Um guia prático de Regras de privacidade do Web Analytics mudando

Nada foi aprovado ainda, mas com as regras de privacidade do web analytics mudando em várias frentes ao mesmo tempo, adiar a revisão de configuração sai caro.

A análise de privacidade da web em 2026 está se movendo em duas direções ao mesmo tempo. Os reguladores querem reduzir a fadiga do consentimento para utilizações genuinamente de baixo risco. Ao mesmo tempo, eles estão traçando limites mais claros em relação ao rastreamento, criação de perfis, publicidade e acesso a dispositivos.

Para as equipes de análise, a resposta mais segura não é esperar que cada reforma seja resolvida. Construa medidas que sejam mínimas o suficiente para sobreviver em qualquer direção.

EU: Digital Omnibus é uma proposta, não um passe livre

Em 19 de novembro de 2025, a Comissão Europeia anunciou [propostas Digital Omnibus] (https://commission.europa.eu/news-and-media/news/simpler-digital-rules-help-eu-businesses-grow-2025-11-19_en) destinadas a simplificar partes da regulamentação digital EU, incluindo as regras GDPR e ePrivacy. As propostas continuam a ser propostas legislativas e não a lei em vigor.

Em fevereiro de 2026, a EDPB e a AEPD emitiram um parecer conjunto apoiando a simplificação em princípio, alertando ao mesmo tempo que esta não deve enfraquecer os direitos fundamentais.

A conclusão prática: não redesenhe a análise em torno de regras preliminares. Mas observe a direção. As instituições EU estão discutindo ativamente como reduzir solicitações de consentimento de baixo valor e, ao mesmo tempo, preservar as proteções contra rastreamento.

UK: Orientações sobre armazenamento e acesso são mais amplas que cookies

Em 29 de abril de 2026, o UK ICO anunciou a orientação final sobre tecnologias de armazenamento e acesso. A orientação abrange cookies, pixels de rastreamento, impressão digital de dispositivos e tecnologias semelhantes sob PECR e, quando relevante, UK GDPR.

Essa linguagem é importante. A conversa UK não é mais apenas “banners de cookies”. Trata-se de qualquer tecnologia que armazene ou acesse informações em um dispositivo.

Para equipes de análise, revise:

• biscoitos
• armazenamento local e armazenamento de sessão
• pixels
• SDKs
• sinais de impressão digital
• decoração de links
• rastreamento do lado do servidor que depende dos identificadores do navegador

França: Isenções de consentimento permanecem rigorosas

CNIL continua a ser um dos reguladores mais claros na medição de audiência. Sua orientação analítica permite isenções de consentimento apenas para medição de audiência limitada e afirma que a maioria das soluções de medição de audiência de grande porte não se qualifica, independentemente da configuração.

Os critérios são práticos: propósito limitado, sem rastreamento entre sites, sem combinação com outro processamento, retenção limitada, informações do usuário e sem transferência ou reutilização além das necessidades de medição do editor.

Se seus dados analíticos alimentam publicidade, personalização, benchmarking de plataforma ou conjuntos de dados entre clientes, não os trate como medição de audiência isenta.

EDPB: O acesso ao dispositivo é amplo

As Diretrizes 2/2023 sobre o Artigo 5(3) finais do EDPB confirmam que ePrivacy se aplica a mais do que cookies. O armazenamento e o acesso podem incluir pixels de rastreamento, identificadores locais, leituras SDK e outras interações técnicas com equipamentos terminais.

Isso é importante para fornecedores “sem cookies”. Se uma ferramenta evitar cookies, mas imprimir impressões digitais em dispositivos, ler o armazenamento local ou criar identificadores estáveis a partir de sinais de dispositivos, ela ainda poderá exigir consentimento.

O que as equipes de análise devem fazer em 2026

Audite sua pilha com quatro categorias:

1. Operações essenciais: segurança, balanceamento de carga, prevenção de fraudes, armazenamento de consentimento.
2. Medição básica de audiência: análises agregadas para seu próprio site.
3. Análise de produtos: uso e ativação autenticados de produtos.
4. Publicidade e criação de perfil: retargeting, conversão de anúncios, públicos semelhantes, enriquecimento de dados.

Cada categoria precisa de controles diferentes. Não os misture sob o mesmo rótulo de “analítica”.

Regras práticas de configuração

• Use análises sem cookies para medição de sites públicos sempre que possível.
• Evite identificadores entre sites.
• Por padrão, não envie dados analíticos para redes de anúncios.
• Retira os parâmetros de consulta, exceto as tags de campanha permitidas.
• Mantenha os dados geográficos grosseiros.
• Exclua páginas confidenciais.
• Separe a telemetria do produto da análise de marketing.
• Honre as escolhas de consentimento e os sinais de cancelamento.
• Documente as funções do fornecedor e as transferências de dados.
• Revise os contêineres de tags mensalmente.

Como fazer medições à prova de futuro

O modelo de medição com maior probabilidade de sobreviver à reforma é simples:

• visualizações de página agregadas
• domínios referenciadores
• Relatório de campanha UTM
• páginas principais
• relatórios grosseiros de dispositivos e países
• eventos de conversão com cargas mínimas
• retenção curta
• sem reutilização de anúncios
• sem identidade entre sites

Este modelo pode ser elegível para isenções em algumas jurisdições e, quando isso não acontece, é mais fácil de explicar e consentir.

Lista de verificação de preparação para 2026

Crie análises que possam sobreviver ao movimento regulatório: eventos minimizados, nenhum dado pessoal em URLs, retenção curta, funções de fornecedores documentadas, evidências de consentimento ou isenção, tratamento de GPC para leis de privacidade US aplicáveis e um registro de tags que o marketing não pode ignorar.

Revise a configuração trimestralmente de acordo com as orientações atuais do regulador. Os sistemas de medição mais resilientes são enfadonhos: poucos scripts, finalidades claras, relatórios agregados sempre que possível e comportamento do navegador que corresponde ao aviso de privacidade.

O resultado final

A regulamentação de privacidade de 2026 não está se tornando “vale tudo”. Está se tornando mais preciso. A medição de audiência de baixo risco pode encontrar caminhos mais claros. O rastreamento do tipo vigilância permanecerá sob pressão.

Crie análises para a segunda realidade: útil o suficiente para decisões, mínima o suficiente para gerar confiança.

Uma lista de verificação de preparação para análise para 2026

Trate 2026 como um ano de configuração e não apenas como um ano de monitorização jurídica. Faça um inventário de todas as tecnologias de armazenamento e acesso: cookies, armazenamento local, pixels, SDKs, sinais de impressão digital, tags do lado do servidor e widgets incorporados. A [orientação sobre tecnologias de armazenamento e acesso] final do ICO (https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/) é útil porque vai além da palavra "cookie" e pergunta o que a tecnologia realmente armazena ou lê.

Em seguida, classifique cada ferramenta por finalidade: estritamente necessária, medição de audiência de baixo risco, melhoria de produtos, personalização, publicidade, segurança ou prevenção de fraudes. Não agrupe análises e publicidade em uma única opção de consentimento. Verifique se cada propriedade de evento é necessária, se URLs foi limpo, se o tratamento de IP corresponde ao seu aviso de privacidade e se a retenção está documentada. Prepare-se para sinais de preferência do navegador ou do sistema operacional, tornando as tags condicionais e auditáveis. Por fim, mantenha um painel alternativo que não dependa de identificadores pessoais. Se uma mudança de regulador, navegador ou fornecedor quebrar o rastreamento de alto risco, a empresa ainda deverá saber se o tráfego, o conteúdo e as conversões estão se movendo na direção certa.

Perguntas Frequentes

O que é o Digital Omnibus e ele já é lei?

O Digital Omnibus é um conjunto de propostas que a Comissão Europeia anunciou em 19 de novembro de 2025 para simplificar partes do GDPR e das regras de ePrivacy. Ele ainda não foi adotado. As equipes de analytics devem acompanhar a direção do debate sem redesenhar a medição em torno de regras que ainda são apenas rascunho.

O EDPB e o EDPS apoiaram o Digital Omnibus?

Em fevereiro de 2026, o EDPB e o EDPS emitiram um parecer conjunto que apoia a simplificação em princípio. Eles também alertaram que nenhuma mudança deve enfraquecer direitos fundamentais, então as propostas não são um caminho garantido para regras mais soltas.

A orientação britânica sobre armazenamento e acesso cobre apenas cookies?

A orientação britânica sobre armazenamento e acesso vai muito além dos cookies. A orientação final do ICO, publicada em 29 de abril de 2026, trata de pixels de rastreamento, fingerprinting de dispositivos e tecnologias semelhantes sob a PECR e o UK GDPR.

O que as equipes de analytics do Reino Unido devem revisar segundo a orientação do ICO?

A orientação aponta para cookies, localStorage e sessionStorage, pixels, SDKs, sinais de fingerprinting, decoração de links e rastreamento no lado do servidor que depende de identificadores do navegador. Qualquer um desses pode se enquadrar na PECR mesmo sem nenhum cookie envolvido.

Quais usos de analytics podem dispensar o consentimento segundo as regras da CNIL?

A orientação da CNIL permite isenção de consentimento apenas para medição de audiência limitada, e afirma que a maioria das grandes soluções de medição de audiência não se qualifica, independentemente da configuração. A isenção depende de finalidade limitada, ausência de rastreamento entre sites, nenhuma combinação com outros tratamentos, retenção limitada, informação ao usuário e nenhuma reutilização além da necessidade de medição do próprio publisher.

Uma ferramenta de analytics sem cookies ainda pode exigir consentimento?

Uma ferramenta pode evitar cookies e mesmo assim exigir consentimento. As diretrizes finais 2/2023 do EDPB sobre o artigo 5(3) confirmam que a ePrivacy cobre pixels de rastreamento, identificadores locais, leituras de SDK e outras interações com o dispositivo, então fingerprinting ou identificadores estáveis baseados no dispositivo podem acionar as mesmas regras que os cookies.

Em quantas categorias as equipes de analytics devem classificar suas ferramentas?

Em quatro: operações essenciais, medição de audiência básica, analytics de produto, e publicidade e profiling. Cada categoria precisa de controles próprios, e misturar tudo sob um único rótulo de "analytics" é exatamente o erro contra o qual o artigo alerta.

Quais dados devem ficar fora dos eventos de analytics para mantê-los de baixo risco?

Remova parâmetros de query exceto tags de campanha aprovadas, mantenha os dados geográficos genéricos e exclua páginas sensíveis. Dados de analytics também não deveriam ir para redes de anúncios por padrão, e a telemetria de produto deve ficar separada do analytics de marketing.

Como é uma configuração de medição feita para sobreviver a mudanças regulatórias?

O artigo a descreve como pageviews agregadas, domínios de referência, relatórios de campanha UTM e páginas principais. Acrescenta relatórios genéricos de dispositivo e país, eventos de conversão com payloads mínimos, retenção curta, nenhuma reutilização para anúncios e nenhuma identidade entre sites. Esse modelo pode se qualificar para isenções onde elas existem, e onde não existem, é simples o bastante para explicar e obter consentimento.

Com que frequência a configuração das tags deve ser revisada?

Os contêineres de tags devem ser revisados mensalmente, e toda a configuração deve ser checada trimestralmente em relação à orientação regulatória vigente. Esse ritmo pega adições de marketing antes que elas transformem uma stack de analytics compatível em uma que precisa de novo consentimento.