Pixels de rastreamento e analytics: o que realmente torna os dados de um visitante "sensiveis" segundo a lei estadual dos EUA
O pixel instalado para marketing nao e o pixel que voce imagina
Um operador de diretorio instala um pixel do Meta para medir quais anuncios trazem anunciantes, adiciona o Google Analytics para ver quais cidades convertem melhor, e coloca um widget de chat no site para que os visitantes possam tirar duvidas antes de se cadastrar. Cada uma dessas e uma decisao de marketing perfeitamente comum, do tipo que qualquer pequena empresa toma sem pensar duas vezes. No site de uma loja de moveis, e exatamente isso: infraestrutura de marketing comum, e os dados que ela produz sao apenas historico de navegacao.
Um diretorio de classificados nao e uma loja de moveis, e a diferenca nao esta no tom nem na politica de conteudo. Esta no que as proprias paginas revelam. Um visitante que passa tempo numa pagina de uma categoria especifica, um genero especifico, ou uma orientacao especifica de anuncios nao esta apenas navegando, e qualquer ferramenta presente nessa pagina que reporte o endereco a um fornecedor esta transmitindo mais do que uma simples visualizacao. Esta transmitindo uma inferencia sobre a vida sexual ou a orientacao sexual desse visitante, e num numero crescente de estados americanos, essa inferencia tem sua propria categoria juridica com regras proprias.
Essa nao e a mesma regra ja tratada aqui para operadores que atendem visitantes europeus sob as categorias especiais de dados do RGPD. Aquele artigo anterior trata de um unico regime valido em toda a Uniao Europeia, aplicavel independentemente de onde a empresa esteja sediada. O que segue e a colcha de retalhos americana: um conjunto de leis estaduais que a maioria dos operadores nunca comparou com sua propria estrutura de marketing, porque o documento que costuma receber atencao e o questionario de abertura de conta do processador de pagamentos, nao o trecho de JavaScript que um consultor de marketing colou no cabecalho do site ha dezoito meses.
O motivo pelo qual isso merece uma leitura a parte, separada do artigo sobre o RGPD, e que as regras americanas funcionam de forma diferente, de maneiras que mudam o que um operador realmente precisa construir. Alguns estados exigem apenas um opt-out. Outros exigem consentimento antes mesmo de a ferramenta disparar. Errar nisso nao e uma caixinha esquecida num formulario; e um widget de chat ou um pixel publicitario rodando numa pagina onde nunca deveria ter rodado.
O que significa "informacao pessoal sensivel", e por que um diretorio se enquadra nela por padrao
A lei californiana de privacidade atualizada, a CPRA, criou uma categoria chamada "informacao pessoal sensivel" que fica acima dos dados pessoais comuns e traz suas proprias regras de divulgacao e opt-out. A categoria inclui os itens obvios, um numero de seguridade social, credenciais de acesso a uma conta financeira, geolocalizacao precisa, mas tambem inclui explicitamente informacoes pessoais que revelam a vida sexual ou a orientacao sexual de um consumidor. Isso nao e uma leitura forcada nem uma interpretacao criativa de advogado. E o texto literal da lei, na mesma lista que origem racial e dados geneticos.
A condicao que transforma isso de teorico em automatico e a forma como a lei delimita seu alcance: as obrigacoes adicionais entram em vigor quando a empresa coleta ou processa essa informacao com o proposito de inferir caracteristicas sobre um consumidor. O site de um varejista generico normalmente nao infere nada sobre a vida sexual de um comprador a partir do que ele navega, entao essa categoria mal o toca. Um diretorio organizado em categorias por genero e orientacao e construido inteiramente em torno desse tipo de informacao. A inferencia nao e um efeito colateral do negocio; e a propria estrutura de navegacao do site. Esse e o motivo especifico pelo qual essa categoria alcanca por padrao um operador de classificados, de um jeito que nao alcanca a maioria das outras pequenas empresas usando exatamente as mesmas tags de marketing.
A VCDPA da Virginia e a CPA do Colorado adotam uma abordagem mais rigida que a da California. Enquanto a CPRA permite que uma empresa processe dados sensiveis e so depois ofereca aos consumidores o direito de limitar esse uso, Virginia e Colorado exigem que a empresa obtenha o consentimento afirmativo do consumidor antes de processar qualquer dado sensivel, nao depois do fato e nao por meio de um link escondido no rodape. Uma acao especifica, informada, de adesao voluntaria precisa acontecer primeiro. Para um site que dispara automaticamente um pixel de marketing no momento em que uma pagina carrega, essa e a diferenca entre uma configuracao conforme e uma que nunca deveria ter coletado esse dado desde o inicio.
No comeco do ano, cerca de vinte estados tinham leis abrangentes de privacidade desse tipo em vigor, e outras foram aprovadas desde entao, cada uma com seu proprio calendario de entrada em vigor e suas proprias pequenas variacoes sobre o que conta como sensivel e qual modelo, opt-out ou consentimento previo, ela segue. Um operador nao escolhe de qual estado vem seus visitantes. Um diretorio com trafego nacional esta, na pratica, construindo segundo a regra mais rigida que possa se aplicar a qualquer visitante que ele venha a receber, o que nesse caso significa tratar o modelo de consentimento, e nao o de opt-out, como a base de projeto e nao como a excecao a acomodar.
Um pixel e "compartilhamento", nao "venda", e essa distincao nao salva voce
O motivo mais comum pelo qual um operador presume que nada disso o afeta e simples: nenhum dinheiro muda de maos. Ninguem esta vendendo uma lista de visitantes para ninguem. Esse raciocinio se sustenta contra uma ideia antiquada de venda de dados e desmorona contra como a CPRA realmente define o problema. A lei criou um conceito separado chamado "compartilhamento", cobrindo especificamente a publicidade comportamental entre contextos, ou seja, qualquer arranjo em que um terceiro possa usar dados do seu site para direcionar anuncios a esse mesmo visitante em outro lugar, havendo ou nao pagamento envolvido.
Um pixel de retargeting de uma plataforma de anuncios e construido exatamente para isso. Ele permite que a plataforma reconheca um visitante que esteve numa pagina especifica do seu diretorio e depois mostre a ele um anuncio em outro lugar, usando exatamente a conexao que a lei foi escrita para capturar. Dizer que "nao e uma venda" e tecnicamente correto e juridicamente irrelevante, porque o direito sobre o compartilhamento existe justamente para alcancar esse tipo de arranjo sem precisar provar que houve dinheiro envolvido.
A consequencia pratica e uma segunda obrigacao de divulgacao, distinta e adicional a regra sobre informacao pessoal sensivel ja descrita. Uma empresa precisa dar aos consumidores uma forma de limitar o uso da informacao pessoal sensivel, e uma forma separada de recusar o compartilhamento usado para publicidade comportamental. Na pratica, esses dois direitos costumam ser combinados num unico link, geralmente chamado "Suas escolhas de privacidade", para que um visitante nao precise procurar em dois rodapes diferentes para exercer qualquer um dos dois. Cada vez mais, os estados tambem esperam que uma empresa respeite automaticamente o sinal Global Privacy Control, o que significa que o navegador de um visitante pode expressar essa recusa sem que ele clique em nada no site, e um site que oferece apenas um link manual ignorando esse sinal nao esta atendendo ao padrao atual.
Nada disso se limita a pixels publicitarios. Um widget de chat que registra transcricoes num fornecedor terceiro, um SDK de analytics que reporta quais categorias de anuncios um visitante visualizou, e uma ferramenta de gravacao de sessao que reproduz os cliques de um visitante movem todos o mesmo tipo de dado no nivel da pagina para um fornecedor externo a empresa. Cada um merece o mesmo escrutinio que o pixel publicitario, porque o que aciona a obrigacao legal e o que o dado revela, nao qual departamento pediu a instalacao da ferramenta.
A licao do Grindr: o vazamento raramente e a rede de anuncios que voce estava observando
Em setembro de 2026, o Grindr concordou em pagar 26 milhoes de libras para encerrar uma acao judicial no Reino Unido movida por cerca de 12 mil reclamantes por meio do escritorio Austen Hays na High Court da Inglaterra e do Pais de Gales. A alegacao era de que o aplicativo havia compartilhado o status de HIV dos usuarios, o uso de PrEP, e informacoes sobre a vida sexual ou orientacao sexual deles com fornecedores terceiros sem consentimento adequado, referente a praticas de dados entre 2016 e 2020. O Grindr encerrou a acao sem admitir responsabilidade, e afirmou que seu programa de privacidade mudou substancialmente desde a troca de propriedade naquele mesmo ano.
O detalhe que merece a atencao de um operador nao e o valor do acordo. E quem eram os fornecedores: Localytics e Apptimize, ambas empresas comuns de analytics de produto, do tipo que quase qualquer aplicativo ou site usa para entender o comportamento dos usuarios, nao redes de anuncios que alguem teria sinalizado a primeira vista como de alto risco. A exposicao nao veio de uma venda deliberada de dados a um anunciante. Veio de uma integracao de analytics padrao que, nesse tipo particular de plataforma, acabou recebendo e retransmitindo dados de categoria sensivel como efeito colateral rotineiro do registro normal de eventos.
Essa e exatamente a forma do risco descrito nas secoes anteriores, se materializando numa plataforma real com um numero real por tras. Ninguem naquela empresa se sentou para decidir vender dados de orientacao sexual. Um SDK de analytics estava fazendo seu trabalho comum em paginas onde esse trabalho comum significava, precisamente, transmitir uma inferencia sensivel, e ninguem havia mapeado essa conexao antes que ela se tornasse uma acao judicial de dois anos.
O mesmo padrao aparece mais perto de casa, na forma como escritorios americanos de acoes coletivas estao atualmente processando operadores de sites, nao apenas fabricantes de aplicativos, com base em leis estaduais de escuta como o California Invasion of Privacy Act e na lei federal Video Privacy Protection Act, por widgets de chat comuns, ferramentas de gravacao de sessao e pixels de rastreamento instalados por motivos de marketing totalmente banais. Essa e uma area ativa, nao resolvida: a Suprema Corte dos Estados Unidos aceitou em janeiro de 2026 examinar um caso que esclarecera ate onde vai a definicao de "consumidor" na lei de privacidade de video, o que significa que os limites dessa exposicao ainda estao sendo tracados em tempo real, e nao fixados por uma regra que um operador possa simplesmente ler uma vez e arquivar.
O que colocar em pratica antes da proxima mudanca de marketing
Comece com um inventario, nao com uma politica. Liste cada tag de terceiros presente no site, o pixel, o trecho de analytics, o widget de chat, qualquer coisa que um consultor de marketing ou um plugin tenha instalado, e anote em quais paginas cada uma dispara. A pergunta que importa e se alguma delas dispara numa pagina de anuncios especifica por categoria, genero ou orientacao antes de o visitante ter feito algo para consentir com esse tratamento. A maioria dos operadores nunca fez essa lista, porque nenhuma pessoa e dona de todas as tags do site, e e exatamente nessa lacuna que vive essa exposicao.
Depois que a lista existir, divida-a. Ferramentas que so precisam rodar em paginas de conta, cobranca ou gerais do site sao a metade de baixo risco. Qualquer coisa que dispare numa pagina de anuncios especifica por categoria ou orientacao pertence a um grupo separado que nao deveria carregar automaticamente, e so deveria carregar apos uma acao de consentimento especifica e registrada, nao apos o botao de um banner generico de cookies feito para um site de varejo comum. Um banner que diz "usamos cookies" nao satisfaz quase nada sob um modelo de consentimento previo para dados sensiveis.
Combine as duas obrigacoes de divulgacao num unico link visivel, geralmente chamado "Suas escolhas de privacidade", cobrindo tanto o direito de limitar o uso da informacao pessoal sensivel quanto o direito de recusar o compartilhamento para publicidade comportamental, e garanta que o site realmente respeite um sinal Global Privacy Control do navegador, nao apenas o link manual. Essa e uma exigencia especifica e realizavel, nao uma aspiracao vaga, e vale a pena confirmar com quem construiu o site que isso esta ligado corretamente, em vez de supor que um plugin de consentimento de cookies cuida disso sozinho.
Trate ferramentas de gravacao de sessao e de tela como a categoria de maior risco dessa lista e, se o negocio nao tiver uma razao operacional clara para manter uma, considere elimina-la por completo em vez de tentar configura-la em torno do risco. Se alguma permanecer, exclua da gravacao todas as paginas de categoria e de anuncios, em vez de confiar numa redacao posterior. A mesma logica que empurrou a estrategia de trafego em direcao a busca e referencia em vez de plataformas de anuncios pagos se aplica aqui por um segundo motivo: menos pixels publicitarios de terceiros no site nao e apenas uma escolha de marketing, tambem sao menos pontos por onde os dados de uma pagina de categoria podem vazar para um fornecedor que ninguem auditou. Construir esse mapa antes da proxima campanha custa menos do que reconstrui-lo depois que uma notificacao juridica chegar.
