ANPD obriga WhatsApp a contratar auditoria independente sobre dados
A Autoridade Nacional de Proteção de Dados (ANPD) determinou que o WhatsApp contrate uma auditoria externa independente para verificar se as medidas adotadas pela plataforma são suficientes para limitar o compartilhamento de dados pessoais com a Meta. O Despacho Decisório foi publicado no âmbito do processo que investiga a relação entre as duas empresas no tratamento de dados de usuários brasileiros.
A medida preventiva exige que o WhatsApp selecione, em até 45 dias úteis, uma empresa certificada e sem vínculos com o grupo Meta, responsável por avaliar políticas de segurança, governança e retenção de dados. A auditoria deverá também verificar incidentes envolvendo acessos indevidos por funcionários da Meta, bem como comparar práticas adotadas com normas internacionais.
Concluída a auditoria, o WhatsApp terá cinco dias úteis para enviar o relatório à ANPD e 20 dias úteis para apresentar planos de ação corretiva junto à Meta, caso haja não conformidades. A implementação desses planos não poderá ultrapassar 40 dias úteis, salvo autorização da agência.
Leia também:Em 4 anos, ANPD aplicou sanções, multas e até suspendeu política da Meta no Brasil
Além da auditoria, a ANPD também determinou que o WhatsApp apresente um Plano de Conformidade em 20 dias úteis, contendo ajustes estruturais relacionados à transparência, bases legais de tratamento, interoperabilidade com serviços da Meta e comunicação com usuários.
Entre as determinações impostas, destacam-se:
• Proibição de usar a base legal de execução do contrato para justificar tratamentos voltados à melhoria do serviço.
• Alterações no Aviso de Privacidade Brasil, incluindo distinção clara entre atividades em que empresas do Grupo Meta atuam como controladoras ou operadoras.
• Separação e detalhamento dos serviços opcionais interoperáveis, como compartilhamento de Status no Facebook, com indicação explícita de quais dados são enviados à Meta e para que finalidade, incluindo publicidade.
• Ajustes nas telas de transparência, que deverão ser exibidas no início de cada uso de recurso opcional, listando taxativamente os dados compartilhados.
• Esclarecimento expresso de que, no Brasil, o WhatsApp não utiliza dados para sugerir conexões ou personalizar conteúdos com base nesses dados.
A ANPD também emitiu duas recomendações: que o WhatsApp informe que comunicações de marketing são enviadas fora da plataforma, e que inclua, na tabela de tratamento de dados, as bases legais correspondentes a cada operação.
O não cumprimento das medidas será considerado circunstância agravante em eventual processo sancionador, podendo levar a novas medidas preventivas ou repressivas. Já a observância dos prazos poderá ser tratada como atenuante, conforme o Regulamento de Dosimetria.
O WhatsApp terá ainda cinco dias úteis para se manifestar sobre a Nota Técnica que fundamenta o despacho, e dez dias úteis para eventual recurso à decisão.