Facebook fez da Cambridge Analytica um teste de responsabilidade para dados de plataforma

Resumo

• O caso Cambridge Analytica não é apenas um escândalo de proteção de dados; é um registro do controle da plataforma sobre quem podia conceder acesso, quem podia verificar a exclusão, quem podia notificar os usuários e quem podia detectar o uso indevido de dados políticos antes que jornalistas, reguladores e legisladores impusessem responsabilidade pública.
• As fontes públicas da FTC, SEC, ICO, do Parlamento britânico, das autoridades canadenses de privacidade, do Facebook e de documentos judiciais apoiam uma distinção clara entre conclusões confirmadas, conclusões de governança baseadas em evidências e questões que permanecem desconhecidas a partir de evidências públicas.
• A lição mais forte em termos de responsabilidade é que as regras da plataforma de aplicativos são fracas quando o aplicativo depende principalmente das promessas dos desenvolvedores depois que os dados já cruzaram a fronteira técnica da plataforma.
• Os registros públicos não provam cada uso downstream de cada conjunto de dados de perfil, cada decisão de campanha, cada deliberação interna do Facebook ou cada dano individual; mas provam que o design e a aplicação das permissões da plataforma se tornaram uma superfície de controle para riscos cívicos.

O caso começou dentro de um sistema de permissões

Facebook fez da Cambridge Analytica um teste de responsabilidade dos dados de plataforma porque o controle central não se devia a uma senha roubada, a um firewall quebrado ou a uma intrusão externa misteriosa. Os registros públicos descrevem um caminho de plataforma de desenvolvedor. Um aplicativo de quiz de personalidade associado a Aleksandr Kogan coletou dados das pessoas que o instalaram e também pôde, sob o design da plataforma Facebook da época, coletar dados sobre os amigos desses usuários. A FTC descreveu mais tarde o caso mais amplo de privacidade do Facebook e o acordo sobhttps://www.ftc.gov/news-events/news/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-new-privacy-restrictions-facebook, enquanto a queixa da FTC sobhttps://www.ftc.gov/system/files/documents/cases/182_3109_facebook_complaint_filed_7-24-19.pdfe a ordem sobhttps://www.ftc.gov/system/files/documents/cases/182_3109_facebook_order_filed_7-24-19.pdftornaram o processo de aplicação permanente. A questão da responsabilidade é, portanto, prática: quem controlava a arquitetura de permissões, quem monitorava a conformidade dos desenvolvedores, quem verificava se os dados não estavam sendo compartilhados em outro lugar e quem informava os usuários quando a fronteira falhava?

A própria declaração do Facebook de março de 2018 sobhttps://about.fb.com/news/2018/03/suspending-cambridge-analytica/dizia que a empresa havia suspendido a Cambridge Analytica e outros depois de saber que os dados obtidos por meio do aplicativo de Kogan não foram excluídos como certificado. Esta declaração é importante porque confirma vários fatos de controle sem exigir especulação. Primeiro, o Facebook tinha uma fronteira de política de desenvolvedor. Segundo, o Facebook confiou em uma certificação ou confirmação de que os dados foram excluídos. Terceiro, a empresa posteriormente considerou a confirmação insuficiente. Quarto, a suspensão pública ocorreu anos após o período de coleta de dados do aplicativo e depois que a empresa já havia sido informada sobre a transferência. O problema não era apenas que uma regra existia. Era se a regra era aplicável depois que os dados já haviam deixado a plataforma.

A escala tornou-se pública na atualização de produto e privacidade do Facebook de abril de 2018 sobhttps://about.fb.com/news/2018/04/restricting-data-access/, que afirmava que as informações de até 87 milhões de pessoas podem ter sido compartilhadas inadequadamente com a Cambridge Analytica. Esta declaração deve ser lida com cuidado. Ela não prova que cada uma dessas pessoas sofreu a mesma consequência, que cada campo foi usado em uma campanha ou que uma cadeia causal completa de comportamento eleitoral é publicamente demonstrável. Mas é uma admissão em nível de plataforma de que o sistema de permissões criou uma exposição populacional. Um usuário que nunca instalou o quiz poderia, no entanto, fazer parte do caminho de dados porque um amigo o fez. É por isso que o evento entra em uma categoria diferente das disputas comuns sobre consentimentos de aplicativos.

A fronteira dos desenvolvedores é importante porque consentimento e controle não coincidiam. A pessoa que instala um aplicativo pode fazer uma escolha, por mais imperfeita que seja. Os amigos cujos dados se tornaram acessíveis por meio desse aplicativo não fizeram uma escolha específica do aplicativo. O Facebook controlava a arquitetura de produto que permitia esse fluxo de dados, os termos do aplicativo que restringiam os desenvolvedores e as ferramentas de aplicação que podiam detectar ou punir abusos.

Os usuários não controlavam nem as decisões comerciais do desenvolvedor downstream nem o mercado de dados políticos que tornou os dados valiosos posteriormente. Quando o controle e a exposição estão em lugares diferentes, a responsabilidade deve seguir a parte que projetou e operou a superfície de autorização.

Isso não significa que toda afirmação sobre o uso político avançado no debate público estava provada. O caso é mais forte e mais estreito. Mostra que a plataforma Facebook permitiu uma coleta em larga escala, que os dados chegaram à Cambridge Analytica ou a partes afiliadas, que as promessas de exclusão eram insuficientes, que os reguladores posteriormente encontraram falhas significativas na proteção de dados e na divulgação, e que a legislação tratou o caso como um problema de governança democrática.

A tarefa da responsabilidade é separar esses pontos provados de alegações infundadas, ao mesmo tempo que reconhece a gravidade de uma regra de plataforma que não impediu a exploração de dados políticos downstream.

Os registros regulatórios transformaram a desculpa em evidência

O acordo da FTC é um dos principais documentos públicos de responsabilidade porque vinculou o episódio da Cambridge Analytica às obrigações mais amplas de privacidade do Facebook sob uma ordem anterior da FTC. O comunicado de imprensa da FTC afirmou que o Facebook pagaria uma multa de 5 bilhões de dólares e concordaria com novas restrições de privacidade. A ordem fez mais do que impor um pagamento. Exigia um programa de privacidade, obrigações de certificação, estruturas no nível do conselho, revisões por avaliadores independentes e controles que afastavam a governança de privacidade de decisões informais de produto.

Uma multa sozinha pode ser vista como um custo de fazer negócios. Uma ordem de governança é uma tentativa de mudar quem deve ver, certificar e responder pelo risco.

O valor da queixa da FTC não reside no fato de responder a todas as questões históricas. Ela fornece uma descrição redigida pelo regulador das falsas declarações alegadas, das falhas dos controles de privacidade e de como o acesso dos desenvolvedores interagia com as configurações dos usuários. Ela também se alinha ao processo de aplicação específico da FTC contra a Cambridge Analytica, incluindo a ação e o parecer da FTC de dezembro de 2019 sobhttps://www.ftc.gov/news-events/news/press-releases/2019/12/ftc-issues-opinion-order-against-cambridge-analytica-app-developer-aleksandr-kogane o processo administrativo sobhttps://www.ftc.gov/legal-library/browse/cases-proceedings/182-3107-cambridge-analytica-llc-matter. Essas fontes ajudam a separar a responsabilidade da plataforma da responsabilidade dos atores downstream. O Facebook controlava a fronteira da plataforma. Kogan e a Cambridge Analytica enfrentaram suas próprias alegações e ordens sobre como os dados foram coletados, apresentados ou usados.

Os registros da SEC adicionam outra camada de responsabilidade. A SEC anunciou acusações contra o Facebook sobhttps://www.sec.gov/news/press-release/2019-140, afirmando que a empresa concordou em pagar 100 milhões de dólares para resolver alegações de que suas divulgações públicas apresentavam o uso indevido de dados de usuários como um risco hipotético depois que a empresa já sabia do uso indevido pela Cambridge Analytica. A ordem da SEC sobhttps://www.sec.gov/files/litigation/admin/2019/34-86457.pdfnão é uma ordem de privacidade no mesmo sentido do caso FTC. É um documento de divulgação de valores mobiliários. Seu significado é que a governança de dados de plataforma se tornou uma divulgação de risco para investidores. Uma vez que uma empresa sabe que um risco se materializou, um arquivamento público que trata esse risco apenas como possível pode se tornar um problema de responsabilidade tanto para acionistas quanto para usuários.

O Gabinete do Comissário de Informações do Reino Unido forneceu outro processo de aplicação público. Seu anúncio de outubro de 2018 sobhttps://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2018/10/facebook-issued-with-maximum-500-000-fine/afirmava que o ICO havia imposto a multa máxima disponível na época sob a lei antiga do Reino Unido de £ 500.000. O aviso de multa do ICO sobhttps://ico.org.uk/media/action-weve-taken/mpns/2260051/facebook-mpn-20181024.pdfdescrevia as falhas em proteger os dados pessoais dos usuários e em ser transparente sobre como os dados foram raspados por outros. O valor era baixo pelos padrões posteriores de plataformas globais devido aos limites do sistema jurídico da época, mas a constatação era importante: o ecossistema de desenvolvedores do Facebook havia se tornado uma questão de aplicação de proteção de dados fora dos Estados Unidos.

O Parlamento britânico tratou o caso como um problema de responsabilidade política e democrática. O relatório final do Comitê Seleto de Digital, Cultura, Mídia e Esporte da Câmara dos Comuns sobhttps://publications.parliament.uk/pa/cm201719/cmselect/cmcumeds/1791/1791.pdfcolocou a Cambridge Analytica no âmbito de uma investigação mais ampla sobre desinformação, gestão de campanhas baseada em dados, poder das plataformas e integridade eleitoral. Relatórios parlamentares não são julgamentos criminais. São documentos de supervisão pública. Seu valor aqui é mostrar por que a população afetada não se limitava a usuários de aplicativos ou anunciantes. O evento tocava em questões de persuasão política, transparência de campanhas, governança de plataformas e como instituições democráticas podem examinar sistemas de dados privados que moldam o debate público.

As autoridades canadenses de privacidade chegaram a uma conclusão semelhante. As conclusões conjuntas do Comissariado de Privacidade do Canadá sobhttps://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2019/pipeda-2019-002/constataram que o Facebook apresentava lacunas significativas de privacidade no caso Cambridge Analytica e não protegia adequadamente as informações dos usuários. Novamente, o valor público não está no fato de fornecer uma cronologia técnica interna completa. Mostra que vários reguladores em diferentes sistemas jurídicos chegaram ao mesmo problema de controle: uma plataforma não pode externalizar a proteção de dados para as promessas dos desenvolvedores de aplicativos e depois tratar abusos em larga escala como se tivessem ocorrido fora de seu escopo de responsabilidade.

A notificação aos usuários foi atrasada pelo design e lacunas de evidência

A questão da notificação aos usuários é central. O Facebook afirmou em 2018 que soube em 2015 por meio de jornalistas que Kogan havia compartilhado dados com a Cambridge Analytica e que exigiu certificações de que os dados foram destruídos. O escândalo público irrompeu em 2018 após reportagens do Guardian sobhttps://www.theguardian.com/news/2018/mar/17/cambridge-analytica-facebook-influence-us-electione do New York Times sobhttps://www.nytimes.com/2018/03/17/us/politics/cambridge-analytica-trump-campaign.html. Esses relatos não são documentos de aplicação primários, mas fazem parte da cronologia pública porque forçaram a questão de controle adormecida aos olhos do público. Os usuários então souberam que uma violação de dados conhecida dentro dos limites de confiança da plataforma não havia desencadeado uma ampla notificação simultânea aos usuários.

O atraso é importante porque as medidas de proteção de dados se degradam com o tempo. Um usuário que tivesse sido notificado em 2015 poderia ter alterado as configurações do aplicativo, verificado aplicativos conectados, alertado amigos, alterado as expectativas sobre dados políticos ou exigido provas de exclusão mais cedo. Um usuário notificado em 2018 recebeu informações depois que os dados já haviam sido compartilhados, depois que a disputa de certificação já havia envelhecido e depois que o uso dos dados políticos se tornou uma controvérsia pública. A notificação não é uma mera cortesia. É um restabelecimento do controle.

Permite que as pessoas afetadas decidam o que fazer quando a plataforma não tem mais o controle exclusivo do risco.

A atualização de abril de 2018 do Facebook afirmava que a empresa mostraria aos usuários se suas informações poderiam ter sido compartilhadas inadequadamente com a Cambridge Analytica e descrevia restrições mais amplas ao acesso de desenvolvedores. É uma medida corretiva, mas não apaga a questão da responsabilidade. Uma plataforma que espera a crise pública para informar os usuários cria uma lacuna de evidência. Os usuários não podem reconstruir quais dados foram acessados, como foram usados, se foram copiados ou se foram combinados com outros conjuntos de dados políticos ou comerciais.

A notificação tardia pode identificar uma exposição potencial, mas não pode restaurar integralmente o controle perdido para o usuário.

As evidências públicas mais fortes apoiam uma conclusão limitada: o Facebook tinha conhecimento prévio de um problema de transferência, confiou em certificações de exclusão e só informou os usuários depois que o problema se tornou público. Os registros não permitem que um leitor externo prove cada razão interna para o timing. Eles não provam que cada funcionário relevante do Facebook tinha o mesmo entendimento. Eles não provam cada uso downstream. Mas são suficientes para avaliar o design do controle.

Se uma plataforma recebe uma notificação de que dados foram compartilhados em violação das regras, uma promessa de exclusão não deve ser o fim da questão, a menos que a plataforma possa verificar independentemente a exclusão ou divulgar por que não pode.

É aqui que entra a economia do reporte de abusos. Uma plataforma de desenvolvedores deve decidir quanto investir na verificação de aplicativos suspeitos, reclamações de usuários, relatos de jornalistas, aplicação de regras para desenvolvedores, escalonamento jurídico e monitoramento pós-rescisão. Se a aplicação é barata para a plataforma, mas cara para os usuários contestarem, a plataforma pode subestimar os abusos até que a pressão externa se acumule. Um usuário não pode verificar Kogan, Cambridge Analytica, um provedor de serviços de campanha ou uma cadeia de dados intermediária.

O Facebook podia criar termos para desenvolvedores, bloquear aplicativos, restringir acesso à API, exigir certificações, ordenar auditorias e informar usuários. Essas não são ferramentas perfeitas, mas são ferramentas que a plataforma tinha e que os usuários não tinham.

A verificação de aplicativos falhou como controle de risco cívico

Os registros da Cambridge Analytica mostram por que a verificação de aplicativos não pode ser tratada apenas como uma função de produto de consumo. Em uma plataforma de mídia social, as permissões de aplicativos podem expor grafos sociais, sinais demográficos, curtidas, conexões de amigos e categorias comportamentais que podem ser valiosos para publicidade, modelagem psicográfica, segmentação de eleitores ou operações de influência. Isso não significa que todo aplicativo é político, que todo desenvolvedor é abusivo ou que todo conjunto de dados altera uma eleição.

Significa que a plataforma deve classificar certos fluxos de dados como riscos para a infraestrutura cívica antes que um escândalo prove o ponto.

As mudanças na API Graph do Facebook após o escândalo fazem parte das evidências. A atualização de abril de 2018 descrevia restrições a eventos, grupos, páginas, login, Instagram, pesquisa, histórico de chamadas e SMS e permissões de aplicativos. O fato de o Facebook ter conseguido restringir o acesso após o evento mostra que o sistema anterior era uma decisão de design, não uma lei da natureza. Uma plataforma frequentemente defende o amplo acesso à API como inovação para desenvolvedores. Esse argumento tem peso: aplicativos úteis dependem de acesso.

Mas uma plataforma que concede amplo acesso também deve financiar a aplicação, revogação, verificação e notificação significativa aos usuários. A inovação não isenta da obrigação de manter limites de autorização aplicáveis.

O caso FTC contra Kogan e a Cambridge Analytica é relevante porque mostra que os atores downstream também tinham obrigações. A FTC alegou práticas enganosas relacionadas ao aplicativo e à coleta de dados. Isso é importante para a equidade. O Facebook não era o único ator na cadeia. Kogan, Cambridge Analytica, campanhas políticas, corretores de dados e outros provedores de serviços tinham cada um controle potencial sobre seu próprio comportamento. Mas a responsabilidade da plataforma não é anulada por falha downstream. Um operador de ponte não é dispensado das grades de proteção simplesmente porque um motorista também se comporta mal.

A plataforma construiu o caminho pelo qual os dados viajavam.

Os fatos confirmados mostram que a verificação de aplicativos e a aplicação de regras não impediram o caminho dos dados. A conclusão baseada em evidências vai além: o modelo de governança do Facebook tratava a conformidade dos desenvolvedores como suficientemente gerenciável até que eventos públicos mostraram que não era. Essa conclusão é apoiada pelas restrições subsequentes, constatações regulatórias e pela própria cronologia de bloqueio e notificação do Facebook.

Permanecem desconhecidas: como cada decisão de verificação de aplicativo foi tomada, quais alertas internos foram emitidos, como o risco foi priorizado entre as equipes e quais auditorias privadas encontraram quais fatos em que momento. Essas incógnitas são importantes porque impedem um artigo público de fazer alegações individuais infundadas.

O mapa de controle prático é, no entanto, claro. O Facebook controlava as APIs, as regras de verificação, o acesso dos desenvolvedores, o escalonamento de aplicação, as decisões de bloqueio, as configurações do lado do usuário e as notificações públicas. Os desenvolvedores controlavam seus aplicativos e suas promessas. Os clientes de campanha controlavam como compravam e usavam serviços de análise. Os reguladores controlavam a aplicação e a regulamentação a posteriori.

Os usuários controlavam apenas configurações limitadas e suas próprias decisões de aplicativos, e a exposição por amigos significava que mesmo essas decisões podiam ser contornadas pela instalação de outra pessoa. Essa assimetria é a razão pela qual o design da plataforma é a principal superfície de responsabilidade.

O consentimento não viajava com os dados

O caso Cambridge Analytica é frequentemente descrito como uma falha de consentimento, mas essa expressão é muito estreita. O consentimento falhou porque não era portátil, visível ou aplicável depois que deixou o Facebook. Um prompt da plataforma pode pedir a um usuário que autorize um aplicativo a acessar certas informações. Não pode, por si só, garantir que o aplicativo manterá os dados separados posteriormente, não os venderá, não os combinará com arquivos de eleitores e os excluirá mediante solicitação. Uma vez que os dados cruzam uma fronteira, a aplicação técnica se torna mais difícil.

É por isso que as regras da plataforma devem incluir prevenção, verificação e auditoria contínua, não apenas um clique de aceitação.

O acesso a dados de amigos tornou a fraqueza ainda mais evidente. As pessoas afetadas podiam incluir aquelas que nunca interagiram com o aplicativo. A cadeia de consentimento não era apenas fina; era socialmente delegada. A ação de um usuário no aplicativo podia ter consequências sobre os dados de outro usuário. Essa estrutura está no cerne da soberania de dados e da localização de dados como um problema prático. As pessoas geralmente assumem que seus dados são governados pela plataforma e pelas expectativas legais associadas à sua conta.

Na realidade, as APIs da plataforma podem exportar dados para sistemas de desenvolvedores, empresas de análise, operações de campanha, armazenamentos em nuvem, entidades legais e jurisdições que o usuário nunca vê.

O processo de aplicação do ICO formulou o problema em termos de proteção de dados, enquanto a FTC o formulou em termos de promessas de privacidade e violações de ordens, e a SEC em termos de divulgação a investidores. São diferentes vocabulários jurídicos para o mesmo problema operacional. A governança de dados não pode ser reduzida a uma política de privacidade quando o sistema de autorização real permite que terceiros extraiam grandes quantidades de dados sociais e a plataforma não pode verificar a conformidade. Uma promessa de controle é tão forte quanto o mecanismo que impede o controle de evaporar.

Os compromissos subsequentes do Facebook com o programa de privacidade são relevantes porque deslocaram a governança para uma avaliação documentada. A ordem da FTC exigia um programa mais formal e certificações. Esses compromissos não provam que todo risco futuro desaparece. São evidências da camada de controle que os reguladores consideravam faltante ou inadequada.

Um programa maduro de dados de plataforma deve identificar permissões de alto risco, exigir justificativa de minimização de dados, testar as afirmações dos desenvolvedores, reter evidências de rescisão e exclusão, monitorar extrações anômalas, registrar decisões de aplicação e informar os usuários quando a plataforma não puder verificar o confinamento.

O caso também mostra por que o dano ao interesse público difere do dano comum de proteção de dados individuais. Uma pessoa pode não ser capaz de identificar uma única mensagem, um único anúncio ou uma única decisão causada pela transferência de dados. No entanto, a agregação de milhões de perfis pode ser significativa para sistemas políticos, sociedade civil e monitoramento eleitoral. A continuidade do setor público é relevante aqui porque instituições democráticas dependem da confiança na comunicação política, na transparência das campanhas e na equidade dos ambientes informacionais.

Uma falha de dados de plataforma pode, portanto, causar um dano que é difuso, institucional e difícil de reparar apenas com notificação individual.

As falhas de divulgação ampliaram o escopo da responsabilidade

O caso SEC ampliou o escopo da responsabilidade para além dos usuários e reguladores. Empresas de capital aberto divulgam riscos a investidores. A SEC alegou que a linguagem do fator de risco do Facebook descrevia o potencial de uso indevido de dados de usuários, embora a empresa já soubesse que o uso indevido havia ocorrido. A importância não reside simplesmente no fato de o Facebook ter pago um acordo. É que incidentes de proteção de dados podem se tornar incidentes de controle de divulgação.

Quando executivos, equipes jurídicas, equipes de privacidade e funções de relações com investidores têm imagens diferentes do mesmo evento, a responsabilidade pública se desfaz.

Isso é relevante para todas as grandes plataformas. Um incidente de proteção de dados pode começar em uma equipe de produto, ser tratado por uma equipe de políticas, escalar por canais jurídicos e depois permanecer fora da divulgação pública de valores mobiliários até que uma crise de reputação exploda. Os registros da SEC dizem que isso não é suficiente se o evento for material para investidores. Um programa de incidentes maduro deve conectar risco de produto, risco jurídico, risco de privacidade, risco de comunicação e risco de divulgação financeira.

Caso contrário, uma empresa pode saber que um evento ocorreu enquanto comunica ao mercado apenas a possibilidade de tal evento ocorrer.

O problema da divulgação também diz respeito aos usuários. Se uma empresa apresenta publicamente uma violação de dados conhecida como hipotética, os usuários podem subestimar a necessidade de verificar configurações, alterar seu comportamento ou exigir respostas. Investidores podem subestimar a extensão da exposição regulatória. Legisladores podem subestimar a urgência da supervisão. Anunciantes e desenvolvedores podem subestimar a mudança de governança por vir. A divulgação não é, portanto, uma formalidade. É um controle de coordenação entre partes interessadas que não podem ver os sistemas privados da plataforma.

Os registros públicos apoiam essa conclusão sem exigir especulação privada. A ordem da SEC, a ordem da FTC, a multa do ICO, as conclusões canadenses, o relatório parlamentar e as próprias declarações do Facebook descrevem aspectos sobrepostos do mesmo episódio. Os detalhes diferem, mas a direção é consistente: a Cambridge Analytica não foi um incidente de aplicação isolado. Tornou-se um teste para saber se uma plataforma pode identificar, gerenciar, divulgar e remediar o uso indevido de dados que cruzou sua própria arquitetura de autorização.

As incógnitas permanecem consideráveis. Os registros públicos não revelam cada reunião interna, cada rascunho, cada avaliação jurídica, cada alerta técnico ou cada decisão de gestão. Eles não permitem que estranhos reconstruam o caminho exato do conhecimento interno à linguagem de divulgação pública. Mas a ordem pública da SEC é suficiente para apoiar a conclusão de responsabilidade de que os controles de divulgação devem ser integrados aos controles de governança de dados. Uma equipe de privacidade que sabe de um abuso e uma divulgação de valores mobiliários que trata o abuso como hipotético não são mundos de risco separados.

As promessas de exclusão não eram prova de confinamento

Uma das lições mais importantes é a diferença entre promessas de exclusão e prova de confinamento. A declaração do Facebook de 2018 afirmava que ele havia exigido e recebido certificações de que os dados foram destruídos. Eventos posteriores mostraram que esse não era um ponto final suficiente para a confiança pública. Quando dados são copiados para os sistemas de outra entidade, a certificação pode ser um controle jurídico, mas não é o mesmo que prova técnica. Pode ser necessária; raramente é suficiente.

A prova de confinamento exigiria evidências mais fortes: quais dados eram detidos, onde estavam armazenados, quem tinha acesso, se foram copiados em backups, se modelos derivados foram criados, se terceiros os receberam, se a exclusão foi auditada independentemente, se os logs foram mantidos e se o não cumprimento seria detectado. Algumas dessas perguntas podem não poder ser totalmente respondidas após o tempo. É precisamente por isso que a prevenção e a verificação em tempo hábil são importantes. Quanto mais tarde uma plataforma tenta confinar dados exportados, mais incerta a prova de confinamento se torna.

O processo FTC contra a Cambridge Analytica e as ordens relacionadas ajudaram a atribuir responsabilidade aos atores downstream, mas não restauraram o controle dos usuários sobre a exposição histórica. A ordem FTC-Facebook tratava da governança da plataforma para o futuro. A multa do ICO impôs a penalidade máxima disponível sob a lei antiga relevante. O relatório canadense documentou lacunas significativas. Os processos civis adicionaram outro canal de responsabilidade pública, incluindo o site do acordo de privacidade sobhttps://www.facebookuserprivacysettlement.com/e o processo do tribunal distrital para In re Facebook, Inc. Consumer Privacy User Profile Litigation sobhttps://www.cand.uscourts.gov/judges/chhabria-vince-vc/in-re-facebook-inc-consumer-privacy-user-profile-litigation-mdl-no-2843/. Os processos de acordo não são o mesmo que conclusões após julgamento, mas mostram como as reivindicações dos usuários foram traduzidas em um quadro de compensação e liberação.

A lição de exclusão se aplica além do Facebook. Toda plataforma que permite que aplicativos terceiros coletem dados pessoais deve decidir o que acontece quando o aplicativo perde a autorização, viola a política ou altera sua finalidade. A plataforma obtém prova de exclusão legível por máquina? Audita desenvolvedores de alto risco? Verifica fluxos de dados antes de conceder permissões amplas? Monitora o volume de extração? Tem direitos contratuais para auditar sistemas downstream? Informa os usuários quando a exclusão não pode ser verificada? Diferencia entre erros comuns de desenvolvedores e transferências de dados com risco cívico?

A Cambridge Analytica mostrou o custo de responder a essas perguntas depois do ocorrido.

As evidências públicas apoiam uma conclusão baseada em evidências: a aplicação anterior do Facebook confiava demais em garantias após o movimento dos dados e não o suficiente em controles verificáveis do uso de dados antes ou durante o acesso. Essa conclusão se baseia nas declarações da empresa e nos registros regulatórios. Não deve ser estendida a alegações sobre cada aplicativo ou cada funcionário do Facebook. O ponto é sistêmico: a governança de dados de plataforma falha quando a política é tratada como um documento e não como um ciclo de controle aplicável.

O uso de dados políticos transformou o risco de plataforma em risco do setor público

Cambridge Analytica foi importante porque o caminho dos dados se sobrepunha à gestão de campanhas políticas e ao debate público. Um caso de abuso de aplicativo comercial pode prejudicar consumidores; um caso de abuso de dados políticos pode também afetar a confiança democrática. O relatório do Parlamento britânico tratava a gestão de campanhas baseada em dados, a responsabilidade das plataformas e a desinformação como problemas interligados. A atualização da investigação mais ampla do ICO sobhttps://ico.org.uk/media/action-weve-taken/2260271/investigation-into-data-analytics-for-political-purposes-update.pdfcolocou o caso Facebook no âmbito de uma investigação mais ampla sobre análise de dados para fins políticos. Essas fontes não provam cada afirmação pública sobre resultados eleitorais. Mostram que instituições democráticas consideravam os fluxos opacos de dados políticos como um problema de supervisão.

A distinção é importante. É fácil exagerar a influência comprovada da Cambridge Analytica nos resultados eleitorais. As evidências públicas não permitem uma afirmação causal nítida de que a transferência de dados alterou um resultado eleitoral específico. O caso de responsabilidade não precisa dessa afirmação. Um sistema de dados de plataforma pode ser irresponsável mesmo que a eficácia da persuasão downstream seja incerta.

A falha de controle reside no fato de que atores políticos puderam buscar vantagens a partir de dados cuja coleta, consentimento, transferência e status de exclusão não eram transparentes para as pessoas descritas pelos dados.

O risco dos dados políticos também altera o modelo de dano. Se um usuário recebe um anúncio manipulador, é atribuído a um público-alvo modelado ou é excluído de uma mensagem de campanha, o usuário pode nunca saber. Se uma campanha constrói uma estratégia com dados obtidos inadequadamente, estranhos podem não ser capazes de separar o efeito dos dados das mensagens, compras de mídia, operações de campo, arquivos de eleitores ou clima político mais amplo. A opacidade em si faz parte do problema de responsabilidade.

A continuidade do setor público depende da capacidade das instituições de examinar e contestar a infraestrutura que molda a comunicação política.

O Facebook posteriormente criou mais ferramentas de transparência para anúncios políticos e impôs mais restrições, mas o caso Cambridge Analytica continua sendo uma referência porque revelou a lacuna entre o alcance da plataforma e a supervisão pública. Reguladores podem punir depois. Legislaturas podem realizar audiências. Jornalistas podem investigar. Usuários podem processar. Mas nenhum desses mecanismos funciona tão claramente quanto os controles de plataforma que impedem a extração de dados de alto risco antes que se torne politicamente útil em outro lugar.

O caso pertence, portanto, tanto à continuidade do setor público quanto à soberania de dados. Uma plataforma global de mídia social não é uma agência governamental, mas pode moldar o ambiente informacional no qual as instituições públicas trabalham. Quando suas regras de aplicação falham, as consequências podem atingir a confiança cívica. Isso não significa que todo incidente de plataforma é uma falha de estado. Significa que os operadores de plataforma devem tratar certas permissões, especialmente aquelas que envolvem grafos sociais e análise política, como riscos de nível de infraestrutura.

O que mudou e quais evidências permanecem importantes

As mudanças do Facebook após o escândalo incluíram restrições ao acesso de desenvolvedores, notificações aos usuários, alterações na verificação de aplicativos, compromissos com programa de privacidade e garantias públicas da administração. A declaração preparada de Mark Zuckerberg e a página de transcrição da audiência sobhttps://about.fb.com/news/2018/04/transcript-of-zuckerbergs-senate-hearing/é relevante porque mostra como a empresa apresentou o caso aos legisladores como uma falha de responsabilidade exigindo mudanças de produto e governança. A ordem da FTC posteriormente transformou algumas garantias em obrigações executórias. A diferença entre uma promessa voluntária e uma ordem executória é central. Desculpas públicas podem iniciar a responsabilidade, mas a responsabilidade duradoura requer auditoria, relatórios, verificação e consequências.

As evidências a observar após a Cambridge Analytica não são apenas se um escândalo semelhante se repete. É se os fluxos de dados de alto risco são regulados antes do escândalo. Uma plataforma séria deve ser capaz de responder: quais permissões expõem amigos ou grafos sociais; quais aplicativos recebem combinações de dados sensíveis; quais desenvolvedores têm objetivos políticos, de corretagem, de análise ou de perfilamento; quais dados saem da plataforma; que evidências de exclusão existem; qual limite de notificação ao usuário se aplica; e quais executivos certificam que o sistema de controle funciona.

Essas são questões de governança, não questões de relações públicas.

Outro ponto de observação é se as configurações do usuário refletem controle real. Um painel de privacidade pode dar às pessoas escolhas, mas se essas escolhas não podem impedir a transferência a terceiros por meio do aplicativo de outro usuário, o painel pode superestimar o controle. Uma plataforma deve distinguir entre configurações que controlam a visibilidade direta, configurações que controlam o movimento da API e configurações que dizem respeito apenas ao acesso futuro. Cambridge Analytica mostrou que os usuários precisam de respostas claras sobre o que a plataforma ainda pode aplicar depois que os dados deixaram a plataforma.

A coordenação regulatória também é importante. A FTC, a SEC, o ICO, as autoridades canadenses, o Parlamento britânico e os tribunais tocaram cada um em diferentes partes do episódio. A fragmentação pode criar lacunas quando a proteção de dados, a divulgação de valores mobiliários, a supervisão eleitoral, a proteção do consumidor e os processos civis ocorrem isoladamente uns dos outros. O caso mostra por que incidentes importantes de plataforma exigem responsabilidade transversal.

Uma violação de dados pode ser ao mesmo tempo um problema de proteção ao consumidor, proteção de dados, divulgação de valores mobiliários, transparência política e litígio privado.

Os registros públicos ainda deixam questões em aberto. Eles não mostram completamente como todos os dados afetados foram usados, se todo o material derivado foi excluído, como cada destinatário downstream tratou os dados, que sinais de risco internos existiam antes de 2015 ou como cada equipe entendia o problema antes de 2018. Essas incógnitas não devem ser preenchidas com certeza infundada. Devem ser tratadas como razões para exigir evidências mais fortes. Se uma plataforma não pode demonstrar confinamento, o ônus da prova não deve recair sobre os usuários para provar para onde seus dados foram.

Há também uma lição de aquisição para instituições que usam plataformas de mídia social para divulgação, publicidade, comunicação com eleitores ou pesquisa. Autoridades públicas, universidades, organizações de caridade, organizações de mídia e campanhas frequentemente tratam as ferramentas da plataforma como infraestrutura de audiência. Eles podem comprar anúncios, operar páginas, autorizar aplicativos, incorporar ferramentas de compartilhamento ou usar análises sem ter poder direto sobre a aplicação da plataforma.

Cambridge Analytica mostrou que os usuários institucionais devem perguntar se a plataforma pode documentar o acesso a dados de alto risco, as salvaguardas para segmentos políticos, o escalonamento de verificação de aplicativos, os direitos de auditoria, a verificação de exclusão e os limites de notificação ao usuário. Essas perguntas não são apenas para delegados de proteção de dados. Pertencem à aquisição, conformidade de campanhas, segurança da informação, comunicação pública e supervisão do conselho.

A mesma lição se aplica aos desenvolvedores. Um ecossistema de aplicativos saudável requer acesso útil, mas o acesso útil deve ser graduado de acordo com o risco. Integrações de baixo risco podem seguir uma verificação mais leve. Aplicativos que solicitam dados de gráfico social, amigos, perfil, políticos, demográficos ou comportamentais exigem obrigações mais fortes de limitação de finalidade, registro e revogação. Os desenvolvedores devem saber que o acesso é condicional e que abusos posteriores podem desencadear exigências de prova, não apenas suspensão de conta.

As plataformas devem publicar o suficiente sobre essas obrigações para que desenvolvedores legítimos entendam as regras e os usuários entendam por que uma solicitação de permissão é sensível. O sigilo em torno do modelo de aplicativo pode proteger atacantes, mas a opacidade total também pode enfraquecer a confiança pública.

Para os usuários, o caso é um lembrete de que o controle de superfície e o controle de dados não são a mesma coisa. Um usuário pode excluir um aplicativo, alterar uma configuração ou encerrar uma conta, mas essas ações podem não ser capazes de recuperar os dados já exportados para outro sistema. Isso não torna as ações do usuário inúteis. Significa que os controles do lado do usuário devem ser acoplados a garantias do lado da plataforma para acesso futuro, exportação histórica, exclusão e notificação.

Uma configuração de privacidade deve informar o que pode impedir, o que não pode desfazer e quando a plataforma informará as pessoas de que a fronteira de um terceiro falhou.

O padrão de responsabilidade é o consentimento executável

O padrão final de responsabilidade é o consentimento executável. O consentimento não é executável se os usuários não sabem o que sai da plataforma, se amigos podem expô-los sem escolha específica do aplicativo, se os desenvolvedores podem realocar ou compartilhar dados sem detecção oportuna, se promessas de exclusão substituem verificação, se abusos conhecidos não são claramente divulgados e se o uso de dados políticos só é examinado após ação jornalística e regulatória. O consentimento executável requer um sistema de autorização que possa ser auditado, restringido, revogado e explicado.

Os fatos confirmados apoiam esse padrão. Os registros públicos confirmam o caminho dos dados do aplicativo, o aviso de bloqueio do Facebook, a estimativa de até 87 milhões de pessoas afetadas, a multa e a ordem da FTC, o acordo de divulgação da SEC, a multa do ICO, as conclusões canadenses de proteção de dados, o exame parlamentar e os processos de acordo de processos civis. A conclusão baseada em evidências apoia uma conclusão de governança mais ampla: os controles de plataforma do Facebook não estavam à altura dos riscos cívicos e de privacidade dos fluxos de dados que a plataforma permitia.

Permanecem desconhecidos o uso downstream completo, as deliberações internas e os danos em nível individual.

A responsabilidade deve seguir o controle prático. O Facebook controlava a arquitetura da plataforma e o modelo de aplicativo. Os desenvolvedores controlavam seus aplicativos e conformidade com os termos. As empresas de dados políticos e campanhas controlavam sua aquisição e uso de serviços de análise. Os reguladores controlavam a aplicação a posteriori. Os usuários controlavam apenas escolhas estreitas, e às vezes nem isso quando o acesso a dados de amigos estava envolvido. Esse mapa é a razão pela qual Cambridge Analytica continua sendo um caso de responsabilidade vivo, mesmo anos após as primeiras manchetes.

A lição mais ampla para a governança de nuvem e plataforma é simples, mas exigente: as regras de acesso a dados devem ser construídas como controles operacionais, não como linguagem de reputação. Uma plataforma deve assumir que a recuperação se tornará incerta e que a confiança pública será mais difícil de restaurar depois que os dados deixarem sua fronteira. O controle mais seguro é a prevenção por meio da minimização, revisão de finalidades, permissões restritas, verificação de desenvolvedores, monitoramento de acesso anômalo, bloqueio rápido, exclusão verificada e notificação aos usuários quando o confinamento é incerto.

Os registros da Cambridge Analytica do Facebook pertencem, portanto, a um caso de risco, não porque respondem a todas as questões políticas, mas porque fazem a pergunta certa de infraestrutura. Quando uma plataforma privada se torna a guardiã da identidade, grafos sociais, publicidade, comunicação política e acesso de terceiros, seu sistema de autorização não é mais apenas uma característica de produto. É uma superfície de responsabilidade pública. O teste é se a plataforma pode provar que consentimento, aplicação, exclusão, divulgação e remediação funcionam antes que estranhos imponham o caso.