Enterrado no acordo de US$ 18 bilhões da Meta está um passe legal para dados de crianças

Além de pagar até 18 mil milhões de dólares e adicionar medidas de segurança infantil, o acordo da Meta com procuradores-gerais de 29 estados inclui uma disposição interessante: os estados concordaram em não processar a Meta ao abrigo das leis de segurança infantil existentes sobre a retenção e utilização de dados de crianças.

Essa permissão está sendo concedida com o propósito limitado de treinar e testar o modelo de garantia de idade da Meta e inclui grades de proteção, mas é uma decisão política curiosa a ser tomada em um caso centrado na segurança infantil, e que pode ser difícil de aplicar adequadamente.

Conforme especificado no acordo, a Meta deve desenvolver, treinar e começar a testar um modelo projetado para detectar quais usuários nas plataformas da Meta têm menos de 13 anos de idade. Isso deve ser feito dentro de um ano a partir da data de vigência do documento. (Embora o acordo não especifique que o modelo deve ser baseado em IA, as atuais ferramentas de detecção de idade da Meta são alimentadas por tecnologia de IA.)

De acordo com a lei de segurança infantil dos EUA, a COPPA (Lei de Proteção à Privacidade Online das Crianças) normalmente exige que os sites e aplicativos limitem a coleta e retenção de informações pessoais das crianças. O acordo de liquidação da Meta diz que a Meta não deveria precisar violar a COPPA para treinar ou implementar seus modelos de garantia de idade. No entanto, o acordo também diz que os AGs estaduais concordaram “totalmente, finalmente e para sempre” em não trazer quaisquer reivindicações passadas, presentes ou futuras da COPPA – ou reivindicações sob leis estaduais semelhantes – relacionadas ao uso de dados de crianças pela Meta.

O acordo deixa claro que a Meta não pode usar dados de usuários menores de 13 anos para direcionamento de anúncios, marketing ou otimização algorítmica.

O pedido de proteção legal da Meta e a disposição dos AGs estaduais em concedê-lo não são irracionais, diz Philip N. Yannella, sócio do escritório de advocacia Blank Rome e copresidente de sua prática de Privacidade, Segurança e Proteção de Dados. “Esses tipos de barreiras de minimização de dados são bastante típicas para conformidade com a privacidade: por exemplo, verificar a conformidade com solicitações de exclusão”, disse ele, embora tenha feito uma ressalva: a COPPA é uma lei federal aplicada principalmente pela FTC, não pelos estados, então não está claro se a FTC, que não é parte neste acordo, concordou separadamente com o mesmo compromisso.

Pode ser difícil para as empresas manter os dados técnica e organizacionalmente isolados do resto dos seus sistemas. No entanto, a Meta está sendo solicitada a fazer exatamente isso – isolar sua compreensão dos sinais de comportamento das crianças e outros dados e usá-los exclusivamente para detectar e remover usuários menores de 13 anos. Felizmente, um auditor independente estará envolvido no monitoramento da conformidade da Meta com o acordo, para que não tenhamos que confiar apenas na palavra da Meta.

Policiar essa limitação pode ser complicado. Os dados poderiam, hipoteticamente, alimentar outros sistemas Meta ao longo do tempo ou poderiam levantar questões sobre se os dados, sinais ou insights derivados deles estão sendo usados ​​em outras partes da empresa. O que não está claro no acordo é quais dados a Meta reterá para treinar o modelo, quanta informação comportamental pode incluir ou por quanto tempo reterá os dados. Também não sabemos como esses modelos mudarão no futuro, à medida que a Meta cumprir os termos do acordo.

Impedir que os AGs estaduais levantem reivindicações da COPPA ou de leis estaduais semelhantes sobre esse uso de dados de crianças no futuro poderia complicar os caminhos legais que os estados podem seguir se surgirem dúvidas sobre como a Meta está usando os dados.

Isso não os impede de prosseguir com ações judiciais, observa Joshua Wurtzel, sócio da Schlam Stone & Dolan LLP. “Se a Meta usar os dados fora dessas linhas, a liberação e o pacto de não processar não se aplicam”, disse ele. Mas essas disputas legais ainda poderiam ser complicadas, uma vez que dependeriam de o uso dos dados pela Meta se enquadrar nos termos do acordo.

Peter Jackson, advogado de dados e propriedade intelectual da Greenberg Glusker LLP, concorda, dizendo que a exclusão aqui poderia “desincentivar futuras ações de fiscalização”.

“As medidas de garantia de idade do Acordo de Compensação apresentam todas as características de uma negociação pesada e talvez precipitada”, diz ele.

A decisão também aborda uma questão mais ampla que tem surgido ultimamente na indústria de IA, especialmente à medida que mais agentes de IA estão sendo desenvolvidos para ajudar os consumidores em diversas tarefas. Os sistemas muitas vezes exigem acesso significativo aos dados pessoais dos usuários para funcionarem bem. Da mesma forma, o Meta pode precisar de uma visão profunda do uso das redes sociais pelas crianças, a fim de identificar quais contas pertencem a jovens.