Um guia prático de Conformidade CCPA e análise da web

A CCPA e a análise da web se encontram num ponto prático: a maioria das ferramentas de analytics coleta identificadores online, dados de dispositivo, atividade de navegação, informações de referência e históricos de eventos. Segundo a lei de privacidade da Califórnia, esses sinais podem se qualificar como informação pessoal quando identificam, se relacionam, descrevem ou podem razoavelmente ser vinculados a um consumidor ou domicílio.

Isto não é aconselhamento jurídico, mas é uma forma útil de os proprietários de sites estruturarem a revisão antes de escolher ou configurar ferramentas de analytics.

What the CCPA Covers

A California Consumer Privacy Act, com as alterações da CPRA, concede aos residentes da Califórnia direitos sobre suas informações pessoais. O California Attorney General descreve direitos que incluem saber quais informações pessoais são coletadas, excluí-las, corrigir informações incorretas, optar por não participar da venda ou compartilhamento, limitar o uso de informações pessoais sensíveis e não sofrer discriminação por exercer esses direitos (California OAG).

A California Privacy Protection Agency também explica os limites de aplicabilidade atuais e os recursos de fiscalização (CPPA FAQ).

Para equipes de analytics, o ponto mais importante é que "informação pessoal" é mais abrangente do que nomes e e-mails. Pode incluir identificadores online, endereço IP, histórico de navegação, histórico de buscas, interações com um site, geolocalização e inferências.

Does Web Analytics Count as Personal Information?

Frequentemente, sim. Uma configuração típica de analytics coleta:

• Endereço IP ou localização derivada de IP truncado.
• IDs de cookies ou IDs de dispositivo.
• Informações de navegador e dispositivo.
• Caminhos de página e referenciadores.
• Parâmetros de campanha UTM.
• Eventos como início de formulários, downloads e compras.
• Localização aproximada.
• IDs de usuário, se a análise estiver conectada a contas.

Mesmo quando um relatório é agregado, a coleta subjacente ainda pode envolver informação pessoal. A questão de conformidade não é apenas o que aparece no painel. É que dados são coletados, armazenados, vinculados, compartilhados e retidos.

Sale, Sharing, and Targeted Advertising

A lei da Califórnia distingue "vender" informações pessoais de "compartilhá-las" para publicidade comportamental entre contextos. Se dados de analytics forem divulgados a uma plataforma de anúncios ou usados para direcionar publicidade entre contextos, obrigações de opt-out podem se aplicar.

É aqui que os proprietários de sites precisam ter cuidado com os gerenciadores de tags. Um site pode começar apenas com analytics e depois adicionar pixels de remarketing, APIs de conversão, sincronizações de audiência ou integrações com plataformas de anúncios. Essas adições podem mudar a análise jurídica.

Pergunte:

• O fornecedor de analytics atua como prestador de serviço/contratado ou como terceiro independente?
• Os dados são usados apenas para fornecer analytics a você?
• São usados para os produtos publicitários do fornecedor?
• São combinados entre clientes?
• São compartilhados com redes de anúncios ou corretores de dados?
• O site oferece um link "Do Not Sell or Share My Personal Information" quando exigido?
• Ele processa sinais Global Privacy Control quando exigido?

Google Analytics Considerations

O Google Analytics pode ser configurado de diferentes formas, mas ainda é um serviço de analytics de terceiros conectado ao ecossistema mais amplo do Google. O Google afirma que o Analytics usa cookies como _ga para distinguir visitantes (Google Privacy and Terms). O GA4 também interage com o Consent Mode e recursos de modelagem quando o consentimento é negado (Google Tag Manager Help).

Usar o GA4 sob a CCPA pode exigir:

• Divulgação na política de privacidade.
• Um acordo assinado de processamento de dados ou de prestação de serviço, quando aplicável.
• Revisão das configurações de compartilhamento de dados do Google.
• Controles para recursos e sinais de publicidade.
• Tratamento de opt-out para venda/compartilhamento, quando aplicável.
• Controles de consentimento ou de cookies nas jurisdições que os exigem.
• Documentação interna de quais dados fluem para o Google.

Não presuma que a "anonimização de IP" ou os relatórios agregados, por si só, resolvam a questão. A revisão precisa cobrir identificadores, cookies, compartilhamento, recursos de publicidade, retenção e direitos do usuário.

Abordagem de Analytics com Privacidade em Primeiro Lugar

Um sistema de analytics com privacidade em primeiro lugar pode reduzir a exposição à CCPA evitando, desde o início, a coleta desnecessária de informações pessoais. Procure por:

• Nenhum cookie de analytics.
• Nenhum identificador persistente entre sites.
• Nenhum armazenamento de IP completo.
• Nenhuma venda ou compartilhamento para fins publicitários.
• Relatórios agregados.
• Retenção curta para logs brutos.
• Termos de DPA/prestador de serviço.
• Processos claros de exportação e exclusão de dados.

Se uma ferramenta de analytics realmente não coleta informações pessoais, muitas obrigações da CCPA ligadas a essa ferramenta ficam mais simples. Mas verifique essa afirmação. Confira a documentação técnica do fornecedor, o contrato, os subprocessadores e se URLs, query strings ou eventos personalizados ainda podem conter informações pessoais.

Checklist Prático de Conformidade

1. Determine se sua empresa está sujeita à CCPA/CPRA.
2. Faça um inventário de cada ferramenta de analytics, gerenciador de tags, pixel, heatmap, replay, teste A/B e conversão.
3. Identifique quais informações pessoais cada ferramenta coleta.
4. Classifique cada relação com fornecedor.
5. Revise se algum dado é vendido ou compartilhado para publicidade comportamental entre contextos.
6. Atualize os avisos de privacidade.
7. Implemente links de opt-out e tratamento do Global Privacy Control quando exigido.
8. Minimize as propriedades de eventos e remova parâmetros sensíveis das URLs.
9. Defina limites de retenção.
10. Reavalie a configuração sempre que o marketing adicionar uma nova tag.

A conformidade com a CCPA fica mais fácil quando o sistema de analytics é pequeno, first-party e tem finalidade limitada. Quanto menos informações pessoais você coleta e compartilha, menos fluxos de direitos, riscos de fornecedores e casos extremos de opt-out você precisa gerenciar.

Checklist de Analytics para CCPA

Confirme se a empresa está sujeita à lei, incluindo o limite atualizado de receita bruta da CPPA de $26,625,000 vigente a partir de 1º de janeiro de 2025. Depois, faça um inventário de ferramentas de analytics, gerenciadores de tags, pixels, ferramentas de replay, testes A/B, APIs de conversão e fornecedores de enriquecimento de dados.

Para cada ferramenta, classifique as informações pessoais coletadas, o papel do fornecedor, a retenção, a venda, o compartilhamento para publicidade comportamental entre contextos, o risco de dados sensíveis, o caminho de opt-out e o tratamento do Global Privacy Control. Se o analytics agregado já responde à pergunta, evite enviar dados em nível de visitante para sistemas de publicidade.

O Que Testar no Site

Faça a revisão da CCPA no navegador, não apenas nos contratos. Visite o site com o Global Privacy Control ativado, recuse os cookies opcionais e verifique se pixels publicitários, tags de audiência, session replay, scripts de enriquecimento ou APIs de conversão ainda recebem dados do visitante. O Procurador-Geral da Califórnia tem tratado o GPC como um sinal de opt-out válido, então o comportamento técnico importa tanto quanto o link no rodapé (orientação do OAG da Califórnia sobre GPC).

Verifique também se os payloads de analytics incluem URLs completas, IDs de usuário, hashes de e-mail, valores de formulário, códigos de cupom ou localização detalhada. Esses campos podem transformar uma simples visualização de página em dados mais difíceis de classificar e de tratar em fluxos de exclusão ou opt-out. Uma regra prática é simples: se um campo não é necessário para um relatório que alguém usa para agir, não o envie ao fornecedor de analytics.

Perguntas frequentes

A CCPA se aplica a todos os sites?

A abrangência depende de limites definidos pela CPPA, incluindo o limite de receita bruta de $26,625,000 em vigor a partir de 1 de janeiro de 2025. Um site abaixo desses limites pode ficar fora das obrigações da CCPA, então verificar a abrangência é o primeiro passo de qualquer análise, não uma reflexão tardia.

O que conta como informação pessoal em analytics web?

A informação pessoal em analytics web abrange endereços IP, IDs de cookies ou de dispositivos, detalhes de navegador e dispositivo, caminhos de página e referenciadores. Também abrange parâmetros UTM, dados de eventos como início de formulários e compras, localização aproximada e IDs de usuário quando o analytics se conecta a contas. Um painel agregado não muda o que foi coletado por baixo dele.

O Google Analytics é compatível com a CCPA por padrão?

Instalar o GA4 não resolve a questão por si só. O GA4 define cookies como _ga para distinguir visitantes e ajusta seu comportamento através do Consent Mode quando o consentimento é negado, então a conformidade depende da divulgação na política de privacidade, do acordo de fornecedor de serviço e dos controles definidos sobre recursos e sinais de publicidade.

Qual a diferença entre vender e compartilhar informações pessoais segundo a CCPA?

Venda e compartilhamento são categorias separadas segundo a lei da Califórnia. Compartilhamento cobre a divulgação de informações pessoais para publicidade comportamental entre contextos, e pode gerar obrigações de opt-out mesmo quando nenhum dinheiro muda de mãos, por exemplo quando dados de analytics chegam a uma plataforma de anúncios ou são usados para direcionar anúncios entre sites.

Adicionar um gerenciador de tags muda as obrigações da CCPA?

Adicionar um gerenciador de tags pode mudar. Um site que começa com analytics simples e depois adiciona pixels de remarketing, APIs de conversão, sincronizações de audiência ou integrações com plataformas de anúncios mudou o que acontece com esses dados, e cada adição precisa de sua própria análise de papel do fornecedor, compartilhamento e tratamento de opt-out.

O que é Global Privacy Control e por que importa para o analytics?

Global Privacy Control é um sinal do navegador que informa aos sites que um visitante optou por não permitir venda e compartilhamento, e o Procurador-Geral da Califórnia trata isso como um sinal de opt-out válido. Testar um site com o GPC ativado mostra se pixels de publicidade, tags de audiência ou APIs de conversão ainda recebem dados do visitante apesar do sinal.

O analytics focado em privacidade pode eliminar completamente as obrigações da CCPA?

O analytics focado em privacidade pode simplificá-las substancialmente quando a ferramenta realmente evita coletar informações pessoais, já que as obrigações ligadas a essa ferramenta específica ficam mais leves. Essa afirmação ainda precisa ser verificada na documentação técnica do fornecedor, no contrato e na lista de subprocessadores, porque URLs, strings de consulta ou eventos personalizados podem reintroduzir informações pessoais.

O que uma equipe deve verificar antes de adicionar uma nova tag de analytics ou marketing?

O checklist passa pela coleta de dados da ferramenta e seu papel como fornecedor de serviço ou terceiro independente. Em seguida cobre se algum dado é vendido ou compartilhado para publicidade entre contextos, e se divulgações, links de opt-out e tratamento do GPC precisam de atualização. Limites de retenção e propriedades de eventos reduzidas pertencem à mesma lista.

A anonimização de IP torna os dados de analytics não pessoais?

Não por si só. IPs anonimizados e relatórios agregados não resolvem a questão de fundo, então a análise ainda precisa cobrir identificadores, cookies, acordos de compartilhamento, recursos de publicidade, períodos de retenção e direitos dos usuários.

Quais campos de eventos de analytics carregam mais risco para a CCPA?

URLs completas, IDs de usuário, hashes de e-mail, valores de formulário, códigos de cupom e dados de localização detalhados carregam o maior risco. Eles transformam uma visualização de página básica em algo mais difícil de classificar e de honrar dentro de fluxos de exclusão ou opt-out. O filtro mais simples é se um campo alimenta um relatório que alguém realmente usa para agir; se não, ele não deveria chegar ao fornecedor de analytics.