LGPD no marketing digital: o que muda na prática de tracking, remarketing e mídia paga

Cookies de marketing exigem consentimento explícito — cookies essenciais, não

Um dos pontos mais mal compreendidos da LGPD aplicada a marketing digital é a diferença entre cookies estritamente necessários para o funcionamento do site (como os que mantêm o carrinho de compras funcionando) e cookies de marketing e analytics, que rastreiam comportamento para fins de publicidade e remarketing.

Os primeiros não exigem consentimento explícito porque são necessários para a prestação do serviço solicitado pelo próprio usuário. Os segundos exigem base legal específica — geralmente consentimento explícito, obtido através de um banner de cookies que realmente permita à pessoa recusar sem prejudicar o uso básico do site, e não apenas um aviso informativo sem opção real de recusa.

Consent Mode: a peça técnica que a maioria ignora

Quando um usuário recusa cookies de marketing, o Google Analytics e o Google Ads tradicionalmente perdiam completamente a visibilidade daquela sessão — o que distorce relatórios e prejudica a otimização de campanhas, já que uma fatia real do tráfego simplesmente desaparece dos dados.

O Consent Mode (na sua versão mais recente) resolve isso de forma tecnicamente compatível com a LGPD: quando o consentimento é recusado, a ferramenta não coleta dados pessoais identificáveis daquele usuário, mas ainda modela estatisticamente o comportamento agregado usando machine learning baseado no comportamento de usuários que consentiram, preenchendo a lacuna sem violar a privacidade de quem recusou.

Isso conecta diretamente com o que descrevi em atribuição multicanal avançada — sem Consent Mode implementado corretamente, o modelo de atribuição fica ainda mais distorcido, porque perde parte relevante do sinal de conversão exatamente na parcela de usuários mais preocupados com privacidade, que tende a ter perfil de comportamento diferente da média.

Remarketing: qual é a base legal correta

Campanhas de remarketing dependem de identificar usuários que já interagiram com o site para exibir anúncios direcionados posteriormente — isso é, por definição, tratamento de dado pessoal (mesmo quando pseudonimizado via cookie ou identificador de dispositivo). A base legal mais adequada para essa prática, na maioria dos casos de marketing direto, é o legítimo interesse ou o consentimento, dependendo de como a coleta foi estruturada — mas em qualquer um dos casos, é preciso que a política de privacidade explique claramente essa prática e que exista opção real de opt-out.

Empresas que rodam remarketing sem qualquer menção clara dessa prática na política de privacidade, ou sem mecanismo de recusa funcional, operam em zona de risco jurídico real, independente do tamanho da operação.

Direitos do titular aplicados a dados de marketing

A LGPD garante ao titular dos dados o direito de solicitar acesso, correção, portabilidade e exclusão de seus dados pessoais — e isso inclui dados usados para fins de marketing, como histórico de navegação vinculado a um perfil, listas de e-mail marketing e públicos personalizados usados em plataformas de anúncio.

Na prática operacional, isso significa que a empresa precisa ter processo definido para, quando solicitado, remover um usuário específico de listas de remarketing, bases de e-mail marketing e públicos personalizados carregados manualmente em plataformas como Meta Ads e Google Ads — não apenas do banco de dados interno.

Responsabilidade solidária: o risco que fica escondido no contrato com fornecedores

A LGPD estabelece responsabilidade solidária entre controlador (a empresa que decide a finalidade do tratamento) e operador (fornecedores que processam os dados em nome da empresa, como plataformas de automação de marketing, agências e ferramentas de analytics). Isso significa que, mesmo quando um vazamento ou uso indevido de dado acontece por falha de um fornecedor terceirizado, a empresa contratante pode ser responsabilizada.

A prática recomendada é revisar contratos com todos os fornecedores de tecnologia de marketing — plataforma de e-commerce, ferramenta de automação, agência, provedores de CRM — garantindo cláusulas específicas de proteção de dados e responsabilidade, e não apenas assumir que "a ferramenta grande já resolve isso sozinha".

Checklist prático de conformidade para times de marketing

1. Banner de cookies com opção real e igualmente visível de aceitar ou recusar cookies não essenciais, sem design que induza apenas ao aceite
2. Política de privacidade atualizada, mencionando explicitamente uso de dados para remarketing, e-mail marketing e públicos personalizados em plataformas de anúncio
3. Consent Mode implementado corretamente no GTM e GA4, integrado à ferramenta de gestão de consentimento
4. Processo definido e testado para remover um titular específico de listas de e-mail, públicos de remarketing e bases de CRM quando solicitado
5. Revisão de contratos com fornecedores de tecnologia de marketing, confirmando cláusulas de proteção de dados e responsabilidade
6. Treinamento básico do time de marketing sobre o que pode e não pode ser feito com dados pessoais coletados, evitando prática informal fora do que foi juridicamente validado