...DESDE DUBLÍN... Após o anúncio do Ministério da Juventude e da Infância de abrir um processo para bloquear temporariamente os serviços do TikTok na Espanha, depois de ter-se conhecido uma investigação da Maldita.es, a Agência Espanhola de Proteção de Dados (AEPD) remeteu o caso às autoridades irlandesas. A decisão volta a colocar sobre a mesa uma das principais particularidades do modelo regulatório europeu: a supervisão de grande parte das grandes plataformas digitais se concentra no país onde elas estabeleceram sua sede principal dentro da União Europeia, independentemente de onde ocorram as possíveis infrações.
Ao localizar o TikTok sua sede europeia em Dublin, a Comissão de Proteção de Dados da Irlanda (DPC, sigla em inglês) é a autoridade de controle principal para supervisionar o cumprimento da normativa europeia de proteção de dados pela companhia. É, portanto, a instituição que deve tramitar as atuações relacionadas ao tratamento de informações pessoais que possam decorrer das denúncias apresentadas em outros Estados-Membros.
A Moncloa chegou a aventar até a possibilidade de bloquear o acesso a determinados links e conteúdos concretos da plataforma que pudessem implicar um tratamento ilícito de dados de menores. O Executivo defendeu que se trataria de uma intervenção limitada e justificada pela gravidade dos fatos. "Uma medida concreta, proporcionada e adequada com pleno respeito às liberdades de expressão", apontaram fontes governamentais.
No entanto, a Agência Espanhola de Proteção de Dados lembrou que suas competências não permitem acordar unilateralmente uma restrição geral de acesso a uma plataforma cuja autoridade principal de supervisão se encontra em outro Estado-Membro. "Compete ao Ministério Público e aos órgãos judiciais, que constituem também a sede natural para propor e, se for o caso, acordar judicialmente, de caráter geral, a retirada de conteúdos penalmente ilícitos e qualquer restrição do acesso a um serviço", acrescenta o organismo espanhol.
A distinção revela-se especialmente relevante num momento em que os governos nacionais procuram respostas mais rápidas perante os riscos que as plataformas digitais podem gerar para os utilizadores mais jovens. A proteção dos menores, a retirada de conteúdos ilícitos e o tratamento de dados pessoais são áreas relacionadas, mas submetidas a instrumentos jurídicos e autoridades de supervisão diferentes. Uma circunstância que obriga a coordenar as atuações nacionais e comunitárias antes de adotar medidas que possam afetar o funcionamento destes serviços.
O balcão único que conduz a Dublin
A regulamentação europeia estabelece um quadro harmonizado de proteção de dados para todo o bloco comunitário. A sua aplicação articula-se, em grande medida, através do mecanismo de balcão único, concebido para evitar que a mesma empresa tenha de responder perante procedimentos independentes e potencialmente contraditórios em cada um dos Estados-Membros em que opera.
Desta forma, quando uma empresa desenvolve atividades de tratamento de dados em vários países da União, a autoridade de proteção de dados do Estado onde tem o seu estabelecimento principal assume a função de autoridade de controlo principal. Esta instituição coordena as investigações e as decisões, embora deva manter uma cooperação estreita com as autoridades nacionais afetadas.
No caso da TikTok, a Irlanda torna-se assim a porta de entrada institucional para boa parte das reclamações europeias relacionadas com a proteção de dados da plataforma. Isto não significa que as autoridades espanholas fiquem completamente à margem. A AEPD pode investigar questões dentro das suas competências, recolher informações e transmitir as suas conclusões à autoridade irlandesa, que deverá coordenar a resposta com o resto dos organismos envolvidos.
O sistema também contempla mecanismos para resolver discrepâncias entre as autoridades nacionais. Se não existir consenso sobre uma proposta de resolução, o Comité Europeu para a Proteção de Dados (CEPD) pode intervir mediante um procedimento de coerência e adotar uma decisão vinculativa. O objetivo é impedir que a aplicação de uma mesma norma europeia dependa exclusivamente do critério da autoridade do país onde uma multinacional decidiu estabelecer a sua sede.
A este emaranhado soma-se a Lei de Serviços Digitais (DSA, pelas suas siglas em inglês), que introduz obrigações específicas para as plataformas em matéria de transparência, moderação de conteúdos, gestão de riscos e proteção dos utilizadores. A norma exige aos intermediários dispor de mecanismos para atuar perante conteúdos ilícitos quando deles têm conhecimento, de acordo com as obrigações que correspondem a cada categoria de serviço.
No caso das plataformas de muito grande dimensão (VLOP, pelas suas siglas em inglês), como TikTok, a supervisão das obrigações sistémicas previstas na DSA corresponde diretamente à Comissão Europeia. Bruxelas dispõe de competências para investigar possíveis incumprimentos, exigir informação, ordenar medidas corretivas e impor sanções quando for caso disso. Por este motivo, a AEPD prevê também transferir a informação recolhida para a instituição comunitária, para que possa agir no âmbito das suas competências digitais.
O caso evidencia, portanto, que uma mesma controvérsia pode ativar simultaneamente vários níveis de supervisão europeia: a proteção de dados, a regulação dos serviços digitais e, quando aplicável, a intervenção das autoridades judiciais nacionais.
O refúgio europeu das grandes tecnológicas
A particularidade da Irlanda não se entende apenas a partir do funcionamento da legislação comunitária. Há décadas, o país estruturou grande parte do seu modelo económico em torno da atração de investimento estrangeiro e das grandes multinacionais tecnológicas. Dublin tornou-se um dos principais centros tecnológicos e fiscais da Europa, com a presença de empresas como Google, Meta, Apple, TikTok ou Microsoft, que estabeleceram ali as suas sedes europeias ou importantes centros de operações.
A estratégia irlandesa combinou historicamente uma fiscalidade empresarial competitiva com um ambiente favorável ao investimento internacional, uma política que permitiu ao país atrair algumas das maiores empresas do mundo. O resultado é uma elevada concentração de atividade económica, emprego qualificado e operações corporativas ligadas ao setor tecnológico.
Esta posição também tem consequências regulamentares. A concentração das sedes europeias das grandes plataformas na Irlanda transferiu para as suas autoridades uma responsabilidade de supervisão que excede amplamente o tamanho do seu mercado nacional. A Comissão de Proteção de Dados irlandesa deve gerir investigações que afetam centenas de milhões de utilizadores europeus e algumas das companhias com maior capacidade económica e tecnológica do mundo.
Bruxelas tem mantido um debate recorrente sobre os riscos que implica esta concentração de competências. Uma supervisão excessivamente lenta ou uma aplicação pouco exigente das normas pode gerar diferenças no nível de proteção dos cidadãos europeus. Ao mesmo tempo, as decisões das autoridades nacionais podem ter repercussões económicas de grande alcance, especialmente em países onde a atividade destas multinacionais representa uma parte importante do emprego, do investimento e da receita fiscal.
Para a Irlanda, a presença destas companhias constitui um dos pilares do seu modelo económico. Um eventual deslocamento das suas operações para outros territórios teria consequências sobre o emprego, a arrecadação tributária e o peso do setor tecnológico no seu produto interno bruto. Esta dependência introduz uma tensão institucional difícil de resolver: o país deve garantir o cumprimento de uma legislação europeia que pode exigir medidas contundentes contra algumas das principais empresas instaladas no seu território, ao mesmo tempo que mantém um modelo económico estreitamente ligado à sua presença.
Uma autoridade sobrecarregada pelas grandes plataformas
A esta equação soma-se um problema de capacidade administrativa. A concentração, na Comissão de Proteção de Dados irlandesa, de uma parte substancial das grandes investigações europeias gerou durante anos críticas sobre a disponibilidade de recursos e a velocidade dos procedimentos. Fontes comunitárias puseram em causa em diferentes ocasiões os prazos das investigações irlandesas, que podem prolongar-se durante anos antes de alcançar uma resolução definitiva. Também existiram discrepâncias sobre a proporcionalidade das sanções inicialmente propostas e sobre a capacidade das autoridades para impor medidas corretivas com rapidez suficiente.
A dificuldade não é exclusivamente técnica. As investigações contra as grandes plataformas exigem analisar volumes ingentes de informação, estruturas empresariais complexas e tratamentos de dados que afetam simultaneamente distintos mercados. Além disso, as empresas dispõem de importantes equipas jurídicas e regulatórias para defender as suas posições durante os procedimentos administrativos. A jurisprudência e a prática de supervisão irlandesas priorizaram, em determinados processos, os acordos de conformidade e os procedimentos de investigação prolongados em detrimento de intervenções cautelares mais imediatas. Uma abordagem que por vezes chocou com a posição de outras autoridades nacionais, entre elas a espanhola, que defendem respostas mais rápidas face a determinados riscos para os cidadãos.
O sistema europeu prevê, no entanto, mecanismos para evitar que estas diferenças acabem por enfraquecer a aplicação das normas. Quando uma autoridade nacional apresenta uma proposta de resolução que outras instituições consideram insuficiente, o Comité Europeu de Proteção de Dados pode intervir para resolver as divergências e adotar decisões vinculativas. Isto permite, entre outras coisas, exigir modificações nas resoluções e ajustar as medidas ou sanções previstas quando não existe acordo entre os organismos envolvidos.
O processo relativo ao TikTok volta a pôr à prova este equilíbrio entre a competência nacional, a supervisão comunitária e a capacidade de reação das instituições europeias. Espanha reclama uma resposta perante os possíveis riscos que afetam os menores, mas a decisão sobre grande parte das obrigações de proteção de dados da plataforma passa por uma autoridade situada a mais de 1.500 quilómetros de Madrid.
A partir de Dublin, onde se concentra uma parte substancial do poder tecnológico europeu, a questão já transcende o caso concreto do TikTok. A União Europeia construiu um quadro normativo comum para controlar as grandes plataformas, mas a sua aplicação continua a depender de uma arquitetura institucional na qual as competências e os recursos nem sempre estão distribuídos de forma equilibrada. E é precisamente essa distância entre a ambição regulatória de Bruxelas e a capacidade efetiva das suas autoridades nacionais que volta a ficar sob escrutínio.