Resumo

  • A FTC alegou em 1998 que as declarações de privacidade da GeoCities limitavam o uso das informações dos membros, enquanto dados eram divulgados a anunciantes e outros terceiros.
  • A ordem final de 1999 exigiu que o site explicasse quem coletava e recebia os dados, obtivesse consentimento parental para informações de crianças e oferecesse acesso e remoção também nos destinatários externos.

Uma comunidade com mais de uma mão no cadastro

A ficha do GeoKidz Club não era uma enquete sem consequência. Para entrar, a criança precisava ser membro da GeoCities e informar nome, idade, e-mail, endereço da página pessoal e gênero. O clube aparecia na Enchanted Forest, apresentada como área infantil da comunidade. Segundo a queixa da FTC, porém, eram Community Leaders voluntários que organizavam clubes e concursos e recolhiam e guardavam as informações.

Essa diferença colocava o nome do site no centro do problema. A família via a GeoCities; o cadastro podia parar com uma pessoa que atuava dentro da comunidade hospedada. O usuário não precisava distinguir os bastidores para confiar na página, mas precisava saber quem realmente mantinha o registro.

A queixa publicada em agosto de 1998 descreveu a GeoCities com mais de 1,8 milhão de membros em 40 bairros temáticos. Em 18 de maio daquele ano, cerca de 50 mil membros tinham menos de 13 anos, segundo a contagem apresentada pela FTC. O formulário de inscrição pedia informações obrigatórias e marcava educação, renda, estado civil, ocupação e interesses como opcionais. A opção para receber ofertas especiais de anunciantes vinha ativada por padrão.

A publicidade já fazia parte do serviço. A queixa dizia que a empresa vendia espaços publicitários e permitia direcionar mensagens a partir dos interesses e bairros escolhidos pelos membros. A FTC discutiu o alcance das declarações de privacidade. Alegou que a GeoCities prometia usar os dados da inscrição apenas para ofertas e produtos pedidos pelo membro e não divulgar os campos opcionais sem permissão. A queixa afirmou que a empresa também vendeu, alugou ou revelou informações a terceiros para outros fins, inclusive para enviar publicidade não solicitada com base no bairro do usuário.

O GeoKidz Club e os concursos acrescentavam um segundo descompasso. As páginas apresentavam as atividades como parte da Enchanted Forest; a FTC alegou que os Community Leaders eram os verdadeiros coletores e responsáveis pela manutenção dos registros. A pergunta deixou de ser apenas o que a política de privacidade dizia. Também importava quem aparecia como organizador e quem recebia as respostas.

O acordo passou por comentários públicos

Em 13 de agosto de 1998, a FTC anunciou um acordo proposto para encerrar o caso e abriu 60 dias de comentários públicos. A GeoCities reconheceu fatos relativos à jurisdição da Comissão e aceitou o procedimento. O acordo registrou que isso não significava admitir as infrações legais alegadas nem os demais fatos da queixa. O resultado foi uma ordem negociada por consentimento, não uma sentença após julgamento.

A Comissão emitiu sua Decisão e Ordem em 5 de fevereiro de 1999. Em 12 de fevereiro, a FTC anunciou que o acordo se tornara definitivo após o período de comentários; a votação foi de 4 a 0. O texto final incluiu uma permissão para coletar ou usar informações de crianças na medida prevista pela lei americana de proteção à privacidade infantil on-line de 1998.

A ordem exigiu que os avisos aparecessem onde o serviço realmente coletava as informações: na página inicial e em cada ponto de coleta. O texto deveria indicar quais dados entravam, para que seriam usados, quem os receberia, como o consumidor poderia acessá-los e como pedir sua remoção, inclusive com os limites aplicáveis. Um aviso escondido longe do formulário não completava o trabalho.

Para crianças de até 12 anos, a GeoCities tinha de manter um procedimento de consentimento parental expresso antes da coleta e do uso. Uma etapa limitada de verificação poderia identificar a criança e avisar o responsável. Se não chegasse autorização em 20 dias, o site deveria remover os dados, preservando apenas o necessário para impedir outra tentativa de cadastro sem consentimento.

As informações antigas receberam outra rota. A ordem previa notificação e opção de remoção para consumidores acima de 12 anos cujos dados tivessem sido divulgados à CMG Information Services. Para informações de crianças coletadas antes de 20 de maio de 1998, os pais receberiam um processo separado. Sem consentimento expresso em 20 dias para a manutenção e divulgação dos dados, a GeoCities deveria interromper o uso e removê-los em até dez dias. A página pessoal e a conta de e-mail da criança também podiam entrar nessa remoção. O site ainda precisava contactar os terceiros para pedir que parassem de divulgar e apagassem suas cópias.

Esse era o ponto que impedia a GeoCities de encerrar o assunto na própria tela. A ordem exigiu compromissos por escrito dos terceiros e dos Community Leaders. Em condições especificadas, a empresa devia romper relações com terceiros que não cooperassem ou retirar o status de Community Leader de quem descumprisse as obrigações.

Os documentos da FTC dizem o que a GeoCities precisava solicitar, mas não acompanham se cada destinatário apagou depois sua cópia; registros de cumprimento dos destinatários permitiriam confirmar isso.

Nem toda cópia podia desaparecer no mesmo instante. A ordem permitiu guardar informações em backups externos para manutenção do sistema, cópia de segurança, bloqueio de registros infantis sem autorização ou cumprimento de processo legal. A GeoCities tinha de informar essa retenção, e os dados arquivados não podiam ser compartilhados fora de pedidos de autoridades ou de um tribunal. O usuário precisava conhecer tanto o caminho de remoção quanto o limite das cópias de segurança.

A confiança também tinha destinatários

A FTC chamou o caso de sua primeira ação de privacidade na Internet. A mudança prática foi transformar a declaração de privacidade em perguntas verificáveis: o que o cadastro recolhia, por que, para quem, por quanto tempo e com qual meio de acesso ou remoção. A resposta precisava alcançar quem recebia as informações.

O comissário Orson Swindle apoiou a ordem final para aquele caso e disse que seu voto não significava apoio a impor as mesmas exigências a todos os sites comerciais por lei ou regulamento. A decisão vinculou a GeoCities ao acordo; a discussão sobre uma regra geral permanecia em aberto.

A GeoCities tinha de responder pelo serviço que as pessoas encontravam sob seu nome. Os bairros distribuíam atividades, mas o site reunia a marca, o público e as inscrições. Quando o cadastro seguia para outras mãos, a plataforma precisava identificá-las e conseguir que atendessem ao pedido de remoção.

Fontes