Partilha de dados de pesquisa no DMA: os riscos para a privacidade dos utilizadores

A Comissão Europeia propôs medidas que podem obrigar a Google a partilhar dados de pesquisa com motores de busca concorrentes. Mas será que a anonimização exigida é suficiente para proteger a privacidade dos utilizadores europeus?

Maria da Assunção da Cunha Reis e Ana S. Pereira Coutinho assinam o artigo intitulado "Partilhar dados para promover a concorrência: o fim da anonimização como a conhecemos?", publicado na edição de junho de 2026 da revista Advocatus. O ponto de partida é uma questão regulatória concreta, mas as implicações vão mais longe: as conclusões preliminares da Comissão Europeia sobre o cumprimento do Regulamento dos Mercados Digitais (DMA) pela Alphabet Inc. podem obrigar a Google a partilhar dados de pesquisa com concorrentes, levantando problemas sérios em matéria de proteção de dados.

O que está em causa

O DMA impõe aos controladores de acesso, como a Google, a partilha de dados sobre classificações, pesquisas, cliques e visualizações, relativamente a pesquisas gratuitas e pagas, com motores de busca concorrentes. O regulamento exige que os dados pessoais sejam previamente anonimizados, mas é precisamente a eficácia dessa anonimização que o artigo questiona.

O que a Comissão propõe

Para mitigar os riscos, a Comissão propõe medidas técnicas e contratuais. Do lado técnico, a Alphabet ficaria obrigada a suprimir identificadores diretos como endereços IP e IDs de dispositivo, eliminar consultas longas ou com palavras raras, e generalizar metadados como localização e tipo de dispositivo. Do lado contratual, as entidades que recebem os dados ficariam proibidas de os associar a outros conjuntos de dados ou de os partilhar com terceiros, com um prazo máximo de conservação fixado em 13 meses.

Os limites da anonimização

O problema, argumentam as autoras, é estrutural. A anonimização de dados comportamentais é por natureza imperfeita: a combinação de múltiplos pontos de dados pode ser suficiente para reidentificar um utilizador. O facto de a Comissão ter sentido necessidade de propor medidas contratuais como salvaguarda adicional é, em si mesmo, revelador das dúvidas sobre a robustez das medidas técnicas. Acresce que os utilizadores, ao pesquisarem num motor de busca, não esperam que essa atividade seja transmitida a terceiros. As suas expectativas razoáveis de privacidade não podem ser ignoradas.

As medidas propostas contemplam ainda dados provenientes de chatbots de inteligência artificial, o que agrava consideravelmente os riscos. As interações com estes sistemas tendem a ser muito mais granulares e reveladoras do que uma pesquisa convencional, amplificando a probabilidade de reidentificação.

DMA e RGPD: desafios de articulação

No fundo, o que o artigo ilumina são os desafios que se colocam na articulação entre dois quadros regulatórios europeus. A delimitação entre dados pessoais e dados não pessoais é, no ambiente digital, uma tarefa complexa: dados aparentemente anónimos podem, quando combinados, permitir identificar os seus titulares. Se os mecanismos de anonimização não forem verdadeiramente irreversíveis, o RGPD continua a aplicar-se, independentemente do que o DMA exija.

A Consulta Pública promovida pela Comissão encerrou a 1 de maio de 2026. Os seus resultados, aguardados com expectativa, poderão redefinir o que é exigido às organizações neste domínio, num sentido que pode favorecer uma maior circulação de dados entre entidades.

Leia o artigo completo aqui.