Bruxelas, 15 de setembro - Na sequência da decisão vinculativa do CEPD em matéria de resolução de litígios, de 28 de julho, a Autoridade Irlandesa de Proteção de Dados (AIPD) adotou a sua decisão relativa ao Instagram (Meta Platforms Ireland Limited (Meta IE)), aplicando a esta empresa uma coima recorde de 405 milhões de EUR.
A decisão final da ACP (autoridade de controlo principal) surge na sequência de um inquérito que iniciou, por sua própria iniciativa, sobre a divulgação pública, por parte do Instagram, de endereços de correio eletrónico e/ou de números de telefone de crianças que utilizam uma conta comercial do Instagram e, por outro lado, sobre a configuração pública por defeito das contas pessoais de crianças no Instagram, durante o período objeto do inquérito. Uma prática que, desde então, terminou em consequência do inquérito da ACP. A presidente do CEPD, Andrea Jelinek, declarou: «Trata-se de uma decisão histórica. Não só devido ao montante da coima - a segunda mais elevada desde a entrada em vigor do RGPD - mas também a primeira decisão a nível da UE sobre os direitos das crianças em matéria de proteção de dados. Com esta decisão vinculativa, o CEPD torna ainda mais claro que as empresas cujos serviços visam crianças devem ser extremamente prudentes. As crianças merecem uma proteção específica no que diz respeito aos seus dados pessoais.»
A decisão vinculativa do CEPD foi adotada com base no artigo 65.º do RGPD, depois de a ACP irlandesa, enquanto autoridade de controlo principal, ter desencadeado o procedimento de resolução de litígios relativo às objeções levantadas por várias autoridades de controlo interessadas (ACI). Entre outros aspetos, as ACI formularam objeções relativamente à base jurídica invocada para o tratamento e a determinação do montante da coima. Posteriormente, a AIPD introduziu alterações no seu projeto de decisão na sequência do processo de resolução de litígios.
Trata-se da primeira decisão vinculativa do CEPD que aborda um dos pilares fundamentais da legislação da UE em matéria de proteção de dados: a licitude do tratamento, em conformidade com o artigo 6.º do RGPD. Em especial, o CEPD prestou esclarecimentos adicionais sobre a aplicabilidade das bases jurídicas da «execução do contrato» e do «interesse legítimo».
A Meta IE invocou alternativamente estas duas bases jurídicas para a publicação de endereços de correio eletrónico e/ou de números de telefone de crianças que utilizaram contas comerciais do Instagram. O CEPD declarou que não existiam motivos para a ACP concluir que o tratamento em causa era necessário para a execução de um contrato. Consequentemente, a Meta IE não poderia ter invocado como base jurídica para este tratamento o artigo 6.º, n.º 1, alínea b), do RGPD.
No que diz respeito ao interesse legítimo, enquanto base jurídica alternativa para o tratamento, o CEPD considerou que a publicação dos endereços de correio eletrónico e/ou dos números de telefone de crianças não cumpria os requisitos enunciados no artigo 6.º, n.º 1, alínea f), do RGPD, uma vez que esse tratamento não era necessário ou, caso fosse considerado necessário, não cumpria o critério do equilíbrio exigido para determinar o interesse legítimo.
Por conseguinte, o CEPD concluiu que, na ausência de base jurídica, a Meta IE tinha tratado de forma ilegal os dados pessoais de crianças e instruiu a ACP no sentido de alterar o seu projeto de decisão, a fim de estabelecer a violação do artigo 6.º, n.º 1, do RGPD.
Por último, o CEPD deu instruções à ACP para reavaliar a sua coima prevista, em conformidade com os artigos 83.º, n.os 1 e 2, do RGPD, a fim de:
- impor uma coima administrativa efetiva, proporcionada e dissuasiva pela infração adicional, tendo em conta a natureza e a gravidade da infração, bem como o número de titulares de dados afetados;
- assegurar que os montantes finais das coimas administrativas são efetivos, proporcionados e dissuasivos.
Esta decisão não prejudica eventuais avaliações que o CEPD possa ser chamado a efetuar noutros casos, incluindo com as mesmas partes.
A decisão final adotada pela ACP irlandesa está disponível no Registo das decisões tomadas pelas autoridades de controlo e pelos tribunais sobre questões tratadas no âmbito do procedimento de controlo da coerência.
Para mais informações sobre o procedimento previsto no artigo 65.º do RGPD, consulte as Perguntas frequentes do artigo 65.º
CEPD_Comunicado de imprensa declaração 2022_08
The news published here does not constitute official EDPB communication, nor an EDPB endorsement. This news item was originally published by the national supervisory authority and was published here at the request of the SA for information purposes. Any questions regarding this news item should be directed to the supervisory authority concerned.