Depois de anos em que a LGPD era tratada como assunto de departamento jurídico, 2026 mudou o jogo para quem faz tráfego pago no Brasil. A ANPD deixou a fase de orientação e entrou de fato em fiscalização, com a publicidade digital e o uso de dados para perfilamento entre as prioridades declaradas para o biênio 2026-2027. Isso significa que pixel do Meta, tag do Google Ads e qualquer script de rastreamento de conversão deixaram de ser só uma questão técnica de otimização de campanha e passaram a ser uma questão de risco legal para o negócio do seu cliente. Depois de anos rodando campanha para clínicas, escritórios de advocacia e e-commerces, vejo esse ponto ser ignorado na maioria das auditorias que faço: o cliente investe rios de dinheiro em mídia, mas o site roda um pixel de remarketing sem consentimento válido, o que pode gerar autuação independente de resultado de campanha.
O que mudou: a ANPD saiu do papel para a fiscalização
O Guia Orientativo de Cookies e Proteção de Dados Pessoais, publicado pela ANPD, deixou claro que cookies não essenciais (analytics, remarketing, perfilamento comportamental) exigem consentimento livre, informado, inequívoco e granular, independente da tecnologia usada para coletar o dado. A agenda regulatória 2025-2026 previu o aprofundamento do tema cookies, com foco especial em mensuração de consentimento em plataformas digitais e rastreamento de menores. Na prática, isso quer dizer que a autoridade está de olho especificamente no setor de publicidade e nas ferramentas de rastreamento que sustentam campanhas de Google Ads e Meta Ads.
Para o gestor de tráfego, o recado é direto: seu trabalho de otimização de conversão agora depende de uma camada de compliance que, se malfeita, derruba a qualidade dos dados antes mesmo de você abrir o painel de campanhas.
Cookies e consentimento: o que é obrigatório hoje
Todo site que roda campanha paga com rastreamento de conversão precisa, no mínimo, de três elementos:
- Banner de consentimento granular: o visitante precisa poder aceitar cookies de analytics e de marketing separadamente, não em um bloco único de "aceitar tudo".
- Bloqueio prévio de scripts não essenciais: o pixel do Meta, a tag do Google Ads e o Google Analytics só devem disparar depois do consentimento, não antes.
- Registro do consentimento: é preciso guardar quando e como o usuário consentiu, para eventual comprovação em auditoria.
A maioria dos sites que audito ainda dispara todos os scripts de rastreamento no carregamento da página, com o banner aparecendo só como formalidade visual. Isso é o oposto do que a ANPD orienta e é o primeiro ponto que corrijo em qualquer auditoria de conta nova.
Como montar um banner de consentimento sem destruir sua taxa de conversão
O medo mais comum de quem me procura é: "se eu bloquear os cookies até o consentimento, minha campanha vai parecer que piorou". É uma preocupação válida, mas resolvível com três ajustes práticos:
1. Design do banner importa mais do que parece
Banners que escondem o botão de recusa atrás de um menu de configurações, ou que usam contraste visual para empurrar o "aceitar tudo", já foram alvo de questionamento da ANPD em outros setores. Um banner com os dois botões (aceitar e recusar) no mesmo nível visual tende a manter taxas de aceite entre 55% e 70% em sites B2B e B2C no Brasil, o que ainda é uma base de dados utilizável.
2. Consent Mode reduz a perda de sinal
O Google Consent Mode v2 permite que o Google Ads continue recebendo sinais agregados e modelados mesmo quando o usuário não consente com cookies de marketing, o que evita a perda total de rastreamento de conversão em campanhas do Google. Sem essa configuração ativa, a plataforma pode limitar acesso a públicos de remarketing e prejudicar a otimização automática de lances.
3. Mensure a taxa de consentimento como uma métrica de negócio
Poucos gestores acompanham a taxa de aceite do banner como parte do funil. Uma queda repentina nessa taxa geralmente indica um problema no texto do banner ou uma mudança recente no design, e afeta diretamente o volume de dados disponível para otimização de campanha.
Rastreamento server-side: o que muda na prática
O rastreamento server-side move a coleta de dados do navegador do usuário para um servidor controlado pela própria empresa (geralmente via Google Tag Manager Server-side ou uma integração direta com a Conversions API). Isso traz duas vantagens concretas:
- Mais controle sobre o que é enviado: a empresa decide exatamente quais dados repassa para Meta e Google, o que facilita a governança exigida pela LGPD.
- Menos dependência de cookies de terceiros: como parte da coleta acontece fora do navegador, o impacto de bloqueadores de anúncio e das restrições de navegadores como Safari e Firefox é menor.
A implementação exige um servidor dedicado (geralmente um container no Google Cloud) e configuração técnica que vai além do que a maioria das agências pequenas oferece. Para contas com investimento mensal acima de R$ 30 mil em mídia, esse é geralmente um investimento que se paga pela melhora na qualidade dos dados de otimização.
CAPI e dados de primeira parte: o que ainda funciona sem risco
A Conversions API (CAPI) da Meta e o Enhanced Conversions do Google Ads permitem enviar eventos de conversão diretamente do servidor da empresa para a plataforma de anúncios, com dados de primeira parte (e-mail, telefone, hash de identificação) coletados com consentimento explícito no próprio formulário de conversão. Isso continua sendo permitido pela LGPD, desde que:
- O dado tenha sido coletado com uma base legal válida (normalmente consentimento explícito no formulário).
- O envio para Meta e Google seja feito com hash (dado criptografado), nunca em texto puro.
- A finalidade declarada ao usuário no momento da coleta inclua o uso para publicidade.
Esse é hoje o caminho mais robusto para manter a qualidade do rastreamento de conversão sem depender só de cookies de terceiros, que estão cada vez mais restritos pelos próprios navegadores.
Checklist de adequação para quem roda tráfego pago
| Item | Situação desejada |
|---|---|
| Banner de consentimento | Granular, com aceitar e recusar no mesmo nível visual |
| Disparo de scripts | Bloqueado até o consentimento do usuário |
| Google Consent Mode v2 | Ativo e configurado corretamente na tag |
| Política de privacidade | Atualizada, citando os fins de publicidade e remarketing |
| CAPI / Enhanced Conversions | Configurado com hash de dados de primeira parte |
| Registro de consentimento | Armazenado com data, hora e escopo aceito |
Se o site do seu cliente não atende pelo menos os quatro primeiros itens, o risco não é só jurídico: é também um problema de performance, porque campanhas otimizadas com dados incompletos custam mais caro por conversão ao longo do tempo.
Próximos passos: o que priorizar primeiro
Se você gerencia tráfego pago para terceiros, a ordem de prioridade que costumo recomendar é: primeiro, auditar o que está sendo disparado hoje no site (a maioria tem scripts rodando sem consentimento, mesmo com banner instalado). Segundo, ativar o Consent Mode v2 no Google Tag Manager. Terceiro, revisar a política de privacidade junto do time jurídico do cliente para garantir que a finalidade de publicidade está declarada. Só depois disso faz sentido investir em rastreamento server-side, que é a etapa mais cara e mais técnica do processo.
Esse tipo de auditoria evita dor de cabeça regulatória e, na prática, também costuma destravar qualidade de dado que estava sendo perdida silenciosamente há meses.
