CD nº 18/2024 — o plano de conformidade da Meta

Página 1

Autoridade Nacional de Proteção de Dados

VOTO Nº 23/2024/DIR-JR/CD

PROCESSO Nº 00216.004529/2024-36INTERESSADO: META PLATFORMS, INC. (“Meta”)DIRETOR:JOACIL BASILIO RAEL

1. ASSUNTO

1.1. Medida preventiva. Pedido de reconsideração com efeito suspensivo.

2. EMENTA

2.1. TRATAMENTO DE DADOS PESSOAIS COM A FINALIDADE DE TREINAMENTO DE SISTEMAS DE INTELIGÊNCIA ARTIFICIAL GENERATIVA. MEDIDA PREVENTIVA. PEDIDO DE RECONSIDERAÇÃO COM EFEITO SUSPENSIVO. RETORNO DOS AUTOS PARA DELIBERAÇÃO DO RESTANTE DA MATÉRIA, APÓS DILIGÊNCIA PELA CGF.

2.2. APROVAÇÃO DO PLANO DE CONFORMIDADE ATUALIZADO APRESENTADO PELA EMPRESA. MEDIDAS QUE AMPLIAM A TRANSPARÊNCIA E FACILITAM O EXERCÍCIO DOS DIREITOS DOS TITULARES. COMPROMISSO DE NÃO REALIZAR TRATAMENTO DE DADOS PESSOAIS DE USUÁRIOS MENORES DE 18 ANOS. APRESENTAÇÃO DE TESTE DE BALANCEAMENTO E ADOÇÃO DE SALVAGUARDAS QUANTO AO USO DA HIPÓTESE LEGAL DO LEGÍTIMO INTERESSE.

2.3. SUSPENSÃO DA MEDIDA PREVENTIVA APLICADA À META,

SEl 00261.005032/2024-14 / pg. 1

Página 2

COM A DETERMINAÇÃO DE CUMPRIMENTO INTEGRAL DO PLANO DE CONFORMIDADE.

2.4. CONTINUIDADE DAS AÇÕES DE FISCALIZAÇÃO DA ANPD EM CURSO. MONITORAMENTO DA IMPLANTAÇÃO DO PLANO DE CONFORMIDADE E DO LANÇAMENTO E IMPLEMENTAÇÃO DO SISTEMA DE IA A SER DISPONIBILIZADO PELA META.

3. RELATÓRIO

3.1.Trata-se de pedido de reconsideração interposto (SEl nº0132023), no âmbito de Processo Administrativo Fiscalizatório, pela META PLATFORMS, INC. (“Meta”) contra decisão do Conselho Diretor (SEI nº0135943), que aplicou medida preventiva determinando a imediata suspensão no Brasil: (i) da vigência da nova política de privacidade da empresa, no que toca à parte relativa ao uso de dados pessoais para fins de treinamento de sistemas de IA generativa; e (ii) do tratamento de dados pessoais dos titulares para essa finalidade em todos os produtos da Meta.

3.2.O processo foi distribuído a este Gabinete após sorteio realizado em 8 de julho de 2024, conforme certificado nos autos (SEl nº0136566).

3.3.Em seguida, proferi o Despacho DIR-JR/CD (SEI nº 0136563),a fim de obter subsídios técnicos para embasar a tomada de decisão pelo Conselho Diretor, que culminou na Nota técnica nº

28/2024/FIS/CGF/ANPD (SEI nº 0137027).

3.4.Foi proferido o Despacho Decisório PR/ANPD nº 24/2024(SEl nº 0137083), nos termos do Voto nº 19/2024 DIR-JR/CD (SEI nº0137070), determinando a prorrogação do prazo por mais 5 (cinco) dias úteis, para o cumprimento do item (b) do Despacho Decisório nº 20 (SEI nº 0135943), e postergação da análise dos pedidos de concessão de efeito suspensivo e do pedido de reconsideração integral da decisão, até a realização de análise técnica das medidas propostas.3.5.A Meta apresentou, em 09/07/2024, Petição de cumprimento de medida preventiva (SEl nº 0137088) relativo ao item (i)do Despacho Decisório nº 20, informando que suspendeu no Brasil a aplicação das mudanças que fez na política de privacidade publicada em

Voto 23 (0141565)

SEl 00261.005032/2024-14 / pg. 2

Página 3

26/06/2024 relacionadas à IA da Meta.

er s er s • s r a er s t t a a a e a n t d a t v t s e a l 3.6.A Coordenação-Geral de Fiscalização (CGF), nos termos da Nota Técnica nº 32/2024/FIS/CGF/ANPD (SEl nº 0137107), comprovou que o agente regulado cumpriu tempestivamente o item (a) do Despacho Decisório nº 20.

3.7.Em 15/07/2024, a CGF e a Meta reuniram-se, conforme Registro de Reunião (SEl nº 0133804), com o objetivo de esclarecer as propostas suscitadas pela regulada em sua petição de reconsideração e adequá-las às preocupações da CGF.

3.8.Em 16/07/2024, a Meta apresentou Petição de cumprimento de medida preventiva (SEl nº 0137120), relativo ao cumprimento do item (b) do Despacho Decisório nº 20, assinada por sua Encarregada de Dados Pessoais.

3.9.Em 23/07/2024, a Meta apresentou, por meio da Petição (SEl nº 0135271), o teste de balanceamento do legítimo interesse relacionado estritamente ao tratamento de dados pessoais disponibilizados publicamente pelos usuários adultos da Meta no Instagram e Facebook.

3.10.Em 26/07/2024, a Meta peticionou o Plano de Conformidade (SEl nº 0135828). Após análise, a CGF, em reunião com a regulada em 06/08/2024, apontou melhorias (SEl nº 0137437), que deveriam ser registradas no plano de conformidade no prazo de 3 (três)dias.

3.11.Em 05/08/2024, a Meta encaminhou Relatório de Impacto àProteção de Dados Pessoais (RIPD) (SEl nº 0137343), a Petição com respostas à solicitação de informações enviada pela CGF (SEI nº 0137346),assim como novo teste de balanceamento do legítimo interesse (SEl nº0137344), incluindo o tratamento de dados de menores de 18 (dezoito)anos.

3.12.Em 06/08/2024, foi realizada nova reunião entre a CGF e a Meta (SEl nº 0137437), com fito de apontar melhorias ao Plano de Conformidade.

3.13.Em 09/08/2024, a Meta colacionou aos autos o Plano de Conformidade atualizado (SEl nº 0138512).

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 3

Página 4

3.14.Em 21/08/2024, a CGF apresentou Nota técnica nº39/2024/FIS/CGF/ANPD (SEI nº 0140555), com análise das medidas propostas no plano de conformidade apresentado pela META. Ato contínuo, a Secretaria-Geral da ANPD encaminhou pedido de esclarecimentos (SEl nº 0135828) à Procuradoria Federal Especializada (PFE), quanto ao adequado encaminhamento administrativo a ser adotado: i) novo sorteio de relatoria entre os diretores; ou, ii)encaminhamento da matéria para o relator que apreciou o recurso de reconsideração.

3.15.Por fim, em 22/08/2024, a PFE recomendou o retorno dos autos ao Diretor proponente da instrução adicional (SEl nº 0140946).

4.1.Para fins de contexto, cumpre relembrar que a Meta Platforms Inc, por meio de seus representantes legais, apresentou ao Conselho Diretor da ANPD, em 05/07/2024, pedido de reconsideração (SEl nº 0132023) contra a decisão administrativa exarada por meio do Despacho Decisório CD/ANPD nº 20/2024 (SEI nº 0135943), com as seguintes solicitações:

a) A suspensão imediata, ad referendum posterior do Conselho, dos efeitos da medida preventiva objeto do Despacho Decisório CD/ANPD nº 20/2024, para que se possa estabelecer e enquanto perdurar um cronograma de entendimentos a ser alinhado entre a empresa e a ANPD para a implementação das medidas propostas àANPD;

b) Subsidiariamente, caso o mérito do pedido de reconsideração não seja examinado antes de 09/07/2024, seja conferida a extensão do prazo conferido para a apresentação à CGF de declaração assinada pelo encarregado, por membro do corpo diretivo ou representante legalmente constituído,atestando a suspensão do tratamento de dados pessoais para fins de treinamento de IA generativa no Brasil, para 15 (quinze) dias úteis, em virtude da complexidade técnica da demanda;

c) A reconsideração integral da medida preventiva objeto do Despacho Decisório CD/ANPD nº 20/2024,

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 4

Página 5

mediante comprometimento da Meta em implementar as medidas adicionais propostas, bem como outras eventuais medidas a serem discutidas com a ANPD em cronograma de trabalhos a ser acordado mutuamente.

4.2.Após manifestação da CGF, conforme a Nota Técnica nº28/2024/FIS/CGF (SEl nº 0137027), fui sorteado como diretor Relator, nos termos do art. 23, da Portaria nº 1, de 8 de março de 2021 (“Regimento Interno”), situação em que votei pela manutenção da decisão recorrida,até ulterior decisão do Conselho Diretor, consoante o Voto nº19/2024/DIR-JR/CD (SEI nº 0137070), determinando à Meta:

a) a prorrogação do prazo por mais 5 (cinco) dias úteis,para o cumprimento do item (b) do Despacho Decisório nº 20;

b) a postergação da análise dos pedidos de concessão de efeito suspensivo e do pedido de reconsideração integral da decisão, até a realização de análise técnica das medidas propostas e apresentação de plano de conformidade pela Meta, com a especificação de prazos concretos para a implementação das medidas nos termos do art. 36 do Regulamento de Fiscalização (Resolução CD/ANPD nº 01/2021), ou de documentação que comprove a sua entrada em vigor; e

c) a fim de subsidiar a análise técnica referida acima, a apresentação do teste de balanceamento da hipótese legal referente ao Legítimo Interesse, no prazo de até10 (dez) dias úteis.

4.3.O voto foi, então, submetido à apreciação do Conselho Diretor por meio de circuito deliberativo, nos termos do art. 6º, §2º, do Regimento Interno da ANPD, tendo sido aprovado conforme a Ata de circuito deliberativo nº 14/2024 (SEl nº 0137081). Em seguida, por meio do Despacho Decisório PR/ANPD nº 24/2024 (SEl nº 0137083), o Conselho Diretor da ANPD, em 09/07/2024, decidiu pela manutenção da decisão recorrida, até ulterior decisão deste Conselho Diretor, nos exatos termos do Voto nº 19/2024/DIR-JR/CD (SEI nº 0137070).

4.4.Nesse contexto, após o término do prazo para a apresentação da documentação, a Meta submeteu o teste de balanceamento do legítimo interesse referente ao tratamento de dados pessoais para fins de treinamento de modelos de IA generativa pela empresa (SEl nº 0135271 e SEl nº 0137344) , e o Plano de Conformidade Atualizado (SEl nº 0138512 , ambos encaminhados para o exame da

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 5

Página 6

suspensão ou revogação da medida preventiva aplicada pelo Conselho Diretor.

4.5.A medida preventiva adotada pelo Conselho Diretor teve como objetivo central proteger os direitos dos titulares de dados pessoais, interrompendo um tratamento de dados com potencial violação à LGPD e que representou risco iminente de dano grave e irreparável, ou de difícil reparação. Assim, a medida visou reduzir a probabilidade de concretização desses riscos, prevenindo maiores prejuízos aos titulares.

4.6.Em resposta a essa medida, a empresa afirmou que suspendeu o tratamento de dados mediante declaração assinada por sua Encarregada (SEl nº 0137120), em conformidade ao cumprimento do item c) do despacho decisório PR/ANPD nº 24/2024, e atualizou sua política de privacidade para informar que não estava utilizando dados pessoais de seus usuários para o treinamento de lA generativa. Além disso, se comprometeu a não realizar o tratamento de dados de contas de titulares menores de 18 anos (SEl nº 0135272) e apresentou os documentos solicitados com o objetivo de mitigar o risco iminente. Essas ações foram consolidadas em um plano de conformidade com medidas concretas, que agora servem como subsídio essencial para a análise do objeto do presente pedido de reconsideração.

4.7.

questões levantadas sobre as práticas de tratamento de dados pessoais em análise. A apresentação do plano de conformidade, o cumprimento das medidas estabelecidas e a cooperação demonstrada pela empresa evidenciam que, sob a lógica da regulação responsiva, a ANPD dispõe de espaço para continuar o processo de fiscalização, buscando levar a empresa à efetiva conformidade do tratamento de dados pessoais. Nesse sentido, o plano de conformidade cumpre os requisitos estabelecidos no art. 36 do Regulamento de Fiscalização da ANPD e demonstra ser adequado para mitigar os danos ou riscos iminentes aos titulares,especialmente no que diz respeito à transparência, prestação de contas e

4.8.Em aspectos formais, o plano cumpre os requisitos previstos no Regulamento de Fiscalização, ou seja, contém, no mínimo: (i)objeto; (ii) prazos; (ii) ações previstas para reversão da situação identificada; e (iv) critérios de acompanhamento. Para efetiva avaliação das medidas, caberá ao agente de tratamento comprovar o atendimento ao resultado esperado, além da eficácia das medidas adotadas para reversão da situação dentro do prazo estabelecido, como prevê a redação do § 2º do art. 36 do Regulamento de Fiscalização.

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 6

Página 7

4.9.Dessa forma, conforme análise efetuada pela área técnica (SEl nº 0140555), com a efetiva adoção das medidas previstas no plano de conformidade, incluindo a comunicação prévia aos titulares por meio de notificação, bem como o aprimoramento das medidas de transparência e dos mecanismos de opt-out (direito de oposição), ficam afastadas as potenciais irregularidades e os riscos identificados na medida preventiva inicial, em especial mediante o atendimento aos requisitos relacionados às legítimas expectativas dos titulares, e aos princípios da finalidade e da necessidade.

4.10.Tais afirmações, vale enfatizar, são efetuadas em sede de decisão preliminar, própria das medidas preventivas, e não afastam a continuidade do processo de fiscalização e do acompanhamento da implementação do plano de conformidade e do sistema de IA generativa a ser disponibilizado pela empresa. Portanto, a implementação dessas medidas é essencial para assegurar a transparência e a proteção dos direitos dos titulares, reforçando a adequação do plano de conformidade na mitigação dos riscos apontados.

4.11.É importante ressaltar que o eventual não cumprimento do plano de conformidade pelo agente regulado pode ensejar, entre outras medidas, a instauração de processo sancionador, hipótese que configurará circunstância agravante, conforme previsto no art. 31, § 2º,do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº1/2021.

4.12.Os elementos que levaram à determinação da medida preventiva foram relacionados a potenciais violações à LGPD quanto aos seguintes aspectos: (i) uso inadequado da hipótese legal do legítimo interesse (art. 7º, ix), tendo em vista o tratamento de dados pessoais sensíveis, a não observância das legítimas expectativas dos titulares e o não atendimento aos princípios da finalidade e da necessidade; (ii)ausência de transparência no tratamento de dados (art. 6º, VI), dada a falta de divulgação de informações claras, precisas e facilmente acessíveis sobre a alteração da política de privacidade; (ii) limitações excessivas ao exercício dos direitos dos titulares (art. 18); e (iv) tratamento de dados pessoais de crianças e adolescentes sem as devidas salvaguardas (art. 14).

4.13.Nesse sentido, em relação ao item (i), hipótese legal do legítimo interesse, a empresa apresentou toda a documentação exigida,incluindo o teste de balanceamento de legítimo interesse (SEl nº 0135271e SEl nº 0137344), do qual constam informações mais detalhadas sobre o tratamento de dados pessoais para a finalidade de treinamento de sistema de IA generativa, além de diversas salvaguardas implementadas a

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 7

Página 8

fim de evitar a identificação de titulares e de dados pessoais de terceiros por meio de inferências. As medidas de transparência a serem implementadas e a facilitação do exercício da opção de “opt-out”também são elementos que fortalecem o respeito aos direitos e às legítimas expectativas dos titulares.

4.14.Vale ressaltar que questões específicas relacionadas àhipótese legal do legítimo interesse e sua aplicabilidade para o caso em análise serão ainda apreciadas no decorrer do processo de fiscalização,considerando que se trata de tema complexo e multifacetado, que tem sido objeto de avaliação por outras autoridades de proteção de dados pelo mundo.

4.15.Nesse sentido, em recente documento que embasa consulta pública disponibilizada sobre o tema na França, a Comission Nationale de l’Informatique et des Libertés (CNiL) ressaltou que “controladores irão, em geral, basear-se nos seus interesses legítimos para o desenvolvimento de sistemas de lA. Entretanto, essa hipótese legal não pode ser utilizada sem respeitar os requisitos aplicáveis e sem a implementação de salvaguardas adequadas” (Disponível em:https://www.cnil.fr/en/relying-legal-basis-legitimate-interests-develop-aisystem).

4.16.Assim, seguindo o exposto pela autoridade de proteção de dados francesa, o que se faz necessário nesse momento é um aprofundamento sobre o tema, visando estabelecer um padrão de aplicação dessa hipótese legal para tais tratamentos de dados pessoais,além da definição de eventuais salvaguardas adicionais para garantir os direitos dos titulares.

4.17.Portanto, o aprofundamento técnico sobre o tema éessencial, e, assim, a aprovação do plano de conformidade e a suspensão da medida preventiva não devem ser interpretados como anuência irrestrita ao uso da referida hipótese legal para o tratamento em questão ou para todo e qualquer tratamento de dados pessoais visando ao treinamento de sistemas de lA. As questões que necessitam de maiores esclarecimentos, inclusive considerando as especificidades e a complexidade do presente caso concreto, continuarão a ser analisadas no processo de fiscalização específico.

4.18.Em relação ao item (ii), transparência no tratamento de dados, a empresa aprimorou os mecanismos de disponibilização de informações relativas ao tratamento de dados para lA generativa. O plano de conformidade apresentado inclui uma série de medidas, como notificações, atualizações na política de privacidade e a criação de uma

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 8

Página 9

área dedicada no site, o que demonstra alterações significativas para proporcionar maior transparência em atendimento às determinações da ANPD.

4.19.Quanto ao item (ii),referente ao exercício dos direitos dos titulares, a empresa aprimorou os mecanismos de opt-out, facilitou o acesso ao exercício de direitos para usuários e não-usuários, diminuindo a quantidade de cliques necessários para acessá-los, além de medidas facilitadas de transparência, conforme mencionado acima, nos termos do que foi determinado pela ANPD.

4.20.Em relação ao item (iv), tratamento de dados pessoais de crianças e adolescentes, o plano de conformidade inclui a previsão de que não será realizado tratamento de dados pessoais de contas de usuários menores de 18 anos com o intuito de treinar e desenvolver seus modelos de IA generativa. No entanto, a Meta ressaltou que continuaria a discutir com a ANPD, no âmbito do processo de fiscalização em andamento, a legitimidade do tratamento de dados pessoais dessa categoria de titulares. Até uma decisão posterior da ANPD, porém, o tratamento de dados pessoais nessas hipóteses continuará suspenso. A ação é um passo importante para cumprir as obrigações regulatórias e garantir o melhor interesse desse público. Vale ressaltar que, no que tange a dados de crianças e adolescentes coletados incidentalmente, por exemplo, em situações em que crianças e adolescentes burlam os mecanismos de verificação de idade, ou quando dados desse público são compartilhados por pais e responsáveis, aplicam-se as mesmas salvaguardas, mencionadas na Nota Técnica da CGF, para evitar a identificação dos titulares e de dados pessoais de terceiros por meio de inferências, além da possibilidade de opt-out.

4.21.Em resumo, os quatro principais elementos apresentados pelo Voto nº 11/2024 (SEl nº 0135913), que caracterizavam potenciais violações à LGPD e risco iminente de dano grave e irreparável ou de difícil reparação, e que justificaram a adoção da medida preventiva foram atendidos pelo plano de conformidade apresentado pela empresa, sem prejuízo da continuação da análise sobre as medidas de segurança e demais controles que possibilitariam a utilização da hipótese do legítimo interesse e sobre o eventual tratamento de dados pessoais de adolescentes, conforme apontado na Nota Técnica nº39/2024/FIS/CGF/ANPD (SEl nº 0140555).

4.22.Dessa forma, ainda em sede de decisão preliminar, própria das medidas preventivas, é possível afirmar que as medidas constantes do plano de conformidade atendem às determinações da ANPD e asseguram nível adequado de proteção aos direitos dos usuários e não

SEl 00261.005032/2024-14 / pg. 9

Página 10

usuários

,

demonstra

ndo, ademais,

o

compromisso e

interesse

da

empresa

em continuar cooperando para resolver as questões ainda

pendentes.

4

.

23

.

No próximo tópico, serão abordad

as

, com mais detalhes,

as

medidas

previstas no Plano de Conformidade e, na sequência, pontos

específicos relacionados

ao

uso da hipótese legal do

legítimo interesse

.

(i) Medidas previstas Plano de Conformidade – Meta (

SEI nº

0135828

) e Plano

de Conformidade Atualizado – Meta (

SEI nº

0138512

)

4

.

24

.

Com o objetivo de assegurar maior transparência e

prestação de contas

em suas operações

de tratamento

, a Meta

apresentou seu plano de conformidade detalhado. Este plano delineia as

ações específicas que a plataforma se compromete a implementar para

atender aos padrões regulatórios e de governança exigidos:

I

-

Não incluir

,

neste momento

,

dados pessoais disponíveis

publicamente de contas pertencentes a seus usuários no Brasil,

menores de 18 anos, no treinamento de seus produtos de IA

generativa;

II

-

Envio de notificação a todos os usuários nos aplicativos

Facebook e Instagram no Brasil;

III

-

Envio de notificação para o endereço de e-mail cadastrado

pelo usuário junto ao Facebook e Instagram no Brasil;

IV

-

Inclusão de

banner

no artigo “Como a Meta usa

informações para recursos e modelos de IA generativa”;

V

-

Inclusão de

banner

na página inicial da Central de

Privacidade no Brasil para garantir informações em destaque sobre

o tratamento de dados pessoais;

VI

-

Inclusão de

link

facilitado para o formulário de oposição;

VII

-

Atualização do Aviso de Privacidade do Brasil;

VIII

-

Atualização do

banner

da Política de Privacidade para

informar sobre a atualização de seu conteúdo e incluir

link

facilitado para o formulário do pedido de oposição;

IX

-

Simplificação do preenchimento do formulário de oposição

para garantir o exercício facilitado de direitos;

Voto 23 (0141565) SEI 00261.005032/2024-14 / pg. 10

Página 11

XI -Publicação na Sala de Imprensa da Meta para fornecer ainda mais informações sobre as melhorias de transparência e facilitação do acesso ao formulário de oposição;

lucão do número mínimo de caracteres par

XII -Reuuçao uo numero mmo ue caracteres para a solicitação do formulário de oposição disponível para qualquer indivíduo, incluindo não-usuários;

XIV -Meta se compromete a protocolar uma petição junto àANPD para confirmar cada compromisso assumido.

4.25.As medidas apresentadas, detalhadas a seguir, juntamente com os diálogos realizados em reuniões da CGF com representantes da empresa (SEl nº 0137119 e SEl nº 0137437), indicam que a implantação do plano de conformidade e as ações propostas conferem maior transparência e informação sobre o tratamento de dados. Dessa forma,não vislumbro quaisquer impedimentos para sua aprovação e continuidade.

Objeto 1 - Notificação aos usuários no Brasil

Item 7.8 Quanto ao envio de notificação aos usuários dentro dos aplicativos

4.26.Conforme indicado Nota Técnica nº 39/2024 (SEl nº0140555), a Meta apresentou informações que atendem às exigências estabelecidas, quais sejam: notificação nos produtos envolvidos no treinamento de IA; prazo de envio de notificações; quantidade de notificações; e transparência adicional por e-mail.

4.27.Assim, comprometeu-se que: (i) as notificações serão encaminhadas nos produtos Facebook e Instagram; (ii) o envio das notificações ocorrerá com antecedência de aproximadamente 30 (trinta)dias antes do início do tratamento de dados públicos de contas dos usuários para o desenvolvimento da lA Generativa da Meta; (iii) o usuário que tiver contas vinculadas na Central de Contas receberá uma notificação no aplicativo em que mais utilizar; (iv) usuário que tiver contas separadas no Facebook e no Instagram receberá duas notificações distintas, uma em cada um dos aplicativos; e (v) enviaria e-mail com o

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 11

Página 12

mesmo conteúdo da notificação que será enviada ao usuário dentro das plataformas Facebook e Instagram, desde que haja e-mail válido associado à conta.

Objetos 1, 2, 3 e 5 - Conteúdo das notificações aos usuários no Brasil e dos banners em artigo na Central de Privacidade, na página inicial da Central de Privacidade no Brasil e na Política de Privacidade

4.28.Conforme indicado Nota Técnica nº 39/2024 (SEl nº

0140555), algumas propostas de conteúdo originalmente apresentadas

pela área técnica foram contestadas pela empresa.

4.29.A Meta informou que realizou testes de linguagem regulatória para examinar o uso das expressões “dados” e “informações”,oportunidade em que os participantes indicaram uma preferência pelo uso do termo “informações” e que as políticas globais também utilizam a referida denominação, como, por exemplo, na língua inglesa, hipótese em que os dados pessoais também estão abarcados pelo termo “information” na Política de Privacidade. A empresa não apresentou a referida pesquisa, e, portanto, foi considerada como argumento subsidiário.

4.30.Não obstante, a área técnica registrou que (i) o uso do termo “informação” não parece afetar o propósito, no caso presente, da comunicação que se objetiva com a notificação, tendo em vista que o hiperlink, ao ser clicado, leva o usuário a banner específico que indica os dados pessoais que serão tratados; e (ii) em especial, a seção do “Aviso de Privacidade Brasil”, dentro da Política de Privacidade da Meta, jáinforma que a referida “seção se aplica a atividades de tratamento de dados pessoais”, ou seja, esclarece, desde o início, que o conteúdo que o segue engloba o tratamento de dados pessoais.

4.31.

4.J1.Nesse sentido, pelos motivos apresentados pela área técnica, não vejo como prejudicial a comunicação ao titular com o uso do termo “informações” no lugar de “dados”.

4.32.A Meta sugeriu a substituição da redação “desenvolver e melhorar a IA na Meta” por “desenvolver e melhorar modelos de IA generativa para os produtos e experiências de lA na Meta”, com base no novo texto proposto pela CGF, com a justificativa de que a sugestão foi adaptada “a partir de interações internas com equipes especializadas na experiência de usuário e em como eles podem compreender melhor as

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 12

Página 13

atividades da empresa”.

4.33.A área técnica se manifestou no seguinte sentido (i) o termo “desenvolver e melhorar” não parece identificar especificamente o uso dos dados para a finalidade de “treinamento” de recursos e modelos na lA generativa; (ii) que o mero jogo de palavras entre os termos “desenvolver e melhorar” e “treinar” não afasta a finalidade de treinamento dos modelos de IA generativa na Meta com base nos dados públicos dos titulares; pelo contrário, engloba-a; (ii) enfatizou que termos como “desenvolvimento” e “melhora” podem sugerir que a atividade de tratamento em questão, ou seja, o treinamento de recursos e modelos de lA generativa na Meta, a partir de dados públicos de usuários, já ocorria antes mesmo da adoção de meios mais transparentes para os titulares; (iv) não é possível afirmar, de forma assertiva, que os termos “desenvolver e melhorar” são os mais adequados para a experiência do usuário, em razão da ausência de produção de provas e de análise mais devida quanto a esta escolha.

4.34.Apesar dos apontamentos, levando em conta a postura colaborativa da regulada em atender as determinações e justificativas da CGF, tendo em vista a argumentação de que os termos são mais adequados para a experiência do usuário e considerando o contexto geral das medidas que foram propostas pela regulada, a CGF considerou que a compreensão geral da comunicação pelo titular não seria prejudicada e que a redação proposta pela Meta seria suficiente para atender, neste momento, às preocupações suscitadas.

4.35.Em acréscimo, é importante destacar que a finalidade de uso de dados pessoais para treinamento de lA deve ser considerada como parte integrante da frase “desenvolver e melhorar modelos de lA generativa”. Ademais, a interpretação a ser dada a esta expressão deve ser restritiva, no sentido de que eventual destinação dos dados pessoais para novas finalidades deve ser acompanhada das devidas atualizações na política de privacidade e da observância dos requisitos legais aplicáveis, incluindo o uso da hipótese legal apropriada e atendimento aos princípios previstos no art. 6º da LGPD, especialmente os da finalidade, necessidade e transparência.

4.36.Por tais razões, seguindo os motivos apresentados pela área técnica e o exposto no parágrafo anterior, não vejo impedimentos para a utilização da redação “desenvolver e melhorar a Al” ao invés de “treinar os recursos e modelos na lA”.

Objeto 4 - Atualização do Aviso de Privacidade do Brasil

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 13

Página 14

no Aviso de Privacidade do Brasil (SEl nº 0138512), e foram feitas alterações sugeridas pela CGF, que foram acatadas pela empresa,principalmente para descrever i) os tipos de dados usados; ii) a origem dos dados (Facebook e Instagram) e iii) a informação de que não são tratados dados de contas de usuários menores de 18 anos. No Plano de Conformidade (SEl nº 0138512), a Meta endereçou e acatou os tópicos ressaltados pela área técnica na segunda reunião (SEl nº 0137437),conforme texto integral informado no Objeto 4.b do referido Plano (SEI nº 0138512).

Objetos 6 e 8 - Aprimoramento do formulário do pedido de oposição

4.38.A Meta aprimorou o texto relacionado ao direito de oposição ao uso de dados pessoais para o treinamento de seus modelos de IA. Essas reformulações incluem tanto a ampliação da clareza do conteúdo, quanto a facilitação do acesso dos usuários a esse direito, por meio de novas medidas que serão implementadas pela plataforma. As modificações propostas representam um avanço significativo em termos de transparência e acessibilidade. Essas melhorias são fundamentais para o cumprimento das exigências estabelecidas pela LGPD, que prevê o direito dos titulares de se oporem ao tratamento de seus dados pessoais.Ao tornar o texto mais claro e o acesso ao direito de oposição mais fácil,o regulado demonstra um compromisso com a proteção dos dados pessoais de seus usuários e com a conformidade regulatória.

4.39.Vale ressaltar que, em relação a informações públicas de usuários da Meta, o plano de conformidade prevê que o pedido de oposição é “atendido automaticamente, de modo que não há necessidade de recurso por parte do usuário. A Meta envia, logo na sequência, um email de confirmação ao usuário com o status e a confirmação do atendimento”.

4.40.Assim, em termos práticos, os usuários das plataformas da Meta (Facebook e Instagram) que não estiverem de acordo com o uso de seus dados pessoais para fins de treinamento de IA da empresa, poderão:(i) manifestar oposição, mediante a opção de “opt-out”, que serádisponibilizada pela empresa de forma facilitada, incluindo por e-mail, e processada automaticamente, seguindo as determinações da ANPD; ou (ii) rever as configurações de sua conta, alterando-a para conta privada,uma vez que somente são utilizadas informações públicas de usuários.

4.41.Por sua vez, mesmo os titulares que não são usuários das plataformas da Meta poderão manifestar oposição ao eventual uso de seus dados pessoais para fins de treinamento do sistema de IA da empresa, como, por exemplo, na hipótese de fotos suas postadas por um

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 14

Página 15

usuário do Instagram. Nesses casos, o titular poderá fazer a solicitação e aguardar a resposta da empresa, o que deve ocorrer em torno de 15 dias,prazo este necessário para que sejam adotados os procedimentos técnicos para o processamento do pedido, incluindo a identificação dos dados pessoais dos não usuários.

4.42.É importante registrar que a solicitação de “opt-out”poderá ser exercida antes do início da realização do tratamento dos dados ou mesmo após o início deste tratamento, conforme as informações e orientações que serão disponibilizadas pela Meta. Nesta última hipótese, o tratamento será interrompido a partir da data em que o pedido for atendido pela empresa.

4.43.Verifica-se, ainda, que em atendimento às determinações da ANPD, o formulário a ser disponibilizado foi alterado pela empresa para assumir formato intuitivo e de simples preenchimento. Por exemplo,foram excluídos o campo “país” e a obrigatoriedade de preenchimento de certas informações (como o e-mail, que virá pré-preenchido,considerando o e-mail cadastrado pelo usuário; e a necessidade de fornecer informações adicionais). Tais exigências, que constavam do modelo original do formulário de oposição, tornavam complexa e, na prática, poderiam inviabilizar a realização do pedido de “opt-out” pelo usuário.

4.44.Por fim, ressalta-se que a CGF considerou, acertadamente,que o preenchimento da caixa de conteúdo adicional e caixa anexa, no formulário disponibilizado para o exercício do direito de oposição por não usuários, não deverá ser imposto como obrigatório, uma vez que esta exigência implicaria limitação excessiva aos direitos dos titulares. Tal alteração deve ser providenciada pela empresa como parte do processo de aprimoramento do formulário do pedido de oposição, nos termos apresentados na Nota Técnica nº 39/2024/FIS/CGF/ANPD:

7.40. Desse modo, a CGF entende que a utilização da caixa de conteúdo adicional, para o processamento de pedidos de oposição feitos por não-usuários, deve ser disponibilizada como uma ferramenta opcional para o exercício de tal direito. Por outro lado, a Meta pode indicar aos não-usuários, no texto do formulário, que a falta de informações adicionais quanto à eventual identificação de seus dados pessoais, resultante da interação de produtos de IA na Meta, pode prejudicar o atendimento da demanda. Nesse sentido, érazoável que seja informado ao requisitante que o envio de informações adicionais, por meio dos anexos e considerações

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 15

Página 16

adicionais, pode comprovar a alegação do titular, bem como facilitar a compreensão pela empresa de quais comandos e quais respostas foram treinadas para se vincularem.

7.41. Diante do exposto, a CGF entende que o preenchimento da caixa de conteúdo adicional e caixa de anexo não deverá ser imposto como obrigatório. Ressalva-se que a regulada indicou que o prazo de implementação dessas medidas será atendido até o dia 26 de agosto, de forma que, atualmente, não foi possível comprovar a implementação da medida no formulário (0140579). Assim como suscitado anteriormente, esta CGF entende ser possível que a medida preventiva seja suspensa até comprovação de tal implementação facilitada nos autos e dentro do prazo máximo fixado no dia 26 de agosto, o qual será comprovado no dia 27 de agosto à CGF, conforme definido no Plano de Conformidade Atualizado.

Objeto 7 - Publicação na Sala de Imprensa

Imprensa da Meta para fornecer mais informações sobre as melhorias de transparência e facilitação do acesso ao formulário de oposição,

permitindo maior transparência para os titulares usuários e não-usuários das plataformas.

Prazos

4.46.Em relação aos prazos, será necessário repactuar os prazos previamente acordados, considerando que as datas do cronograma jáforam ultrapassadas, o que pode impactar o planejamento original.

4.47.Dessa forma, determino que a Meta apresente cronograma de implementação do plano de conformidade atualizado, seguindo parâmetros similares ao apresentado anteriormente, em especial no que concerne ao prazo mínimo de trinta dias entre o envio da notificação aos titulares e o início do tratamento de dados públicos de contas de usuários.

4.48.

Critérios de acompanhamento

4.49.

Meta esclareceu que todas as medidas a serem

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 16

Página 17

implementadas serão comprovadas por meio de peticionamento nos autos até 1 (um) dia após o início de suas respectivas implementações,conforme os prazos estabelecidos nos itens indicados.

4.50.Diante do exposto, considera-se que a adoção das medidas propostas no plano de conformidade 1, 2, 3, 4, 5, 6 e 7 é suficiente, no presente momento, para efetivar a devida transparência e assegurar o exercício dos direitos dos titulares quanto ao tratamento de dados pessoais para o treinamento de modelos de IA generativa pela empresa,levando em conta as fundamentações da Nota Técnica da Fiscalização e a necessidade de comprovação das ações nos autos.

(ii) Legítimo interesse e treinamento de IA generativa da Meta

4.51.A empresa apresentou à CGF o teste de balanceamento do legítimo interesse relacionado estritamente ao tratamento de dados pessoais disponibilizados publicamente pelos usuários adultos da Meta no

4.52.De acordo com o exposto pela área técnica (NT nº39/2024/FIS/CGF/ANPD, SEI nº 0140555):

6.4. O LIA apresentado pela Meta analisa quatro pontos principais quanto ao tratamento de dados pessoais com vistas ao treinamento de modelos de IA generativa:

(i) Descrição da atividade de tratamento. Nesta seção, a empresa descreve a atividade de tratamento e as finalidades para as quais os dados pessoais são tratados. Assim, além da descrição da atividade de tratamento, são prestadas informações mais detalhadas sobre a utilização dos dados pessoais de usuários e não usuários no contexto do treinamento dos seus modelos de lA generativa. A empresa,ainda, procura descrever as salvaguardas implementadas para evitar a identificação de titulares e de dados pessoais de terceiros por meio de inferências.

(ii) A identificação do legítimo interesse da empresa. São indicados os interesses legítimos que a empresa teria no desenvolvimento de modelos de IA generativa, com o uso de dados pessoais dos usuários e não usuários de seus produtos. A empresa procura, do mesmo modo, indicar os eventuais interesses de terceiros que seriam

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 17

Página 18

(iii) A necessidade do tratamento para atender os interesses legítimos da Meta. Nesta seção, são avaliadas a proporcionalidade da atividade de tratamento para atingir os interesses legítimos e a viabilidade de formas alternativas para atingir os mesmos objetivos do tratamento.

(iv) Teste de balanceamento entre os interesses legítimos da Meta com os direitos e liberdades dos indivíduos.

(v) Conclusão.

4.53.Considerando a documentação apresentada, é importante reconhecer avanços realizados em termos de transparência, facilitação do acesso a direitos dos titulares, implementação de mecanismos de opt-out e outras melhorias no tratamento de dados em análise. Essas iniciativas demonstram esforço para atender os princípios da finalidade e da necessidade, que foram questões levantadas para determinação da medida preventiva. No entanto, como já mencionado, as questões referentes à validade e à aplicabilidade do legítimo interesse como hipótese legal para tratamentos de dados no contexto de treinamento de inteligência artificial generativa pela empresa ainda requerem aprofundamento por parte desta Autoridade, especialmente em dois importantes aspectos que serão abordados a seguir.

4.54.Em primeiro lugar, é importante reforçar que a hipótese legal do legítimo interesse não se aplica ao tratamento de dados pessoais sensíveis, conforme estabelecido pela Lei Geral de Proteção de Dados (LGPD), e como sinalizado pelo Voto Nº 11/2024 (SEI nº 0135913).

4.55.No contexto em análise, referente ao tratamento de dados para o treinamento de l.A. generativa, especialmente com dados de plataformas de redes sociais pertencentes ao grupo da empresa Meta,verifica-se que dados sensíveis podem ser incidentalmente tratados, o que demanda a adoção de salvaguardas adequadas. Esses dados podem incluir opiniões políticas, dados de saúde, orientação sexual, convicções religiosas, entre outros. Tal cenário exige uma atenção redobrada e uma avaliação criteriosa, dada a natureza desses dados e os riscos associados ao seu eventual tratamento inadequado.

4.56.Como demonstrado pela CGF na Nota Técnica nº 39/2024(SEl nº 0140555), a Meta informou que adota salvaguardas que mitigam os riscos para os titulares - em especial mediante o uso de técnicas para desidentificar os dados pessoais coletados de usuários durante a fase de pré-treinamento de seus modelos de lA generativa. Além disso, alega que

SEl 00261.005032/2024-14 / pg. 18

Página 19

o modelo de lA generativa não possui o objetivo de identificar, direta ou indiretamente, indivíduos, inclusive no que tange a dados pessoais sensíveis.

4.57.Diante desse cenário, a empresa sugere que o tratamento de dados pessoais em questão poderia ser fundamentado no art. 7º, IX,combinado com o art. 10 da LGPD. Ainda, a empresa afirma que a identificação ou a possibilidade de reidentificação de usuários e não-usuários, inclusive no que se refere a dados pessoais sensíveis, seria bastante limitada em virtude das próprias características do tratamento de dados pessoais e em razão das medidas técnicas de segurança implementadas para evitar essa situação.

4.58.É nesse sentido que também se posicionou a CGF, conforme Nota Técnica nº 39/2024 (SEl nº 0140555), por meio da qual argumentou que “a existência de salvaguardas que garantam a possibilidade de pseudonimização dos dados pessoais de usuários, com o objetivo de mitigar eventuais efeitos lesivos aos titulares derivados do tratamento, mostra-se como medida concreta que permitiria a incidência das hipóteses legais do art. 7º da LGPD para o tratamento de dados pessoais com vistas ao treinamento de modelos de lA generativa”.

4.59.Na mesma ocasião, a área técnica ressalvou que a análise sobre a eficácia das medidas técnicas de segurança indicadas no teste de balanceamento do legítimo interesse demanda exame mais criterioso,inclusive com a possibilidade de comprovação documental pela empresa,bem como a avaliação das demais informações e documentos encaminhados pela Meta, por meio de resposta ao Ofício nº114/2024/FIS/CGF/ANPD (SEI nº 0134821), sem prejuízo de ações fiscalizatórias posteriores pela CGF, com objetivo de analisar a conformidade da atividade de tratamento em comento.

4.60.Por fim, como demonstrado, o voto em questão e a situação em análise não necessariamente levam à legitimação conclusiva do uso da hipótese legal do legítimo interesse para o treinamento de lA generativa.Ainda carece que a CGF aprofunde a sua avaliação sobre o tema, a fim de examinar cuidadosamente a eficácia dos instrumentos e fundamentos apresentados pela empresa.

SEl 00261.005032/2024-14 / pg. 19

Página 20

b) suspensão da medida preventiva aplicada à Meta pelo Conselho-Diretor, conforme Despacho Decisório PR/ANPD nº20/2024 (SEl nº 0135943), com a determinação de cumprimento integral do plano de conformidade.

5.2.A Meta deverá apresentar à CGF cronograma atualizado de implementação do plano de conformidade no prazo de cinco dias úteis,observados parâmetros similares ao cronograma apresentado anteriormente, em especial no que concerne ao prazo mínimo de trinta dias entre o envio da notificação aos titulares e o início do tratamento de dados públicos de contas de usuários. Além disso, no mesmo prazo,deverá providenciar a alteração no formulário disponibilizado para o exercício do direito de oposição por não usuários, visando a tornar facultativo o preenchimento da caixa de conteúdo adicional e caixa anexa, conforme destacado neste voto e na Nota Técnica nº39/2024/FIS/CGF/ANPD.

5.3.A aprovação do plano de conformidade e a suspensão da medida preventiva são aprovadas, neste momento processual, sem prejuízo da continuidade das ações de fiscalizaçãojá em curso e de outras que deverão ser adotadas pela CGF no âmbito do processo nº00261.004509/2024-36, conforme as disposições do Regulamento de Fiscalização, aprovado pela Resolução CD/ANPD nº 1/2021.

5.4.Determino, especialmente, que a CGF acompanhe rigorosamente a implementação do plano de conformidade ora aprovado, bem como o lançamento e a implementação do novo sistema de IA a ser disponibilizado pela Meta, com vistas ao monitoramento contínuo de riscos e impactos aos titulares e ao processamento de denúncias e reclamações apresentadas à ANPD.

5.5. Encaminhamentos:

a) Proponho a votação por meio de circuito deliberativo, nos termos do §1º do art. 41, do Regimento Interno;

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 20

Página 21

conformidade no prazo de cinco dias úteis; e (ii) continuidade do procedimento de fiscalização instaurado.

5.6.É como voto.

Documento assinado eletronicamente por Joacil Basílio Rael, Diretor(a), em 28/08/2024, às 14:13, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no sitehttps://anpdsuper.mj.gov.br/sei/controlador externo.php?

acao=documento_conferir&id_orgao_acesso_externo=O, informando o código verificador 0141565 e o código CRC BAA0FB18.

Referência: Caso responda a este documento, indicar expressamente o Processo nº

SEl nº 0141565

00261.005032/2024-14

Voto 23 (0141565)SEl 00261.005032/2024-14 / pg. 21

Página 22

Autoridade Nacional de Proteção de Dados

VOTO Nº 15/2024/DIR-MW/CD

INTERESSADO: META PLATFORMS, INC. (“Meta”)

Assunto: Medida preventiva. Pedido de reconsideração com efeito suspensivo.

CIRCUITO DELIBERATIVO

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos

do § 1º do art. 41 do Regimento Interno:

X Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

Voto 15 (0141857)SEl 00261.005032/2024-14 / pg. 22

Página 23

MIRIAM WIMMER

Diretora

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 28/08/2024, às 16:41, conforme horário oficial de Brasília, com fundamento ANPD no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no sitehttps://anpdsuper.mj.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=O, informando o código verificador 0141857 e o código CRC F7E163CF.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br

SEl nº 0141857

Voto 15 (0141857)SEl 00261.005032/2024-14 / pg. 23

Página 24

Autoridade Nacional de Proteção de Dados Conselho Diretor Diretor Arthur Sabbat

Brasília-DF, na data da assinatura.

VOTO Nº 15/2024/DIR-AS/CD/ANPD

INTERESSADO: META PLATFORMS, INC. (“Meta”)

CIRCUITO DELIBERATIVO Nº 18/2024 (0141841)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos

do § 1º do art. 41 do Regimento Interno:

X Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

Voto em Circuito Deliberativo 15 (0141858)

Página 25

ARTHUR PEREIRA SABBAT

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a)- Substituto(a), em 28/08/2024, às 16:19, conforme horário oficial de ANPD o Brasília, com fundamento no art. 6º, § 1º, doDecreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no sitehttps://anpdsuper.mj.gov.br/sei/controlador_externo.php?

acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0141858 e o código CRC 0D0624F7.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº

SEl nº 014185800261.005032/2024-14

Voto em Circuito Deliberativo 15 (0141858)

SEI 00261.005032/2024-14 / pg. 25