Google Analytics e RGPD em Portugal: o que configurar no GA4

O Google Analytics precisa de consentimento segundo o RGPD?

Sim: em Portugal, o Google Analytics 4 (GA4) só deve usar cookies depois de o visitante dar o seu consentimento. A obrigação vem do artigo 5.º da Lei n.º 41/2004, que exige consentimento prévio para guardar ou ler informação no equipamento do utilizador, e o RGPD define como deve ser esse consentimento: livre, específico, informado e inequívoco. Os cookies de análise não fazem parte das exceções, porque não são estritamente necessários para um serviço pedido pelo utilizador.

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade que fiscaliza estas regras em Portugal. Este artigo explica como configurar o GA4 para respeitar a escolha do visitante, que definições da propriedade convém rever e o que mudou nas transferências de dados para os Estados Unidos. Este artigo não constitui aconselhamento jurídico.

Porque é que o GA4 não é um cookie técnico

O GA4 usa cookies próprios, como _ga, que guardam um identificador do navegador para reconhecer visitas repetidas. A finalidade é medir o comportamento dos visitantes: de onde vêm, que páginas veem e se compram ou enviam um formulário. É útil para a empresa, mas não é necessário para o serviço que o visitante pediu. O carrinho de compras existe porque o cliente precisa dele; a medição existe porque a empresa precisa dela. Por isso a lei trata os dois de forma diferente.

Além disso, os dados do GA4 são tratados nos servidores da Google e podem ser combinados com o Google Ads quando as contas estão ligadas. A política de cookies deve, por isso, nomear a Google como terceiro, explicar a finalidade, indicar a duração dos cookies e dizer como se retira o consentimento.

→ Banner de cookies com Consent Mode v2: em conformidade, sem licença mensal

Como configurar o Consent Mode v2 para o GA4

A forma mais limpa de cumprir é o GA4 não usar cookies até o visitante aceitar a categoria de análise. Com o Google Tag Manager e o Google Consent Mode v2, a configuração segue esta ordem:

• Definir por defeito o estado recusado para analytics_storage, ad_storage, ad_user_data e ad_personalization, antes de qualquer etiqueta.
• Fazer com que o banner atualize esses sinais assim que o visitante decide, na mesma página.
• Deixar a etiqueta da Google do GA4 respeitar os sinais, sem acionadores paralelos que a ativem sempre.
• Verificar no modo de pré-visualização do Google Tag Manager o estado do consentimento antes e depois de aceitar.
• Confirmar que não ficou um código antigo do GA4 colado no tema ou num plugin.

O Consent Mode v2 tem dois modos. No modo básico, as etiquetas da Google não carregam até o visitante aceitar. No modo avançado, carregam desde o início e, se o visitante recusar, enviam pings sem cookies que a Google usa para modelar dados em falta. A escolha do modo avançado exige uma avaliação jurídica; o modo básico é a opção mais prudente.

As outras plataformas não entendem o Consent Mode por si. Se o site também usa o píxel da Meta, o LinkedIn Insight Tag ou o píxel do TikTok, essas etiquetas precisam de acionadores no Google Tag Manager que só as ativam depois de aceite a categoria de publicidade. Um erro frequente é configurar bem o GA4 e esquecer o píxel da Meta, que continua colado no tema e carrega sempre.

Que definições do GA4 convém rever

Além do consentimento, várias definições da propriedade do GA4 influenciam a proteção de dados. Nenhuma substitui o banner, mas reduzem o que é tratado e facilitam a explicação na política de cookies.

Segundo a Google, o GA4 não regista nem armazena endereços IP: usa-os para calcular uma localização aproximada e descarta-os. É um dado útil para a documentação, mas não altera a necessidade de consentimento, porque a Lei n.º 41/2004 trata do acesso ao equipamento, não apenas de dados pessoais.

Também convém rever quem tem acesso à propriedade. Utilizadores antigos, agências que já não trabalham com a empresa e contas pessoais de antigos colaboradores devem ser removidos. Menos acessos significam menos risco e uma documentação mais simples quando alguém pergunta quem pode ver os dados de navegação dos visitantes.

→ Configuração correta do Google Consent Mode v2: sem aviso no Tag Assistant

E as transferências de dados para os Estados Unidos?

Durante anos, o debate sobre o Google Analytics na Europa centrou-se nas transferências para os Estados Unidos. Desde 10 de julho de 2023 vigora a decisão de adequação da Comissão Europeia para o Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework), no qual a Google LLC participa. Com ela, as empresas certificadas podem receber dados pessoais da UE sem garantias adicionais. Convém mencionar o fornecedor e a transferência na política de privacidade e acompanhar a evolução, porque a decisão pode ser revista ou contestada nos tribunais da UE.

Para a documentação interna, basta normalmente registar que ferramenta é usada, com que finalidade, que dados são tratados, durante quanto tempo e com que base. Essa informação serve tanto para a política de cookies como para responder a um cliente ou a um pedido da CNPD.

Exemplo: uma clínica de fisioterapia em Lisboa

Uma clínica de fisioterapia em Lisboa mede o site com o GA4 e recebe marcações por formulário. O banner tinha botão de recusa, mas o GA4 estava instalado duas vezes: uma pelo Google Tag Manager com Consent Mode e outra por um plugin de SEO, sem qualquer condição. O cookie _ga aparecia antes de qualquer decisão e as visitas contavam a dobrar. Depois de retirar a etiqueta do plugin, o cookie só aparece após aceitar. As sessões desceram, mas agora cada número tem explicação: a diferença entre as marcações no GA4 e as que chegam por e-mail corresponde aos visitantes que recusam os cookies.

Como verificar se o seu Google Analytics espera pelo consentimento?

Para saber se o seu Google Analytics espera pelo consentimento, o check gratuito da Trackum (trackum.app/check) abre a página três vezes num navegador real, sem responder ao banner, a recusar e a aceitar, e mostra que etiquetas e cookies carregam. Para uma configuração nova, a Trackum instala o Google Tag Manager, o GA4 e o Consent Mode v2 com até 15 eventos por 150 € (acresce IVA), testado com e sem consentimento.