Para quem faz tráfego pago no Brasil, a LGPD muda uma coisa central: pixel do Meta, tag do Google Ads e qualquer script de rastreamento de conversão só podem coletar dado para publicidade com consentimento válido do visitante, e por isso deixaram de ser só uma questão técnica de otimização e passaram a ser uma questão de risco legal para o negócio do seu cliente. A própria ANPD incluiu no Mapa de Temas Prioritários para o biênio 2026-2027 atividades de fiscalização sobre o uso secundário de dados pessoais para entrega de publicidade comercial direcionada. Vejo esse ponto ser ignorado na maioria das auditorias que faço: a empresa investe pesado em mídia, mas o site roda um pixel de remarketing sem consentimento válido, o que pode gerar autuação independente do resultado da campanha.
O que mudou: publicidade direcionada está na lista de fiscalização da ANPD
O Guia Orientativo Cookies e Proteção de Dados Pessoais, publicado pela ANPD em outubro de 2022, lembra que o consentimento deve ser livre, informado e inequívoco e afirma que o legítimo interesse dificilmente será a hipótese legal mais apropriada quando os dados coletados por cookies são usados para fins de publicidade, sobretudo com formação de perfis ou rastreamento do usuário entre sites. Para cookies de medição de audiência (analytics), o guia admite o legítimo interesse em determinados contextos, como dados agregados e sem formação de perfis. Além disso, a Agenda Regulatória 2025-2026, alterada pela Resolução CD/ANPD nº 31/2025, inclui um item para estabelecer parâmetros sobre o uso da hipótese legal do consentimento. Na prática, o uso de dados para publicidade direcionada, que é o que sustenta remarketing e otimização de campanhas de Google Ads e Meta Ads, está no radar declarado da autoridade.
Para o gestor de tráfego, o recado é direto: seu trabalho de otimização de conversão agora depende de uma camada de compliance que, se malfeita, derruba a qualidade dos dados antes mesmo de você abrir o painel de campanhas.
Cookies e consentimento: o que a ANPD orienta hoje
Todo site que roda campanha paga com rastreamento de conversão precisa, no mínimo, de três elementos:
- Banner de consentimento granular: o visitante precisa poder aceitar cookies de analytics e de marketing separadamente, não em um bloco único de "aceitar tudo".
- Bloqueio prévio de scripts de publicidade: o pixel do Meta e a tag do Google Ads só devem disparar depois do consentimento, não antes. O Google Analytics entra na mesma regra quando os dados alimentam públicos ou anúncios; o guia da ANPD só admite o legítimo interesse para medição de audiência em determinados contextos.
- Registro do consentimento: é preciso guardar quando e como o usuário consentiu, para eventual comprovação em auditoria.
A maioria dos sites que audito ainda dispara todos os scripts de rastreamento no carregamento da página, com o banner aparecendo só como formalidade visual. Isso é o oposto do que a ANPD orienta e é o primeiro ponto que corrijo em qualquer auditoria de conta nova.
Como montar um banner de consentimento sem destruir sua taxa de conversão
O medo mais comum de quem me procura é: "se eu bloquear os cookies até o consentimento, minha campanha vai parecer que piorou". É uma preocupação válida, mas resolvível com três ajustes práticos:
1. Design do banner importa mais do que parece
Banners que escondem o botão de recusa atrás de um menu de configurações, ou que dão destaque só ao "aceitar", aparecem na lista de práticas desaconselhadas do guia de cookies da ANPD. O exemplo de boa prática do próprio guia é um banner com três opções, todas com o mesmo formato e destaque: "aceitar todos os cookies", "rejeitar todos os cookies" e "gerenciar cookies". Um banner assim reduz o volume de dados em relação a um banner que força o aceite, mas o que sobra é uma base legítima para otimizar, e a taxa de aceite passa a ser algo que você mede e melhora (veja o item 3).
2. Consent Mode reduz a perda de sinal
O modo de consentimento do Google (Consent Mode) ajusta o comportamento das tags conforme a escolha do visitante. Segundo a página de ajuda do Google Ads sobre o modo de consentimento, na implementação avançada as tags enviam pings sem cookies quando o consentimento é negado, e o Google usa esses pings nas estimativas de conversão; na implementação básica, nada é enviado sem consentimento e a estimativa se baseia em um modelo geral. Sem essa configuração, cada recusa vira uma conversão que a otimização automática de lances simplesmente não enxerga.
3. Mensure a taxa de consentimento como uma métrica de negócio
Poucos gestores acompanham a taxa de aceite do banner como parte do funil. Uma queda repentina nessa taxa geralmente indica um problema no texto do banner ou uma mudança recente no design, e afeta diretamente o volume de dados disponível para otimização de campanha.
Rastreamento server-side: o que muda na prática
O rastreamento server-side move a coleta de dados do navegador do usuário para um servidor controlado pela própria empresa (geralmente via Google Tag Manager Server-side ou uma integração direta com a Conversions API). Isso traz duas vantagens concretas:
- Mais controle sobre o que é enviado: a empresa decide exatamente quais dados repassa para Meta e Google, o que facilita a governança exigida pela LGPD.
- Menos dependência de cookies de terceiros: como parte da coleta acontece fora do navegador, o impacto de bloqueadores de anúncio e das restrições de navegadores como Safari e Firefox é menor.
A implementação exige um servidor dedicado (geralmente um container no Google Cloud) e configuração técnica que vai além do que a maioria das agências pequenas oferece. Para contas com investimento alto em mídia, costuma ser um investimento que se paga pela melhora na qualidade dos dados de otimização; em contas pequenas, compare o custo do servidor e da configuração com o ganho esperado antes de decidir.
CAPI e dados de primeira parte: o que ainda funciona sem risco
A Conversions API (CAPI) da Meta e o Enhanced Conversions do Google Ads permitem enviar eventos de conversão diretamente do servidor da empresa para a plataforma de anúncios, com dados de primeira parte (e-mail, telefone, hash de identificação) coletados com consentimento explícito no próprio formulário de conversão. Isso continua sendo permitido pela LGPD, desde que:
- O dado tenha sido coletado com uma base legal válida (normalmente consentimento explícito no formulário).
- O envio para Meta e Google seja feito com hash (dado criptografado), nunca em texto puro.
- A finalidade declarada ao usuário no momento da coleta inclua o uso para publicidade.
Esse é hoje o caminho mais robusto para manter a qualidade do rastreamento de conversão sem depender só de cookies de terceiros, que estão cada vez mais restritos pelos próprios navegadores.
Checklist de adequação para quem roda tráfego pago
| Item | Situação desejada |
|---|---|
| Banner de consentimento | Granular, com aceitar e recusar no mesmo nível visual |
| Disparo de scripts | Bloqueado até o consentimento do usuário |
| Google Consent Mode v2 | Ativo e configurado corretamente na tag |
| Política de privacidade | Atualizada, citando os fins de publicidade e remarketing |
| CAPI / Enhanced Conversions | Configurado com hash de dados de primeira parte |
| Registro de consentimento | Armazenado com data, hora e escopo aceito |
Se o site do seu cliente não atende pelo menos os quatro primeiros itens, o risco não é só jurídico: é também um problema de performance, porque campanhas otimizadas com dados incompletos custam mais caro por conversão ao longo do tempo.
Próximos passos: o que priorizar primeiro
Se você gerencia tráfego pago para terceiros, a ordem de prioridade que costumo recomendar é: primeiro, auditar o que está sendo disparado hoje no site (a maioria tem scripts rodando sem consentimento, mesmo com banner instalado). Segundo, ativar o Consent Mode v2 no Google Tag Manager. Terceiro, revisar a política de privacidade junto do time jurídico do cliente para garantir que a finalidade de publicidade está declarada. Só depois disso faz sentido investir em rastreamento server-side, que é a etapa mais cara e mais técnica do processo.
Esse tipo de auditoria evita dor de cabeça regulatória e, na prática, também costuma destravar qualidade de dado que estava sendo perdida silenciosamente há meses.
Leia também: Custo por Lead (CPL) no Brasil: Benchmarks Reais, Como Escolher Palavras-Chave para o Seu Negócio e Google Ads para Serviços Financeiros e Compliance.
