O youtuber espanhol Carles Tamayo voltou a tocar num ponto sensível, com o seu habitual estilo informal, divertido e mordaz. No último episódio de Se nos ha ido de las manos («Fugiu-nos das mãos»), uma série documental que estreou na televisão pública espanhola em abril de 2026, analisa a forma como as empresas compram e vendem dados pessoais.

O episódio, intitulado El activo eres tú («Tu és o ativo»), põe em cima da mesa uma pergunta desconfortável: quem tem os nossos dados e o que é feito deles? E o que estamos dispostos a abdicar em troca da promessa de algo gratuito? Depois de receber chamadas de spam de empresas que sabiam demasiado sobre ele, Tamayo transformou a sua própria produtora num corretor de dados para ver, a partir de dentro, como os dados pessoais são recolhidos e negociados.

Eis como funciona o negócio dos corretores de dados e que direitos lhe confere o GDPR (Regulamento Geral sobre a Proteção de Dados).

O que é um corretor de dados e como ganham dinheiro

Um corretor de dados é uma empresa que recolhe, analisa e vende informações sobre pessoas e organizações. O que torna essas informações valiosas para os compradores é a forma como podem ser combinadas e analisadas. Hábitos, interesses, dados de localização e outros sinais podem ser reunidos, cada vez mais com a ajuda da IA, para formar algo utilizável. Os corretores de dados vendem a matéria-prima que permite construir um perfil de quase qualquer pessoa.

Na reportagem de Tamayo, por exemplo, um corretor de dados oferece-lhe informações sobre pessoas que tiveram um bebé recentemente. Esses novos pais tinham fornecido os seus dados no hospital em troca da participação num sorteio de produtos para recém-nascidos.

Os corretores de dados recolhem normalmente endereços de e-mail, endereços IP(nova janela), localização aproximada, compras online, pesquisas na internet, interesses selecionados dentro de uma aplicação e os dispositivos que alguém utiliza.

Já alguma vez recebeu uma chamada de uma operadora telefónica, ou de qualquer outra empresa, e se perguntou onde arranjaram o seu número? É mais simples do que pensa. Os cookies, as aplicações móveis e os formulários online podem recolher as suas informações e transmiti-las aos corretores de dados. As fontes offline também o podem fazer, como os cartões de fidelização, os sorteios e os registos públicos.

O que são cookies e para que servem

Já os viu em todos os sítios web que visita: um pequeno pop-up a pedir para aceitar ou rejeitar cookies. Provavelmente passa-lhe ao lado, aceita os cookies(nova janela) e segue em frente, sem nunca perguntar o que são realmente os cookies(nova janela) nem com o que acabou de concordar que as empresas fizessem com os seus dados.

Os cookies são pequenos ficheiros que um sítio web armazena no seu navegador para recordar informações sobre a sua visita. Os que interessam aos corretores de dados são os cookies publicitários, concebidos para construir perfis comportamentais e apresentar anúncios personalizados.

Mas atualmente pode ser rastreado por métodos que vão muito além dos cookies. A impressão digital do navegador, por exemplo, cria uma assinatura única a partir das características do seu dispositivo, enquanto o rastreio entre sítios segue a sua atividade à medida que passa de um sítio para outro. Nos dispositivos móveis, os identificadores publicitários fazem algo semelhante, associando o seu comportamento a um identificador persistente.

Rejeitar cookies melhora a sua privacidade, mas não a garante totalmente. E quando começa a perguntar para onde vão os seus dados, quem os detém e como são usados, acaba inevitavelmente por se deparar com a questão de saber se o comércio dos seus dados é sequer legal.

Como o GDPR o protege

O GDPR é o conjunto de regras da União Europeia que regula a forma como as organizações e as empresas recolhem, utilizam, partilham e armazenam os dados pessoais de qualquer pessoa na UE. Aplica-se também a empresas sediadas fora da UE que se dirijam às pessoas que aí vivem. Em Espanha, a conformidade é supervisionada pela Agência Espanhola de Proteção de Dados (AEPD), que também trata das reclamações quando uma empresa viola estes direitos.

O GDPR estabelece vários direitos fundamentais:

Direito de acesso: saber que dados pessoais uma empresa detém sobre si, para que os utiliza, com quem os partilhou e onde os obteve. Pode também solicitar uma cópia.

Direito de retificação: corrigir informações incorretas ou desatualizadas.

Direito ao apagamento: conhecido como «direito ao esquecimento», permite-lhe pedir a eliminação dos seus dados quando a empresa já não precisa deles, quando retira o consentimento ou se opõe à sua utilização, ou quando foram tratados de forma ilícita.

Direito de oposição: recusar determinados tipos de tratamento, como a utilização dos seus dados para publicidade. No caso do marketing direto, este direito é absoluto: assim que se opuser, a empresa tem de parar.

Direito à portabilidade dos dados: receber os dados pessoais que forneceu a uma empresa num formato estruturado, de uso corrente e de leitura automática, para os poder transferir para outro prestador de serviços. Aplica-se quando a empresa trata os seus dados com base no seu consentimento ou num contrato, por meios automatizados.

O GDPR confere às pessoas direitos exigíveis, protegidos por coimas, mas muitas não sabem que os podem exercer gratuitamente. Uma empresa só pode cobrar uma taxa ou recusar quando o pedido for manifestamente infundado ou excessivo.

Como mostra a reportagem de Tamayo, há um fosso considerável entre as garantias que a lei oferece e o que o cidadão comum sabe sobre a proteção das suas informações pessoais. Esse fosso dificulta o recurso às ferramentas legais disponíveis e a retoma do controlo sobre os próprios dados.

Como usar os seus direitos do GDPR contra os corretores de dados

Os direitos acima só funcionam se forem usados. Nenhum deles exige um advogado nem um formulário especial: basta um e-mail para o contacto de privacidade da empresa.

Pergunte de onde vieram os seus dados. Se uma empresa o contactar e nunca lhe tiver fornecido os seus dados, pergunte-lhe qual é a fonte. Ao abrigo do direito de acesso, tem de lhe responder, e essa resposta conduz muitas vezes diretamente a um corretor de dados.

Envie um pedido de acesso. Pergunte à empresa ou ao corretor que dados detém sobre si, para que os utiliza e com quem os partilhou, e peça uma cópia. O pedido é gratuito e a empresa tem de responder no prazo de um mês. Pode prorrogá-lo por mais dois meses em caso de pedidos complexos, mas tem de o informar.

Exerça o direito de oposição e peça o apagamento. No mesmo e-mail, pode opor-se à utilização dos seus dados para marketing e pedir a sua eliminação. A empresa tem também de comunicar a eliminação a quem tiver partilhado os seus dados, salvo se tal for impossível ou implicar um esforço desproporcionado.

Inscreva-se na Lista Robinson. Em Espanha, as empresas que enviam marketing direto têm de consultar esta lista de exclusão publicitária antes de a contactarem. A inscrição é gratuita.

Apresente uma reclamação à AEPD. Se uma empresa o ignorar, recusar sem motivo válido ou não cumprir o prazo, pode apresentar gratuitamente uma reclamação à Agência Espanhola de Proteção de Dados.

Limitar, desde logo, o que os corretores de dados podem recolher

Os seus direitos do GDPR limpam o que já existe. Alguns hábitos simples reduzem a quantidade de novos dados que chegam aos corretores.

Reveja as permissões das suas aplicações e desative qualquer acesso de que uma aplicação não precise para funcionar, sobretudo as que têm acesso à sua localização, contactos ou fotografias.

Rejeite os cookies não essenciais. Nos sítios web da UE, rejeitar deve ser tão fácil como aceitar, e isso bloqueia os cookies publicitários que alimentam os perfis comportamentais.

Mantenha a sessão terminada nos sítios web e serviços quando está apenas a navegar. Quando tem sessão iniciada no Google, YouTube, Amazon ou num sítio de notícias, tudo o que pesquisa, vê, lê ou compra fica associado à sua conta. Navegar sem sessão iniciada deixa às empresas menos informação para lhe associar.

Use um navegador centrado na privacidade, como o Firefox ou o Brave, que bloqueiam muitos rastreadores por predefinição. Pode também explorar navegadores web europeus alternativos focados na privacidade.

Mude para o Proton Mail, o nosso serviço de e-mail privado e seguro que não consegue ler os seus e-mails nem analisa a sua caixa de entrada para fins de publicidade, rastreio ou vigilância. Também bloqueia os píxeis de rastreio, que os profissionais de marketing usam habitualmente para ver quando abre uma mensagem e outros indicadores.

Use uma VPN(nova janela) para ocultar o seu endereço IP de sítios web, aplicações e redes publicitárias, para que não possam usá-lo para estimar a sua localização nem associar a sua atividade entre sítios web. O Proton VPN tem também uma funcionalidade chamada NetShield, que bloqueia anúncios e rastreadores antes de serem carregados. Tem uma política sem registos auditada de forma independente(nova janela), por isso não guarda qualquer registo do que faz online.

Use um gestor de palavras-passe encriptado para criar palavras-passe fortes e únicas, para que uma conta comprometida não exponha as restantes. O Proton Pass também lhe dá aliases de e-mail hide-my-email para newsletters, sorteios e lojas online. Se um deles começar a receber spam, pode ver quem o pode ter partilhado ou divulgado e, em seguida, desativar o alias.

Como a reportagem de Tamayo deixa claro, os corretores de dados fazem parte de um modelo de negócio assente nos nossos dados. Mas o GDPR e as ferramentas que protegem a nossa privacidade dão-nos formas de retomar o controlo. O objetivo não é desaparecer da internet, mas decidir de forma consciente quem pode aceder aos nossos dados e por que razão.