O que acontece quando se pede dados pessoais a grandes empresas?

Um repórter da Wired decidiu fazer aquilo que quase ninguém faz: usar a lei para pedir às empresas a cópia de todos os dados pessoais que guardam sobre ele. Escolheu mais de 100 empresas, do McDonald’s à Crunchbase, e testou o direito de acesso previsto na lei da Califórnia, a CCPA (California Consumer Privacy Act). O resultado: relatórios gigantescos num lado, silêncio e erros básicos no outro, incluindo empresas que, perante um pedido de acesso, apagaram dados sem serem autorizadas para isso.

O contraste é gritante. O McDonald’s respondeu com um relatório de 515 páginas, a detalhar interações na app ao milímetro, ao ponto de prever que o utilizador “nunca vai deixar de comer lá”. Ou seja, os dados existem, são minuciosos e estão organizados. Já a Crunchbase, quando recebeu um email muito claro a dizer “não estou a pedir eliminação, por favor não tratem isto como um pedido de apagamento”, respondeu dois dias depois com um alegre “a sua conta foi permanentemente apagada, diga se precisar de mais alguma coisa”. O típico “processamento de erro” humano que mostra como as equipas de suporte tratam privacidade como bilhete genérico de helpdesk.

Perante a reclamação, a Crunchbase lá admitiu o erro, garantiu que o resto dos dados não tinha sido apagado e prometeu cumprir o pedido original. Culpa de um membro da equipa de “customer success”, não de uma ferramenta de IA generativa, sublinhou a empresa. Mas isto é quase irrelevante. Se o processo estiver montado para despachar tickets em série, tanto faz ser uma pessoa distraída ou um modelo de linguagem: o direito de acesso vira ruído administrativo. E convenhamos, em 2026, culpar o “processamento” já é uma versão polida de dizer que ninguém levou o pedido a sério.

Outro exemplo foi a BeenVerified, base de dados comercial que agrega registos públicos para fazer relatórios sobre pessoas. O jornalista enviou um pedido de acesso, identificando-se como residente na Califórnia e especificando que não queria eliminação. A resposta? Um email a informar que o seu “relatório de pessoa” já tinha sido removido dos resultados de pesquisa, e que o número de telefone e o email tinham sido apagados das listas. Outra vez: o oposto do que foi pedido. Quando insistiu, explicando que aquilo era um pedido de acesso, não de remoção, seguiu-se mais fricção e mais confusão.

Os defensores de consumidores com quem o repórter falou não ficaram surpreendidos, mas ficaram irritados. Ben Winters, diretor de IA e privacidade na Consumer Federation of America, chamou-lhe “louco” e disse que isto não é um estado aceitável das coisas. E tem razão. Modelos legais que assentam na boa vontade das empresas para respeitar direitos de privacidade produzem exatamente isto: formulários escondidos, prazos arrastados, e respostas que trocam um direito por outro porque é mais cómodo apagar um registo do que revelar quão bem se conhece um cliente.

Para quem lê a partir da União Europeia, habituado a ver o RGPD citado em todas as políticas de privacidade, a história é menos distante do que parece. O regulamento europeu também depende, em grande parte, de empresas que dizem “sim, claro, já tratamos disso” e de reguladores com recursos limitados para fiscalizar. O caso da Califórnia é um espelho ligeiramente desfocado do nosso: direitos fortes no papel, processos labirínticos na prática. A diferença real não é a letra da lei, é a capacidade de a fazer doer quando é ignorada. Enquanto isso não for rotina, pedir acesso aos teus dados vai continuar a parecer um teste de paciência, não um direito básico.

Fonte: Ars Technica