LGPD e Rastreamento: Como Fazer Tracking de Campanhas em Conformidade com a Lei

A LGPD (Lei Geral de Proteção de Dados) impõe obrigações claras para quem coleta dados de usuários brasileiros — e isso inclui o uso de pixels, cookies e ferramentas de tracking em campanhas digitais.

Resposta direta: Rastreamento de campanhas digitais é legal e compatível com a LGPD quando feito com as bases legais corretas — principalmente consentimento para tracking publicitário. Você precisa de banner de cookies em conformidade, política de privacidade detalhada e, idealmente, rastreamento server-side que dê mais controle sobre quais dados são enviados para terceiros.

A boa notícia: rastreamento e LGPD são compatíveis. A chave é fazer certo.

O Que Constitui Dado Pessoal no Tracking

Sob a LGPD, são dados pessoais:

• Endereço IP — identifica o dispositivo
• Cookies de identificação — vinculam visitas a um usuário
• E-mail hasheado — ainda é dado pessoal (hashing não anonimiza completamente)
• Device fingerprint — identificador único do dispositivo
• Dados de comportamento — quando vinculados a um indivíduo identificável

Dados agregados e anonimizados geralmente não se enquadram como dados pessoais. Estatísticas de tráfego sem identificadores individuais são permitidas sem consentimento.

Bases Legais para Coleta de Dados de Tracking

A LGPD permite coleta de dados com base em:

1. Consentimento — usuário aceita expressamente (mais comum para tracking de marketing)
2. Legítimo interesse — análise de segurança, funcionamento do site
3. Execução de contrato — necessário para completar uma compra

Para tracking publicitário (Meta Pixel, Google Ads, TikTok Pixel), a base mais adequada é o consentimento. Isso significa que sem consentimento, você não pode disparar pixels de terceiros.

Banner de Cookies: O Que Deve Ter

Um banner de cookies em conformidade com a LGPD deve:

• Aparecer antes de qualquer cookie não-essencial ser instalado
• Oferecer opção de aceitar, recusar ou personalizar
• Ser escrito em linguagem clara e simples
• Não usar dark patterns (botão de rejeição escondido ou com cor pouco visível)
• Registrar o momento do consentimento (logs auditáveis)

Não pode:

• Ter apenas “Ao continuar navegando você aceita” sem botão de rejeição
• Pré-marcar checkboxes de cookies opcionais
• Esconder o botão de “Recusar” ou torná-lo menos visível que o de “Aceitar”

Política de Privacidade: O Que Incluir

Sua política de privacidade deve mencionar explicitamente:

• Quais ferramentas de tracking você usa (Meta Pixel, Google Analytics, Decisa.app, etc.)
• Quais dados são coletados por cada ferramenta
• Por quanto tempo são armazenados
• Se são compartilhados com terceiros (Meta, Google, etc.) e em quais países
• Como o usuário pode exercer seus direitos (exclusão, portabilidade)
• Dados de contato do encarregado de dados (DPO)

Tracking Server-Side e LGPD

O rastreamento server-side (CAPI, server-side GTM) não elimina obrigações da LGPD. Mesmo enviando dados do servidor para o Meta/Google, você ainda está processando dados pessoais dos usuários.

No entanto, o server-side oferece vantagens para conformidade:

• Maior controle sobre quais dados são enviados — você pode filtrar dados sensíveis antes do envio
• Capacidade de anonimizar dados antes do envio (substituir IP por aproximação, truncar e-mail, etc.)
• Não depende de cookies de terceiros — mais fácil de argumentar legítimo interesse para dados necessários ao funcionamento do site
• Logs auditáveis — você sabe exatamente quais dados saíram do seu servidor

Ferramentas como o Decisa.app foram desenvolvidas com foco no mercado brasileiro e incorporam boas práticas de privacidade ao design da ferramenta.

Gestão de Consentimento e Performance de Campanhas

Aqui está um ponto que poucos gestores de tráfego percebem: o consentimento bem gerenciado melhora a qualidade dos dados que chegam ao algoritmo das plataformas.

• Usuários que consentiram com o tracking = dados de comportamento mais completos = melhores públicos
• Dados coletados com consentimento podem ser usados em customer lists, CAPI e Enhanced Conversions
• LGPD em conformidade + first-party data coletado corretamente = base legal sólida para enviar dados ricos ao Meta e Google
• Empresas em conformidade correm menos risco de ter a conta de anúncios suspensa por violações de dados

A conformidade com a LGPD não é custo — é investimento em dados de qualidade.

Direitos dos Usuários que Você Deve Respeitar

• Acesso: Usuário pode pedir quais dados você tem sobre ele
• Correção: Pode pedir correção de dados incorretos
• Exclusão: Pode pedir apagamento dos dados (direito ao esquecimento)
• Portabilidade: Pode pedir cópia dos dados em formato estruturado
• Revogação: Pode revogar consentimento a qualquer momento
• Oposição: Pode se opor ao tratamento baseado em legítimo interesse

Tenha um canal claro para receber essas solicitações (e-mail do DPO, formulário no site) e prazo definido para responder (a LGPD não define prazo, mas 15-30 dias é boa prática).

Penalidades por Descumprimento

A ANPD (Autoridade Nacional de Proteção de Dados) pode aplicar:

• Advertências com prazo para adequação
• Multas de até 2% do faturamento (limite R$ 50 milhões por infração)
• Publicização da infração (dano de reputação)
• Bloqueio ou eliminação dos dados

Desde 2023, a ANPD vem aumentando a frequência de fiscalizações e notificações. Negócios digitais são especialmente vulneráveis por coletarem dados de forma intensiva.

Em Resumo

• LGPD e tracking são compatíveis — a base legal correta para tracking publicitário é o consentimento
• Banner de cookies deve aparecer antes de qualquer pixel não-essencial ser instalado, com opção clara de recusar
• Política de privacidade deve listar todas as ferramentas de rastreamento usadas (Meta Pixel, Google Analytics, Decisa.app, etc.)
• Server-side tracking facilita a conformidade ao dar mais controle sobre quais dados saem do seu servidor
• Dados first-party coletados com consentimento são mais valiosos para o algoritmo e têm base legal sólida
• Multas da ANPD podem chegar a 2% do faturamento — conformidade é obrigatória, não opcional

Perguntas Frequentes sobre LGPD e Rastreamento Digital

Preciso de consentimento para instalar o pixel do Meta no meu site? Sim. O pixel do Meta instala cookies de terceiros e rastreia comportamento do usuário — o que requer consentimento sob a LGPD. O banner de cookies deve aparecer antes do pixel disparar, e o usuário deve ter a opção de recusar sem prejuízo ao uso do site.

O rastreamento server-side (CAPI) precisa de consentimento? Sim. Mesmo que o CAPI não use cookies de terceiros, ele envia dados pessoais (IP, e-mail hasheado, comportamento) para o Meta. Isso constitui tratamento de dados pessoais e requer base legal — geralmente consentimento para tracking publicitário.

O que é o encarregado de dados (DPO) exigido pela LGPD? O DPO (Data Protection Officer) é a pessoa responsável por receber solicitações de direitos dos titulares de dados e comunicar-se com a ANPD. Empresas que processam dados pessoais em larga escala devem designar um DPO e publicar seus dados de contato. Para pequenas empresas, o próprio dono pode ser o DPO.

Minha conta de anúncios pode ser suspensa por violação de LGPD? O Meta e Google têm políticas próprias de privacidade que se alinham com regulamentações locais. Uma reclamação de usuário brasileiro ao Meta sobre rastreamento sem consentimento pode resultar em suspensão de conta. Além das penalidades da ANPD, conformidade com a LGPD protege também a conta de anúncios.

Tracking e LGPD coexistem quando implementados corretamente. Implemente um banner de consentimento robusto, documente suas práticas na política de privacidade e escolha ferramentas que respeitem as regulamentações.

Para quem usa o Decisa.app ou ferramentas similares, consulte a documentação de conformidade da plataforma e ajuste as configurações conforme necessário para o seu modelo de negócio.