Repercussões da decisão do Tribunal de Justiça Europeu no caso Facebook

O conhecido caso Facebook da Alemanha ganhou um novo e importante capítulo no último dia 4, quando o Tribunal de Justiça da União Europeia (TJUE) chancelou a abordagem adotada pela autoridade concorrencial alemã (Bundeskartellamt) na decisão que condenou a Meta (anteriormente Facebook) por abuso de posição dominante [1].

O julgamento merece atenção e levanta importantes reflexões, uma vez que representa a interpretação final sobre a matéria no direito europeu, lançando luz sobre as possibilidades de interação entre Direito Concorrencial e Proteção de Dados Pessoais, com potenciais repercussões em outros temas.

Assim, a autoridade proibiu o condicionamento da utilização da rede social Facebook à coleta e combinação dos dados pessoais obtidos fora da rede social, originados de outros serviços proprietários do grupo Meta (como WhatsApp e Instagram) e de sites e aplicativos de terceiros (por meio de interfaces integradas e rastreadores), a menos que houvesse o consentimento destacado dos usuários nessas hipóteses.

O caso, já bastante discutido na doutrina antitruste, foi considerado inovador — e objeto de polêmica — pela forma que a autoridade concorrencial construiu sua decisão, isto é, amparando-se na análise pormenorizada dos termos do serviço da rede social Facebook à luz da legislação de proteção de dados pessoais, como meio para caracterizar a infração concorrencial. Ao concluir pela ilicitude do processamento de dados, a decisão apontou que estavam presentes o nexo de causalidade entre a posição dominante e a conduta (a imposição das condições contratuais ilícitas), bem como os efeitos anticompetitivos, como a criação de vantagens competitivas e o reforço da posição dominante nos mercados de redes sociais e de publicidade online.

Após recursos judiciais, que até o momento mantiveram válida a decisão administrativa [3], em 2021, o Tribunal de Düsseldorf submeteu o caso ao TJUE, para o proferimento da decisão prejudicial, indagando à mais alta corte europeia no tema, resumidamente, se a autoridade concorrencial alemã poderia ter interpretado e aplicado o RGPD como o fez — ou seja, concluindo pela ilicitude do tratamento de dados pessoais, no escopo de uma investigação de abuso de posição dominante.

Pois bem. No acórdão ora em análise, o TJUE respondeu afirmativamente à questão, assim como fez diversas considerações que podem influenciar a aplicação do direito concorrencial e da legislação de proteção de dados nos próximos anos — e não apenas na jurisdição alemã ou europeia.

Nesse sentido, a corte europeia afirmou que a autoridade concorrencial, no escopo de uma investigação de abuso de posição dominante e na análise de todas as circunstâncias específicas e relevantes do caso concreto, pode verificar a conformidade ou não do agente econômico com a legislação de proteção de dados pessoais, o que pode constituir uma "pista vital" acerca da utilização de meios anticompetitivos para atuação no mercado [4]. Isso seria ainda mais importante, de acordo com o TJUE, no contexto da economia digital, na qual a coleta e o processamento de dados pessoais constituem significativo parâmetro concorrencial [5].

O acórdão também ressaltou, por outro lado, que não se deve confundir os papéis da autoridade concorrencial e de proteção de dados pessoais, considerando-se que cada qual possui competência, funções e objetivos próprios. Assim, conforme se expôs, não é papel da autoridade concorrencial realizar o enforcement da legislação de proteção de dados pessoais, muito embora possa identificar a existência de violações ao RGPD no âmbito da apuração de uma conduta anticompetitiva. Por essa razão, a decisão elenca requisitos para que a autoridade concorrencial possa assim proceder, a fim de evitar divergências na interpretação das normas de proteção de dados pessoais.

Apontou o TJUE que, primeiro, na hipótese de ser necessário examinar a conformidade do agente dominante com a legislação de proteção de dados pessoais, existiria o dever, sob o direito europeu, de a autoridade concorrencial consultar e cooperar com as autoridades de proteção de dados pessoais competentes, as quais, por sua vez, devem prestar a assistência necessária [6]. Segundo, a fim de assegurar a consistência na interpretação do RGPD, a autoridade concorrencial deve observar se há um entendimento firmado no campo da proteção de dados pessoais sob a conduta em análise e, havendo, deve obrigatoriamente aplicá-lo, embora esteja livre para, a partir dele, firmar sua conclusão quanto à aplicação do direito concorrencial [7].

No caso concreto, o TJUE entendeu que esses requisitos foram observados pelo Bundeskartellamt, considerando que, antes de adotar a decisão administrativa, o órgão consultou as autoridades de proteção de dados competentes nacionais e europeia, obtendo a informação de que não existia investigação por conduta similar [8].

Superada a parte referente à legitimidade de atuação da autoridade concorrencial no tema, a decisão do TJUE passou à análise das questões suscitadas quanto ao mérito das práticas de coleta e processamento dos dados obtidos fora da rede social Facebook, à luz do RGPD, sobre as quais o Bundeskartellamt havia discorrido longamente em sua decisão administrativa.

A esse respeito, o tribunal alcançou, de modo geral, as mesmas conclusões da autoridade concorrencial alemã quanto à inadequação das bases legais evocadas pelo Facebook para fundamentar a coleta e combinação dos dados obtidos fora da rede social. Nesse sentido, elencam-se a seguir alguns exemplos dessas conclusões, que encontram paralelo na decisão da autoridade concorrencial.

O TJUE entendeu que os dados pessoais coletados de sites e aplicativos de terceiros, os quais são combinados no perfil da rede social, podem ser caracterizados como dados sensíveis, a depender do seu conteúdo. Considerando que esses dados não poderiam ser tidos como manifestamente públicos, sua coleta e combinação na rede social somente poderiam ocorrer com o consentimento explícito dos usuários [9].

O tribunal igualmente fez objeções à utilização da base legal da necessidade contratual, afirmando que, embora a personalização gerada pelos dados pessoais obtidos de fora da rede social possa ser útil aos consumidores, o conteúdo personalizado não seria estritamente necessário para a prestação do serviço [10]. Essa conclusão também é a mesma da autoridade irlandesa e do Conselho Europeu de Proteção de Dados (EDPB) em decisão recente que multou a Meta em 390 milhões de euros por violação ao RGPD [11].

Indo além, e no mesmo sentido do Bundeskartellamt, o TJUE também apresentou objeções à utilização da base legal do legítimo interesse como fundamento para o processamento dos dados pessoais obtidos fora da rede social. Apontou que a coleta de dados se expande a número potencialmente ilimitado de dados, abrangendo quase toda a atividade online dos usuários e causando a sensação de que são constantemente monitorados. Aduziu que os interesses e direitos fundamentais dos usuários se sobrepõem aos interesses do controlador na utilização desses dados para publicidade personalizada, o que inviabilizaria a utilização da base legal do legítimo interesse para fundamentar o tratamento dos dados obtidos fora da rede social [12].

Outro aspecto destacado pelo TJUE é a necessidade de consideração da posição dominante do agente econômico controlador dos dados pessoais, a fim de avaliar se o consentimento foi obtido de forma válida e livre. Isso porque, afirmou o Tribunal, a posição dominante pode criar um desequilíbrio entre o titular e o controlador dos dados, levando à situação de imposição de condições que não são necessárias para a execução do contrato, o que, na visão do Tribunal, parece ter ocorrido no caso concreto [13].

A esse respeito, vale rememorar que o Bundeskartellamt havia discorrido extensamente em sua decisão sobre como a posição dominante da rede social Facebook causava um manifesto desequilíbrio em relação aos titulares de dados pessoais, seja para entender que não havia consentimento livre, seja para apontar um desequilíbrio no teste de balanceamento referente ao legítimo interesse.

Similarmente, um aspecto que permeou o acórdão do tribunal europeu, portanto, diz respeito à inexistência de alternativas para os usuários. O TJUE afirmou que os usuários devem ser livres para recusar partes do serviço não necessárias para a execução do contrato, sem que sejam obrigados a se abster totalmente do serviço, o que significa, nessas situações, que devem ser ofertadas alternativas equivalentes, menos intrusivas, com menor processamento de dados. Portanto, considerando a escala do processamento de dados em questão, o Tribunal considerou apropriado que haja um consentimento destacado em relação aos dados coletados fora da rede social, a fim de que o consentimento seja considerado livre, em vista da situação de desequilíbrio [14].

Como dito, todas essas considerações sobre o julgamento pelo TJUE foram semelhantes àquelas da decisão da autoridade concorrencial alemã, de modo que a única conclusão possível é a de que o TJUE chancelou a interpretação do Bundeskartellamt, ao menos no tocante às questões encaminhadas ao Tribunal. Ademais, embora o julgado faça menção a diversos pontos que deverão ser objeto de apuração pelo Tribunal a quo (de Düsseldorf), o texto da decisão, de caráter vinculativo, parece não ter deixado margem para uma interpretação muito diversa, à luz das circunstâncias do caso concreto [15].

Vale destacar que a fundamentação do julgamento do TJUE está em consonância não apenas com a decisão da autoridade concorrencial, mas, sobretudo, com a decisão do Tribunal de Justiça Federal alemão (Bundesgerichtshof – BGH) [16], de 2020, o qual apontou que a imposição da coleta de dados fora da rede social constituiria uma forma de expansão indevida dos termos do serviço, restringindo a escolha dos consumidores e, nessa linha, causando efeitos anticompetitivos no mercado.

A menos que haja uma reviravolta, o efeito prático do julgamento em comento deverá ser aquele almejado pela autoridade concorrencial alemã, ou seja, o usuário caminhará para ter uma escolha baseada no consentimento explícito, entre "sim" ou "não", acerca do rastreamento de dados fora da rede social para fins de publicidade direcionada no Facebook. Isso não apenas na Alemanha, mas, possivelmente, em toda a União Europeia. É difícil antecipar, no momento, o impacto mais amplo que a decisão poderá ter em outras empresas que operam negócios de publicidade online.

Vale destacar também que o julgamento do TJUE ocorreu em um momento em que as jurisdições alemã e europeia já introduziram alterações legislativas ou novas legislações — respectivamente, a Seção 19ª do GWB e o Digital Markets Act — de modo a proibir ou dificultar a exploração excessiva ou combinação de dados pessoais, possibilitando o consentimento explícito dos usuários ou a oferta de alternativas menos intrusivas, o que pode ser considerado reflexo do próprio caso Facebook.

O julgamento do TJUE ilustra que é necessário maior diálogo entre as disciplinas do Direito Concorrencial e Proteção de Dados Pessoais, que podem exercer influência mútua, a exemplo do conceito jurídico-econômico de posição dominante e sua influência na interpretação acerca da validade das bases legais de tratamento de dados. Ademais, ambas as disciplinas podem atender a princípios concorrenciais comuns, como a garantia da existência de escolhas, redução de assimetrias de informação, diversificação da oferta, melhoria qualitativa, em atenção às preferências e ao bem-estar do consumidor.

Ademais, a decisão do TJUE, reconhecendo a possibilidade de atuação da autoridade concorrencial no tema e indicando critérios para cooperação, pode auxiliar a sedimentar um movimento observado não apenas na Europa, mas em todo o mundo, incluindo Brasil, de aproximação entre as autoridades de concorrência e de proteção de dados pessoais, voltado seja à análise de mérito dos casos, seja ao desenho de remédios concorrenciais que envolvam dados pessoais.