Google terá de compartilhar dados de busca anonimizados com rivais
A Comissão Europeia especificou como a Google deve cumprir o Artigo 6(11) do Regulamento dos Mercados Digitais (DMA) e compartilhar dados de busca anonimizados com concorrentes.
Contexto regulatório
Na Europa, o Google Search tem cerca de 90% do mercado de busca há mais de uma década. Isso lhe dá acesso a dados sobre consultas, cliques e interações com módulos da página. O DMA, aprovado em 2022, busca estimular concorrência em mercados digitais, e o Artigo 6(11) determina que o gatekeeper forneça a buscadores terceiros, a pedido, acesso em termos justos, razoáveis e não discriminatórios a dados de ranking, consulta, clique e visualização de buscas gratuitas e pagas, com anonimização de dados pessoais. Em março de 2024, para cumprir a regra, a Google começou a oferecer um conjunto anonimizado; não houve adesão significativa. Em janeiro de 2026, a Comissão abriu procedimentos de especificação; eles terminaram no mês anterior e a decisão completa foi publicada nesta semana. O autor relata ter ajudado a Comissão em engajamentos remunerados.
Privacidade e utilidade
O padrão de anonimização do DMA, no Considerando 61, é semelhante ao do Considerando 26 do GDPR: os dados são anonimizados se forem alterados de modo irreversível que não se relacionem a pessoa identificável. As Diretrizes Conjuntas Preliminares do Conselho Europeu de Proteção de Dados e da Comissão esclarecem que apenas usuários finais são protegidos; consultas e resultados podem conter dados pessoais de terceiros. A anonimização pode combinar medidas técnicas e não técnicas: as técnicas devem ser proeminentes, mas pode restar risco residual, desde que mitigado. O risco residual é definido por ataques que recuperem registros de um indivíduo específico com alta certeza, reidentifiquem um registro aleatório com alta certeza ou reidentifiquem em larga escala com métodos simples.
A utilidade também importa: se vários métodos atendem à anonimização, escolhe-se o que retém mais utilidade. Três usos sofrem com a assimetria de dados: rastreamento e indexação, compreensão de consultas e ranking e qualidade. O problema central é a cauda longa; 15% das consultas vistas pelo Google Search a cada dia são novas.
Abordagem especificada
A garantia combina elegibilidade, medidas técnicas e não técnicas. Para ser destinatário, é preciso ser buscador estabelecido ou novo entrante crível: 50 mil usuários ativos mensais e mais de 2 anos de existência ou mais de 50 milhões de euros em investimentos. A Alphabet avalia a elegibilidade e pode rejeitar destinatários sob sanções da UE ou controlados por Estado fora do EEE que represente risco sério à proteção de dados. Chatbots de IA com função de busca contam como buscadores.
As medidas técnicas têm cinco etapas: remoção de identificadores, timestamps precisos e atributos de fingerprinting; supressão de consultas com entidades raras buscadas por menos de 50 usuários distintos no último ano; supressão de consultas acima do percentil 95 de comprimento por idioma; generalização de metadados, com localização em região grande, tipo de dispositivo amplo e limiar de 1.000 usuários, podendo chegar a país ou remoção; e mini-sessões de até 3 consultas sucessivas para recuperar refinamentos.
As medidas não técnicas incluem ambiente segregado, limitação de finalidade à otimização de buscadores, proibição de treinar LLMs de propósito geral com os dados, proibição de vincular ou reidentificar, retenção de 13 meses, governança e auditorias inicial e anuais. A Comissão avaliou com consulta pública, análise de dados e experimentos adversariais; a Google também apresentou análises. A Google alegou reidentificar usuários em "menos de 2 horas", mas o texto aponta ressalvas: ignorou medidas não técnicas, usou recursos irrealistas, baseou-se em medidas preliminares e não quantificou certeza. Ainda assim, adaptações foram feitas: exclusão de resultados patrocinados, regiões maiores e limiar de metadados maior.
A Google tem 6 meses para implementar as medidas técnicas e finalizar o acesso; concorrentes podem começar a receber dados no início de 2027. O autor espera que a Google continue resistindo em tribunais e com lobby. A Comissão fará revisões regulares.