Em 16 de julho de 2024, o Idec e o MPF de SP entraram com a maior ação judicial da história do país em proteção de dados, contra o WhatsApp e a ANPD. A ação civil pública questiona a mudança de 2021 da política de privacidade do WhatsApp, que permitiu o compartilhamento de dados do WhatsApp a outras empresas do grupo Meta (como Facebook e Instagram), assim como violações de princípios por parte da ANPD na condução desse processo. O valor da causa é de R$ 1,7 bilhão.

A alteração da política de privacidade do WhatsApp em janeiro de 2021, no auge da pandemia, foi informada por meio de um pop-up aos usuários quando o aplicativo era acessado, com um botão em destaque para aceitar a mudança e a informação de que o usuário deveria aceitar ou o aplicativo deixaria de funcionar em alguns meses. Nesta política, aumentou-se a quantidade de informações pessoais de usuários coletadas pelo aplicativo de forma automática, como nível da bateria e localização, e há previsão de compartilhamento de todos os dados coletados para as demais empresas da Meta, com o intuito de aprimorar o conteúdo e publicidade direcionada.

O Idec denunciou a mudança na ANPD e em outras autoridades, como a Senacon (Secretaria Nacional do Consumidor) e o Cade (Conselho Administrativo de Defesa Econômica). Ainda em 2021, estas autoridades, junto do Ministério Público Federal, consideravam que a política poderia apresentar violações ao direito dos consumidores. Contudo, passados alguns meses, a ANPD passou a atuar sozinha, indo na contramão de sua própria análise prévia sobre a insuficiência dos compromissos do WhatsApp e o alto risco à privacidade da mudança, declarando a conclusão de seu procedimento. Além disso, a análise do compartilhamento de dados pessoais efetuado pelo WhatsApp a outras plataformas do grupo Meta foi separada em procedimento apartado, do qual não tivemos notícias de avanços até o momento.

Ao longo de sua investigação, a ANPD negou reiteradas vezes acesso e participação do Idec e de outras organizações da sociedade civil. Ainda, atribuiu sigilo de forma geral ao procedimento, impedindo acompanhamento por interessados, até mesmo do Ministério Público Federal no exercício de suas atribuições investigatórias.

Violações a direitos

A ação traz violações à LGPD (Lei Geral de Proteção de Dados), ao CDC (Código de Defesa do Consumidor), ao MCI (Marco Civil da Internet) e também à Constituição Federal (CF).

Por parte do WhatsApp, as violações são suscitadas por seu descumprimento do princípio da necessidade, do seu dever de transparência e da garantia de direitos de titulares, todas nos termos da LGPD. Além disso, alega-se prática abusiva e violação ao direito à informação, nos termos do CDC.

Por parte da ANPD, violações aos princípios da administração pública de publicidade e eficiência. Ainda, violações à LGPD dos princípios da transparência e da prevenção, de seu dever de prestar contas e de seu poder-dever de colaboração, somado à obstaculização aos poderes requisitórios do MPF.

Pedidos

Em consequência das violações suscitadas, o Idec apresenta pedidos liminares (antecipados, em caráter de urgência) e definitivos para a causa:

Ao WhatsApp, liminarmente, que limite o compartilhamento de dados às demais empresas da Meta e crie uma ferramenta de opt-out (oposição/revogação de consentimento) ao tratamento de dados impostos abusivamente em 2021, ambos em linha com a União Europeia. Em sede definitiva, a confirmação da liminar, assim como indenização de R$1,7 bilhões ao Fundo de Defesa de Direitos Difusos (FDDD).

À ANPD, liminarmente, a apresentação de cópia de seus processos administrativos aos autores da ação, assim como os documentos declarados como sigilosos e o motivo da decretação desses sigilosos. Em sede definitiva, a elaboração de norma detalhada sobre sigilo em seus processos administrativos, garantindo a publicidade e a prestação de contas como regra e o sigilo como exceção. Foi dada a oportunidade de a ANPD reconhecer a necessidade de elaboração de regras de sigilo e, assim, inverter sua posição processual, passando a atuar junto do Idec e do MPF no processo, para analisar os abusos na política de privacidade do WhatsApp.

On July 16, 2024, Idec - Institute for Consumers' Protection and the Federal Public Prosecutor's Office of São Paulo (MPF SP) filed the largest data protection lawsuit in the history of Brazil against WhatsApp and the Brazilian National Data Protection Authority (ANPD). The public civil action (similar to a class action) questions 2021 WhatsApp's privacy policy change, which allowed WhatsApp's users' data to be shared with other Meta's platforms (such as Facebook and Instagram), as well as violations of principles by the ANPD in conducting this process. The value of the case is R$1.7 billion (approximately US$ 310 million dollars).

The change to WhatsApp's privacy policy in January 2021, at the peak of the pandemic, was informed through a pop-up showed to users when the app was accessed, with a highlighted button to accept the change and the information that the user had to accept or the app would stop working in a few months. In this privacy policy, there has been an increase of the amount of personal information collected automatically by the app, such as battery level and location,and all the non-encrypted data collected is expected to be shared with other Meta companies for content improvement and especially targeted advertisement purposes.

Idec denounced the change to the ANPD and other authorities, such as Senacon (National Consumer Secretariat) and Cade (Administrative Council for Economic Defense, the antitrust authority). Still in 2021, these authorities, alongside the Federal Public Prosecutor's Office, considered that the policy could violate several rights. However, after a few months, the ANPD proceeded with its own investigation, but closed the proceeding in contradiction with its own previous analysis of the insufficiency of WhatsApp's commitments and the high risk to privacy of the change. In addition, a separate procedure about WhatsApp's data sharing with other Meta's platforms was opened, but there hasn't been any public progress to date.

Throughout its investigation, the ANPD repeatedly denied Idec and other civil society organizations access and participation. In addition, it assigned secrecy to the procedure, in contradiction with the rule of publicity of administrative acts and preventing follow-up by interested parties, even the Federal Public Prosecutor's Office in the exercise of its investigative powers.

RIGHTS' VIOLATIONS

The lawsuit alleges violations of the LGPD (General Data Protection Law, Law nº 13.709/2018), the CDC (Consumer Protection Code, Law nº 8.078/1990), the MCI (Civil Rights Framework for the Internet, Law nº 12.965/2014) and the Federal Constitution (CF).

On WhatsApp's side, the data protection law's violations are due to its failure to comply with the principle of necessity, its duty of transparency and the guarantee of the rights of data subjects. It also alleges consumer law’s violations caused by abusive practices and violation of the right to information.

On ANPD's side, violations brought are based on the public administration principles of publicity and efficiency. Also, violations of the data protection law’s principles of transparency,prevention, accountability and the authority's duty to collaborate, in addition to hindering the MPF's powers to request documents.

REQUESTS

As a result of the violations raised, Idec is presenting provisional remedy (as a matter of urgency and evidences) and definitive requests for the case:

For WhatsApp, the provisional remedy request focuses on the limitation of data sharing to other Meta companies and the creation of an opt-out tool (opposition/revocation of consent) to the processing of abusively imposed data in 2021, both in line with the European Union. In the final instance, the request is a confirmation of the injunction, as well as compensation of R$1.7 billion to the Fund for the Defense of Diffuse Rights (FDDD).

To the ANPD, the preliminary relief request is to submit a copy of its administrative proceedings to the plaintiffs, as well as the documents declared confidential and the reason for their secrecy. In the final instance, the elaboration of detailed rules on secrecy in its administrative processes, guaranteeing publicity and accountability as a rule and secrecy as an exception. The ANPD was given the opportunity to recognize the need to draw up secrecy rules and thus reverse its procedural position, joining Idec and the MPF in the process to analyze abuses in WhatsApp's privacy policy.