A lei de serviços digitais explicada

• Introdução
• Capítulo 1 O que é a Lei dos Serviços Digitais e a Quem se Aplica?
• Capítulo 2 Compreender as Suas Obrigações: Uma Abordagem Escalonada
• Capítulo 3 O Básico: Obrigações para Todos os Serviços de Intermediação
• Capítulo 4 Serviços de Alojamento: Responsabilidades Adicionais
• Capítulo 5 Plataformas Online: Um Padrão Mais Elevado de Diligência Devida
• Capítulo 6 Plataformas Online de Muito Grande Dimensão (VLOPs) e Motores de Busca (VLOSEs): As Regras Mais Rigorosas
• Capítulo 7 O que Constitui 'Conteúdo Ilegal'?
• Capítulo 8 Mecanismos de Notificação e Ação: Tratamento de Denúncias de Conteúdo Ilegal
• Capítulo 9 Transparência na Moderação de Conteúdo: O que Precisa de Reportar
• Capítulo 10 Termos e Condições: Clareza e Equidade para os Utilizadores
• Capítulo 11 Sistemas Internos de Tratamento de Reclamações: O Direito do Utilizador a Recorrer
• Capítulo 12 Resolução Extrajudicial de Litígios: Uma Alternativa ao Contencioso
• Capítulo 13 Sinalizadores de Confiança: Priorizar Notificações de Fontes Fiáveis
• Capítulo 14 Combater a Utilização Indevida dos Seus Serviços
• Capítulo 15 Rastreabilidade dos Utilizadores Profissionais em Mercados Online
• Capítulo 16 Conceber para Conformidade: Interfaces de Utilizador e Padrões Obscuros
• Capítulo 17 Transparência na Publicidade: O que os Utilizadores Precisam de Saber
• Capítulo 18 Sistemas de Recomendação: Explicar a Lógica aos Utilizadores
• Capítulo 19 Proteger Menores Online
• Capítulo 20 Avaliação de Riscos Sistémicos para VLOPs e VLOSEs
• Capítulo 21 Mitigar Riscos Sistémicos: Medidas que Deve Tomar
• Capítulo 22 Auditorias Independentes e Conformidade para VLOPs e VLOSEs
• Capítulo 23 Acesso a Dados para Investigadores e Autoridades
• Capítulo 24 Execução: O Papel dos Coordenadores de Serviços Digitais e da Comissão Europeia
• Capítulo 25 Penalidades por Incumprimento
• Epílogo

É difícil imaginar um dia sem eles. Desde o momento em que acorda e consulta as notícias no telemóvel, passando pelo deslocamento nas redes sociais durante a pausa para o almoço, até encomendar um novo par de auscultadores num mercado online ao final do dia, os serviços digitais são a arquitetura invisível da vida moderna. São as nossas praças públicas, os nossos centros comerciais, os nossos correios e as nossas bibliotecas, tudo num só e acessível a partir da palma da nossa mão. As empresas que fornecem estes serviços — motores de busca, redes sociais, sites de comércio eletrónico e fornecedores de armazenamento na nuvem — tornaram-se algumas das entidades mais poderosas e influentes do mundo, moldando a forma como comunicamos, compramos, aprendemos e percecionamos o mundo à nossa volta.

Durante duas décadas, o enquadramento legal para estes serviços na União Europeia foi amplamente regido pela Diretiva do Comércio Eletrónico, uma peça legislativa do ano 2000. Para colocar isso em perspetiva, em 2000, a bolha das dot-com estava apenas a começar a rebentar, a Google era uma novata ambiciosa, e os conceitos de "smartphone" ou de "rede social" como os conhecemos hoje pertenciam ao domínio da ficção científica. A Diretiva do Comércio Eletrónico era revolucionária para a sua época, estabelecendo um princípio fundamental: os serviços de intermediação geralmente não eram responsáveis pelo conteúdo que os seus utilizadores carregavam. Esta disposição de "porto seguro" era crucial. Permitiu que a economia digital nascente florescesse, dando origem às plataformas e serviços inovadores que usamos hoje diariamente, sem que fossem esmagados pelo medo de litígios constantes.

No entanto, o mundo digital da década de 2020 é um lugar muito diferente daquele que existia na viragem do milénio. A escala e a influência destas plataformas cresceram exponencialmente. Embora tenham trazido benefícios imensos, também criaram desafios novos e complexos. As mesmas plataformas que nos conectam aos entes queridos também podem ser usadas para disseminar discursos de ódio ilegais. Os mercados que oferecem escolha e conveniência sem paralelo também podem ser explorados para vender bens perigosos ou contrafeitos. Os serviços que dão voz aos sem voz podem ser manipulados por campanhas de desinformação coordenadas que ameaçam a saúde pública e os processos democráticos.

À medida que estas questões se tornaram mais prementes, os Estados-Membros da UE começaram a agir individualmente. A Alemanha introduziu a lei NetzDG para combater o discurso de ódio, a França aprovou legislação contra a manipulação de informação, e outros países começaram a explorar as suas próprias regras. Embora bem intencionadas, isto criou um problema crescente: a fragmentação do mercado único digital da Europa. Um prestador de serviços a operar em toda a UE poderia ter de navegar num complexo emaranhado de 27 conjuntos diferentes de regras sobre questões como a moderação de conteúdos e a devida diligência. Esta incerteza jurídica era uma dor de cabeça para os players estabelecidos e uma barreira significativa à entrada para startups e inovadores menores. Era claro que era necessária uma nova abordagem harmonizada.

Este é o mundo em que nasceu o Regulamento dos Serviços Digitais, ou RSD. Emparelhado com o seu "irmão", o Regulamento dos Mercados Digitais (RMD), o RSD representa o esforço histórico da UE para atualizar o seu livro de regras digital para a era moderna. Se o RMD se refere ao poder económico das maiores plataformas "gatekeepers" (controladoras de acesso), o RSD refere-se à responsabilidade social. O seu objetivo declarado é criar um ambiente online mais seguro, mais previsível e mais confiável. Procura proteger os direitos fundamentais dos utilizadores, estabelecer linhas claras de responsabilização para as plataformas online, e fazê-lo com um único conjunto uniforme de regras que se aplica em toda a União Europeia.

Então, o que é que isto significa para si? Se é engenheiro, gestor de produto, executivo de negócios, ou alguém que trabalha para uma empresa que oferece serviços digitais a utilizadores na UE, o RSD não é apenas mais um pedaço de jargão jurídico para ser entregue aos advogados. É um regulamento que impactará diretamente a forma como desenha os seus produtos, modera conteúdos, interage com os seus utilizadores e reporta as suas atividades. Introduz novas obrigações, novos processos e novos padrões de transparência e responsabilização que terão de ser incorporados na própria estrutura dos seus serviços.

Este livro foi desenhado especificamente para si: o não-jurista que precisa de compreender o RSD para fazer o seu trabalho eficazmente. Se já tentou ler uma peça de legislação da UE do início ao fim, pode ter descoberto que é um auxiliar de sono mais eficaz do que um copo de leite morno. A linguagem é densa, as referências cruzadas são numerosas, e é muitas vezes difícil ver a floresta por causa das árvores. O objetivo deste livro é cortar essa complexidade. Vamos traduzir os requisitos legais do RSD num guia prático e operacional que pode usar. Vamos explicar não apenas quais são as regras, mas por que existem e o que significam para o seu trabalho diário.

O RSD baseia-se num princípio engenhoso e proporcional: com grandes poderes vêm grandes responsabilidades. O Regulamento não trata todos os sites e aplicações da mesma forma. Em vez disso, cria um sistema escalonado de obrigações. Quanto maior o alcance e o impacto de um serviço, mais rigorosas se tornam as suas responsabilidades. Este livro está estruturado para espelhar essa abordagem. Começaremos com as regras fundamentais que se aplicam a todos os "serviços de intermediação", uma categoria ampla que inclui tudo, desde o seu fornecedor local de acesso à Internet até à maior empresa de alojamento na nuvem. Estes são os princípios básicos do novo livro de regras digital.

A partir daí, subiremos na escada. Veremos as obrigações adicionais que se aplicam aos "serviços de alojamento" — empresas que armazenam informação de utilizadores. É aqui que encontramos pela primeira vez um dos mecanismos centrais do RSD: a exigência de ter sistemas claros e fáceis de usar de "notificação e ação" para reportar conteúdo ilegal. Esta é uma área crítica para qualquer pessoa envolvida em confiança e segurança, moderação de conteúdos ou apoio ao utilizador.

De seguida, examinaremos as regras para "plataformas online", tais como redes sociais e mercados online. É aqui que o RSD introduz um número significativo de novos requisitos. Cobriremos tudo, desde a necessidade de sistemas internos de gestão de reclamações, dando aos utilizadores o direito de recorrer de decisões de moderação, até novas regras sobre transparência na publicidade e a proibição de certos "padrões obscuros" (dark patterns) no design de interfaces de utilizador. Se é designer de UX, engenheiro de ad-tech ou gestor de produto para uma plataforma voltada para o consumidor, estes capítulos serão leitura essencial.

Por fim, dedicaremos uma parte significativa do livro ao topo da pirâmide regulatória do RSD: as "Plataformas Online de Muito Grande Dimensão" (VLOPs) e os "Motores de Busca Online de Muito Grande Dimensão" (VLOSEs). Estes são os gigantes da Internet, plataformas com mais de 45 milhões de utilizadores ativos na UE. O RSD sujeita estes players às obrigações mais exigentes, baseadas na ideia de que a sua escala cria riscos sistémicos para a sociedade. Desmistificaremos quais são estes riscos sistémicos — desde a propagação de desinformação ao impacto no bem-estar mental — e exploraremos os requisitos do RSD para avaliação de risco, mitigação, auditoria independente e fornecimento de acesso a dados a investigadores e reguladores.

Ao longo desta jornada, decomporemos conceitos-chave em partes compreensíveis. O que exatamente significa o RSD por "conteúdo ilegal"? Como funciona um sistema de "sinalizador de confiança" (trusted flagger)? Quais são os novos requisitos de rastreabilidade para vendedores em mercados online? Responderemos a estas e a muitas outras perguntas, usando linguagem clara e exemplos práticos. Ater-nos-emos aos factos, explicando o que a lei exige sem nos perdermos em teoria jurídica ou comentários políticos. O objetivo é capacitá-lo com um conhecimento prático do Regulamento.

A paisagem digital está num ponto de inflexão. A era da autorregulação e da abordagem de não interferência está a dar lugar a um novo paradigma de corregulação e responsabilização. O Regulamento dos Serviços Digitais está na vanguarda desta mudança global. Compreendê-lo já não é opcional para quem constrói e gere serviços digitais; é essencial. Quer faça parte de uma pequena startup que espera crescer no mercado europeu ou de uma equipa dentro de um gigante tecnológico global, este livro fornecer-lhe-á a orientação clara e prática de que necessita para navegar neste novo terreno com confiança. Vamos começar.

No seu cerne, o Regulamento dos Serviços Digitais é a ambiciosa tentativa da União Europeia de escrever um novo livro de regras para a internet. O seu objetivo principal, tal como enunciado no primeiro artigo da legislação, é contribuir para o "bom funcionamento do mercado interno dos serviços de intermediação". É uma forma muito formal de dizer que pretende garantir que a economia digital em todos os 27 Estados-Membros da UE funciona de forma fluida, justa e segura para todos. A lei visa criar um conjunto harmonizado de regras para um "ambiente online seguro, previsível e confiável" onde a inovação possa prosperar e os direitos fundamentais dos utilizadores sejam protegidos.

Para compreender o RSD, a primeira e mais crucial questão a responder é: a quem se aplica efetivamente? A resposta reside nessa expressão-chave: "serviços de intermediação". Trata-se de um termo jurídico amplo, mas o RSD ajuda ao dividi-lo em três categorias distintas. Se a sua empresa fornece qualquer um destes serviços a utilizadores dentro da União Europeia, então parabéns — ou talvez os meus pêsames — o RSD aplica-se a si. Pense nestas categorias como matrioskas (bonecas russas), cada uma com o seu próprio conjunto de regras que exploraremos nos capítulos seguintes. Por agora, vamos apenas conhecer as bonecas em si.

O primeiro e mais básico tipo de serviço de intermediação é o serviço de 'mero conduto'. Esta é a canalização fundamental da internet. Estes serviços tratam exclusivamente da transmissão de informação do ponto A para o ponto B através de uma rede de comunicações, ou do fornecimento de acesso a essa rede. A característica chave aqui é a neutralidade; o prestador não inicia a transmissão, não seleciona o destinatário, nem modifica o conteúdo que passa pelos seus "canos". São simplesmente os estafetas digitais.

Esta categoria inclui as empresas que formam a base da conectividade à internet. O seu Fornecedor de Acesso à Internet (ISP), quer forneça banda larga doméstica ou dados móveis, é um exemplo clássico de serviço de mero conduto. Outros exemplos incluem pontos de troca de tráfego internet que encaminham tráfego entre redes, o fornecedor do Wi-Fi do café da esquina, e serviços de Rede Privada Virtual (VPN). Até serviços de internet fundamentais como o Sistema de Nomes de Domínio (DNS), que traduz endereços web legíveis por humanos como www.exemplo.com para os endereços IP que os computadores entendem, se enquadram nesta categoria. As regras para estes serviços são as mais básicas, pois têm o menor envolvimento direto com o próprio conteúdo.

A segunda categoria é a dos serviços de 'armazenamento em cache' (caching). Trata-se de um tipo de serviço ligeiramente mais técnico, mas comum. O armazenamento em cache envolve o armazenamento automático, intermédio e temporário de informação com o único propósito de tornar a sua transmissão subsequente mais eficiente. Em termos mais simples, trata-se de fazer uma cópia temporária de dados e armazená-la mais perto do utilizador para acelerar o processo. Quando vê um vídeo popular online, é provável que uma cópia desse vídeo esteja armazenada num servidor perto de si, para que não tenha de percorrer todo o caminho a partir de um servidor do outro lado do mundo sempre que alguém na sua cidade o quer ver.

O exemplo mais proeminente de um serviço de armazenamento em cache é uma Rede de Distribuição de Conteúdos, ou Content Delivery Network (CDN). Estas são vastas redes de servidores distribuídas geograficamente que as empresas utilizam para entregar conteúdos web e vídeos aos utilizadores de forma rápida e fiável. Ao armazenarem cópias de conteúdos em múltiplas localizações, reduzem a latência e melhoram a experiência do utilizador. O RSD reconhece que, tal como os serviços de mero conduto, estes prestadores estão principalmente envolvidos num processo técnico para melhorar a eficiência e, portanto, têm um conjunto específico e limitado de obrigações que refletem o seu papel.

A terceira e mais ampla categoria é a dos serviços de 'alojamento'. É aqui que se enquadra a grande maioria dos serviços online com os quais interagimos diariamente. Um serviço de alojamento define-se simplesmente como um serviço que consiste no armazenamento de informação fornecida por, e a pedido de, um utilizador. Se o seu serviço permite que os utilizadores carreguem, publiquem ou armazenem os seus próprios conteúdos nos seus servidores, é um serviço de alojamento. Esta é uma categoria massiva e diversificada.

Inclui serviços de infraestrutura como fornecedores de computação na nuvem (pense na Amazon Web Services ou Microsoft Azure) e empresas de alojamento web que alugam espaço em servidor para pessoas executarem os seus sites. Inclui também os serviços voltados para o consumidor construídos sobre essa infraestrutura. Serviços de armazenamento e partilha de ficheiros como o Dropbox ou o Google Drive são serviços de alojamento. Redes sociais onde publica atualizações, fotos e vídeos são serviços de alojamento. Mercados online onde vendedores listam os seus produtos são serviços de alojamento. Plataformas de partilha de vídeo são serviços de alojamento. Até um simples fórum online ou um blog que permite comentários de utilizadores é, nessa capacidade, um serviço de alojamento. Como estes serviços armazenam ativamente conteúdos de utilizadores por um período potencialmente indefinido, o RSD impõe-lhes um conjunto maior de responsabilidades, que detalharemos nos próximos capítulos.

É importante compreender que estas categorias se baseiam puramente na função técnica. Uma única empresa pode fornecer múltiplos tipos de serviços de intermediação ao mesmo tempo. Por exemplo, uma grande empresa tecnológica pode oferecer um serviço de alojamento na nuvem (alojamento), operar uma rede de distribuição de conteúdos (armazenamento em cache) e gerir a sua própria rede massiva de fibra ótica que atua como ISP (mero conduto). Nestes casos, as regras do RSD aplicam-se a cada serviço de acordo com a sua função específica.

Já determinou que o seu serviço se enquadra numa destas três categorias. A questão seguinte é geográfica: importa onde a sua empresa está sediada? A resposta é um claro e retumbante não. O RSD aplica-se a todos os serviços de intermediação que são oferecidos a destinatários na União, "independentemente do local onde os prestadores desses serviços de intermediação têm o seu estabelecimento". Este é um princípio crucial concebido para garantir condições de concorrência equitativas e impedir que as empresas contornem as regras estabelecendo a sua sede fora da UE.

O fator determinante é se o seu serviço tem uma "ligação substancial à União". Esta ligação pode ser estabelecida de várias formas. A mais direta é ter um estabelecimento na UE, como uma sede social, uma subsidiária ou mesmo uma sucursal. Contudo, mesmo sem presença física, uma empresa pode ser considerada como tendo uma ligação substancial.

Isto pode acontecer se tiver um "número significativo de destinatários do serviço num ou mais Estados-Membros em relação à sua ou às suas populações". O RSD não fornece um número fixo para isto, pois é uma medida relativa. Um serviço de nicho com um milhão de utilizadores na Alemanha pode ser considerado significativo, enquanto um serviço global com o mesmo número de utilizadores distribuídos esparsamente por toda a UE pode não o ser. É uma avaliação caso a caso.

A outra forma de estabelecer uma ligação substancial é através do "direcionamento de atividades para um ou mais Estados-Membros". A lei fornece vários indicadores claros do que isto significa na prática. Isto pode incluir o uso de uma língua ou moeda comum num país da UE, a oferta da possibilidade de encomendar produtos ou serviços para serem entregues aí, ou o uso de um domínio de topo de código de país relevante, como .de para a Alemanha ou .it para a Itália. Outros fatores podem ser oferecer a sua aplicação numa loja de aplicações nacional, realizar campanhas publicitárias locais, ou fornecer apoio ao cliente numa língua falada num Estado-Membro. O simples facto de um site ser tecnicamente acessível a partir da UE não é, por si só, suficiente para estabelecer uma ligação substancial. Deve haver alguma intenção demonstrável de oferecer o serviço a pessoas na União.

Estabelecido quem o RSD abrange, vamos clarificar o que abrange. O regulamento estabelece regras harmonizadas sobre obrigações de devida diligência. Isto significa que define as responsabilidades e os padrões de cuidado que os serviços de intermediação devem observar. Cria um quadro para a forma como estas empresas devem lidar com conteúdo ilegal, o quão transparentes devem ser sobre as suas práticas de moderação de conteúdos, e como devem desenhar os seus sistemas para proteger os utilizadores.

Crucialmente, o RSD é uma peça de legislação "horizontal". Não visa uma única indústria, mas estabelece uma linha de base de regras que se aplicam transversalmente a todos os serviços de intermediação. O seu objetivo é travar a fragmentação do mercado interno, onde uma empresa podia ter de cumprir 27 leis nacionais diferentes sobre, por exemplo, como lidar com discursos de ódio. Sob o RSD, existe um único conjunto de regras. Os Estados-Membros estão geralmente impedidos de adotar os seus próprios requisitos nacionais adicionais sobre matérias que se enquadrem no âmbito de aplicação do RSD.

Também é importante entender o que o RSD não faz. Aplica-se apenas ao próprio serviço de intermediação, não aos bens ou serviços subjacentes vendidos ou oferecidos através dele. Por exemplo, o RSD estabelece regras para uma plataforma online que permite reservar um serviço de partilha de viagens, mas não afeta as leis nacionais que regulam o próprio serviço de táxis. Regula o mercado online, não as normas de segurança da torradeira que lá é vendida; essas são abrangidas por leis separadas de segurança de produtos.

O RSD também não existe no vácuo legal. Foi concebido para funcionar junto de todo um conjunto de outras leis da UE. Estabelece explicitamente que é sem prejuízo do direito da União em matéria de direitos de autor. Portanto, se gere uma plataforma de partilha de vídeo, continua a ter de cumprir as regras específicas estabelecidas na Diretiva dos Direitos de Autor da UE. Mais importante ainda, o RSD não substitui o Regulamento Geral sobre a Proteção de Dados (RGPD). Todo e qualquer tratamento de dados pessoais deve continuar a cumprir os requisitos rigorosos do RGPD. Da mesma forma, o RSD complementa, em vez de substituir, as leis de proteção do consumidor existentes. Constrói uma nova camada de segurança digital sobre a base legal que já existe.

Finalmente, para navegar no resto deste livro, é útil familiarizar-se desde já com mais algumas definições-chave. Já abordámos os "serviços de intermediação", mas dentro dessa ampla família, o RSD destaca dois membros particularmente importantes: as 'plataformas online' e os 'motores de busca online'.

Uma 'plataforma online' é um tipo específico de serviço de alojamento. O que a distingue é que não se limita a armazenar informação para um utilizador; também "dissemina essa informação ao público" a pedido do utilizador. Esta é a distinção chave. Um serviço de armazenamento na nuvem onde guarda os seus ficheiros privados é um serviço de alojamento, mas não é uma plataforma online. Uma rede social onde publica uma mensagem para os seus amigos e seguidores verem é uma plataforma online. Um mercado online onde um vendedor lista um produto para qualquer um comprar é uma plataforma online. Este ato de disseminação pública é o que confere a estes serviços um maior impacto social e, como veremos, acarreta um maior conjunto de responsabilidades ao abrigo do RSD. A lei prevê uma exceção para funcionalidades que sejam "meramente acessórias e de importância secundária" noutro serviço, como a secção de comentários de um jornal online.

Um 'motor de busca online' é definido praticamente como seria de esperar: um serviço que permite aos utilizadores pesquisar a web com base numa consulta e devolve resultados.

A última definição crucial a introduzir aqui é a de 'conteúdo ilegal'. A definição do RSD é excecionalmente ampla: "qualquer informação que, por si só ou em relação a uma atividade... não esteja em conformidade com o direito da União ou com o direito de qualquer Estado-Membro". Isto não significa apenas conteúdo que é inerentemente ilegal, como material terrorista ou imagens de abuso sexual de menores. Abrange também informação relacionada com atividades ilegais, como a venda de bens contrafeitos, a oferta de um serviço de alojamento não licenciado, ou a utilização não autorizada de material protegido por direitos de autor. É um termo genérico definido por outras leis. O RSD não cria novas categorias de ilegalidade; limita-se a fornecer o quadro para a forma como os serviços de intermediação devem lidar com conteúdo considerado ilegal ao abrigo das leis da UE ou nacionais já existentes. Dedicaremos um capítulo inteiro a desconstruir este conceito vital, mas por ora basta compreender o seu vasto alcance.

Com estes conceitos fundamentais estabelecidos — os tipos de serviços de intermediação, o alcance geográfico do Regulamento e as definições-chave de 'plataforma online' e 'conteúdo ilegal' — estamos agora equipados para começar a nossa viagem pelas obrigações específicas que o Regulamento dos Serviços Digitais impõe. O princípio central a ter em mente é o da proporcionalidade: as regras são escalonadas e, à medida que o potencial impacto de um serviço na sociedade cresce, crescem também as suas responsabilidades.