a ser verificar se o uso da hipótese legal do legítimo interesse é adequado ao caso.

4.25. Sobre o tema, a área técnica da ANPD anotou corretamente que a LGPD não admite o uso da hipótese legal do legítimo interesse para o tratamento de dados pessoais sensíveis, tal como ocorre neste caso concreto, notadamente diante da possibilidade de uso de imagens, áudios, textos e

Página 9

vídeos, que possam revelar vinculações políticas, religiosas e sexuais dostitulares, entre outros aspectos da personalidade indicados no art. 5º, II, da LGPD. Vale a pena transcrever este ponto da análise técnica:

3.7. A Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), foi promulgada com a finalidade de estabelecer parâmetros legais para o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Encontram-se, nesse sentido, dentro do escopo de proteção da norma, observados os limites do art. 3º da LGPD, quaisquer informações relacionadas a pessoa natural identificada ou identificável, incluindo-se dados considerados públicos ou tornados manifestamente públicos pelos seus titulares.

3.8. Assim, para que determinada atividade de tratamento de dados pessoais seja considerada legítima, além da definição da hipótese legal adequada, o agente de tratamento deve observar os princípios gerais de tratamento de dados pessoais, como finalidade, adequação, necessidade, transparência, prestação de contas, dentre outros, bem como garantir que os titulares de dados possam exercer os direitos previstos na norma durante toda a cadeia de tratamento, isto é, desde a coleta dos dados pessoais até o seu eventual descarte. Deve-se, além disso, assegurar que o tratamento de dados pessoais ocorra de maneira apropriada, por meio da implementação de medidas técnicas e de segurança adequadas, de modo a se evitar acessos não autorizados e o uso irregular dos dados coletados.

3.9. A LGPD, nesse sentido, adotou o conceito expansionista de dado pessoal, nos termos do art. 5º, inciso I, ao considerar como o seu bem tutelado toda informação relacionada a pessoa natural identificada ou identificável. Desse modo, a definição do que se pode considerar um dado pessoal, em muitos casos, depende de uma análise contextual, por meio da qual se poderá identificar o po de informação que será extraída de uma determinada base de dados, assim como as possíveis consequências de sua utilização para os titulares.

3.10. A hipótese legal do legítimo interesse, nesse contexto, conforme disposto no Canal de Privacidade do controlador, parece não estar em consonância com as normas brasileiras de proteção de dados pessoais. Isso ocorre uma vez que o tratamento de dados pessoais em virtude do legítimo interesse do controlador ou de terceiros encontra-se fundamentado no art. 7º, IX, da LGPD. Trata- se de dispositivo legal aplicável somente a dados pessoais simples, nos termos definidos pelo art. 5º, inciso I, da LGPD, não se podendo legitimar o tratamento de dados pessoais sensíveis com base nesse fundamento.

Página 10

3.11. O tratamento de dados pessoais sensíveis, nas circunstâncias ora analisadas, somente poderia ser realizado quando amparado em uma das hipóteses legais dispostas no art. 11 da LGPD, uma vez que o tratamento indiscriminado de fotografias, imagens, vídeos e gravações de áudios, especialmente por meio do uso de sistemas de inteligência artificial, pode revelar vinculações políticas, religiosas, sindicais e sexuais dos titulares, que já se caracterizam, de imediato, como dados pessoais sensíveis, conforme definição do art. 5º, inciso II, da LGPD. (Nota Técnica nº 27/2024/FIS/CGF/ANPD, SEI nº 0129769).

4.26. Por outro lado, mesmo se o tratamento em questão não envolvesse dados pessoais sensíveis, seria necessário o atendimento a outros requisitos para a utilização da hipótese do legítimo interesse, notadamente a avaliação das legítimas expectativas dos titulares, nos termos do art. 10, II, da LGPD.

4.27. Como exposto pela ANPD no “Guia Orientativo - Legítimo Interesse”, a legítima expectativa deve ser considerada “em todo tratamento de dados pessoais realizado com base na hipótese legal do legítimo interesse”, cabendo ao controlador “avaliar e ser capaz de demonstrar que o tratamento dos dados pessoais para a finalidade pretendida é, razoavelmente, o esperado pelos titulares naquele contexto”. Embora a análise não precise considerar umtitular específico, é necessário verificar “o que poderá ser admitido ou considerado aceitável na situação concreta do tratamento”. (Disponível em: https://www.gov.br/anpd/pt-br/documentos-e- publicacoes/guia_legitimo_interesse.pdf, p. 22-23).

4.28. No caso em questão, as informações disponíveis nas plataformas geridas pela Meta são, em geral, compartilhadas pelos titulares com a finalidade de relacionamento com amigos, comunidade próxima ou empresas de interesse. Diante disso, em análise preliminar, é razoável supor que, a princípio, não há a expectativa de que todas essas informações, inclusive as compartilhadas muitos anos atrás, sejam utilizadas para treinar sistemas de IA, que sequer estavam implementados quando as informações foram compartilhadas. Para o uso adequado da hipótese legal, o interesse deve ser fundamentado em situações concretas, isto é, situações reais, claras e precisas, que objetivem interesses específicos e bem delineados, ainda que em futuro próximo, o que afasta interesses considerados a partir de situações abstratas ou meramente especulativas.

4.29. Há, assim, um risco de que as expectativas dos titulares não tenham sido observadas no caso, o qual se revela sobremaneira ampliado ao se considerar o contexto de insuficiência das informações prestadas aostitulares e de limitação ao exercício de seus direitos, conforme abordado mais adiante. É necessário compreender que a legítima expectativa do titular está

Página 11

relacionada à boa-fé e aos princípios de proteção de dados, merecendo especial atenção no uso do legítimo interesse. Portanto, o titular necessariamente deve dispor de elementos, que lhe permitam avaliar se o tratamento de dados atende às suas legítimas expectativas. Como forma de garantir o efetivo respeito às legítimas expectativas dos titulares, são necessários mecanismos eficazes de exercício de direitos. Dessa maneira, caso o titular discorde da avaliação realizada pelo controlador ou entenda que, por violar as suas legítimas expectativas, o tratamento contraria o disposto na LGPD, poderá se opor à sua realização e solicitar a adoção das providências cabíveis na hipótese, tais como o encerramento da operação e a eliminação de seus dados pessoais.

4.30. Essa preocupação é reforçada ao se considerar o princípio da finalidade (art. 6º, I, LGPD), segundo o qual o tratamento deve ser sempre realizado para “propósitos legítimos, específicos, explícitos e informados aotitular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades”. Por sua vez, o princípio da necessidade (art. 6º, III, LGPD) limita a realização do “tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”. O art. 10, § 2º, reforça e amplia essa determinação, ao estabelecer que “quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados”. 4. 31. Assim, o tratamento de dados pessoais deve atender a finalidades específicas, o que não parece ter sido adequadamente observado no presente caso, haja vista a empresa se limitar a mencionar a finalidade genérica e ampla de “treinamento de sistemas de IA generativa”. Da mesma forma, é razoável suscitar, no âmbito desta cognição sumária, questionamentos sobre a compatibilidade da finalidade do tratamento posterior (“treinamento de sistemas de IA”) com a finalidade original do compartilhamento das informações nas plataformas da Meta. O mesmo questionamento deve ser dirigido à legalidade da ampla, geral e indiscriminada coleta de todas as informações disponíveis e compartilhadas por usuários nas plataformas da Meta, haja vista o princípio da necessidade e o correspondente dever de limitar o tratamento ao estritamente necessário para atendimento da finalidade pretendida.

4.32. Em suma, verifica-se que há fortes indícios de que o tratamento realizado pela empresa para treinamento de sistemas de IA não encontra amparo na hipótese legal do legítimo interesse, seja em razão do tratamento de dados sensíveis, seja em razão da violação às legítimas expectativas dostitulares, seja em razão do não atendimento aos princípios da finalidade e da necessidade.

Página 12

b) Transparência

4.33. O princípio da transparência é definido na LGPD como a “ garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial” (art. 6º, VI).

4.34. No presente caso, ainda que admitida, para fins de argumentação, o uso da hipótese legal do legítimo interesse, verifica-se que seria necessário um reforço das medidas de transparência. Isso porque este princípio demanda maior cuidado quando o tratamento é baseado na hipótese legal do legítimo interesse, nos termos do art. 10, § 2º, que impõe ao controlador o dever de “adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse “.

4.35. A esse respeito, vale citar o exposto no “Guia Orientativo -Legítimo Interesse”, da ANPD: Outra garantia reforçada pela LGPD é a transparência, conforme previsto no art. 10, § 2º. Por isso, cabe ao controlador assegurar aostitulares acesso facilitado às informações sobre o tratamento de seus dados com base na hipótese legal do legítimo interesse. Tais informações devem ser disponibilizadas de forma clara, adequada e ostensiva, abrangendo, entre outros aspectos previstos no art. 9º da LGPD, a forma, a duração e a finalidade específica do tratamento; a identificação e as informações de contato do controlador; e, especialmente, os direitos do titular, incluindo os canais disponíveis para o seu exercício. Nesse contexto, o controlador deve reforçar as medidas de transparência do tratamento de dados baseado na hipótese do legítimo interesse, de modo a permitir o controle social e do titular em relação ao tratamento realizado. Por isso, é importante que informações claras, precisas e facilmente acessíveis relativas ao tratamento sejam disponibilizadas, em conformidade com o disposto na LGPD. (Disponível em: https://www.gov.br/anpd/pt- br/documentos-e-publicacoes/guia_legimo_interesse.pdf, p. 25-26).

4.36. No caso em análise, a área técnica da ANPD constatou “a falta de comunicação clara, ampla e específica pela Meta quanto à alteração de sua política de privacidade, com a adição da possibilidade de tratamento dos dados pessoais de terceiros para o desenvolvimento de sua IA generativa “, de modo que “não se pode presumir que os titulares de dados tenham sido devidamente informados sobre o processamento de seus dados para essa finalidade”. Além disso, a área técnica sustentou que,

3.15. Igualmente, não são prestadas as informações adequadas e

Página 13

necessárias para que os titulares possam ter ciência sobre as possíveis consequências advindas do tratamento de seus dados pessoais para o desenvolvimento de modelos de IA generativa. A empresa limita-se a expressar, de forma genérica, em seu Canal de Privacidade, a ideia de que a IA generativa trará muitas possibilidades futuras para pessoas, criadores de conteúdo e empresas. Há, desse modo, sério déficit informacional no que se refere ao tratamento dos dados pessoais, inclusive de terceiros, não usuários das plataformas, para essa finalidade, o que aumenta a assimetria de informações entre titulares e controlador. […]

3.17. Importa observar que a legítima expectativa que o titular tem acerca de como seus dados serão tratados não se altera com a mesma facilidade e velocidade com que o controlador altera sua política de privacidade. Para tanto, a Meta precisa comunicar-se de modo efetivo com sua base de usuários, a ponto de alterar a percepção deles de como ela realiza o tratamento de seus dados pessoais e, por conseguinte, garantir o atendimento ao princípio da transparência, da finalidade e da responsabilização e prestação de contas. Trata-se de um processo que requer tempo e esforço somente limitados ao igual esforço e tempo que a Meta precisaria para conseguir igual adesão caso o processo fosse pela lógica do opt-in. (Nota Técnica nº 27/2024/FIS/CGF/ANPD, SEI nº 0129769).

4.37. Portanto, a irregularidade identificada se caracteriza pela ausência de divulgação de informações claras, precisas e facilmente acessíveis sobre a alteração da Política de Privacidade para permitir a utilização de dados pessoais para fins de treinamento de IA.

4.38. Além disso, é importante destacar que a divulgação da atualização da política de privacidade no Brasil foi consideravelmente mais limitada em comparação à realizada pela empresa na União Europeia (UE). Na UE, os usuários das plataformas da Meta foram previamente informados por e-mail e notificações no aplicativo, proporcionando mais transparência para os usuários europeus sobre a política de privacidade em relação aos brasileiros.

c) Direitos dos titulares

4.39. Em relação aos direitos dos titulares, a Meta informa em sua Central de Privacidade que “você tem direitos relacionados à forma como suas informações são usadas para IA na Meta. Isso inclui o direito de se opor ao uso de informações que você compartilhou nos produtos e serviços da Meta para o desenvolvimento e aprimoramento da IA na Meta. Você também pode enviar solicitações relacionadas às suas informações pessoais de terceiros que estão sendo usadas para desenvolver e melhorar a IA na Meta.” (Disponível em:

Página 14

https://www.facebook.com/privacy/genai).

4.40. No presente caso, ainda que admitida, para fins de argumentação, o uso da hipótese legal do legítimo interesse, verifica-se que, de acordo com a área técnica da ANPD, existem fortes limitações ao exercício do direito de oposição, pois “a opção de opt-out fornecida aos usuários, que permitiria aos titulares se oporem ao tratamento de seus dados pessoais, não é disposta de maneira evidente, e a complexidade para exercício dessa opção assemelha-se a um padrão obscuro de mascaramento de informações. Observa- se, na verdade, que os usuários precisam realizar diversas ações para que possam, se este for o seu interesse, informar à empresa quanto a sua oposição na utilização de seus dados” (Nota Técnica nº 27/2024/FIS/CGF/ANPD, SEI nº 0129769). 4. 41. Com efeito, para exercer o direito de oposição, o titular precisa passar por diversas etapas, chegando à necessidade de clicar em oito opções no caso do aplicativo Facebook, conforme exposto em tutorial disponibilizado pelo portal “Aos Fatos” (Disponível em: https://www.aosfatos.org/noticias/como-impedir-uso-dados-pessoais-ia-meta- facebook/). O acesso também é complexo no caso do aplicativo Instagram, conforme se pode verificar no passo a passo disponibilizado pelo jornal O Globo (SEI nº 0129841).

4.42. Anote-se, ainda, que, no âmbito da União Europeia, o link correspondente para o exercício dos direitos dos titulares foi encaminhado previamente nas já mencionadas notificações realizadas nos aplicativos ou enviadas por e-mail. Em uma publicação oficial da empresa, de junho de 2024, a Meta informa, ainda, que o formulário encaminhado aos titulares europeus “pode ser acessado com apenas três cliques e requer o preenchimento de poucos campos”, tendo sido projetado “para ser mais acessível para pessoas com menos idade de leitura (people with a lower reading age)” (Disponível em: https://about.fb.com/news/2024/06/building-ai-technology-for-europeans-in- a-transparent-and-responsible-way/).

4.43. Vale ressaltar que a necessidade de simplificar o acesso aos canais de atendimento e facilitar o exercício dos direitos dos titulares foi objeto de recomendação da ANPD para a Meta, durante a análise da alteração promovida na política de privacidade do WhatsApp, há cerca de três anos. Na ocasião, em março de 2021, período em que as sanções administrativas previstas na LGPD ainda não haviam entrado em vigor, a ANPD recomendou que a empresa efetuasse as devidas correções a fim de atender ao disposto na LGPD, nos seguintes termos:

1. Em síntese, conclui-se que seja mediante a interface do aplicativo ou diretamente pela página da atual Política de

Página 15

Privacidade, os titulares de dados terão dificuldades de acesso às informações relacionadas ao exercício de seus direitos, o que contraria as disposições da LGPD. Por isso, a empresa deve efetuar ajustes em sua Política de Privacidade para tornar mais acessíveis as informações pertinentes e facilitar o exercício dos direitos previstos na lei, conforme as recomendações específicas apresentadas ao final desta seção. […]

1. Por conseguinte, no que diz respeito às informações relativas ao exercício dos direitos dos titulares, recomenda-se: (a) a disponibilização em destaque, na primeira camada de informação, ou seja, na própria Política de Privacidade, das informações para que o titular possa exercer seus direitos, de modo similar ao previsto na Política de Privacidade Europeia, da qual consta seção específica intitulada “Como exercer seus direitos”. (Nota Técnica nº 02/2021/CGTP/ANPD, Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/inclusao-de- arquivos-para-link-nas- noticias/NotaTecnicaANPDWhatsapp_ocr.pdf).

4.44. Também é importante mencionar que, no Guia Orientativo Cookies e Proteção de Dados Pessoais, a ANPD demonstrou, a partir da análise e da orientação para a elaboração de banners de cookies, a existência de uma vinculação direta e expressa entre, de um lado, os princípios da transparência e do livre acesso e, de outro, a forma como os mecanismos de atendimento e obtenção de manifestação dos titulares são projetados e apresentados. Essa orientação sinaliza que o design e a disponibilização de ferramentas simples e intuitivas para atendimento e obtenção de manifestação dos titulares são fatores essenciais para garantir que estes tenham efetivo controle sobre o uso e a destinação de seus dados pessoais, o que reforça a importância de comunicações claras e acessíveis.

4.45. Nesse sentido, o Guia destaca que os banners de cookies “contribuem para o processo de tomada de decisão consciente pelo titular, além de fortalecer o controle sobre seus dados pessoais e o respeito às suas legítimas expectativas”. Daí, por exemplo, a importância de “disponibilizar botão que permita rejeitar todos os cookies não necessários, de fácil visualização, nos banners de primeiro e segundo nível” ou, ainda, “fornecer um link de fácil acesso para que o titular possa exercer os seus direitos […]”. O Guia ainda orienta que sejam evitadas, entre outras, por serem incompa]veis com a LGPD, as seguintes práticas: “ dificultar a visualização ou compreensão dos botões de rejeitar cookies ou de configurar cookies, e conferir maior destaque apenas ao botão de aceite” e “não disponibilizar informações e mecanismo direto, simplificado e próprio para o exercício dos direitos de revogação do consentimento e de oposição ao tratamento pelo titular […]” (Disponível em:

Página 16

https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia-orientativo- cookies-e-protecao-de-dados-pessoais.pdf, p. 30-33).

4.46. Tais orientações gerais são inteiramente aplicáveis ao presente caso, pois demonstram o entendimento desta Autoridade, detalhado com exemplos práticos, sobre a relação direta entre os padrões de design adotados e as condições materiais que viabilizam o efetivo exercício dos direitos dos titulares previstos na LGPD. Esse entendimento reforça ainda que, quando os padrões de design dificultam ou impõem obstáculos excessivos e não justificados ao acesso às informações e à utilização dos mecanismos disponibilizados, há um claro descumprimento dos princípios do livre acesso e da transparência.

4.47. Dessa forma, verifica-se que parecem existir obstáculos que limitam excessivamente o exercício dos direitos dos titulares. Tais obstáculos se materializam na interface de difícil navegação dos mecanismos disponibilizados, o que é ainda agravado pela dificuldade de acesso às informações correspondentes pelos titulares. Ademais, esta prática reproduz conduta similar da empresa objeto de determinações e orientações anteriores da ANPD a respeito dos mecanismos disponibilizados para o exercício dos direitos dos titulares.

d) Dados pessoais de crianças e adolescentes

4.48. Outra questão relevante que deve ser levada em consideração é que dados pessoais de crianças e adolescentes também podem ser coletados e utilizados para treinar os sistemas de IA da Meta. É o que pode ocorrer, por exemplo, com imagens de crianças e adolescentes postadas nas plataformas geridas pela empresa.

4.49. A esse respeito, a política de privacidade da empresa nada menciona sobre o tratamento de dados pessoais de crianças e adolescentes brasileiras para treinar sistemas de IA ou, ainda, sobre as medidas eventualmente adotadas que visem a assegurar o seu melhor interesse.

4.50. Essa categoria de titulares é especialmente protegida pela LGPD, que determina que o tratamento de seus dados seja sempre realizado “ em seu melhor interesse” (art. 14). Além disso, conforme o § 6º do mesmo artigo, “as informações sobre o tratamento de dados referidas neste artigo deverão ser fornecidas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário”.

4.51. Nessa linha, a ANPD editou o Enunciado nº 1, de 22 de maio de 2023, fixando a interpretação de que “o tratamento de dados pessoais de crianças e adolescentes poderá ser realizado com base nas hipóteses legais

Página 17

previstas no art. 7º ou no art. 11 da Lei Geral de Proteção de Dados Pessoais (LGPD), desde que observado e prevalecente o seu melhor interesse, a ser avaliado no caso concreto, nos termos do art. 14 da Lei.”

4.52. Assim, cabe ao controlador adotar uma postura de maior cautela nesses casos, especialmente quando utilizada a hipótese do legítimo interesse, considerando a necessidade de proteção integral e de absoluta prioridade na efetivação dos direitos desses titulares.

4.53. Ainda sobre o tema, a ANPD emitiu orientações específicas sobre o tratamento de dados pessoais de crianças e adolescentes com base na hipótese do legítimo interesse. Confira-se: Portanto, o tratamento de dados pessoais de crianças e adolescentes com base na hipótese legal do legítimo interesse pressupõe que o controlador leve em consideração, de forma prioritária, o melhor interesse da criança ou do adolescente. Além disso, deve prevalecer a interpretação que atenda ao melhor interesse da criança e do adolescente de forma mais eficaz, inclusive, se for o caso, com a não realização do tratamento com base no legítimo interesse, em particular se o teste de balanceamento não for conclusivo ou se não forem identificadas medidas de segurança e de mitigação de risco adequadas à hipótese. Assim, se o resultado do teste de balanceamento for inconclusivo, ou se não forem identificadas medidas de segurança e de mitigação de risco adequadas à hipótese, deverá ser adotada outra base legal. Em termos mais concretos, o controlador deve elaborar teste de balanceamento e manter registro da justificativa para a realização do tratamento, que deve ser adequada ao caso e capaz de demonstrar: (i) o que foi considerado como sendo o melhor interesse da criança ou do adolescente; (ii) com base em quais critérios os seus direitos foram ponderados em face do interesse legítimo do controlador ou de terceiro; e (iii) que o tratamento não gera riscos ou impactos desproporcionais e excessivos, considerando a condição da criança e do adolescente como sujeitos de direitos. Diante da aplicação desses critérios, podemos concluir que o tratamento de dados pessoais de crianças e adolescentes com base na hipótese do legítimo interesse tende a ser mais apropriado em situações nas quais há uma relação prévia e direta do controlador com os titulares e quando o tratamento visa a assegurar a proteção de seus direitos e interesses ou viabilizar a prestação de serviços que os beneficiem. Caso essas condições não estejam presentes, o controlador deve adotar cautela adicional, avaliando a e existência de formas alternativas e menos invasivas para os titulares. (Guia Orientativo - Legítimo Interesse, p. 10-11, Disponível em:

Página 18

https://www.gov.br/anpd/pt-br/documentos-e- publicacoes/guia_legitimo_interesse.pdf).

4.54. Como se pode observar, é necessária a adoção, pelo controlador, de uma série de salvaguardas e medidas de mitigação de risco capazes de demonstrar que, no caso concreto, o eventual tratamento de dados pessoais de crianças e adolescentes será realizado em seu melhor interesse, o que não foi verificado na presente hipótese, ao menos no âmbito desta análise preliminar.

4.55. É de se destacar, ainda, que, na Europa, a Meta anunciou que “não está treinando os seus modelos Llama com conteúdos gerados por contas de Europeus com idade inferior a 18 anos” (Disponível em: https://about.fb.com/news/2024/06/building-ai-technology-for-europeans-in- a-transparent-and-responsible-way/). Vale enfatizar que não foi encontrada qualquer indicação sobre adoção de cautela similar em relação aos usuários das plataformas utilizadas no Brasil.

4.56. Ressalto, ainda, que os riscos associados ao uso de dados pessoais de crianças e adolescente são tema de crescente preocupação na sociedade brasileira, o que demanda uma atuação incisiva da ANPD no cumprimento de seu mandato legal de zelar pela proteção de dados pessoais desses titulares. Como todas as tecnologias, sistemas de IA generativa também estão sujeitos a falhas, a exemplo da exposição de informações pessoais nos resultados gerados, incluindo imagens, vídeos e textos produzidos por titulares de dados, em contextos distintos daqueles em que foram inicialmente compartilhados; há, ainda, o risco de produção de conteúdos sintéticos com base nos dados pessoais tratados, a exemplo de deepfakes, que podem expor e atingir negativamente a reputação dostitulares ou induzir terceiros a erro, violando, assim, direitos fundamentais e as expectativas das pessoas afetadas.

4.57. Esses riscos são ampliados no caso de dados pessoais de crianças e adolescentes, sujeitos cujos direitos devem ser assegurados com absoluta prioridade, razão pela qual os riscos identificados precisam ser mitigados pela implementação das devidas salvaguardas, além de serem objeto de adequada comunicação com os titulares.

4.58. O fato é que, tanto em razão das determinações da LGPD e das orientações expedidas pela ANPD, como também em decorrência dos riscos concretos que podem advir nesses casos, é necessária uma atuação mais cautelosa em relação ao tratamento de dados pessoais de crianças e adolescentes, tendo em vista o seu melhor interesse.

4.59. Em suma, verifica-se que, no presente caso, não parecem estar presentes as salvaguardas necessárias para o tratamento de dados pessoais

Página 19

de crianças e adolescentes para fins de treinamento de sistemas de IA, notadamente com base na hipótese legal do legítimo interesse.

III - Dano grave e irreparável ou de difícil reparação

4.60. Conforme exposto nas seções anteriores, a conduta da empresa potencialmente viola a LGPD no que concerne às suas disposições relativas a: hipóteses legais, transparência, direitos dos titulares e tratamento de dados pessoais de crianças e adolescentes.

4.61. A ocorrência dessas irregularidades apresenta risco iminente de gerar danos graves e irreparáveis ou de difícil reparação para os titulares de dados pessoais, inclusive crianças e adolescentes, o que justifica a imediata concessão de medida preventiva para assegurar a suspensão da entrada em vigor da nova política de privacidade da Meta, no que toca à parte relativa ao uso de dados pessoais para fins de treinamento de sistemas de IA, com a consequente interrupção do tratamento dos dados dos titulares para essa finalidade.

4.62. Com efeito, a política de privacidade entrou em vigor no último dia 26 de junho, o que significa que o tratamento dos dados pessoais detitulares, inclusive daqueles que não são usuários das plataformas da Meta, pode já ter se iniciado, sem a devida observância das disposições da LGPD e com impacto direto sobre o direito fundamental à proteção de dados pessoais de milhões de pessoas.

4.63. Conforme bem exposto pela área técnica da ANPD: As atividades de tratamento em análise, ademais, atingiriam número substancial de titulares, uma vez que, apenas no Brasil, somente o Facebook, uma das redes sociais controladas pela Meta, possui cerca de 102 milhões de usuários ativos. Ademais, conforme informado pela própria empresa, as atividades de tratamento envolvem dados pessoais de não usuários, bastando que suas imagens, vídeos ou, até mesmo, arquivos de áudio tenham sido compartilhados por algum usuário em produtos ou serviços da empresa. Para estes, não há sequer mecanismos para exercício da oposição. A quantidade de potenciais titulares afetados pela atividade de tratamento, o possível processamento de dados pessoais sensíveis de terceiros, inclusive sem o seu devido conhecimento, e a utilização de tecnologia de inteligência artificial que cria conteúdo novo, a partir de técnicas complexas de aprendizado de máquina, tornam a atividade desenvolvida pela Meta de alto risco, o que implica a existência prévia de mecanismos técnicos e institucionais adequados para garantir a segurança do tratamento. (Nota Técnica nº 27/2024/FIS/CGF/ANPD, SEI nº 0129769).

Página 20

4.64. Considere-se, ademais, que a eventual continuidade do tratamento dos dados pode gerar uma situação de fato consumado, de difícil reversão, uma vez que pode ser complexa a operação técnica de excluir determinados dados pessoais eventualmente utilizados para treinar os sistemas de IA.

4.65. Por outro lado, é digno de nota que, no âmbito da União Europeia e do Reino Unido, a implementação das mudanças na política de privacidade da Meta foi postergada após recente determinação das respectivas autoridades de proteção de dados pessoais. Segundo os comunicados divulgados, a postergação permitirá a avaliação e o monitoramento adequados sobre as alterações, de modo a assegurar a construção de um ambiente de confiança e de respeito aos direitos fundamentais dos titulares de dados no que concerne ao uso de sistemas de IA generativa (disponíveis em: https://www.dataprotecon.ie/en/news- media/latest-news/dpcs-engagement-meta-ai; e https://ico.org.uk/about-the- ico/media-centre/news-and-blogs/2024/06/statement-in-response-to-metas- plans-to-train-generative-ai-with-user-data/).

4.66. Dessa forma, um dos objetivos da presente medida é que a postergação possa permitir a avaliação e o monitoramento adequados do desenvolvimento da tecnologia, de modo a assegurar a construção de um ambiente de confiança e de respeito aos direitos fundamentais dos titulares de dados no que concerne ao uso de sistemas de IA generativa no Brasil, assim como ocorreu na União Europeia e no Reino Unido.

4.67. Assim, considerando a presença dos fundamentos jurídicos que justificam a concessão de medida preventiva e tendo em vista a alta probabilidade de ocorrência de danos graves e irreparáveis ou de difícil reparação aos titulares, impõe-se a necessidade de imediata concessão da presente medida preventiva para salvaguardar os direitos dos titulares afetados pela conduta irregular, sem a prévia oitiva da parte interessada.

IV - Multa diária

4.68. Como mencionado, a LGPD (art. 52, III; art. 54) confere competência para a ANPD aplicar multa diária. No caso em questão, a fixação de multa diária é necessária como forma de compelir a empresa a cumprir a determinação estabelecida pela ANPD.

4.69. Para tanto, é necessário seguir os critérios previstos nos incisos I a III do art. 16 do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, aprovado pela Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023, cuja redação é a seguinte:

Página 21

Art. 16. A ANPD aplicará a sanção de multa diária quando necessária para assegurar o cumprimento, em prazo certo, de uma sanção não pecuniária ou de uma determinação estabelecida pela ANPD, observados: I - o limite total previsto no art. 52, inciso II, da LGPD, por infração; II - a classificação da infração; e III - o grau do dano, nos termos do Apêndice I deste Regulamento. § 1º O valor da multa diária será aplicado de forma acumulada, considerando o tempo entre a incidência da multa e o cumprimento da obrigação, até o limite total de R$ 50.000.000,00 (cinquenta milhões de reais) por infração. § 2º O grau do dano a que se refere o inciso III do caput, compreende a extensão do dano e o prejuízo causado, nos termos do art. 54 da LGPD.

4.70. O primeiro critério se refere ao teto, isto é, ao valor total e acumulado da multa diária, que não poderá ultrapassar R$ 50 milhões.

4.71. O segundo critério diz respeito à classificação da infração, isto é, se as irregularidades verificadas se classificam como infrações de natureza leve, média ou grave. No caso em tela, verifico que estão presentes os critérios para classificação das condutas como infrações graves, nos termos do art. 8º, §§ 2º e 3º, do Regulamento de Dosimetria e Aplicação de Sanções Administrativas. Confira-se: Art. 8º As infrações são classificadas, segundo a gravidade e a natureza das infrações e dos direitos pessoais afetados, em: I - leve; II - média; ou III - grave. § 1º A infração será considerada leve quando não verificada nenhuma das hipóteses relacionadas nos §§ 2º ou 3º deste artigo. § 2º A infração será considerada média quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, caracterizada nas situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação; violação à integridade física; ao direito à imagem e à reputação; fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave. § 3º A infração será considerada grave quando: I - verificada a hipótese estabelecida no § 2º deste artigo e cumulativamente, pelo menos, uma das seguintes: a) envolver tratamento de dados pessoais em larga escala,

Página 22

caracterizado quando abranger número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica do tratamento realizado; […]d) a infração envolver tratamento de dados sensíveis ou de dados pessoais de crianças, de adolescentes ou de idosos; e) o infrator realizar tratamento de dados pessoais sem amparo em uma das hipóteses legais previstas na LGPD; […]

4.72. Considerando a análise dos fundamentos jurídicos exposta anteriormente e os critérios acima reproduzidos, pode-se afirmar que a conduta da empresa classifica-se potencialmente como infração de natureza grave, visto que: (i) pode afetar significativamente interesses e direitos fundamentais dos titulares, com impactos graves, desproporcionais e com alta probabilidade de ocorrência; e (ii) o tratamento envolve dados em larga escala, na medida em que alcança centenas de milhões de titulares; o tratamento pode, ainda, incluir dados sensíveis e dados de crianças e adolescentes; e, por fim, o tratamento pode ser realizado sem o devido amparo em uma das hipóteses legais previstas na LGPD.

4.73. Em relação ao terceiro critério, o dano deve ser classificado no grau mais elevado, nos termos do Apêndice I do Regulamento de Dosimetria e Aplicação de Sanções Administrativas, uma vez que as potenciais infrações podem ocasionar “lesão ou ofensa a direitos ou interesses difusos, coletivos ou individuais, que, dadas as circunstâncias extraordinárias do caso, têm impacto irreversível ou de difícil reversão sobre os titulares afetados “.

4.74. Assim, considerando que a conduta pode se configurar como infração grave e que alcança grau de dano elevado, fixo a multa diária em R$ 50.000,00 (cinquenta mil reais) por dia de descumprimento. É importante ressaltar que este valor pode ser majorado, caso se verifique ser insuficiente para assegurar o cumprimento da obrigação imposta nesta medida preventiva.

4.75. Ressalte-se, ainda, que o valor de R$ 50.000,00 (cinquenta mil reais) é similar ao parâmetro fixado em decisões do Superior Tribunal de Justiça (STJ) aplicáveis à Meta. A título de exemplo, confira-se o seguinte julgado: AGRAVO REGIMENTAL NO RECURSO ESPECIAL. INVESTIGAÇÃO CRIMINAL. DADOS SOB A GUARDA DE EMPRESA ESTRANGEIRA. POSSIBILIDADE DE APLICAÇÃO DE MULTA DIÁRIA (ASTREINTE) PELA RECUSA/DESCUMPRIMENTO DE ORDEM JUDICIAL. […][…]

Página 23

IV - “Esta Corte Superior, no julgamento da Questão de Ordem no Inquérito n. 784/DF (Relatora Ministra LAURITA VAZ, Corte Especial, julgado em 17/4/2013, DJe 28/8/2013), fixou o parâmetro para casos semelhantes, no importe de R$ 50.000,00 (cinquenta mil reais) por dia. Portanto, o valor de R$ 20.000,00 está dentro dos limites estabelecidos, o que afasta a alegação de desproporcionalidade da medida” (AgRg no RMS n. 66.833/RS, Sexta Turma, fiel. Min. Olindo Menezes (Desembargador Convocado do TRF 1ª Região), DJe de 15/02/2022, grifei). No presente caso, igualmente, o valor de 3.000, 00 (três mil reais) por dia de atraso não merece qualquer reparo. […](AgRg no REsp n. 1.975.411/SP, relator Ministro Jesuíno Rissato (Desembargador Convocado do TJDFT), Quinta Turma, julgado em 9/8/2022, DJe de 30/8/2022.)

4.76. Portanto, considerando a gravidade da conduta objeto de apuração e, por analogia, os parâmetros fixados pela jurisprudência do STJ, verifica-se que há proporcionalidade e razoabilidade no valor estabelecido para a multa diária no presente caso.

1. VOTO

5.1. Diante de todo o exposto, com base no art. 45 da Lei nº 9.784/1999; nos arts. 52, III, e 54, da LGPD; no art. 26, IV, do Decreto nº 10.474/2020; e nos arts. 7º, IV e 55 do Regimento Interno da ANPD, voto por proferir medida preventiva

para determinar à

Meta Platforms INC - Facebook Serviços Online do Brasil, até ulterior decisão desta Autoridade, a imediata suspensão no Brasil: (i) da vigência da nova política de privacidade da empresa, no que toca à parte relativa ao uso de dados pessoais para fins de treinamento de sistemas de IA generativa; e (ii) do tratamento de dados pessoais dos titulares para essa finalidade em todos os “Produtos da Meta”, inclusive de pessoas não usuárias de suas plataformas, sob pena de multa diária de R$ 50.000,00 (cinquenta mil reais) por dia de descumprimento, em virtude do risco iminente de dano grave e irreparável ou de difícil reparação aos direitos fundamentais dos titulares afetados.

5.2. Considerando a relevância e a urgência da matéria, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40 e do § 1º do art. 41, ambos do Regimento Interno.

5.4. Após a deliberação do Conselho Diretor, encaminhe-se o processo para a CGF com vistas a: (i) intimação da empresa para fins de ciência e imediato cumprimento desta decisão; e (ii) continuidade do procedimento de fiscalização instaurado, com vistas à obtenção de esclarecimentos por parte da empresa e à plena apuração dos fatos, incluindo o monitoramento do cumprimento da presente decisão.

Página 24

5.6. O cumprimento da medida preventiva imposta deverá ser demonstrado pela empresa à Coordenação-Geral de Fiscalização, no prazo de cinco dias úteis, contados da intimação da decisão, por meio da juntada ao processo de: (a) documentação que ateste a adequação da política de privacidade, mediante a exclusão do trecho correspondente ao tratamento de dados pessoais para fins de treinamento de IA generativa; e (b) declaração assinada pelo encarregado, por membro do corpo diretivo ou representante legalmente constituído, atestando a suspensão do tratamento de dados pessoais para fins de treinamento de IA generativa no Brasil.

5.7. Ressalto, ainda, a necessidade de publicação de extrato da decisão do Conselho Diretor no Diário Oficial da União, cuja minuta segue anexa a este voto (SEI nº 0130478), em conformidade com o disposto no art. 19, §§ 3º e 4º, do Regimento Interno.

5.9. É como voto.

MIRIAM WIMMER Diretora

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 01/07/2024, às 16:17, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0130047 e o código CRC 7FD48836. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.004509/2024-36 SEI nº 0130047

Página 25

Autoridade Nacional de Proteção de Dados Gabinete do Diretor-Presidente Brasília-DF, na data da assinatura. VOTO Nº 8/2024/GABPR/ANPD PROCESSO Nº 00261.004509/2024-36 INTERESSADO: Autoridade Nacional de Proteção de Dados CIRCUITO DELIBERATIVO Nº Nº 12/2024

(SEI 0130482)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno: x Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

Voto no Circuito Deliberativo: x Acompanho a Relatoria conforme VOTO Nº 11/2024/DIR-MW/CD (0130047)

Não acompanho a Relatoria, nos seguintes termos:

WALDEMAR GONÇALVES ORTUNHO JUNIOR Diretor-Presidente

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho

Página 26

Junior, Diretor(a) Presidente, em 01/07/2024, às 17:14, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0130510 e o código CRC A308AC39. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.004509/2024-36 SEI nº 0130510

Página 27

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Joacil Rael

VOTO Nº 15/2024/DIR-JR/CD

PROCESSO Nº 00261.004509/2024-36 INTERESSADO: ANPD CIRCUITO DELIBERATIVO Nº 12/2024

(SEI 0130482) DIRETOR JOACIL BASILIO RAEL

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno: X Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

Voto no Circuito Deliberativo:

Página 28

X Acompanho a Relatora (VOTO Nº 11/2024/DIR-MW/CD) (SEI 0130047)

Não acompanho o Relator, nos seguintes termos:

JOACIL BASILIO RAEL DIRETOR

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 01/07/2024, às 16:52, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0130518 e o código CRC AA3052D0. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8156 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.004509/2024-36 SEI nº 0130518

Página 29

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Arthur Sabbat Brasília-DF, na data da assinatura. VOTO Nº 9/2024/DIR-AS/CD/ANPD PROCESSO Nº 00261.004509/2024-36 INTERESSADO: ANPD CIRCUITO DELIBERATIVO Nº 12/2024 (SEI 0130483) DIRETOR ARTHUR PEREIRA SABBAT

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno: X Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

Voto no Circuito Deliberativo: X Acompanho a Relatora (VOTO Nº 11/2024/DIR-MW/CD) (SEI 0130047)

Página 30

Não acompanho o Relator, nos seguintes termos:

ARTHUR PEREIRA SABBAT DIRETOR

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 01/07/2024, às 17:08, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015. A autenticidade deste documento pode ser conferida no site https://anpd- super.mj.gov.br/sei/controlador_externo.php? acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0130525 e o código CRC 64460F51. SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900 Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.004509/2024-36 SEI nº 0130525