A regra do RGPD sobre "dados de categoria especial": por que ela atinge um site de classificados adultos mesmo sem escritorio na Europa

A multa que nao tinha nada a ver com invasao

Em dezembro de 2021, a autoridade norueguesa de protecao de dados multou a Grindr LLC em 65 milhoes de coroas. Ninguem havia invadido os servidores da Grindr. Nenhum banco de dados vazou. A empresa havia feito o que a maioria dos sites com login e verba publicitaria faz sem pensar duas vezes: compartilhou identificadores com parceiros de publicidade para veicular anuncios segmentados e medir se funcionavam. E exatamente a mesma engrenagem por tras de um Meta Pixel ou de uma tag de conversao do Google Ads em milhares de sites comuns.

A defesa da Grindr foi que nada disso revelava de fato a orientacao sexual de ninguem. Um usuario podia escolher um apelido, pular a foto e nao compartilhar nada explicito sobre quem era. A autoridade nao aceitou esse argumento. Ela entendeu que ser um usuario conhecido de um aplicativo construido em torno de uma minoria sexual especifica "indica fortemente, e parece refletir com precisao na maioria dos casos", que a pessoa pertence aquela minoria, tenha ela escrito uma palavra sobre isso ou nao. A multa foi mantida em recurso, e um tribunal norueguês a confirmou novamente em 2025.

O raciocinio importa mais do que o numero. Um operador de classificados que le sobre esse caso costuma arquiva-lo como "isso e um problema de aplicativo de encontros, nos vendemos anuncios". Mas o teste legal aplicado pela autoridade nao tinha a ver com o nome do aplicativo da Grindr. Tinha a ver com o que uma pessoa razoavel poderia deduzir a partir dos dados, e esse teste nao para na porta de um aplicativo de encontros. Um diretorio construido em torno de anuncios pessoais para adultos produz exatamente o mesmo tipo de dado: uma conta nesse tipo de plataforma, navegando por uma categoria especifica, entrando em contato com um tipo especifico de anuncio. Nada disso exige uma unica palavra explicita para contar a um terceiro algo intimo sobre a pessoa por tras dela.

Essa e a parte que escapa a um operador concentrado em estornos, verificacao de idade e moderacao de conteudo, todos riscos reais e imediatos. O direito de protecao de dados e uma trilha completamente separada, com sua propria autoridade, suas proprias multas, e um teste legal construido exatamente para esse tipo de plataforma, mesmo tendo sido escrito sem pensar em nenhum site adulto.

Por que isso conta mesmo quando ninguem diz em voz alta

O direito europeu tem um nome para dados que permitem deduzir um fato sensivel sem que ele seja declarado diretamente: inferencia. Em agosto de 2022, o Tribunal de Justica da Uniao Europeia decidiu um caso que nao tinha nada a ver com conteudo adulto. Um funcionario publico lituano era obrigado a declarar, entre outras coisas, o nome de seu parceiro, e essa declaracao foi publicada on-line. O tribunal entendeu que nomear um parceiro do mesmo sexo, sem uma unica palavra sobre orientacao, ainda assim contava como tratamento de dados sobre orientacao sexual, porque um leitor podia chegar la por meio do que o tribunal chamou de operacao intelectual de comparacao ou deducao.

Esse teste vai muito alem de um unico funcionario lituano. A pergunta nunca e "a plataforma disse que essa pessoa e gay, hetero, ou qualquer outra coisa". A pergunta e se um dado, combinado com raciocinio comum, permite que um leitor chegue a essa conclusao. Uma categoria de anuncio, um campo de "procuro", uma descricao de servico, ou simplesmente uma conta ativa em uma plataforma organizada em torno de um tipo especifico de anuncio pessoal podem, sozinhos, ultrapassar essa barreira, sem nenhum rotulo explicito anexado.

Segundo o RGPD, assim que um dado ultrapassa essa barreira, ele deixa de ser um dado pessoal comum e passa a ser o que o regulamento chama de categoria especial, o termo do artigo 9 para o mesmo grupo que inclui registros de saude, crencas religiosas e filiacao sindical. Nao e um rotulo menor. O artigo 9 comeca proibindo por completo o tratamento desse tipo de dado, e so suspende essa proibicao para uma lista curta e fechada de situacoes especificas. Dados pessoais comuns, em contraste, precisam apenas de uma entre varias bases legais corriqueiras, e essa lacuna entre os dois regimes e exatamente onde a maioria dos sites de classificados esta parada hoje, sem perceber.

O efeito pratico e que um campo criado apenas para busca e filtragem, permitindo que um visitante restrinja anuncios por categoria ou preferencia, esta silenciosamente cumprindo dupla funcao. Ele ajuda um visitante a encontrar o que procura, e tambem e exatamente o tipo de dado que uma autoridade apontaria como prova de que a plataforma trata categorias especiais de dados tanto do visitante quanto da pessoa anunciada. Remover o rotulo que um usuario poderia digitar nao basta para escapar da regra; o teste do TJUE se baseia no que pode ser deduzido, nao no que foi declarado.

Por que "nao temos escritorio na Europa" nao ajuda

A reacao mais comum a tudo isso, por parte de um operador sediado longe de Bruxelas, e que os reguladores europeus nao teriam alcance aqui. Essa reacao esta errada, e o RGPD e explicito sobre o porque. O artigo 3(2) aplica o regulamento a qualquer empresa, onde quer que esteja sediada, no momento em que oferece bens ou servicos a pessoas localizadas na UE, independentemente de qualquer uma delas pagar por algo, ou no momento em que monitora o comportamento de pessoas localizadas na UE. Nenhum dos dois casos exige uma entidade europeia, uma conta bancaria europeia ou um funcionario europeu.

As diretrizes que os reguladores usam para aplicar esse artigo dizem que um site simplesmente carregar para um visitante na Alemanha nao basta, por si so, para acionar a regra. O que pesa a balanca e a evidencia de que a empresa esta realmente visando pessoas na UE: precos exibidos em euros, marketing direcionado a um publico europeu, ou, de forma bem concreta, oferecer o proprio site em idiomas europeus. Uma plataforma de classificados que ja oferece paginas em frances, alemao, italiano, espanhol e portugues para atrair exatamente esses visitantes esta perto do exemplo de manual que os reguladores usam para explicar quando a regra se aplica.

Isso nao e motivo para eliminar cada idioma europeu ou bloquear geograficamente visitantes da UE, o que trocaria um problema de conformidade por um problema comercial muito maior. E motivo para parar de tratar "nao estamos registrados na Europa" como resposta a uma questao de protecao de dados. A obrigacao se liga ao tratamento de dados sobre pessoas na UE, nao ao local onde a empresa que construiu a plataforma esta registrada. Um negocio que ja gasta tempo e dinheiro traduzindo seu site para alcancar visitantes europeus ja fez exatamente aquilo que os reguladores buscam como prova de que pretendia alcanca-los.

A engrenagem de publicidade que quebra em silencio

A maioria dos sites resolve toda a sua conformidade de privacidade por meio de um unico mecanismo: um banner de cookies oferecendo aceitar ou rejeitar rastreamento nao essencial, as vezes com uma opcao para "interesse legitimo". Esse banner foi feito para dados pessoais comuns, onde uma empresa realmente pode se apoiar em uma base legal geral como interesse legitimo para rodar analises ou veicular anuncios sem pedir nada mais especifico. Dados de categoria especial nao funcionam assim. O artigo 9(2) tem sua propria lista separada e fechada de condicoes que podem suspender a proibicao geral, e interesse legitimo nao esta nela. Uma plataforma precisa de uma base normal do artigo 6 e, alem dela, de uma condicao separada do artigo 9(2), e pular a segunda e exatamente a lacuna que a autoridade norueguesa encontrou na estrutura da Grindr.

A condicao que se encaixa em uma plataforma comercial e o consentimento explicito, e o consentimento explicito e uma barra materialmente mais alta do que o consentimento comum que um banner de cookies costuma coletar. Precisa ser uma declaracao clara, especifica e afirmativa sobre o tipo particular de dado compartilhado, e nao pode ser satisfeita embutindo uma linha sobre "compartilhamento de dados com parceiros de publicidade" dentro de uma politica de privacidade geral aceita simplesmente ao continuar navegando. Os reguladores tem sido diretos sobre isso: o consentimento para esse tipo de tratamento precisa se sustentar sozinho, separado do resto dos termos que um usuario aceita, nomeando o que e coletado e quem recebe.

Isso recai exatamente sobre as duas ferramentas que a maioria dos operadores de classificados busca primeiro: um Meta Pixel e uma tag de conversao do Google Ads, ambas feitas para dizer a uma plataforma de publicidade qual visitante fez o que, em qual pagina, para que os anuncios possam ser segmentados e medidos. Em um site de mercadorias em geral, isso e um rastreamento sem importancia. Em um site organizado em torno de uma categoria especifica de anuncio pessoal, o mesmo sinal diz a plataforma receptora que um determinado visitante esta navegando por essa categoria, funcionalmente a mesma divulgacao que rendeu a multa da Grindr, so que passando pelo cano de outro fornecedor. Essa e uma segunda razao, independente, alem da dificuldade de sequer abrir uma conta de publicidade no Google ou na Meta para essa categoria, para construir trafego atraves de canais que nunca recebem esse tipo de sinal.

Nada disso significa que um operador precise rodar o site sem nenhuma analise. Significa que o fluxo de consentimento para uma plataforma dessa categoria nao pode ser o mesmo banner de um clique construido para uma livraria. A etapa de aceite explicita, especifica e nao agrupada precisa acontecer, e precisa acontecer antes que qualquer script capaz de enviar sinais em nivel de categoria a um terceiro seja disparado, nao depois.

A armadilha do "mas ja e publico"

Um argumento especifico aparece com frequencia assim que um operador entende o resto disso: os anuncios no site sao publicos de qualquer forma, visiveis para quem quer que carregue a pagina, entao como pode haver um problema de protecao especial. O RGPD de fato tem uma excecao que parece se encaixar: o artigo 9(2)(e) suspende a proibicao geral para dados que foram manifestamente tornados publicos pelo proprio titular. Parece um ajuste natural para um diretorio de anuncios publicos.

Tambem e exatamente o argumento que a Grindr usou e perdeu. A empresa apontou que um perfil so ficava visivel para outros usuarios do aplicativo, apresentando essa visibilidade como a propria escolha do usuario de tornar a informacao publica. A autoridade rejeitou isso, entendendo que a excecao exige um ato deliberado e especifico da propria pessoa para tornar publico exatamente aquele dado, nao a decisao da plataforma de exibir dados da conta para quem quer que visualize uma pagina. Mesmo um anuncio totalmente publico, sem nenhuma barreira de login, nao ultrapassa automaticamente essa barreira, porque a pergunta que a excecao faz e sobre a propria intencao de quem publicou de tornar publico aquele fato especifico, nao sobre quem acaba conseguindo ver a pagina depois.

Uma caixa marcada no cadastro, enterrada em um formulario de inscricao, dizendo que um perfil "sera visivel na plataforma", nao e a mesma coisa que um ato deliberado e informado para tornar publico um fato sensivel especifico. Os reguladores tem sido consistentes em interpretar essa excecao de forma restrita, e um operador que constroi um argumento de conformidade em cima dela esta se apoiando na unica condicao que ja foi testada contra um padrao de fatos quase identico, e que nao se sustentou.

O que fazer de fato neste trimestre

O ponto de partida nao e uma ferramenta nova, e um documento: uma Avaliacao de Impacto sobre a Protecao de Dados. O artigo 35(3)(b) a torna obrigatoria antes do tratamento em larga escala de dados de categoria especial, nao uma boa pratica opcional, e uma plataforma com volume relevante de anuncios organizados em torno de inseridos pessoais se enquadra exatamente nessa exigencia assim que tem trafego real da UE. Encomendar essa avaliacao, mesmo uma modesta feita corretamente, produz o rastro documental que mostra a uma autoridade que a empresa levou a questao a serio antes de ser questionada, o fator isolado mais importante em como uma primeira reclamacao e tratada.

Em seguida vem um inventario, nao um redesenho: cada script que dispara antes de o visitante fazer qualquer escolha, cada pixel, cada tag de analise, cada ferramenta de mapa de calor ou gravacao de sessao. O objetivo e saber, especificamente, quais deles recebem um sinal que revela qual categoria de conteudo um visitante esta vendo, porque essa e exatamente a mesma forma de dado sobre a qual todo este texto trata. Os documentos ja coletados para verificacao de identidade carregam uma versao paralela dessa mesma exposicao, e o mesmo instinto, saber exatamente o que esta sendo guardado e quem pode acessar, se aplica a ambos.

O consentimento precisa de sua propria etapa, separada da caixa de termos e condicoes, nomeando claramente quais categorias de dados sao compartilhadas e com quais empresas nomeadas, coletado por meio de uma acao afirmativa em vez de presumido pela navegacao continuada. E mais atrito no cadastro, e tambem e a unica versao de consentimento que sobrevive ao padrao que uma autoridade realmente aplicara se chegar uma reclamacao.

A ultima peca e a mais simples de enunciar e a mais dificil de abrir mao: minimizar o que sai da plataforma. Uma tag que nunca recebe sinais em nivel de categoria sobre um visitante nao pode se tornar prova em um caso como o da Grindr, nao importa como o resto do programa de conformidade seja construido. A integracao mais segura com qualquer fornecedor de publicidade ou analise e aquela a quem nunca se deu o sinal sensivel em primeiro lugar.

Trate isso da mesma forma que uma conta de pagamentos ou um contrato de hospedagem ja ensinaram a maioria dos operadores a tratar exposicao de alto risco: resolver a resposta antes que uma autoridade faca a pergunta, nao depois. Os negocios que saem intactos de uma primeira reclamacao de protecao de dados sao aqueles que ja podem apontar para uma avaliacao de impacto registrada, um fluxo de consentimento construido para essa categoria especifica de dados, e uma resposta documentada sobre exatamente o que sai da plataforma e para onde vai.