Dixon expõe falhas sistémicas do RGPD

Quando um cidadão apresenta uma queixa de privacidade contra Facebook, Instagram, WhatsApp ou TikTok, o processo raramente fica nas mãos do regulador do seu país. Vai para Dublim. A Comissão Irlandesa de Proteção de Dados trata de quase toda a aplicação do Regulamento Geral sobre a Proteção de Dados (RGPD) às grandes tecnológicas globais, e a sua antiga líder acaba de reconhecer que o modelo não responde bem aos problemas mais importantes. Helen Dixon afirmou este mês, num evento da Law Society, que o RGPD «nem sempre é útil para questões sistémicas» (Law Society of Ireland).

A frase tem peso porque vem de quem dirigiu a autoridade irlandesa durante os anos em que esta concentrou os maiores processos europeus contra as plataformas digitais. O que Dixon descreve é uma tensão estrutural que se acumulou ao longo de oito anos.

Como uma cidade se tornou a capital europeia da privacidade

O RGPD criou, no artigo 56.º, um mecanismo conhecido como «balcão único» (EUR-Lex). A lógica era pragmática: em vez de uma empresa ter de responder perante 27 reguladores nacionais, a autoridade do país onde tem o seu principal estabelecimento na União Europeia fica responsável pelos casos transfronteiriços. Apple, Google, Meta, TikTok, LinkedIn e Microsoft instalaram as suas sedes europeias na Irlanda. A autoridade irlandesa tornou-se, na prática, o regulador europeu da privacidade para grande parte da indústria tecnológica (anonym.community).

O circuito de aplicação passa pelo mecanismo de cooperação do artigo 60.º. A Comissão Irlandesa de Proteção de Dados, enquanto autoridade principal, investiga a queixa e prepara uma proposta de decisão. Depois partilha-a com as restantes autoridades nacionais de proteção de dados afetadas pelo caso, chamadas autoridades interessadas. Se estas levantarem objeções, como acontece com frequência, o desacordo sobe ao Comité Europeu para a Proteção de Dados, que pode impor uma decisão vinculativa (EUR-Lex). É como se Dublim redigisse a sentença, mas os restantes reguladores pudessem contestar a pena.

O sistema foi pensado para evitar que as empresas escolhessem jurisdições mais brandas. Na prática, criou outro problema: uma autoridade de dimensão média transformou-se no ponto de estrangulamento da aplicação do RGPD a um continente inteiro.

Multas grandes, cobrança lenta

A autoridade irlandesa aplicou cerca de 80% das principais multas europeias às tecnológicas ao abrigo do RGPD (anonym.community). As sanções mais visíveis incluem 1,2 mil milhões de euros à Meta por transferências ilegais de dados de utilizadores europeus para os Estados Unidos, 530 milhões de euros à TikTok por permitir o acesso de engenheiros chineses a dados europeus, e 310 milhões de euros à LinkedIn por perfilagem comportamental ilegal (anonym.legal).

Aplicar multas e cobrá-las são coisas diferentes. As empresas recorrem praticamente de todas as decisões relevantes, e os tribunais irlandeses podem suspender o pagamento enquanto os processos avançam. A distância entre as sanções anunciadas e o dinheiro efetivamente recebido continua a ser grande. Os outros reguladores nacionais também têm limites próprios: no sistema de cooperação do artigo 60.º, podem apresentar objeções, mas não agir autonomamente em casos transfronteiriços que envolvam estas empresas. Observam enquanto Dublim decide.

Uma correção com prazo

Um novo regulamento processual do RGPD, que entrará em vigor em abril de 2027, introduz um prazo de 15 meses para as autoridades principais emitirem propostas de decisão em casos transfronteiriços (Netguardia). No regime atual, algumas investigações arrastaram-se durante anos. A multa de 1,2 mil milhões de euros aplicada à Meta demorou cinco anos entre a queixa inicial e a decisão final. A reforma também fixa prazos mais claros para as autoridades interessadas apresentarem objeções e para os litígios seguirem para o Comité Europeu para a Proteção de Dados (Netguardia).

A alteração processual responde ao problema da lentidão. Não resolve a assimetria de fundo: uma autoridade nacional, sujeita aos tribunais irlandeses e ao direito administrativo irlandês, carrega a responsabilidade regulatória por empresas tecnológicas que servem 450 milhões de europeus. O reconhecimento de Dixon de que o quadro legal tem dificuldade em lidar com problemas sistémicos (Law Society of Ireland) aponta para aquilo que a reforma de 2027 deixa intacto. As decisões poderão chegar mais depressa, mas continuarão a passar pelo mesmo canal estreito. A questão mais importante é saber se a Europa acabará por rever o canal, e não apenas a velocidade a que os processos circulam dentro dele.