6 Lições aprendidas com o GDPR que podem ajudar a lidar com a LGPD no Brasil.

As mudanças chegaram!

A indústria de AdTech está acostumada a mudar. Ao longo de sua curta existência de vinte anos, ela já deixou de enviar criativos para os publishers, inventou adnetworks para monetizar todo aquele inventário não vendido e foi transformada novamente pela revolução das DSPs, DMPs, CDPs, pela ascensão da CTV no Estados Unidos, etc. Ainda assim, poucos poderiam ter previsto a escala de mudança que começaria em 25 de maio de 2018, cujos efeitos em cadeia apenas começaram a ser sentidos. Ainda assim, os profetas e os pessimistas estão ambos errados. Não haverá um Armagedom da proteção de dados e tampouco a indústria simplesmente navegará pelos labirintos das legislações. Em vez disso, ela sairá fundamentalmente transformada.

AdTech cresceu do nada, saltando para mais de 100 bilhões de dólares em receita anual graças a três fatores: a) o crescimento da Internet foi baseado em um modelo gratuito, portanto, disponibilizar este tipo de conteúdo exigia receita para os publishers; b) a publicidade de display precisava de um diferencial em relação à publicidade tradicional, de modo que se comercializou imediatamente como um canal de performance; c) Para provar aos anunciantes que seu dinheiro foi bem gasto, era necessário que algo acompanhasse o usuário pelo funil de conversão em qualquer lugar da Internet aberta. Desta forma chegamos até os cookies, com intenção, ou por acidente.

Empresas foram fundadas, atingiram o sucesso rapidamente e depois entraram em colapso; outras nunca decolaram; as poucas que ainda estão por aí, se saíram extremamente bem. Assim como o petróleo na segunda metade do século 19, os dados eram quase gratuitos e alimentaram o crescimento de um novo ecossistema de publicidade. Este estágio acabou.  

O GDPR mudou tudo. O óleo do ecossistema da publicidade agora está sendo regulamentado. Ele mudou a indústria na Europa e influenciou legislações em todo o mundo: CCPA, CPRA, PDPA, APPI ... e, claro, a LGPD. Nos próximos dois anos, a indústria brasileira de AdTech crescerá enormemente e será muito diferente do que é atualmente. 

Então, quais são as lições aprendidas com o GDPR? 

1. O tempo é importante

‍Primeiro, precisamos entender que nosso setor e as autoridades regulatórias possuem conceitos de tempo quase diametralmente opostos. A maioria das empresas de AdTech começou a se preparar para a implementação do GDPR no início de 2018, estando prontas em apenas três ou quatro meses. E então elas esperaram para ver o que aconteceria a seguir. Foi só em janeiro de 2019 que a CNIL multaria o Google em 50 milhões de euros, mandando uma mensagem para o resto da indústria que o GDPR não era brincadeira... só que os anos de Startup da Internet são como anos de cães: 1 mês para elas é como sete meses para o regulador.

2. A fiscalização vai acontecer

Em segundo lugar, uma vez que elas passaram da fase "eles não podem estar falando sério" - típica das mudanças regulatórias ao longo da história - os opositores recuaram na crença de que as autoridades seriam incapazes de impor tais mudanças. A complexidade do ecossistema, as zilhões de empresas, a interconexão de tudo isso combinada ao princípio do tempo real e aos zilhões de pontos de dados, certamente significa que nenhuma autoridade reguladora, considerando os recursos escassos atribuídos a tais órgãos, poderia perseguir todos os que não cumprissem com o GDPR. Eles estavam errados. Duas coisas foram grosseiramente mal compreendidas. Que os reguladores, na verdade, possuem equipes com pessoas de experiência no setor, que por sua vez têm acesso a enormes quantias de informações, constantemente pressionadas por ativistas de privacidade bem informados e, o mais importante, que os reguladores inventaram um sistema de fiscalização indireta. Ao multar os gigantes do ecossistema (como fizeram com o Google), eles garantem que esses gigantes cumpram com os regulamentos em todo o setor e em seu nome.

3. Negociações contratuais 

Terceiro ponto, as grandes empresas tendem a tentar impor obrigações e cláusulas de responsabilidade às empresas menores para se protegerem. O problema é que não funciona assim. O GDPR, e a LGPD, estabelecem um quadro claro de obrigações. Por exemplo, as empresas não escolhem se são controladores ou processadores; elas são ou não são. É a diferença entre negociar um contrato de prestação de serviços ou um contrato de trabalho registrado (muitas vezes caracterizado por um certo desequilíbrio de poder) e os DPAs (aditivos de processamento de dados), onde a margem de negociação para a parte "dominante" é mais limitada devido ao seu quadro jurídico subjacente.

4. Comece com as políticas de privacidade 

Em quarto, as políticas de privacidade são sempre o ponto de partida. Em sua essência, as legislações de proteção de dados nascem de uma necessidade de transparência. As políticas de privacidade precisam ser simples, completas e escritas em uma linguagem acessível a todos. Políticas de privacidade mal escritas ou incompletas são tão erradas quanto as de 40 páginas.

5. A estrutura não é a lei

Quinto, na Europa, muitas empresas de AdTech se concentraram primeiro em contratos e, em seguida, na TCF (Estrutura de Transparência e Consentimento). A TCF é uma resposta brilhante - embora imperfeita - para um problema muito complexo: como alguém obtém o consentimento de titulares de dados que não conhecem sua empresa e com quem não possuem interação direta e, em seguida, transfere esses dados para centenas de outras partes? As startups esquecem que a TCF não é a lei, mas sim uma tentativa de cumprir uma lei com consequências que alteram o setor.

6. Proteção de dados em nível global

Em sexto e último lugar, considerando o número crescente de países que seguem o exemplo da Europa com novas leis progressivas de privacidade de dados, os anunciantes globais em breve não terão escolha a não ser mudar a forma como consideram a coleta de dados. É mais fácil para os profissionais de marketing globais implementar certos padrões de proteção de dados internacionalmente do que tentar cumprir com diferentes legislações. Grandes empresas são um vetor de aceleração da transformação da proteção de dados em todo o mundo. E graças à LGPD, o brasileiro terá uma vantagem competitiva no mercado global.

‍Conselhos para empresas brasileiras de AdTech:

• Leve isso a sério. Não veja isso como algo superficial. É uma chance de transformação.  
• Comece com a política de privacidade. Seja sincero, use uma linguagem simples, seja aberto e claro sobre o que pretende fazer.
• No final, o regulador fornece a orientação e essa orientação se torna o padrão da indústria. Legítimo interesse versus consentimento é assunto complexo; mesmo que a indústria adote legítimo interesse ao invés de consentimento, ou vice-versa, a ANPD (Autoridade Nacional de Proteção de Dados) terá a última palavra. A verdadeira força da indústria é sua capacidade de se adaptar rapidamente às mudanças. 
• Os padrões de segurança estão se tornando essenciais em todo o mundo. Trabalhe na melhoria de seus sistemas organizacionais e técnicos. Não há nada que o regulador menos goste do que violações de dados.
• Pregue a privacidade. Não é algo que deva ficar confinado à esfera do departamento jurídico. Quanto maior for o número de pessoas preocupadas com a privacidade em sua empresa, mais eficiente será a mudança no curso dos negócios. Muito tempo é perdido em negociações porque departamentos jurídicos sobrecarregados tornam-se gargalos acidentais. Não precisa ser dessa maneira. Torne sua empresa ágil em termos de privacidade. 
• Transforme a privacidade em uma vantagem comercial. A indústria pode ser muito binária, e tudo o que não seja venda é visto como custo. Se você deseja que a privacidade seja levada a sério em toda a sua organização, trate-a como um investimento. 

Conclusão

Na indústria adtech, as empresas se dedicam a coletar dados pseudônimos para fins publicitários; a publicidade personalizada desempenha um papel muito importante no ecossistema; melhora a monetização dos editores, aumenta o retorno sobre a receita dos anunciantes e promove uma indústria de dados mais moderna e sofisticada, impulsionando o desenvolvimento econômico.  A LGPD apresenta uma oportunidade fantástica para a indústria brasileira de AdTech. A privacidade de dados é o catalisador que impulsionará a evolução do setor. Não apenas dará uma chance para empresas ágeis e inovadoras seguirem em frente, mas oferecerá ao Brasil a oportunidade de avançar como um dos principais impulsionadores e agitadores da economia global movida a dados. A LGPD será um potencializador de competitividade global para ousadas empresas brasileiras que querem se apresentar no cenário mundial.