Marketing inteligente ou ilegal?

Trecho do livro de Bruno DUMAY: DESCRIÇÃO DO RGPD – Para gestores, departamentos estratégicos e funcionários de empresas e organizações – Prefácio de Gaëlle MONTEILLER

Sejamos claros: nos últimos quinze anos, o bom marketing tem se baseado, em grande parte, no uso inteligente de dados pessoais. Levante a mão se você nunca passou informações sobre um produto para um indivíduo específico sem pedir. Qual é? Ninguém levantou a mão, pensei. Vamos atirar a primeira pedra se você nunca guardou um nome, número de telefone ou endereço de e-mail sem notificar a pessoa em questão. Ok, sem pedras. Vamos atirar a primeira pedra se você... Acho que você entendeu.

Claro, alguns foram muito além, atraindo, recuperando, depois desviando ou transferindo perfis, interessantes porque consumidores, de pessoas inocentes que tiveram a fraqueza de abrir um site, seguir um link ou se expressar registrando-se, participando, deixando um comentário... E quem, é claro, se apressou em aceitar as condições gerais de venda; leu-as? Você acha que não. A responsabilidade, portanto, é compartilhada.

Ultimamente, é preciso admitir, as armadilhas se multiplicaram. Certamente, o frenesi consumista, o vício em redes, a necessidade de reconhecimento – "Eu existo, eu clico!" – não foram em vão na criação de bancos de dados gigantescos, centenas de milhões de indivíduos se entregando sem hesitação a qualquer um que queira assediá-los.

Então, por que nos privar? Era lindo, a nova economia, a horizontalidade, a Uberização, a inteligência artificial. Dados, que hobby! E todos nós fomos atrás disso, até o fim! A crise? Meu Deus. Não para todos, nem para tudo. Nunca homens pequenos fabricaram, venderam e compraram tanto. Para não afundar, vendemos. Mesmo que isso signifique entrar em colapso. Cada nome, e cada informação associada a esse nome, valia a pena ser mantido, testado, perfilado. Todo mundo precisa de algo, um dia. Você só precisa criar essa necessidade, desculpe revelá-la. Satisfazê-la? Sim, mas não muito, de qualquer forma. Para que a máquina continue girando.

Nós sabíamos. Nós aceitamos. Sim, mas lá vai. Fomos longe demais. Somos adultos? Não, adultos não existem. Só as crianças crescem. Então, como as crianças, sempre queríamos mais e fomos longe demais. Ou quase fomos longe demais. Antes que fosse tarde demais, as autoridades agiram. A CNIL não nos deixou ir, mas, benevolente e confinada ao seu próprio território, foi esmagada. Então a Europa interveio. Várias vezes. Primeiro em 1995, depois em 2016, com efeito hoje.

Qual é esse efeito? Ilegalidade. O que antes era marketing inteligente, agora é marketing ilegal. A partir de agora, se você usar seus arquivos de clientes ou usuários como antes, estará agindo ilegalmente. E sim. Mas?… Não. Como?… Porque.

Trata-se de entender o que são dados pessoais e como eles devem ser tratados. Os riscos são altos, os riscos também. Multas na casa dos milhões de euros, responsabilidade civil, justiça, tribunal, isso lhe diz alguma coisa? Não estamos mais brincando. Mark, Larry, Serguei, Jeff, vocês estão me ouvindo? Não riam, vocês também. Mesmo que os gigantes digitais sejam os principais alvos do GDPR, todas as organizações são afetadas, independentemente do seu tamanho. Grandes empresas, startups, encanadores, a prefeitura de Triffouillis e associações e tal: vocês não podem mais usar seus arquivos como bem entenderem.

Claro, já existiam algumas regras e sanções. Sério? Sim. Então, em janeiro de 2018, antes da regulamentação entrar em vigor, a Darty foi sancionada pela CNIL por não ter protegido suficientemente os dados de seus clientes. O uso contestado, na verdade, partiu de um subcontratado, mas foi a empresa que foi multada. Uma multa de € 100.000. Portanto, não é nada, mas é um pecado comparado ao que pode acontecer com você daqui para frente, se você também não for vigilante o suficiente.

Estamos sonhando. Não, de jeito nenhum. A legislação europeia estipula que os dados pertencem aos cidadãos e que nenhuma organização pode se apropriar deles para usá-los como bem entender. Ah... As empresas devem indicar de forma clara e precisa como coletam, processam e armazenam dados pessoais. É uma questão de lealdade, transparência, finalidades específicas, legítimas, adequadas e limitadas... Hein? Essas palavras nos fariam rir antes. Mas os tempos mudaram. As autoridades europeias estão reagindo, e podemos entender o porquê.

Você deve realizar uma avaliação de impacto antes de processar seus dados, aderir a um código de conduta que regerá as práticas em seu setor e nomear um responsável pela proteção de dados que reportará quaisquer incidentes à autoridade supervisora, a CNIL, na França. Diversas penalidades estão previstas para o descumprimento dessas normas, que variam de uma advertência a uma multa de € 20 milhões ou € 4 bilhões do faturamento global da empresa. Hum... Nossa!

É pesado. Até brutal. Mas é para o nosso próprio bem. Mesmo assim... Certo, certo. É verdade que algo precisava ser feito. Que nós, empresas, tendíamos a nos despojar, indivíduos. As primeiras tiram das últimas um nome, depois um endereço, depois um gosto, depois um hábito, depois um perfil, e então, sem que percebamos, tiram o livre-arbítrio delas. Liberdade. A maioria das empresas não tem más intenções. Apenas marketing. Mas no fim... Chega.

Com a Web 2.0, percebemos que a riqueza reside nos dados, o que levou à natureza todo-poderosa do big data hoje. Esse poder é tal que alguns se perguntam se a noção de uma fronteira entre a vida pública e a privada ainda tem algum significado. Não seria tarde demais?, questionam outros. Os idealizadores do GDPR não pensam assim, ou pelo menos não o dizem. Para eles, podemos e devemos intervir para que não sejamos despojados ou vampirizados pelos data centers e por aqueles que os possuem.

Essa oscilação do pêndulo está no ar. Um estudo da Pégasystems realizado com 7.000 consumidores na primavera de 2017 em sete países da União Europeia mostra que 82% dos cidadãos decidiram fazer valer seus direitos sob o GDPR. E os franceses, juntamente com os espanhóis e italianos, parecem ser os mais sensíveis em relação aos seus dados pessoais. Assim, 96% dos entrevistados franceses querem saber quais informações sobre eles são mantidas pelas empresas. Dada a crescente preocupação dos cidadãos em ter seus direitos reconhecidos, esses números não devem ser menosprezados.

Construindo confiança, combinando proteção e livre circulação

O GDPR não é, portanto, um texto que possa ser rapidamente esquecido após sua implementação. Seu objetivo é pôr fim ao roubo de informações que devem permanecer confidenciais e à intrusão na vida privada. A proteção dos indivíduos é, portanto, o objetivo principal do GDPR.

Desde o início dos considerandos (nada menos que 173), o tom está dado: “A protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais é um direito fundamental” (1^er considerando). E ainda “O tratamento de dados pessoais deve ser concebido para servir a humanidade” (4^e considerando).

Se a necessidade de proteção é sentida, é porque os membros do Parlamento Europeu e do Conselho, emanações representativas dos cidadãos da UE, consideraram que as empresas, e em alguns casos talvez as administrações, tinham ido longe demais na exploração de dados pessoais. De fato, o GDPR faz parte de uma evolução socioeconômica, lembrada no 6.º^e Considerando que: "Os rápidos desenvolvimentos tecnológicos e a globalização criaram novos desafios para a proteção de dados pessoais. A escala de coleta e compartilhamento de dados pessoais aumentou significativamente. As tecnologias permitem que empresas privadas e autoridades públicas utilizem dados pessoais em suas atividades comerciais como nunca antes. Os indivíduos tornam cada vez mais informações sobre si mesmos acessíveis ao público e em nível global. As tecnologias transformaram as relações econômicas e sociais e devem facilitar ainda mais a livre circulação de dados pessoais na União e sua transferência para países terceiros e organizações internacionais, garantindo ao mesmo tempo um alto nível de proteção de dados pessoais."

É claro que a UE não está culpando uma parte mais do que a outra, mas está mostrando as responsabilidades compartilhadas das empresas, das autoridades públicas, da tecnologia e dos próprios indivíduos.

A Europa também não está isenta, já que o 9º^e Considerando que afirma: "Embora continue satisfatória em termos de seus objetivos e princípios, a Diretiva 95/46/CE (o primeiro texto de referência europeu sobre o assunto) não impediu a fragmentação na implementação da proteção de dados na União, a incerteza jurídica ou o sentimento público generalizado de que ainda existem riscos significativos para a proteção de indivíduos, particularmente no ambiente online."

O principal problema identificado é a diferença nos níveis de proteção entre os países. Portanto, a unidade, para todas as empresas em toda a UE, e mesmo para os seus subcontratados fora da UE, parece ser uma condição sine qua non para uma política eficaz nesta área. "A fim de assegurar um nível de proteção consistente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União, o nível de proteção dos direitos e liberdades das pessoas singulares no que diz respeito ao tratamento desses dados deverá ser equivalente em todos os Estados-Membros. É, por conseguinte, adequado assegurar a aplicação coerente e uniforme das regras de proteção dos direitos e liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais em toda a União" (10).^e considerando).

O texto, embora muito restritivo como veremos, pretende, no entanto, ter um objetivo económico positivo: “Estas evoluções exigem um quadro de proteção de dados sólido e mais coerente na União, acompanhado de uma aplicação rigorosa das regras, porque é importante gerar a confiança que permitirá que a economia digital se desenvolva em todo o mercado interno” (7^e considerando).

"Confiança". Em nossa opinião, esta é a palavra mais importante. Se o GDPR visa garantir, restaurar ou "incutir" a confiança dos cidadãos nas partes interessadas públicas e privadas do mercado único europeu, então o apoiamos incondicionalmente. É essencial que as pessoas que compram online, utilizam um serviço, consultam ofertas ou expressam uma opinião possam realizar essas ações sem medo de serem privadas de parte de sua privacidade.

Sem medo de sermos despojados, ou mesmo assediados, para usar uma palavra da moda desde o final de 2017 que poderia se aplicar à tecnologia digital. Quantas vezes por dia recebemos informações que nunca solicitamos, supostamente porque assinamos algo que nem sabíamos que existia? Hoje, temos que cancelar a assinatura mesmo sem nunca termos sido inscritos. Se o GDPR for aplicado corretamente, isso não será mais necessário: o envio de uma newsletter agora é proibido sem o consentimento expresso do destinatário.

Esse respeito recém-descoberto é algo positivo. As trocas econômicas nunca são tão frutíferas quanto quando as diferentes partes se sentem confiantes umas nas outras.

Estas trocas fluidas são claramente incentivadas: «A fim de assegurar um nível consistente de proteção das pessoas singulares em toda a União e evitar divergências que impeçam a livre circulação de dados pessoais no mercado interno, é necessário um regulamento que garanta a segurança jurídica e a transparência aos operadores económicos, incluindo as micro, pequenas e médias empresas, que garanta às pessoas singulares em todos os Estados-Membros o mesmo nível de direitos, obrigações e responsabilidades aplicáveis aos responsáveis pelo tratamento e aos subcontratantes, e que garanta uma supervisão coerente do tratamento de dados pessoais e sanções equivalentes em todos os Estados-Membros, bem como uma cooperação eficaz entre as autoridades de controlo dos diferentes Estados-Membros. Para que o mercado interno funcione corretamente, é necessário que a livre circulação de dados pessoais na União não seja restringida nem proibida por motivos relacionados com a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais» (13)^e considerando).

Como podemos ver, a proteção de dados não deve ser um obstáculo, mas sim um trunfo "para o bom funcionamento do mercado interno". O artigo 1.º do RGPD incorpora esta combinação dos dois objetivos. Citemos simplesmente o primeiro parágrafo: "O presente regulamento estabelece regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados". Proteção e livre circulação, os dois fundamentos da União Europeia, não poderiam ter sido enunciados de forma mais explícita.  

Os recitais a seguir às vezes anunciam palavra por palavra os artigos que virão, exceto que eles são mais frequentemente escritos no condicional, para mostrar o desejo, a intenção, enquanto os artigos estão no indicativo, o que significa que são juridicamente vinculativos.

Estabelecida a filosofia do texto, observemos agora suas principais disposições.