Um guia prático de Google Analytics CCPA é compatível

Este guia explica Google Analytics CCPA é compatível na prática, com foco em decisões de analytics que respeitam a privacidade.

O CCPA não pergunta simplesmente se uma ferramenta é “compatível”. Pergunta que informações pessoais são recolhidas, por que são recolhidas, quem as recebe, se são vendidas ou partilhadas, se estão envolvidas informações pessoais sensíveis e se os consumidores podem exercer os seus direitos.

Google Analytics pode caber em um programa de conformidade CCPA, mas a configuração é importante. Uma configuração analítica mínima é diferente de GA4 vinculada a Google Ads, públicos de remarketing, conversões otimizadas e compartilhamento de dados entre produtos.

Por que os dados analíticos podem ser informações pessoais

O CCPA define informações pessoais de forma ampla. Pode incluir identificadores online, atividade na Internet, geolocalização, informações comerciais e inferências. O FAQ do CPPA explica que informações pessoais confidenciais podem incluir geolocalização precisa, informações de saúde, identificadores governamentais, dados de acesso a contas e outras categorias.

A análise do site pode coletar ou transmitir:

• Localização derivada de IP.
• Cookies ou identificadores de dispositivos.
• Página URLs.
• Referentes.
• Parâmetros de pesquisa ou campanha.
• Detalhes do navegador e do dispositivo.
• Eventos como inscrições, compras e envios de formulários.

Se URLs ou eventos contiverem dados pessoais, o risco aumenta rapidamente. Um caminho de página como /conditions/diabetes-care ou um parâmetro de consulta contendo um endereço de e-mail pode transformar análises de rotina em divulgação confidencial.

Integrações de venda, compartilhamento e publicidade

De acordo com o CCPA/CPRA, “compartilhamento” inclui a divulgação de informações pessoais para publicidade comportamental em vários contextos. É por isso que a análise se torna mais complexa quando conectada a plataformas de anúncios.

Se os dados GA4 forem usados ​​para construir públicos, otimizar anúncios, redirecionar visitantes ou conectar o comportamento do site aos serviços de publicidade do Google, a empresa deverá avaliar se está vendendo ou compartilhando informações pessoais e se um mecanismo "Não vender ou compartilhar minhas informações pessoais" é necessário.

O Google oferece termos e configurações relacionados às leis estaduais de privacidade dos EUA e ao processamento restrito de dados. Seu Adendo ao Controlador das Leis de Privacidade do Estado afirma que os clientes são responsáveis ​​por sua conformidade e descreve configurações restritas de processamento de dados. A ajuda dos anúncios do Google também observa que o Analytics pode atuar como um provedor de serviços em determinados contextos restritos de processamento de dados, a menos que os dados sejam exportados ou compartilhados com outros produtos.

A lição de conformidade: não presuma que a configuração padrão é suficiente. Revise todos os links de produtos e configurações de compartilhamento de dados.

Controle Global de Privacidade

A Califórnia espera que as empresas honrem os sinais válidos de preferência de exclusão nas circunstâncias aplicáveis. O Controle Global de Privacidade é o sinal mais comum no nível do navegador. Se o seu site vende ou compartilha informações pessoais, seu sistema de consentimento e tag precisa detectar e respeitar GPC, e não apenas exibir um link de rodapé.

Para análises, isso pode significar:

• Bloqueio de tags publicitárias quando GPC estiver presente.
• Desativando a criação de público.
• Impedir o compartilhamento de dados com plataformas de anúncios.
• Registrar o estado de desativação sem criar um novo perfil de rastreamento.

Áreas de risco práticas GA4

URLs completos e strings de consulta

GA4 pode receber páginas URLs. Se seus URLs contiverem e-mails, nomes, IDs de pedidos, tokens de redefinição, termos de pesquisa ou detalhes de saúde, você poderá enviar informações pessoais involuntariamente. Corrija os parâmetros de design e tira URL antes da coleta.

Rastreamento de formulário

Não envie valores de campos de formulário para GA4. As políticas Google Analytics proíbem o envio de dados que o Google possa reconhecer como informações de identificação pessoal, e as HIPAA e orientação do Analytics do Google reiteram que os clientes não devem passar PII ou informações confidenciais para o Analytics.

Vinculação Google Ads

Vincular GA4 a Google Ads pode alterar o uso de dados. Revise se os públicos-alvo, as conversões e o remarketing estão ativados. Se você não precisar deles, desligue-os.

Confusão no modo de consentimento

O modo de consentimento do Google controla o comportamento das tags do Google com base nos sinais de consentimento. Não é em si um aviso de privacidade, um mecanismo de exclusão CCPA ou uma prova de que sua implementação é compatível. O Google documenta tipos de consentimento como analytics_storage, ad_storage, ad_user_data e ad_personalization em sua documentação de tipo de consentimento.

Uma lista de verificação CCPA para Google Analytics

1. Atualize o aviso de privacidade com categorias de dados analíticos coletados.
2. Explique propósitos, retenção e categorias de fornecedores.
3. Revise se os dados GA4 são vendidos ou compartilhados, especialmente por meio de integrações de anúncios.
4. Forneça controles “Não vender ou compartilhar” quando necessário.
5. Respeite o Controle Global de Privacidade, quando aplicável.
6. Desative links desnecessários de produtos do Google e compartilhamento de dados.
7. Não envie PII, dados confidenciais ou valores de formulário.
8. Remova dados pessoais de URLs e parâmetros de eventos.
9. Defina fluxos de trabalho de exclusão de dados analíticos sempre que possível.
10. Documente a função do Google e os termos aplicáveis.

A alternativa que prioriza a privacidade

Se a meta de análise do seu site for a medição agregada, talvez você não precise do GA4. Uma ferramenta de análise sem cookies que evita identificadores pessoais e reutilização de publicidade pode reduzir as obrigações CCPA porque coleta menos informações pessoais e cria menos perguntas de venda/compartilhamento.

A melhor estratégia de conformidade CCPA não é comprimir mais textos jurídicos em uma pilha de alto compartilhamento. Está a recolher menos dados, a partilhar menos dados e a tornar as escolhas mais fáceis de respeitar tecnicamente.

Um padrão de configuração mais seguro

Se você mantiver GA4 em um programa CCPA, comece com a configuração mais restrita: somente análises, sem personalização de publicidade, sem públicos de remarketing, sem links de produtos desnecessários, sem IDs de usuário, sem PII em URLs e processamento de dados restrito quando apropriado. Em seguida, adicione recursos somente quando o proprietário da empresa puder explicar a finalidade, a revisão jurídica estiver concluída e o caminho de exclusão for tecnicamente aplicado.

Isso inverte o padrão usual. Em vez de habilitar toda a pilha do Google e tentar escrever uma política em torno disso, comece com medições mínimas e justifique cada expansão.

Mantenha evidências

Documente cada configuração GA4 em que você confia para conformidade com CCPA: processamento restrito de dados, links de produtos, personalização de anúncios, comportamento de consentimento e tratamento de desativação. As capturas de tela e as datas de alteração são importantes porque as revisões de privacidade geralmente acontecem meses após a alteração de uma tag.

Verificação de implementação CCPA

Revise pixels de publicidade, destinos do gerenciador de tags, APIs de conversão no servidor, fornecedores de enriquecimento e propriedades de eventos de análise em conjunto. A questão principal é se algum fornecedor recebe dados para publicidade comportamental em vários contextos ou outro uso que precise de uma opção de exclusão na Califórnia.

Se a análise agregada responder à questão do negócio, prefira isso ao compartilhamento no nível do visitante. Se o compartilhamento continuar sendo necessário, confirme o aviso, o link de cancelamento, o tratamento do Controle de Privacidade Global, os limites de dados confidenciais, os termos do fornecedor, a retenção e a evidência de cada configuração.