Um guia prático de Como construir análises de sites compatíveis com

Obter uma análise sem cookies compatível com o RGPD exige um design deliberado, porque simplesmente eliminar os cookies não garante conformidade.

A análise sem cookies não é automaticamente compatível com o RGPD. É uma direção de design, não um rótulo mágico.

Uma ferramenta pode evitar cookies e ainda assim coletar dados pessoais. Pode fazer o hash de endereços IP de uma forma que continua vinculável. Pode fazer fingerprinting de dispositivos. Pode armazenar rastros de eventos detalhados que identificam pessoas individualmente. Para construir uma análise genuinamente privacy first, é preciso reduzir tanto o armazenamento no navegador quanto a identificabilidade.

Comece pelas duas camadas legais

A análise europeia toca em dois regimes relacionados, mas distintos.

A Diretiva ePrivacy, implementada por meio de leis nacionais, regula o armazenamento de informações no equipamento terminal do usuário ou o acesso a elas. As Diretrizes 2/2023 sobre o Artigo 5(3), na versão final do EDPB, deixam claro que o escopo é mais amplo do que os cookies clássicos.

O RGPD regula o tratamento de dados pessoais. Uma configuração pode evitar cookies e ainda assim tratar dados pessoais, se coletar endereços IP, IDs únicos, localização granular, fingerprints de dispositivos ou comportamento detalhado capaz de identificar ou individualizar uma pessoa.

Assim, o objetivo arquitetônico é duplo:

• evitar armazenamento no navegador e acesso a dispositivos que não sejam essenciais
• minimizar ou anonimizar dados pessoais no pipeline de análise

O que não fazer

Não simplesmente substitua cookies por fingerprinting. Combinar endereço IP, user agent, fuso horário, tamanho de tela, fontes, idioma e propriedades do dispositivo para criar um identificador estável continua sendo rastreamento. O fingerprinting é pior do que um cookie, porque os usuários não conseguem vê-lo ou apagá-lo com facilidade.

Não presuma que hash equivale a anonimização. Um hash de endereço IP e user agent ainda pode ser dado pessoal se a mesma entrada produzir sempre a mesma saída e o controlador conseguir vincular a atividade ao longo do tempo. A orientação do EDPB sobre o RGPD trata dados pseudonimizados como dados pessoais sempre que a reidentificação permanecer razoavelmente possível.

Não envie URLs completas sem higienização. Query strings costumam conter dados pessoais, tokens, endereços de e-mail, termos de busca ou IDs de clique de anúncios.

Não reutilize dados de análise para publicidade. A orientação da CNIL sobre medição de audiência trata a isenção de análise de forma restrita: finalidade limitada, sem rastreamento entre sites, sem combinação com outros dados e sem divulgação para fins não relacionados.

Uma arquitetura cookieless melhor

Um evento de análise privacy first deve ser pequeno:

{
  "type": "pageview",
  "path": "/pricing",
  "referrer_host": "example.com",
  "utm_source": "newsletter",
  "utm_medium": "email",
  "country": "DE",
  "device": "desktop"
}

Evite enviar:

• endereços IP brutos para armazenamento de longo prazo
• user agents completos, quando uma categoria genérica de navegador ou dispositivo já basta
• query strings completas
• e-mails, nomes, IDs de conta, endereços de carteira ou IDs de cliente
• campos de formulário livres
• geolocalização precisa

Use o endereço IP apenas de forma transitória, se necessário, para derivar país ou região de forma genérica. Descarte-o antes do armazenamento persistente. Se precisar de detecção de bots ou limitação de taxa, mantenha esse pipeline separado dos relatórios de análise e aplique uma retenção curta.

Contagem de visitas sem cookies

Contar visualizações de página é fácil sem identificadores. Contar visitas é mais difícil.

Um padrão comum de preservação de privacidade é criar uma chave de visita derivada e de curta duração a partir de atributos da requisição mais um salt secreto rotativo. Por exemplo, um servidor pode derivar uma chave a partir do prefixo de IP, do user agent em formato genérico, do ID do site e de um salt que muda diariamente ou com mais frequência. Os dados brutos não são armazenados, e a chave não pode ser usada em períodos longos.

Essa ainda é uma abordagem cheia de ressalvas. Ela pode ser pseudônima em vez de anônima, dependendo da implementação, da retenção e da capacidade do controlador de recalcular ou vincular registros. Trate isso como uma técnica de minimização de dados, não como prova de que o GDPR deixa de se aplicar.

Se você consegue responder à pergunta de negócio com menos dados, faça menos. Muitas equipes só precisam de visualizações de página, páginas mais acessadas, referenciadores, campanhas e conversões. A contagem de visitantes únicos é útil, mas não justifica um rastreamento invasivo.

Analytics sem consentimento: quando é plausível

Analytics sem consentimento é mais plausível quando:

• não são usados cookies, localStorage ou identificadores semelhantes
• nenhuma impressão digital de dispositivo é criada
• os dados pessoais não são armazenados, ou são anonimizados de forma rápida e irreversível
• os dados são usados apenas para mensuração agregada de audiência
• os dados não são compartilhados com redes de anúncios nem reutilizados entre clientes
• a retenção é curta
• os usuários são informados de forma transparente
• páginas e parâmetros sensíveis são excluídos

É por isso que muitas ferramentas focadas em privacidade são mais simples que o Google Analytics. Simplicidade não é uma funcionalidade que falta. É a estratégia de conformidade.

Checklist de implementação

Antes do lançamento, teste o site em um perfil de navegador limpo:

1. Abra o DevTools e confirme que nenhum cookie de analytics é definido.
2. Verifique o uso de localStorage, sessionStorage, IndexedDB e cache.
3. Inspecione as requisições de rede e confirme que os payloads de analytics são mínimos.
4. Confirme que os parâmetros de consulta estão em lista de permissões ou são removidos.
5. Verifique se o GPC ou as escolhas de consentimento desativam quaisquer tags de publicidade.
6. Confirme que as configurações de retenção correspondem ao seu aviso de privacidade.
7. Documente a base legal e a análise da ePrivacy com um advogado se você opera em mercados regulados.

Verificação de conformidade na prática

Não trate "sem cookies" como uma conclusão legal. Antes do lançamento, documente cada evento, a decisão que ele sustenta, se algum armazenamento no dispositivo ou identificador está envolvido, quais fornecedores recebem os dados e quando os registros brutos expiram.

Depois teste o site em um perfil de navegador limpo e compare o resultado com o aviso de privacidade. Se o navegador ainda mostrar chamadas de terceiros, identificadores persistentes ou dados de query string não planejados, a conformidade precisa de mais trabalho antes que a alegação de marketing entre no ar.

Conclusão

Analytics sem cookies e alinhado ao GDPR é possível, mas só quando o sistema é projetado em torno da minimização de dados. Evite armazenamento no dispositivo, evite identificadores entre sites, evite a reutilização por anunciantes e mantenha os relatórios agregados.

A configuração de analytics com menor risco é aquela que responde à pergunta de negócio sem precisar saber quem é o visitante.

Realidade Regulatória Atual

Não limite a análise apenas aos cookies. A orientação final da EDPB sobre o Artigo 5(3) abrange o acesso ou armazenamento de informações em equipamento terminal e discute técnicas como rastreamento por URL e pixel, processamento local, rastreamento apenas por IP e identificadores únicos (EDPB Guidelines 2/2023). O ICO do Reino Unido também enquadra cookies, pixels de rastreamento, fingerprinting e métodos semelhantes sob a orientação de tecnologias de armazenamento e acesso (ICO SAT guidance update).

Isso significa que o teste técnico é mais amplo do que "nenhum cookie aparece". Verifique que não há armazenamento persistente no navegador, nenhum identificador estável derivado do dispositivo, nenhum pixel de terceiros antes do consentimento, nenhum vazamento completo de URL e nenhuma reutilização para publicidade. Se uma configuração sem cookies ainda assim identifica visitantes ao longo do tempo, a alegação de conformidade é frágil.

Perguntas Frequentes

Remover cookies satisfaz os requisitos do RGPD?

Remover cookies trata das regras da Diretiva ePrivacy sobre armazenar ou aceder a informações num dispositivo, mas nada diz sobre o RGPD. Uma ferramenta sem cookies ainda pode processar dados pessoais ao recolher endereços IP, IDs únicos, localização granular ou fingerprints de dispositivo, pelo que a arquitetura precisa de minimizar tanto a identificabilidade quanto o armazenamento no navegador.

Um hash de endereço IP pode torná-lo anónimo sob o RGPD?

Não por si só. Um hash de um endereço IP e de um user agent produz o mesmo resultado para a mesma entrada, pelo que um responsável pelo tratamento capaz de associar esse resultado ao longo do tempo continua a processar dados pessoais. A EDPB trata dados pseudonimizados desta forma, como dados pessoais sempre que a reidentificação permaneça razoavelmente possível.

O que conta como dados pessoais em análises sem cookies?

Endereços IP, IDs únicos, localização granular, fingerprints de dispositivo e trajetos de comportamento detalhados contam se puderem identificar ou individualizar uma pessoa. Uma configuração pode dispensar completamente os cookies e ainda assim processar este tipo de dados, motivo pelo qual a camada do RGPD exige uma análise própria, separada da questão dos cookies.

Por que o fingerprinting de dispositivo é um risco de privacidade maior do que os cookies?

O fingerprinting combina endereço IP, user agent, fuso horário, tamanho de ecrã, fontes, idioma e propriedades do dispositivo num identificador estável, o que continua a ser rastreamento. Pode ser pior do que um cookie porque os utilizadores não conseguem vê-lo ou eliminá-lo facilmente, não havendo assim um controlo visível para recusar.

Os dados de análise podem ser reutilizados para publicidade?

Reutilizar dados de análise para publicidade quebra a exceção restrita descrita na orientação da CNIL sobre medição de audiência. Essa exceção exige uma finalidade limitada, nenhum rastreamento entre sites, nenhuma combinação com outros dados e nenhuma divulgação para fins não relacionados, e a reutilização para publicidade viola várias dessas condições ao mesmo tempo.

Como contar visitas sem definir um cookie?

Um padrão comum deriva uma chave de visita de curta duração a partir de atributos do pedido, como prefixo de IP, user agent aproximado e ID do site, combinados com um salt secreto rotativo. As entradas brutas nunca são armazenadas e, como o salt roda diariamente ou com maior frequência, a chave não pode ser usada para associar registos ao longo de longos períodos.

Uma chave de visita derivada é considerada um dado anónimo?

Não automaticamente. Dependendo da implementação, da retenção e de se o responsável pelo tratamento conseguiria recalcular ou associar registos, uma chave de visita derivada pode ser pseudónima em vez de anónima. Trate-a como uma técnica de minimização, não como prova de que o RGPD deixa de se aplicar.

O que um payload de evento de análise deve evitar enviar?

Um evento com privacidade em primeiro lugar deve dispensar endereços IP brutos destinados a armazenamento de longo prazo, user agents completos, query strings completas e campos como emails, nomes, IDs de conta ou geolocalização precisa. Campos aproximados como caminho, host do referenciador, parâmetros UTM, país e categoria de dispositivo normalmente respondem às mesmas questões de negócio sem o risco.

Quando é plausível, do ponto de vista legal, uma análise sem consentimento?

A análise sem consentimento é mais plausível quando não se usam cookies, localStorage ou fingerprints e os dados pessoais não são armazenados ou são anonimizados rapidamente. Os dados permanecem também agregados, não partilhados com redes de publicidade e com retenção curta. Os utilizadores ainda precisam de ser informados de forma transparente, e páginas e parâmetros sensíveis devem ser excluídos da recolha.

A Diretiva ePrivacy cobre apenas cookies?

As Guidelines 2/2023 da EDPB sobre o Artigo 5(3) deixam claro que o âmbito vai além dos cookies clássicos, cobrindo aspetos como rastreamento por URL e pixel, processamento local, rastreamento apenas por IP e identificadores únicos. O ICO do Reino Unido enquadra a mesma ideia sob a orientação de tecnologias de armazenamento e acesso, cobrindo pixels de rastreamento e fingerprinting juntamente com cookies.