A promessa do “sem necessidade de banner”

Ferramentas de analytics voltadas à privacidade costumam se apresentar como livres de cookies, e algumas vão além e sugerem que você não precisa mais de um banner de consentimento. Para um editor com uma stack enxuta, é uma ideia atraente. A realidade é mais nuançada. Se o consentimento é necessário depende do que a ferramenta realmente faz no dispositivo, de quais dados ela processa, de onde estão seus usuários e do que mais roda nas suas páginas.

Este artigo explica as perguntas a fazer antes de retirar o analytics da sua configuração de consentimento. É uma orientação geral, não aconselhamento jurídico.

Cookies não são o único gatilho

Na UE, a regra de consentimento para dispositivos vem do artigo 5(3) da Diretiva ePrivacy. Ela abrange o armazenamento de informações no dispositivo de um usuário, ou o acesso a informações nele — não apenas cookies. Armazenamento local, armazenamento de sessão, pixels que provocam a leitura de informações e técnicas que derivam identificadores das características do dispositivo podem estar incluídos. O Comitê Europeu para a Proteção de Dados apresentou essa leitura ampla em suas Diretrizes 2/2023 sobre o âmbito técnico do artigo 5(3).

Portanto, “não definimos cookies” é o começo da análise, não o fim. Você precisa saber se a ferramenta armazena ou lê alguma coisa no dispositivo.

Quatro perguntas para qualquer ferramenta de analytics

1. Ela armazena ou lê algo no dispositivo?

Verifique os painéis de armazenamento do navegador após carregar uma página: cookies, armazenamento local, armazenamento de sessão, IndexedDB. Examine o script em busca de código que colete características do dispositivo para construir um identificador. Se algo for armazenado ou lido para fins de analytics, a regra ePrivacy se aplica, a menos que haja uma isenção.

2. Ela processa dados pessoais?

Mesmo sem armazenamento no dispositivo, o analytics geralmente processa endereços IP, user agents e URLs de páginas. Pelo GDPR, isso pode ser dado pessoal. Isso exige uma base legal — que pode ser o legítimo interesse em vez do consentimento — além de transparência no seu aviso de privacidade, minimização de dados e retenção adequada. “Sem banner” nunca significa “sem obrigações”.

3. Uma isenção se aplica nos países dos seus usuários?

Alguns reguladores reconhecem que uma medição de audiência limitada pode ser isenta de consentimento se condições rigorosas forem atendidas. A CNIL, da França, publicou condições para isentar rastreadores de medição de audiência e mantém um programa que identifica as ferramentas que podem ser configuradas para atendê-las. As condições normalmente incluem uso estritamente de primeira parte, apenas estatísticas agregadas, nenhum rastreamento entre sites e retenção limitada. A Data (Use and Access) Act 2025 do Reino Unido introduziu novas exceções ao requisito de consentimento da PECR, inclusive para certas finalidades estatísticas, sujeitas a condições como informação clara e uma forma de se opor. Nem todos os países adotam o mesmo entendimento, então verifique a situação em cada mercado que você atende e quais disposições estão em vigor.

4. Os dados são compartilhados com mais alguém?

Se a ferramenta envia dados a um fornecedor que os usa para seus próprios fins, ou os combina entre clientes, as isenções geralmente deixam de valer. Leia os termos de processamento, não apenas a página de marketing.

O que normalmente ainda precisa de consentimento

• Tags de publicidade. Os editores financiados por anúncios precisam de consentimento para publicidade personalizada e para o armazenamento no dispositivo por fornecedores de anúncios, seja qual for a ferramenta de analytics que usem.
• Ferramentas com identificadores entre sessões. IDs de visitante persistentes, mesmo de primeira parte, tendem a tirar uma ferramenta da maioria das isenções.
• Replay de sessão e mapas de calor. Capturam comportamento detalhado e raramente são tratados como medição isenta.
• Conteúdo incorporado e widgets sociais. Definem seus próprios cookies e identificadores.
• Pixels de conversão e remarketing. Existem para vincular o comportamento à publicidade.

Para a maioria dos sites financiados por anúncios, o banner é necessário de qualquer forma por causa da stack de anúncios. A pergunta real é se o analytics deve ser uma das categorias sujeitas a consentimento ou se pode rodar de forma independente com base em uma isenção restrita.

Um jeito prático de decidir

1. Liste cada script de analytics e o que ele armazena, lê e envia.
2. Identifique os países onde está a maioria dos seus usuários.
3. Para cada ferramenta, verifique se a configuração atende a uma isenção reconhecida nesses países.
4. Configure a ferramenta na versão mais rigorosa de que você precisa: truncamento de IP, sem IDs persistentes, retenção curta, sem compartilhamento de dados.
5. Documente o raciocínio e mantenha a ferramenta de analytics listada na sua política de cookies e no aviso de privacidade em qualquer caso.
6. Reverifique quando o fornecedor mudar o produto ou quando seus mercados mudarem.

Rodando analytics isento junto com um CMP

Se você decidir que uma ferramenta se qualifica, liste-a no seu CMP como estritamente necessária ou isenta, para que seja divulgada, mas não sujeita a consentimento, e garanta que a configuração dela permaneça dentro da isenção. Muitos editores também mantêm uma configuração de analytics dependente de consentimento para uma medição mais rica e usam o Google Consent Mode v2 ou sinais semelhantes para ajustá-la conforme a escolha do usuário. O FlexyConsent oferece suporte ao Google Consent Mode v2, além do IAB TCF 2.4 e do IAB GPP v1.1.

Principais conclusões

• “Sem cookies” não significa automaticamente “consentimento desnecessário”; o artigo 5(3) abrange qualquer armazenamento ou acesso no dispositivo.
• O analytics sem armazenamento no dispositivo ainda pode processar dados pessoais e precisa de uma base legal e de transparência.
• Existem isenções para medição de audiência em alguns países, mas com condições rigorosas.
• Publicidade, replay de sessão e tags de remarketing ainda precisam de consentimento.
• Documente por que uma ferramenta é tratada como isenta e reverifique regularmente.