Após 2 anos de investigação, Experian é autuada por tratamento abusivo de dados pessoais
O Information Commissioner’s Office (ICO), o órgão fiscalizador das normas do GDPR do Reino Unido, emitiu na última semana uma notificação de execução contra a empresa Experian. A notificação ordena que a agência referência em crédito realize “mudanças estruturais” na forma como trata os dados pessoais de clientes relacionados ao marketing direto da empresa no Reino Unido.
A investigação contra as CRAs
A medida foi consequência de uma investigação que se iniciou em 2018 sobre como as principais empresas de ranking de crédito do Reino Unido estavam negociando, enriquecendo e aprimorando os dados pessoais de seus clientes sem seu conhecimento ou consentimento.
As chamadas CRAs (Credit Reference Agencies), as empresas Experian, Equifax e TransUnion, utilizam dados pessoais de seus clientes em negócios “offline” para fins de marketing direto.
As consequências dessas tratativas são sérias e ferem gravemente as diretrizes e princípios das regulamentações de proteção de dados. Produtos foram usados por organizações comerciais terceirizadas para captação de novos clientes, houve a identificação dos titulares com maior probabilidade de pagar pelos produtos e a construção de perfis individuais em torno das informações das pessoas foram alguns dos resultados. Esses serviços também eram usados por partidos políticos e instituições de caridade.
Falhas de conformidade em todo o setor
Em relatório publicado acerca do caso, o ICO afirma, ainda, que encontrou “falhas significativas de proteção de dados” em cada CRA. “Alguns dos CRAs também usavam perfis para gerar informações novas ou até então desconhecidas sobre pessoas, o que muitas vezes é invasivo e fere o direito à privacidade”, continua o documento.
Ademais, dentre outras falhas sistemáticas, as informações de privacidade incluídas nos sites das investigadas sobre suas atividades de tratamento de dados “não explicavam claramente o que eles estavam fazendo com os dados das pessoas” e houve a utilização equivocada de bases legais para o tratamento de dados pessoais, afirmou o ICO.
Produtos e serviços foram retirados do ar
Após falhas nas tratativas de dados pessoais serem apontadas pelo ICO, as empresas Equifax e a TransUnion retiraram alguns de seus produtos e serviços do ar.
Nesse sentido, o órgão decidiu por não tomar nenhuma medida contra elas. “Sinto-me encorajado pela disposição da Equifax e da TransUnion de mudar suas práticas e colocar os direitos legais das pessoas em primeiro lugar”, disse Elizabeth Denham, integrante comissária informacional do ICO. “Agora espero que o setor de corretagem de dados como um todo assuma os mesmos compromissos.”
Sobre a notificação de execução
Ao explicar sua decisão de não impor uma multa, o ICO esclareceu que um aviso de execução “seria a primeira maneira eficaz e proporcional de cumprir a lei frente à situação. É uma ferramenta regulatória poderosa para exigir que uma organização pare de processar dados pessoais de uma determinada maneira.”
Especificamente, o aviso de execução “exige que a Experian informe às pessoas que ela retém seus dados pessoais internamente e como os utiliza ou pretende utilizá-los para fins de marketing”. Por exemplo, ele deve parar de filtrar os clientes em potencial das listas de marketing com base na situação financeira”,
A Experian deve atender às solicitações do ICO até julho de 2021. Se, ainda assim, se recusar no cumprimento das ações impostas pelo relatório, a empresa pode enfrentar uma multa de até £ 20 milhões ou 4% do faturamento anual total da organização em todo o mundo.
Aplicação ao cenário brasileiro
O caso em tela é, definitivamente, um ponto de atenção à todas as empresas que utilizam softwares de varredura sistêmica de dados considerados públicos.
“Embora essas empresas afirmem que podem processar os dados das pessoas com ou sem consentimento, o relatório do ICO deixou claro que mesmo com o consentimento, o repasse de dados a terceiros costuma ser inválido em algumas circunstâncias ”, declarou a empresa Privacy International.
“Portanto, o anúncio do ICO hoje sobre três dos maiores e mais conhecidos corretores de dados abre um importante precedente” .
“Todo país com leis de proteção de dados precisa olhar para esse setor. Cada regulador precisa se perguntar o que está fazendo para proteger as pessoas de seus dados serem explorados de maneira abusiva por ‘agências de referência de crédito’ como a Experian.” continua a empresa.
Dessa forma, é fundamental que todas as empresas signatárias desses serviços avaliem de perto a forma com que as companhias atuam, suas políticas de privacidade e, principalmente, se atentem ao compartilhamento de dados pessoais de clientes e ao nível de transparência com que tratam demandas de proteção de dados pessoais.
Fonte: https://lgpdnews.com/2020/11/apos-2-anos-de-investigacao-experian-e-autuada-por-tratamento-abusivo-de-dados-pessoais/#:~:text=seguran%C3%A7a%20de%20dados-,Ap%C3%B3s%202%20anos%20de%20investiga%C3%A7%C3%A3o%2C%20Experian%20%C3%A9%20autuada,tratamento%20abusivo%20de%20dados%20pessoais&text=O%20Information%20Commissioner’s%20Office%20(ICO,execu%C3%A7%C3%A3o%20contra%20a%20empresa%20Experian.