Google Analytics e LGPD: consentimento ou legítimo interesse?

O Google Analytics é compatível com a LGPD?

Sim, o Google Analytics 4 (GA4) pode ser usado de acordo com a LGPD, desde que tenha uma base legal adequada, transparência e respeito aos direitos do titular. Segundo o guia de cookies da Agência Nacional de Proteção de Dados (ANPD), a medição de audiência pode se apoiar no legítimo interesse em determinados contextos: quando se limita a identificar padrões e tendências com dados agregados, sem combinação com outros mecanismos de rastreamento e sem formação de perfis. Quando o GA4 é ligado à publicidade, o consentimento é a base mais indicada.

Essa posição é diferente da europeia, onde os cookies de análise em geral exigem consentimento prévio. Para quem gerencia um site no Brasil, isso abre uma possibilidade, mas com condições. Neste artigo você vê quais recursos do GA4 mantêm a medição agregada, quais a transformam em publicidade e o que observar na transferência internacional de dados. Este artigo não é aconselhamento jurídico.

Quando o legítimo interesse pode servir para o GA4

A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) permite o tratamento com base no legítimo interesse do controlador, exceto quando prevalecem os direitos e liberdades fundamentais do titular. O guia de cookies da ANPD aplica essa regra à medição: é razoável supor que medir a audiência é um interesse legítimo e que os riscos são menores quando o uso se limita a estatísticas agregadas. Para usar essa base, o controlador precisa avaliar antes o equilíbrio entre o seu interesse e os direitos do titular, documentar essa avaliação, informar o usuário e garantir o direito de oposição.

Na prática, um GA4 configurado só para medir visitas, páginas e conversões do próprio site, sem compartilhamento para publicidade, é o cenário em que o legítimo interesse pode ser discutido. Assim que os dados passam a alimentar anúncios, o cenário muda.

A ANPD publicou também um guia orientativo sobre a hipótese legal do legítimo interesse, que detalha como fazer esse teste de balanceamento. Para um site, a documentação pode ser curta: qual ferramenta, qual finalidade, quais dados, qual prazo, quais configurações reduzem o risco e como o usuário se opõe. O importante é que ela exista antes de o GA4 começar a coletar dados com base no legítimo interesse.

→ Banner de cookies com Consent Mode v2: em conformidade, sem licença mensal

Quais recursos do GA4 pedem consentimento

Alguns recursos do GA4 ligam a medição à publicidade ou a perfis. Para eles, segundo a lógica do guia da ANPD, o legítimo interesse dificilmente é a base mais apropriada.

Muitas empresas usam o GA4 de duas formas ao mesmo tempo: para medir o site e para alimentar o Google Ads. Nesse caso, uma solução prática é separar as finalidades no banner, com uma categoria de medição e outra de publicidade, e configurar o Google Consent Mode v2 para que os sinais ad_storage, ad_user_data e ad_personalization só sejam liberados com o consentimento para publicidade.

Como configurar o GA4 com o Consent Mode v2

O Google Consent Mode v2 comunica às tags do Google a escolha do visitante. Uma configuração que respeita a lógica da ANPD segue esta ordem:

• Definir o estado padrão dos sinais de publicidade como negado antes de qualquer tag.
• Decidir, com base na sua avaliação jurídica, o estado padrão de analytics_storage: concedido com legítimo interesse ou negado até o consentimento.
• Fazer o banner atualizar os sinais assim que o visitante escolhe, inclusive quando ele se opõe à medição.
• Desativar o Google Signals e a personalização de anúncios se você não tiver consentimento para eles.
• Testar no modo de visualização do Google Tag Manager os três cenários: sem resposta, rejeitar e aceitar.

Revise também a retenção de dados da propriedade. O GA4 padrão permite 2 ou 14 meses para dados no nível do usuário e do evento. Escolha o prazo que você realmente usa e informe esse prazo na política de cookies, como recomenda o guia da ANPD.

→ Configurando o Google Consent Mode v2 corretamente: sem aviso no Tag Assistant

Transferência internacional de dados

Os dados do GA4 são tratados pelo Google também fora do Brasil, o que caracteriza transferência internacional de dados pela LGPD. A ANPD regulamentou o tema na Resolução CD/ANPD nº 19/2024, publicada em agosto de 2024, que aprovou o Regulamento de Transferência Internacional de Dados e o texto das cláusulas-padrão contratuais. Quem usa cláusulas contratuais como mecanismo teve 12 meses para incorporar as cláusulas-padrão da ANPD aos contratos. Para ferramentas como o GA4, confira nos termos de proteção de dados do fornecedor qual mecanismo ele indica para dados do Brasil e mencione a transferência no seu aviso de privacidade.

Para o dia a dia, o mais importante é manter uma lista atualizada das ferramentas que recebem dados do site, com o país onde os dados são tratados e o mecanismo de transferência. Essa lista ajuda a responder a pedidos de titulares e mostra rapidamente o que precisa ser revisto quando uma ferramenta nova entra no site.

Exemplo: uma escola de idiomas em Porto Alegre

Uma escola de idiomas de Porto Alegre usava o GA4 com Google Signals ativado e públicos de remarketing no Google Ads, sem banner com opção de rejeitar. A justificativa interna era o legítimo interesse para medição. Na revisão, a equipe percebeu que o uso ia além da medição agregada. A solução foi um banner com duas categorias, medição e publicidade, o Google Signals ativado apenas com consentimento para publicidade e a vinculação ao Google Ads condicionada ao mesmo consentimento. A medição básica continuou funcionando, e o remarketing passou a usar só públicos com consentimento.

Para ver o que o seu site carrega antes e depois da escolha no banner, a verificação gratuita da Trackum (trackum.app/check) abre a página inicial três vezes em um navegador real, sem responder ao banner, rejeitando e aceitando, além de duas páginas internas, e mostra quais tags e cookies carregam. Para uma configuração nova, a Trackum instala Google Tag Manager, GA4 e Consent Mode v2 com até 15 eventos por 150 € (sem impostos), testado com e sem consentimento.