Abrir workspace

Guia · Regulamento europeu

GDPR para sites com anúncios, explicado sem juridiquês

Se o seu site recebe visitas da Europa e mostra anúncios, o GDPR e as regras de cookies valem para essas visitas, mesmo que a empresa seja brasileira. Este guia mostra a quem a lei se aplica, o que é um consentimento válido, quanto custa errar e o que o Google exige de quem usa AdSense e Ad Manager.

Auditar meu site agoraLer o guia
  • ✓Baseado no texto oficial do regulamento e nas orientações do EDPB
  • ✓Exemplos práticos do que pode e do que não pode
  • ✓Leitura do site sem alterar nada
6bases legais para tratar dados pessoais
4%do faturamento mundial anual, o teto das multas mais altas
2018ano em que o GDPR passou a ser aplicado
3regiões na política de consentimento do Google: EEE, Reino Unido e Suíça

O que é

A lei europeia que decide como os dados das pessoas podem ser usados

O GDPR, chamado em português de RGPD (Regulamento Geral sobre a Proteção de Dados), é o Regulamento (UE) 2016/679. Ele foi adotado em abril de 2016 e passou a ser aplicado em 25 de maio de 2018 em todos os países da União Europeia, e também vale no restante do Espaço Econômico Europeu (Islândia, Liechtenstein e Noruega).

A lei protege dados pessoais, ou seja, qualquer informação ligada a uma pessoa que pode ser identificada. Para um site, isso inclui coisas que parecem técnicas: endereço IP, identificadores de cookies, IDs de dispositivo e o histórico de navegação usado para escolher anúncios.

Quem decide por que e como os dados são usados é o controlador. Quase sempre é o dono do site. Quem processa os dados em nome dele, como uma ferramenta de e-mail ou de hospedagem, é o operador (no texto europeu, subcontratante). As redes de anúncios costumam agir como controladoras independentes para parte do uso.

O GDPR anda junto com a Diretiva ePrivacy (2002/58/CE), que trata especificamente de cookies. Na prática, a regra é esta: gravar ou ler cookies que não são estritamente necessários, como os de anúncios e de análise, exige consentimento prévio. E esse consentimento precisa seguir o padrão do GDPR.

Checklist

O que você precisa cumprir

Estes são os pontos que a lei, as autoridades europeias e o Google cobram de um site com anúncios que recebe visitantes do EEE.

  1. Use uma CMP certificada pelo Google

    Desde 16 de janeiro de 2024, o AdSense e o Ad Manager exigem uma CMP certificada pelo Google e integrada ao IAB TCF para mostrar anúncios personalizados no EEE. Sem ela, esse tráfego só pode receber anúncios não personalizados ou limitados.

    Exemplo

    No AdSense, clique em Privacidade e mensagens na barra lateral e crie a mensagem de regulamentações europeias, ou escolha outra CMP da lista do Google.

  2. Peça consentimento antes dos cookies de anúncio

    Cookies que não são essenciais só podem ser gravados depois de uma ação clara do visitante. Segundo o EDPB, caixas já marcadas, rolar a página ou continuar navegando não valem como consentimento.

    Exemplo

    Deixe todas as finalidades desmarcadas até a pessoa clicar em uma opção.

  3. Deixe recusar e retirar com a mesma facilidade

    A maioria das autoridades europeias considera infração um banner sem opção de recusa na mesma camada do botão de aceitar. Retirar o consentimento depois também precisa ser tão fácil quanto dar.

    Exemplo

    Use a mensagem de 3 botões do Google, que mostra Consentimento, Não consentir e Gerenciar opções na primeira tela, e um link fixo no rodapé para reabrir as escolhas.

  4. Envie o Consent Mode v2 às tags do Google

    Se o site usa Google Analytics ou Google Ads, o Google exige coletar o consentimento dos visitantes do EEE e enviar os sinais ad_user_data e ad_personalization. O comando padrão precisa rodar antes de qualquer tag que envie dados.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'analytics_storage': 'denied'
});

  5. Diga quem recebe os dados

    A política de consentimento do Google pede que o site identifique cada empresa que pode coletar ou usar dados por causa dos produtos do Google. Também pede informação fácil de achar sobre como cada uma usa esses dados.

    Exemplo

    Na política de privacidade, tenha uma seção Parceiros de publicidade com o Google e cada rede de anúncios que roda no site.

  6. Guarde a prova do consentimento

    Pelo GDPR, cabe ao site provar que o consentimento foi dado. A política do Google também exige guardar registro dos consentimentos coletados.

    Exemplo

    Confira no painel da CMP se o registro de consentimentos está ativo e por quanto tempo ele fica guardado.

  7. Não bloqueie o conteúdo para quem recusa

    As diretrizes do EDPB dizem que o acesso ao serviço não deve depender de aceitar cookies. Um site que esconde tudo até o clique em aceitar não obtém consentimento livre.

    Exemplo

    Quem recusa continua lendo o artigo e pode ver anúncios não personalizados ou limitados.

  8. Responda aos pedidos em até um mês

    Quando um visitante pede acesso, correção ou exclusão dos dados, a resposta deve sair em princípio em até um mês, sem custo. Na dúvida sobre casos específicos, confira com seu jurídico.

    Exemplo

    Coloque na política de privacidade um e-mail só para pedidos de privacidade.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

Para anúncios personalizados do Google no EEE, a CMP precisa estar na lista do Google, e estas são as páginas oficiais para escolher e configurar.

A quem se aplica

Seu site no Brasil também pode estar dentro do GDPR

A lei não olha só para onde a empresa está. Ela olha para onde estão as pessoas cujos dados são usados.

Empresas na União Europeia

Toda empresa estabelecida na UE segue o GDPR, não importa onde os dados são processados ou onde ficam os servidores.

Empresas fora da Europa

O artigo 3 alcança quem está fora da UE e oferece produtos ou serviços a pessoas na UE ou monitora o comportamento delas lá. Anúncios personalizados e cookies de rastreamento são um exemplo claro de monitoramento.

Site brasileiro com público europeu

Um blog em português com visitas de Portugal, ou um site em inglês com tráfego da Alemanha, precisa tratar essas visitas pelas regras europeias, mesmo com CNPJ e servidor no Brasil.

Reino Unido e Suíça

Têm leis próprias, parecidas com o GDPR (UK GDPR e a lei suíça de proteção de dados). Para o Google, os três territórios seguem a mesma política de consentimento.

Bases legais

As 6 bases legais do artigo 6

Todo uso de dados pessoais precisa de uma base legal escolhida antes de começar. Para cookies de anúncios, na prática, a base é o consentimento.

Consentimento

A pessoa concorda de forma livre e clara. É a base exigida para cookies não essenciais e para anúncios personalizados.

Contrato

O dado é necessário para cumprir um contrato com a pessoa, como entregar um pedido ou manter uma assinatura.

Obrigação legal

Uma lei obriga a guardar ou usar o dado, como notas fiscais e registros contábeis.

Interesses vitais

Proteger a vida da pessoa ou de outra pessoa. Raramente se aplica a sites de conteúdo.

Interesse público

Tarefas de interesse público ou de autoridade oficial. Usada por órgãos públicos, quase nunca por editores.

Interesse legítimo

Um interesse real da empresa que não passe por cima dos direitos da pessoa, como segurança do site. Não substitui o consentimento exigido para cookies de anúncios.

Consentimento válido

Livre, específico, informado e inequívoco

O GDPR define consentimento como uma manifestação livre, específica, informada e inequívoca da vontade da pessoa, dada por uma declaração ou por uma ação afirmativa clara. Cada uma dessas palavras tem efeito prático no banner de cookies.

Livre quer dizer que existe escolha de verdade. O botão de recusar precisa estar tão à vista quanto o de aceitar, e recusar não pode trazer prejuízo. As orientações do Comitê Europeu de Proteção de Dados (EDPB) dizem que bloquear o conteúdo até a pessoa aceitar os cookies, o chamado cookie wall, não gera consentimento livre.

Específico e informado quer dizer que a pessoa sabe para que serve cada uso e quem são os parceiros que recebem os dados. Inequívoco quer dizer que houve uma ação clara: caixas já marcadas, silêncio, continuar navegando ou rolar a página não contam como consentimento.

Por fim, o artigo 7 exige que retirar o consentimento seja tão fácil quanto dar. Na prática, o site precisa de um link ou botão permanente, como Preferências de cookies no rodapé, que reabre as opções a qualquer momento. E o controlador precisa conseguir provar que a pessoa consentiu, por isso a CMP guarda um registro de cada escolha.

Obrigações do site

O que um site com anúncios precisa ter para visitantes europeus

  1. Mapeie o que o site coletaListe os cookies, as tags e os parceiros de anúncios que carregam em cada página. Sem esse mapa, o banner e a política de privacidade ficam incompletos.
  2. Mostre um banner de consentimento antes dos cookiesUse uma CMP que bloqueie cookies de anúncios e de análise até a escolha da pessoa, com botões de aceitar e recusar no mesmo nível.
  3. Publique uma política de privacidade claraExplique quem é o controlador, quais dados são usados, para quê, com qual base legal, por quanto tempo, com quais parceiros e como a pessoa exerce os seus direitos.
  4. Atenda aos direitos das pessoasTenha um canal para pedidos de acesso, correção, apagamento, portabilidade, oposição e retirada do consentimento. A resposta deve vir sem demora, em regra dentro de um mês.
  5. Documente e avalie riscosMantenha registro das atividades de tratamento. Quando o uso dos dados representar risco alto, como monitoramento em grande escala, faça uma avaliação de impacto (DPIA).
  6. Prepare a resposta a incidentesUm vazamento de dados com risco para as pessoas deve ser comunicado à autoridade em até 72 horas depois que a empresa toma conhecimento dele.
  7. Verifique se precisa de representante na UEEmpresas de fora da UE que entram no GDPR pelo artigo 3 podem ter que nomear um representante na União. Confirme com o jurídico se o seu caso se encaixa nas exceções.

Fiscalização e multas

Quem fiscaliza e quanto custa errar

Cada país tem a sua autoridade de proteção de dados, como a CNIL na França e a CNPD em Portugal. Elas recebem reclamações, investigam e aplicam sanções.

Multas de até 20 milhões de euros ou 4%

Para as infrações mais graves, como usar dados sem base legal ou desrespeitar o consentimento, o teto é de 20 milhões de euros ou 4% do faturamento mundial anual, o que for maior.

Multas de até 10 milhões de euros ou 2%

Para falhas de organização, como não manter registros ou não fazer a avaliação de impacto quando exigida, o teto é de 10 milhões de euros ou 2% do faturamento mundial.

Outras medidas

A autoridade pode dar advertência, mandar corrigir o banner, limitar ou proibir um tratamento de dados. Para uma infração apenas provável, pode emitir só um aviso.

Critérios do valor

A multa leva em conta a gravidade, a duração, se houve intenção ou negligência, o que foi feito para reduzir o dano e o nível de cooperação com a autoridade.

Linha do tempo

As datas que mais afetam um site com anúncios

Da regra de cookies à exigência de CMP certificada pelo Google.

  1. 2002

    Diretiva ePrivacy

    Cria as regras europeias para cookies e comunicações eletrônicas, mais tarde reforçadas para exigir consentimento antes de gravar cookies não essenciais.

  2. 27 de abril de 2016

    GDPR é adotado

    O Regulamento (UE) 2016/679 é aprovado, com um prazo de dois anos para empresas se adaptarem.

  3. 25 de maio de 2018

    GDPR passa a valer

    As regras de consentimento, direitos e multas passam a ser aplicadas. No mesmo mês, o Google lança atualizações para editores e anunciantes.

  4. 2020

    Diretrizes 05/2020 do EDPB

    O comitê europeu detalha o consentimento válido: cookie walls, rolagem da página e caixas pré-marcadas não servem.

  5. 16 de janeiro de 2024

    CMP certificada no Google

    Para anúncios personalizados no EEE e no Reino Unido, AdSense, Ad Manager e AdMob passam a exigir uma CMP certificada pelo Google e integrada ao TCF.

  6. 31 de julho de 2024

    Suíça entra na regra

    A exigência de CMP certificada com TCF passa a valer também para visitantes da Suíça.

AdSense e Ad Manager

O que o Google exige de quem tem visitantes europeus

A Política de consentimento de usuários da UE do Google vale para o EEE, o Reino Unido e a Suíça. Ela pede consentimento legalmente válido para cookies onde a lei exige, consentimento para usar dados em anúncios personalizados, a identificação de todos os parceiros que recebem dados, registro das escolhas e instruções claras para retirar o consentimento.

Desde 16 de janeiro de 2024, para receber anúncios personalizados nessas regiões, o site precisa de uma CMP certificada pelo Google e integrada ao TCF da IAB Europe. A Mensagem de privacidade do próprio AdSense e do Ad Manager é uma das opções certificadas.

Sem CMP certificada, o tráfego europeu pode ficar só com anúncios não personalizados ou anúncios limitados, que pagam menos. No painel do AdSense, isso aparece como personalização de anúncios restrita no EEE, Reino Unido e Suíça. Se o site também usa Google Analytics ou Google Ads, o Consent Mode leva a escolha do banner até essas tags.

O Google pode limitar ou suspender o uso dos produtos de quem não cumpre a política. Por isso, o banner certo é ao mesmo tempo uma questão legal e uma questão de receita.

Na prática

O que pode e o que não pode no banner e nos cookies

Exemplos reais de configurações que aparecem em sites com anúncios.

Pode

  • Botões Aceitar tudo e Recusar tudo lado a lado, com o mesmo tamanho e destaque
  • Carregar cookies essenciais, como o carrinho ou o login, sem pedir consentimento
  • Mostrar a mensagem do TCF só para visitantes do EEE, Reino Unido e Suíça
  • Um link Preferências de cookies no rodapé que reabre as opções a qualquer hora
  • Listar os parceiros de anúncios na segunda camada do banner, com a finalidade de cada um
  • Oferecer anúncios não personalizados para quem recusa

Não pode

  • Gravar cookies de anúncios antes de a pessoa responder ao banner
  • Esconder o Recusar em outra tela enquanto o Aceitar fica em destaque
  • Deixar as caixas de finalidades já marcadas
  • Tratar rolar a página ou continuar navegando como consentimento
  • Bloquear todo o conteúdo até a pessoa aceitar os cookies
  • Usar um plugin de cookies comum sem certificação do Google para anúncios personalizados

Erros comuns

Falhas que mais aparecem em sites brasileiros com tráfego europeu

Quase todas passam despercebidas, porque o site continua funcionando e os anúncios continuam aparecendo.

Achar que a lei não vale para o Brasil

A empresa é brasileira, mas o visitante está em Portugal. Para esse visitante, valem as regras europeias e a política do Google.

Banner que só informa

Uma barra com o texto Este site usa cookies e um botão OK não pede consentimento. Os cookies já foram gravados antes do clique.

Tags carregando antes da escolha

O código de anúncios ou o Analytics está no topo da página, acima da CMP. Os cookies são gravados nos primeiros segundos, sem consentimento.

Política de privacidade genérica

Texto copiado de outro site, sem citar o Google, os parceiros de anúncios, as bases legais e como retirar o consentimento.

Sem caminho para mudar de ideia

Depois do primeiro clique, o visitante não encontra mais o banner. Retirar o consentimento fica mais difícil do que dar.

Mensagem europeia para o mundo inteiro

Mostrar o TCF a visitantes do Brasil ou dos Estados Unidos não é exigido e derruba a receita desses visitantes sem necessidade.

No ConsentMode

O que a auditoria confere sobre GDPR no seu site

  • Abre o site como um visitante da Europa e como um visitante de fora, e mostra em print onde o banner aparece e onde não aparece.
  • Verifica se há cookies de anúncios ou de análise gravados antes de qualquer clique no banner.
  • Identifica a CMP, lê a string do TCF e confere se ela está na lista de CMPs certificadas do Google.
  • Confere se o botão de recusar está na primeira camada e se existe um link para reabrir as preferências.
  • Lê a política de privacidade e aponta o que falta: Google, parceiros de anúncios, cookies e como retirar o consentimento.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre o GDPR

Meu site é brasileiro e escrito em português. O GDPR vale para mim?

Vale para as visitas que vêm da Europa quando você usa cookies de anúncios ou de rastreamento nesses visitantes. Para o público do Brasil, vale a LGPD. Por isso, a configuração certa usa regiões: regras europeias para europeus, regras locais para o resto.

Preciso de consentimento para o Google Analytics?

Na Europa, cookies de análise não são considerados estritamente necessários, então em regra exigem consentimento prévio. O Consent Mode ajuda a respeitar essa escolha sem perder toda a medição.

Posso usar interesse legítimo para anúncios personalizados?

Para gravar e ler cookies de anúncios, a regra europeia de cookies exige consentimento. Além disso, o Google pede consentimento para anúncios personalizados no EEE, Reino Unido e Suíça. Na prática, o caminho seguro é o consentimento.

Cookie wall é proibido?

As diretrizes do EDPB dizem que condicionar o acesso ao conteúdo à aceitação de cookies não gera consentimento livre. Alguns países discutem modelos alternativos, como pagar para navegar sem anúncios, mas isso exige análise jurídica caso a caso.

Quanto tempo vale um consentimento?

O GDPR não fixa um prazo único. Muitas autoridades recomendam pedir de novo depois de alguns meses, e o TCF da IAB Europe também tem regras próprias. Confira as orientações do país do seu público e as da sua CMP.

O ConsentMode substitui um advogado ou uma CMP?

Não. O ConsentMode é uma auditoria somente leitura. Ele mostra o que o site faz para cada tipo de visitante, com prints e um plano de correção. A decisão jurídica e o banner continuam com o seu time e a sua CMP.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Descubra o que os visitantes europeus veem no seu site

A auditoria abre o site como um visitante da Europa, confere banner, cookies e TCF, e mostra exatamente o que corrigir.

Começar a auditoria