Banners de consentimento e a lacuna de mensuração

No Reino Unido, os cookies e tecnologias semelhantes são regidos pelo regulamento 6 das Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR). O Data (Use and Access) Act 2025 substituiu o regulamento 6 por um novo texto, com efeito a partir de 5 de fevereiro de 2026. A regra geral não mudou. Ressalvado o Anexo A1, ninguém pode armazenar informações, ou obter acesso a informações armazenadas, no equipamento terminal de um assinante ou usuário. O novo texto acrescenta que provocar o armazenamento ou o acesso também conta, e que obter acesso inclui coletar informações emitidas automaticamente pelo dispositivo.

O Information Commissioner's Office (ICO), autoridade britânica de proteção de dados, finalizou suas orientações sobre tecnologias de armazenamento e acesso em 29 de abril de 2026. Elas abrangem cookies, pixels de rastreamento, decoração de links, armazenamento local, fingerprinting de dispositivos, scripts e tags. Estabelecem cinco exceções à exigência de consentimento, que cobrem comunicação, estrita necessidade, fins estatísticos, aparência e assistência de emergência.

Para os relatórios da diretoria, a exceção para fins estatísticos é a que mais importa. Segundo as orientações do ICO, uma organização pode fazer analytics sem consentimento quando a única finalidade é coletar informações estatísticas sobre como seu serviço é usado, com o objetivo de melhorá-lo. As informações resultantes devem ser agregadas, os visitantes devem receber informações claras e completas, e deve existir um meio simples e gratuito de se opor. Um provedor terceirizado de analytics pode ajudar, mas deve atuar como operador dos dados e não pode combiná-los com informações de outras fontes.

A exceção tem limites firmes. O ICO afirma que as finalidades de publicidade on-line "não estão isentas das exigências de consentimento das PECR e nunca estiveram", e inclui entre elas a mensuração e o desempenho de anúncios. Vincular um ID de visitante a compras para que as conversões sejam compartilhadas com parceiros de publicidade continua exigindo consentimento.

O Data (Use and Access) Act altera apenas a legislação do Reino Unido. Organizações com visitantes da UE precisam de uma análise separada à luz das regras aplicáveis onde esses visitantes estão.

Sites que usam tags do Google repassam as escolhas de consentimento a elas por meio do Modo de consentimento do Google. A documentação para desenvolvedores do Google descreve duas formas de implementá-lo, e a escolha muda o que a empresa consegue ver.

No modo de consentimento básico, as tags do Google ficam bloqueadas até que o visitante interaja com o banner. Se o visitante recusar, nenhum dado é enviado ao Google, nem mesmo o status do consentimento. A modelagem de conversões no Google Ads passa então a recorrer a um modelo genérico.

No modo de consentimento avançado, as tags carregam com o consentimento definido por padrão como "negado". Enquanto o consentimento estiver negado, elas enviam medições sem cookies, e a mensuração completa só começa quando o visitante concede o consentimento. O Google afirma que isso permite um modelo específico do anunciante, em vez de um genérico.

Cada tipo de consentimento tem efeitos específicos. Com analytics_storage negado, o Google Analytics não lê nem grava seus cookies primários. Com ad_storage negado, nenhum novo cookie de publicidade é gravado e os endereços IP são truncados na coleta. Com ad_user_data negado, os dados primários com hash para conversões otimizadas não são enviados. Cada um desses efeitos reduz a parcela da atividade que pode ser observada e vinculada a um visitante individual ao longo de uma sessão ou de uma nova visita.

O Google Analytics 4 preenche parte da lacuna com a modelagem comportamental, que estima o comportamento dos visitantes que recusaram os cookies de analytics a partir do comportamento de visitantes semelhantes que os aceitaram. A central de ajuda do Google lista as condições. O Modo de consentimento precisa estar implementado em todas as páginas, na versão avançada. A propriedade precisa coletar pelo menos 1.000 eventos por dia com analytics_storage negado durante pelo menos 7 dias. Também precisa ter pelo menos 1.000 usuários diários enviando eventos com analytics_storage concedido em pelo menos 7 dos 28 dias anteriores. Atender a esses limites não garante a elegibilidade.

Uma propriedade com tráfego modesto pode ficar abaixo deles, e o Google é explícito sobre a consequência. Se não houver tráfego com consentimento suficiente para treinar o modelo, os eventos dos visitantes que recusaram o consentimento não são reportados.

Onde a modelagem funciona, ela não chega a determinados recursos. O Google lista como não compatíveis os públicos, o explorador de usuários, as explorações de coorte e de ciclo de vida do usuário, os segmentos de sequência, os relatórios de retenção, as métricas preditivas e a exportação de dados, incluindo a exportação para o BigQuery. Um data warehouse alimentado pela exportação para o BigQuery contém, portanto, apenas dados observados, enquanto a interface do GA4 com a identidade de relatórios Combinada (Blended) mostra dados observados mais dados modelados. Quando o painel do data warehouse e a tela do GA4 mostram contagens de usuários diferentes para a mesma semana, esse é um motivo documentado a verificar primeiro.

A exceção de 2026 permite que o analytics que cumpre suas condições funcione sem consentimento, enquanto a mensuração de publicidade continua dependendo dele. Uma organização que passa seu analytics para a exceção pode ver sessões e usuários subirem nos relatórios de analytics enquanto as conversões reportadas por suas plataformas de anúncios permanecem onde estavam. Essa diferença viria do que cada sistema está autorizado a observar, sem nenhuma mudança de demanda por trás dela.

Trate a data de qualquer mudança na configuração de consentimento como uma ruptura na série. Registre-a no calendário de relatórios, mantenha linhas de tendência separadas antes e depois e evite comparar taxas de conversão através da ruptura sem um ajuste declarado. Use a contagem de pedidos da plataforma de comércio ou do ERP como série de referência, porque ela não depende de nenhum armazenamento no navegador e não muda quando um banner é redesenhado.

O CTO deve saber qual plataforma de gestão de consentimento está em uso, se o Modo de consentimento do Google está implementado na forma básica ou avançada e se todas as tags do site, inclusive as de outros fornecedores, respeitam a escolha do visitante.

O responsável pela proteção de dados deve saber dizer em qual exceção das PECR se apoia cada tecnologia não publicitária, onde fica o meio simples de oposição do visitante e se o contrato com o provedor de analytics o caracteriza como operador.

O CMO e o CFO devem saber quais métricas do conselho são observadas e quais incluem dados modelados, se a propriedade do GA4 atende aos limites da modelagem comportamental e qual série serve de referência quando os sistemas divergem. Cada resposta precisa de um responsável nomeado e de uma revisão sempre que o banner, a plataforma de consentimento ou o conjunto de tags mudar.