Esta é uma edição permanente. Ela traz o briefing exatamente como foi publicado nesta data e não muda.
ANPD abre processo administrativo e exige esclarecimentos da Meta sobre moderação de contas
A ANPD exigiu formalmente explicações da Meta sobre alegações de violações de direitos de usuários em suas principais plataformas sociais, após a instauração de um processo administrativo por sua coordenação de fiscalização.
A autoridade instaurou um procedimento administrativo sobre os critérios de suspensão ou desativação de contas de usuários, a redução de alcance ou remoção de conteúdos e as vias de recurso cabíveis contra essas decisões. Foram expedidas notificações formais determinando que a Meta preste esclarecimentos técnicos e operacionais relativos a potenciais irregularidades em suas práticas de moderação e aplicação de regras.
A ANPD fiscaliza diretamente as práticas de moderação de contas e remoção de conteúdo da Meta no Brasil.
Quem isso vincula
Meta, especificamente quanto às operações que afetam usuários do Instagram e do Facebook no Brasil
O que mudou
A Meta foi intimada a apresentar informações formais e a justificar perante a ANPD seus procedimentos de suspensão de contas, remoção de conteúdo e mecanismos de recurso, no âmbito de uma apuração administrativa.
Uma autoridade supervisora emitiu repreensões formais a um controlador e a um operador após um incidente de ransomware originado em uma conta legada de teste. A conta permaneceu ativa por mais de doze anos com credenciais fracas e sem auditorias de desativação periódicas, além de inexistir contrato formal regulando subprocessadores. Do ponto de vista da governança operacional da privacidade, qual medida técnica e de gestão de fornecedores aborda diretamente as causas apontadas pelo órgão regulador?
Executar auditorias periódicas em diretórios de identidade e estabelecer cláusulas contratuais formais para o tratamento conjunto com terceiros
Impor criptografia em repouso para todas as bases históricas e contratar seguro especializado contra incidentes cibernéticos graves
Elaborar um relatório de impacto à proteção de dados e centralizar o suporte a usuários em um canal exclusivo de atendimento
Notificar preventivamente os titulares vulneráveis e restringir o tráfego de saída por meio de barreiras avançadas de rede
Invasores executaram o ataque de ransomware em 1 de novembro de 2024, subtraindo 42GB de dados e criptografando 182.7GB em sistemas internos. Os registros afetados provinham de dois programas operacionais de apoio a crianças e famílias. Contas administrativas de rede em três ambientes distintos mantiveram credenciais sem rotação por mais de uma década, sem a realização de auditorias periódicas.
A apuração constatou que a Data Cymru atuava sem o contrato obrigatório de suboperador previsto no Article 28(4) do UK RGPD, negligenciando rotinas de manutenção de diretórios. Ambas as entidades sanaram a pendência contratual em 30 de abril de 2025 e implementaram a autenticação multifator compulsória para proteger acessos externos.
Organizações sujeitas ao direito de privacidade canadense devem adaptar fluxos de cadastro para obter consentimento expresso destinado a tratamentos secundários e eliminar a criação de perfis comportamentais de menores de 13 anos.
Compilado naquela manhã a partir de fontes reguladoras, judiciais e oficiais. As fontes primárias estão vinculadas em cada notícia.