Visão geral - O Google Analytics é compatível com a CCPA

Esta visão geral coloca o tema O Google Analytics é compatível com a CCPA em um contexto útil. A resposta depende do que você ligou no painel: perguntar se Google Analytics CCPA é compatível sem olhar as integrações de publicidade não leva a lugar nenhum.

O CCPA não pergunta simplesmente se uma ferramenta é “compatível”. Pergunta que informações pessoais são recolhidas, por que são recolhidas, quem as recebe, se são vendidas ou partilhadas, se estão envolvidas informações pessoais sensíveis e se os consumidores podem exercer os seus direitos.

Google Analytics pode caber em um programa de conformidade CCPA, mas a configuração é importante. Uma configuração analítica mínima é diferente de GA4 vinculada a Google Ads, públicos de remarketing, conversões otimizadas e compartilhamento de dados entre produtos.

Por que os dados analíticos podem ser informações pessoais

O CCPA define informações pessoais de forma ampla. Pode incluir identificadores online, atividade na Internet, geolocalização, informações comerciais e inferências. O FAQ do CPPA explica que informações pessoais confidenciais podem incluir geolocalização precisa, informações de saúde, identificadores governamentais, dados de acesso a contas e outras categorias.

A análise do site pode coletar ou transmitir:

• Localização derivada de IP.
• Cookies ou identificadores de dispositivos.
• Página URLs.
• Referentes.
• Parâmetros de pesquisa ou campanha.
• Detalhes do navegador e do dispositivo.
• Eventos como inscrições, compras e envios de formulários.

Se URLs ou eventos contiverem dados pessoais, o risco aumenta rapidamente. Um caminho de página como /conditions/diabetes-care ou um parâmetro de consulta contendo um endereço de e-mail pode transformar análises de rotina em divulgação confidencial.

Integrações de venda, compartilhamento e publicidade

De acordo com o CCPA/CPRA, “compartilhamento” inclui a divulgação de informações pessoais para publicidade comportamental em vários contextos. É por isso que a análise se torna mais complexa quando conectada a plataformas de anúncios.

Se os dados GA4 forem usados ​​para construir públicos, otimizar anúncios, redirecionar visitantes ou conectar o comportamento do site aos serviços de publicidade do Google, a empresa deverá avaliar se está vendendo ou compartilhando informações pessoais e se um mecanismo "Não vender ou compartilhar minhas informações pessoais" é necessário.

O Google oferece termos e configurações relacionados às leis estaduais de privacidade dos EUA e ao processamento restrito de dados. Seu Adendo ao Controlador das Leis de Privacidade do Estado afirma que os clientes são responsáveis ​​por sua conformidade e descreve configurações restritas de processamento de dados. A ajuda dos anúncios do Google também observa que o Analytics pode atuar como um provedor de serviços em determinados contextos restritos de processamento de dados, a menos que os dados sejam exportados ou compartilhados com outros produtos.

A lição de conformidade: não presuma que a configuração padrão é suficiente. Revise todos os links de produtos e configurações de compartilhamento de dados.

Controle Global de Privacidade

A Califórnia espera que as empresas honrem os sinais válidos de preferência de exclusão nas circunstâncias aplicáveis. O Controle Global de Privacidade é o sinal mais comum no nível do navegador. Se o seu site vende ou compartilha informações pessoais, seu sistema de consentimento e tag precisa detectar e respeitar GPC, e não apenas exibir um link de rodapé.

Para análises, isso pode significar:

• Bloqueio de tags publicitárias quando GPC estiver presente.
• Desativando a criação de público.
• Impedir o compartilhamento de dados com plataformas de anúncios.
• Registrar o estado de desativação sem criar um novo perfil de rastreamento.

Áreas de risco práticas GA4

URLs completos e strings de consulta

GA4 pode receber páginas URLs. Se seus URLs contiverem e-mails, nomes, IDs de pedidos, tokens de redefinição, termos de pesquisa ou detalhes de saúde, você poderá enviar informações pessoais involuntariamente. Corrija os parâmetros de design e tira URL antes da coleta.

Rastreamento de formulário

Não envie valores de campos de formulário para GA4. As políticas Google Analytics proíbem o envio de dados que o Google possa reconhecer como informações de identificação pessoal, e as HIPAA e orientação do Analytics do Google reiteram que os clientes não devem passar PII ou informações confidenciais para o Analytics.

Vinculação Google Ads

Vincular GA4 a Google Ads pode alterar o uso de dados. Revise se os públicos-alvo, as conversões e o remarketing estão ativados. Se você não precisar deles, desligue-os.

Confusão no modo de consentimento

O modo de consentimento do Google controla o comportamento das tags do Google com base nos sinais de consentimento. Não é em si um aviso de privacidade, um mecanismo de exclusão CCPA ou uma prova de que sua implementação é compatível. O Google documenta tipos de consentimento como analytics_storage, ad_storage, ad_user_data e ad_personalization em sua documentação de tipo de consentimento.

Uma lista de verificação CCPA para Google Analytics

1. Atualize o aviso de privacidade com categorias de dados analíticos coletados.
2. Explique propósitos, retenção e categorias de fornecedores.
3. Revise se os dados GA4 são vendidos ou compartilhados, especialmente por meio de integrações de anúncios.
4. Forneça controles “Não vender ou compartilhar” quando necessário.
5. Respeite o Controle Global de Privacidade, quando aplicável.
6. Desative links desnecessários de produtos do Google e compartilhamento de dados.
7. Não envie PII, dados confidenciais ou valores de formulário.
8. Remova dados pessoais de URLs e parâmetros de eventos.
9. Defina fluxos de trabalho de exclusão de dados analíticos sempre que possível.
10. Documente a função do Google e os termos aplicáveis.

A alternativa que prioriza a privacidade

Se a meta de análise do seu site for a medição agregada, talvez você não precise do GA4. Uma ferramenta de análise sem cookies que evita identificadores pessoais e reutilização de publicidade pode reduzir as obrigações CCPA porque coleta menos informações pessoais e cria menos perguntas de venda/compartilhamento.

A melhor estratégia de conformidade CCPA não é comprimir mais textos jurídicos em uma pilha de alto compartilhamento. Está a recolher menos dados, a partilhar menos dados e a tornar as escolhas mais fáceis de respeitar tecnicamente.

Um padrão de configuração mais seguro

Se você mantiver GA4 em um programa CCPA, comece com a configuração mais restrita: somente análises, sem personalização de publicidade, sem públicos de remarketing, sem links de produtos desnecessários, sem IDs de usuário, sem PII em URLs e processamento de dados restrito quando apropriado. Em seguida, adicione recursos somente quando o proprietário da empresa puder explicar a finalidade, a revisão jurídica estiver concluída e o caminho de exclusão for tecnicamente aplicado.

Isso inverte o padrão usual. Em vez de habilitar toda a pilha do Google e tentar escrever uma política em torno disso, comece com medições mínimas e justifique cada expansão.

Mantenha evidências

Documente cada configuração GA4 em que você confia para conformidade com CCPA: processamento restrito de dados, links de produtos, personalização de anúncios, comportamento de consentimento e tratamento de desativação. As capturas de tela e as datas de alteração são importantes porque as revisões de privacidade geralmente acontecem meses após a alteração de uma tag.

Verificação de implementação CCPA

Revise pixels de publicidade, destinos do gerenciador de tags, APIs de conversão no servidor, fornecedores de enriquecimento e propriedades de eventos de análise em conjunto. A questão principal é se algum fornecedor recebe dados para publicidade comportamental em vários contextos ou outro uso que precise de uma opção de exclusão na Califórnia.

Se a análise agregada responder à questão do negócio, prefira isso ao compartilhamento no nível do visitante. Se o compartilhamento continuar sendo necessário, confirme o aviso, o link de cancelamento, o tratamento do Controle de Privacidade Global, os limites de dados confidenciais, os termos do fornecedor, a retenção e a evidência de cada configuração.

Perguntas Frequentes

Usar o Google Analytics viola automaticamente a CCPA?

Não por si só. O resultado depende do que está vinculado à ferramenta, como Google Ads, públicos de remarketing, conversões aprimoradas ou compartilhamento entre produtos. Uma configuração analítica mínima carrega bem menos risco do que o GA4 conectado a toda a pilha de publicidade do Google.

Que informações pessoais o Google Analytics pode coletar segundo a CCPA?

A análise do site pode incluir localização derivada do IP, identificadores de cookies ou dispositivos, URLs de página, referenciadores, parâmetros de busca ou campanha, detalhes de navegador e dispositivo, além de eventos como cadastros, compras e envios de formulário. Pela definição ampla da CCPA, tudo isso conta como informação pessoal. Caminhos de página ou parâmetros de consulta com identificadores aproximam esses dados de categorias sensíveis.

Quando os dados do GA4 contam como venda ou compartilhamento sob a CCPA/CPRA?

Os dados do GA4 contam como compartilhamento assim que alimentam publicidade comportamental entre contextos, como a construção de públicos, a otimização de anúncios, o retargeting de visitantes ou a conexão do comportamento do site com os serviços de publicidade do Google. Nesse ponto, a empresa deve avaliar se um mecanismo de "Não Vender ou Compartilhar Minhas Informações Pessoais" é necessário.

Preciso de um link Não Vender ou Compartilhar se uso o Google Analytics?

Só se os dados analíticos forem vendidos ou compartilhados, quase sempre por meio de integrações com plataformas de anúncios. Uma configuração puramente analítica, sem vínculos publicitários, pode não acionar essa exigência, mas qualquer vínculo com o Google Ads ou remarketing merece revisão.

O Controle Global de Privacidade se aplica às configurações do Google Analytics?

A Califórnia espera que as empresas respeitem sinais válidos de GPC nas circunstâncias aplicáveis, e a análise faz parte dessa cadeia quando alimenta publicidade. Um link no rodapé não basta. O sistema de consentimento e de tags precisa detectar o sinal, bloquear as tags de publicidade, desativar a criação de públicos, impedir o compartilhamento com plataformas de anúncios e registrar o estado de exclusão sem criar um novo perfil de rastreamento.

Posso enviar valores de campos de formulário para o Google Analytics?

Os valores de campos de formulário devem ficar fora do GA4. As políticas do Google Analytics proíbem o envio de dados que o Google possa reconhecer como informação de identificação pessoal, e o próprio guia do Google sobre HIPAA e Analytics repete que os clientes não devem passar PII nem informações sensíveis para o Analytics.

Vincular o GA4 ao Google Ads muda o que preciso revisar para a CCPA?

A vinculação pode mudar o uso dos dados, já que pode habilitar a criação de públicos, o rastreamento de conversões e o remarketing. Cada um desses recursos merece revisão própria, e tudo que a empresa não precisar deve ser desativado.

O modo de consentimento do Google equivale a um mecanismo de exclusão da CCPA?

Não, o modo de consentimento apenas controla como as tags do Google se comportam com base em sinais de consentimento como analytics_storage, ad_storage, ad_user_data e ad_personalization. Não é um aviso de privacidade, nem um mecanismo de exclusão da CCPA, nem prova por si só de que a implementação está em conformidade.

O Google Analytics é considerado um provedor de serviços sob a CCPA?

O Adendo do Controlador de Leis de Privacidade Estaduais do Google afirma que os clientes continuam responsáveis por sua própria conformidade, e descreve para isso as configurações de processamento restrito de dados. A ajuda do Google Ads também observa que o Analytics pode atuar como provedor de serviços em contextos de processamento restrito de dados, a menos que os dados sejam exportados ou compartilhados com outros produtos.

Ferramentas de análise sem cookies são mais seguras que o GA4 para a CCPA?

Uma ferramenta de análise sem cookies que evita identificadores pessoais e a reutilização para publicidade pode reduzir as obrigações da CCPA, porque coleta menos informação pessoal e levanta menos questões de venda ou compartilhamento. O mesmo princípio vale para o próprio GA4: quanto menos dados coletados e compartilhados, menos há para justificar dentro de um programa de conformidade com a CCPA.