Google Analytics e LGPD: o que muda pra quem tem site

Se você tem um site no Brasil e usa Google Analytics, já deve ter ouvido de alguém que "o GA não é LGPD" ou, no outro extremo, que "é só colocar um banner e pronto". As duas frases simplificam demais.

Neste artigo eu separo o que a lei e a ANPD (Autoridade Nacional de Proteção de Dados) de fato dizem, por que o GA4 costuma exigir consentimento e o que muda — e o que não muda — quando você troca para um analytics sem cookies. Tudo com link para a fonte primária no fim.

Analytics trata dado pessoal?

Na maioria dos casos, sim. A LGPD (Lei nº 13.709/2018) define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). A palavra que importa é identificável: não precisa ter nome nem CPF. Um identificador aleatório guardado no navegador, que reconhece o mesmo visitante em visitas diferentes, já permite individualizar uma pessoa.

Dois pontos da lei ajudam a enxergar onde o analytics se encaixa:

• Tratamento é praticamente qualquer operação com o dado: coleta, armazenamento, análise, transferência (art. 5º, X). Medir visitas é tratamento.
• Dado anonimizado não é dado pessoal (art. 12), desde que a anonimização não possa ser revertida com esforços razoáveis. Mas o §2º do mesmo artigo avisa: dados usados para formar o perfil comportamental de uma pessoa identificada podem ser considerados pessoais.

Ou seja: pseudonimizar (trocar o nome por um ID) não é anonimizar. Um ID persistente por visitante continua sendo, em regra, dado pessoal.

As duas bases legais que aparecem em analytics

A LGPD lista dez hipóteses que autorizam o tratamento (art. 7º). Para medição de site, a conversa quase sempre gira em torno de duas.

Consentimento (art. 7º, I)

É a manifestação livre, informada e inequívoca do titular para uma finalidade determinada. O art. 8º traz dois detalhes que derrubam muito banner por aí:

• "O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas" (§4º). "Usamos cookies para melhorar sua experiência" não é finalidade determinada.
• O consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (§5º). Se aceitar é um clique, recusar depois não pode ser uma caça ao tesouro.

Legítimo interesse (art. 7º, IX, e art. 10)

Permite tratar dados não sensíveis quando há um interesse legítimo do controlador (ou de terceiro) que não se sobrepõe aos direitos do titular. Não é carta branca:

• o tratamento precisa ser o estritamente necessário para a finalidade (art. 10, §1º);
• o controlador tem que garantir transparência (art. 10, §2º);
• a ANPD pode pedir um relatório de impacto quando o tratamento se apoia no legítimo interesse (art. 10, §3º).

Em fevereiro de 2024 a ANPD publicou um guia só sobre legítimo interesse, que pede a demonstração de finalidade legítima, situação concreta, necessidade, balanceamento com os direitos do titular e salvaguardas — o famoso teste de balanceamento, documentado.

O que o guia de cookies da ANPD diz

Em outubro de 2022 a ANPD publicou o Guia orientativo: Cookies e proteção de dados pessoais. Ele não é lei, mas mostra como a autoridade lê a LGPD nesse tema. Os pontos que mais importam para quem mede site:

• Categorias. O guia separa cookies necessários (sem eles o site não funciona) dos não necessários, e também cookies próprios (do seu domínio) dos de terceiros, e de sessão dos persistentes.
• Base legal por finalidade. O consentimento aparece como a base principal para cookies não necessários. O legítimo interesse é admitido em situações específicas — os cookies estritamente necessários são o caso clássico, e o guia abre espaço para a medição de audiência em certos contextos —, sempre com avaliação documentada e transparência. Publicidade, perfilamento e compartilhamento com terceiros puxam para o consentimento.
• Banner em camadas. Na primeira camada, além de "aceitar", tem que existir a opção de rejeitar os cookies não necessários. A segunda camada detalha as categorias e permite escolher por finalidade.
• Nada pré-marcado. Cookies que dependem de consentimento ficam desligados por padrão. Caixinhas já marcadas e consentimento "por continuar navegando" não valem.
• Política de cookies clara, dizendo quais cookies existem, para quê, por quanto tempo e com que base legal.

Por que o GA4 costuma pedir consentimento

Nada aqui é "o Google é ilegal". É que o desenho padrão do GA4 empurra a análise para o lado do consentimento:

1. Cookie persistente de identificação. A tag do GA4 grava os cookies _ga e _ga_<id>, com validade padrão de 2 anos, para distinguir usuários e sessões. É um identificador por pessoa, que dura muito além da visita.
2. Os dados vão para um terceiro. Quem processa é o Google, e a conta pode ser ligada a recursos de publicidade (Google Ads, Google Signals, remarketing). Quanto mais disso estiver ligado, mais longe você fica de "medição mínima e esperada".
3. Transferência internacional. Os dados do GA podem ser tratados fora do Brasil, na infraestrutura do Google. A LGPD só permite transferência internacional nas hipóteses do art. 33, e a Resolução CD/ANPD nº 19/2024 regulamentou o tema, com cláusulas-padrão contratuais e prazo de 12 meses (contados de 23/08/2024) para quem usa cláusulas contratuais incorporar o modelo da ANPD.

E o IP? O Google diz que o GA4 não registra nem armazena endereços IP: usa o IP para derivar a localização aproximada e descarta. Isso ajuda, mas não resolve os três pontos acima — o identificador do cookie continua lá.

Na prática, o caminho mais defensável com GA4 costuma ser: banner com recusa na primeira camada, tag do GA bloqueada até o "aceito", e política de cookies que explique a finalidade. O custo é conhecido de quem já fez isso: você para de medir quem recusa ou ignora o banner.

O que muda com um analytics sem cookies

Um analytics que não usa cookies de identificação e não manda dados para publicidade muda o tamanho do problema. Usando o Analisa como exemplo concreto (é o que eu conheço por dentro):

• Não grava cookies. Nenhum _ga, nenhum identificador entre sites, nenhum rastreador de terceiros.
• IP anonimizado na entrada. O último octeto do IPv4 (ou os últimos 80 bits do IPv6) é zerado antes de qualquer gravação; o país é derivado e o IP é descartado.
• Sem uso para publicidade. Os dados servem para os relatórios do próprio site — origem, campanhas, metas, funis, Web Vitals —, não para perfilamento ou anúncios.
• Exportação e exclusão. Existe API para atender pedidos de acesso e eliminação do titular.

Com isso, o argumento de legítimo interesse fica bem mais fácil de sustentar: finalidade clara (entender o uso do próprio site), dado mínimo, nenhuma surpresa para o visitante. E o banner pode ficar menor ou até desnecessário — mas essa conclusão é sua (e do seu jurídico), não da ferramenta.

O que não muda (a parte que pouca gente fala)

"Sem cookies" não é sinônimo de "fora da LGPD". Sendo honesto sobre o próprio produto:

• Ainda existe armazenamento no navegador. O SDK do Analisa guarda um ID anônimo aleatório no localStorage (para contar uma vez o visitante que volta) e um ID de sessão no sessionStorage (apagado quando a aba fecha). A LGPD não fala de "cookies", fala de tratamento de dado pessoal — trocar a tecnologia de armazenamento não muda a análise. Na Europa, regras de ePrivacy tratam esse tipo de armazenamento como qualquer cookie.
• Pseudonimizado não é anonimizado. Um ID aleatório por dispositivo continua permitindo individualizar alguém. Trate como dado pessoal e documente a base legal.
• Transparência continua obrigatória. Sua política de privacidade precisa dizer o que é medido, para quê e por quem. Legítimo interesse sem transparência não se sustenta (art. 10, §2º).
• Transferência internacional pode continuar existindo. O Analisa roda num provedor de nuvem e os dados podem ser tratados fora do Brasil, como diz a política de privacidade. Isso precisa estar no seu mapeamento.
• Você controla o que manda. Se você dispara um evento customizado com e-mail, CPF ou telefone nas propriedades, aquilo vira dado pessoal identificado, com ou sem cookie. Não mande.
• Consentimento, se você decidir pedir, tem que funcionar. O SDK aceita analytics.setConsent('denied'), que para o envio de eventos e apaga a identidade salva. Se o seu banner existe, ligue a recusa a isso.

// Depois que o visitante escolher no seu banner:
if (escolha === 'recusou') {
  window.analytics.setConsent('denied')  // para de enviar e limpa a identidade salva
} else {
  window.analytics.setConsent('granted')
}

Checklist para revisar seu site hoje

1. Liste tudo que seu site carrega: analytics, pixels, chat, mapas, vídeos embutidos. É comum ter terceiros que ninguém lembra que estão lá.
2. Para cada um, escreva a finalidade e a base legal (consentimento ou legítimo interesse, com o teste de balanceamento documentado).
3. Se usa consentimento: botão de recusar na primeira camada, nada pré-marcado, tags bloqueadas até o aceite, revogação fácil.
4. Atualize a política de privacidade/cookies com o que realmente roda — inclusive armazenamento local que não é cookie.
5. Mapeie transferências internacionais (para onde vão os dados de cada ferramenta).
6. Revise eventos customizados: nenhuma propriedade com dado que identifique a pessoa.

O primeiro item é o que mais dá trabalho manualmente. Fiz uma ferramenta grátis para isso: você cola a URL e ela mostra os cookies, scripts de terceiros e rastreadores que a página carrega.

Vale trocar o GA?

Depende do que você usa. Se o seu time vive de integrações com Google Ads, públicos de remarketing e modelos de atribuição do Google, o GA4 continua fazendo sentido — com consentimento bem feito. Se o que você precisa é saber de onde vêm as visitas, quais campanhas trazem cadastro e se o site está rápido, um analytics sem cookies resolve com bem menos atrito jurídico.

Escrevi uma comparação honesta, incluindo quando não trocar, em alternativa ao Google Analytics. E se quiser ver como o Analisa trata dados em detalhe, está tudo na documentação de LGPD/GDPR.