Quando alguém na Europa abre um site que usa anúncios ou Google Analytics, uma série de decisões técnicas acontece antes mesmo da página terminar de carregar. O Google não espera o visitante agir para começar a aplicar suas próprias regras. Ele já chega com uma política de consentimento definida, um conjunto de sinais que precisa receber e um processo de fiscalização por trás disso.

Essa política se chama EU User Consent Policy e ela existe desde 2015, atualizada depois com a chegada do GDPR. Na prática, ela obriga qualquer site ou app que use tecnologia de anúncios do Google a avisar e pedir consentimento para cookies e dados pessoais usados em publicidade, para visitantes do Espaço Econômico Europeu (EEE), Reino Unido e Suíça.

O mecanismo técnico que carrega essa escolha até os sistemas do Google é o Google Consent Mode V2, e entender como as duas peças se encaixam é o que diferencia quem só tem um banner de quem tem conformidade de verdade.

Este artigo segue essa jornada do início ao fim: o que o Google exige, como o aviso de cookies se transforma em sinal técnico, o que acontece quando esse sinal não chega e como a AdOpt se encaixa nesse fluxo inteiro. O ponto central é simples: coletar o consentimento é só metade do trabalho. A outra metade é garantir que ele chegue íntegro até quem recebe o dado, e é aí que a maioria dos sites falha sem perceber.

Vale desfazer uma confusão comum antes de entrar na política de anúncios: o Google Chrome, o navegador, e a Política de Consentimento do Google, a regra de anúncios, são duas histórias diferentes que costumam ser misturadas.

Por anos, o plano anunciado era que o Chrome fosse bloquear cookies de terceiros por padrão, do jeito que o Safari e o Firefox já fazem. Em 22 de julho de 2024, o próprio Google anunciou que não ia mais seguir com essa descontinuação.

Em vez disso, propôs uma nova experiência dentro do Chrome que deixaria a pessoa escolher, de forma mais clara, se quer permitir cookies de terceiros, com essa escolha valendo para toda a navegação e podendo ser mudada a qualquer momento.

Até a data deste artigo, o próprio Google reconhece que essa experiência ainda não tem data de lançamento: a página oficial diz textualmente que não há "atualizações de cronograma para compartilhar neste momento", e que o Google segue discutindo o novo caminho com reguladores antes de lançar algo para o público.

Ou seja: o cookie de terceiro no Chrome continua existindo hoje, e o que estava para substituí-lo (várias APIs do Privacy Sandbox) começou, inclusive, a ser descontinuado em partes.

Isso muda a leitura do "primeiro contato" na jornada do visitante. O navegador, por enquanto, não barra nada sozinho antes do site carregar. Quem decide o que acontece com cookies e dados de anúncio continua sendo o próprio site, por meio do aviso de cookies e do Consent Mode V2, não uma trava automática do Chrome.

É por isso que a Política de Consentimento da UE recai inteira sobre quem publica o site, e não sobre o navegador que o visitante escolheu usar.

Vale acompanhar esse assunto de qualquer forma, porque o próprio Google já admite que algumas APIs do Privacy Sandbox, criadas justamente para substituir o cookie de terceiro, estão sendo descontinuadas em partes, mesmo sem uma nova política de cookies pronta para ocupar o lugar.

Um site bem configurado para a Política de Consentimento de hoje, com Consent Mode V2 e CMP certificada funcionando de ponta a ponta, é também o site mais preparado para qualquer mudança que o Chrome venha a lançar, seja ela quando for.

A EU User Consent Policy é a regra que o Google aplica a quem usa seus produtos de anúncio (AdSense, Ad Manager, AdMob, Google Ads) e mostra conteúdo para usuários no EEE, Reino Unido e Suíça. Ela não é uma lei em si. É uma condição contratual do próprio Google, criada para refletir obrigações que já existem na Diretiva ePrivacy e no GDPR europeus.

A página oficial do Google é direta sobre de quem é a responsabilidade: "é sua responsabilidade garantir que suas mensagens atendam aos requisitos legais". O Google não audita a redação jurídica do seu banner. Ele confere se o sinal técnico de consentimento chega, e é isso que o Consent Mode V2 carrega.

A cobertura geográfica é específica: usuários no Espaço Econômico Europeu (os 27 países da UE mais Islândia, Liechtenstein e Noruega), Reino Unido e Suíça. Um visitante fora dessas regiões não aciona a política, mas o site ainda precisa definir um estado de consentimento padrão para esse tráfego, porque o Consent Mode V2 não atualiza sozinho quem nunca vê o banner.

Isso importa para sites com público misto, como um e-commerce brasileiro que também vende para Portugal, ou um SaaS que atende clientes em vários países ao mesmo tempo.

O comando de default do Consent Mode aceita um código de região (padrão ISO 3166-2), e a regra de prevalência é sempre a mais específica: uma configuração para "PT" sobrepõe uma configuração genérica para toda a União Europeia, que por sua vez sobrepõe o padrão global do site. É esse encaixe por camadas que permite ter um único site, uma única instalação, e comportamentos diferentes por país sem duplicar código.

Três obrigações estruturam a política inteira:

• Obter consentimento do usuário final para cookies ou outro armazenamento local, quando a lei exigir, e para coletar, compartilhar e usar dados pessoais para personalização de anúncios.
• Identificar cada parceiro que pode coletar, receber ou usar dados pessoais do visitante por meio do uso de um produto do Google no seu site.
• Dar informação clara e de fácil acesso sobre como esses parceiros usam os dados pessoais coletados.

Nenhuma dessas três exigências é nova. O que mudou nos últimos dois anos foi o quanto o Google passou a cobrar isso de forma automática, via sinal técnico, em vez de confiar na palavra do publisher.

Se o seu site ainda não sabe responder com segurança a essas três exigências, vale conversar com quem resolve isso todo dia antes de seguir para a parte técnica.

Esta é a parte que a maioria dos guias pula: o que acontece, passo a passo, entre o visitante clicar num link e o Google decidir o que fazer com aquele acesso. São seis momentos, e cada um depende do anterior ter funcionado direito.

No instante em que a página carrega, nenhuma tag de anúncio ou análise deveria disparar ainda. O guia oficial de Consent Mode é claro sobre a ordem: o código de consentimento precisa vir antes de qualquer tag de medição, em toda página, não só na primeira visita.

Isso é o que separa uma instalação correta de uma que só parece correta. Se o Google Tag Manager carrega o Google Analytics antes de o Consent Mode declarar um estado padrão, o site já coletou dado sem permissão, mesmo que o banner apareça um segundo depois.

É aqui que entra a CMP, a ferramenta que mostra o aviso, registra a escolha e dispara os sinais certos. Antes mesmo de o visitante decidir qualquer coisa, a CMP já declarou um estado padrão (default) para quatro categorias de consentimento: ad_storage, analytics_storage, ad_user_data e ad_personalization.

Esse comando default pode variar por região, usando o código ISO do país, e a região mais específica sempre prevalece sobre uma regra genérica. Isso importa porque um site global pode, por exemplo, negar por padrão no EEE e conceder por padrão em mercados sem exigência legal equivalente, sem precisar de dois sites diferentes.

Quando a pessoa clica em aceitar, recusar ou personalizar, a CMP dispara o comando update, trocando o estado de cada categoria entre granted e denied. É esse par (default mais update) que compõe o Consent Mode V2, e é por isso que ele não é um banner diferente. Ele é a tradução da escolha do banner para uma linguagem que os sistemas do Google entendem.

Veja a diferença entre as quatro categorias e o que cada uma libera quando está em granted:

Com o sinal definido, o GTM, o Google Analytics (GA4) e o Google Ads passam a se comportar de acordo com ele. Aqui existem duas implementações possíveis, e a diferença entre elas muda o comportamento inteiro do site:

• Implementação básica: as tags ficam bloqueadas até o visitante dar o consentimento. Nada é medido antes da escolha.
• Implementação avançada: as tags carregam antes do banner e, quando o consentimento é negado, enviam sinais anônimos sem cookie (os chamados "cookieless pings") em vez de ficarem completamente mudas.

A AdOpt recomenda a instalação via código, direto no <head> do site, antes de qualquer outro script. Instalar via GTM sozinho pode causar falhas no bloqueio automático, porque o próprio GTM é um script que precisa ser governado pelo consentimento, e não o contrário.

A escolha entre básico e avançado não é estética, muda o que o site perde quando o visitante recusa.

No modo básico, a recusa significa silêncio total: nenhuma tag de anúncio ou análise dispara, e o site perde qualquer visibilidade sobre aquele acesso. É a opção mais simples de auditar, porque não há ambiguidade sobre o que foi coletado, mas é também a que gera o maior buraco de dado em mercados com alta taxa de recusa.

No modo avançado, a tag carrega mesmo com a recusa, só que sem usar cookie, e envia os sinais anônimos citados na seção anterior. O ganho é alimentar a modelagem de conversão descrita mais à frente. O custo é que a implementação exige mais cuidado: uma tag mal configurada em modo avançado pode acabar lendo ou gravando algo que não devia antes da checagem de consentimento acontecer de verdade, o que é pior do que não medir nada.

Não existe resposta universal entre os dois. Sites com tráfego europeu pequeno tendem a não acumular volume suficiente para a modelagem valer o risco extra do modo avançado. Sites grandes, com volume de recusa relevante, costumam preferir o avançado justamente para não perder o que a modelagem consegue recuperar.

Esse é o ponto que mais gera confusão. Quando analytics_storage está negado, não existe cookie de análise, mas a conta ainda pode receber "cookieless pings", sinais agregados e sem identificação individual, que alimentam um processo chamado modelagem de comportamento.

A página oficial do Google Analytics sobre modos e modelagem explica que essa modelagem de conversão exige volume mínimo de dados para funcionar: Consent Mode ativo em todas as páginas, pelo menos mil eventos por dia com analytics_storage negado por sete dias seguidos, e pelo menos mil usuários por dia com consentimento concedido em pelo menos sete dos vinte e oito dias anteriores.

Sites pequenos, com pouco tráfego na Europa, simplesmente não acumulam volume suficiente para a modelagem funcionar, e isso é importante dizer com todas as letras: não existe aqui a ideia de que "o Google mede tudo de qualquer jeito". Sem volume, sem consentimento, não há dado de conversão para aquele visitante.

Converter mais sem abrir mão do consentimento real passa exatamente por garantir que o volume de consentimento concedido seja saudável, e não por tentar burlar o que falta.

O último passo da jornada não é técnico, é jurídico. Cada escolha do visitante (aceitar, recusar, gerenciar opções) precisa ficar registrada com data, hora, versão do aviso e quais cookies e tags foram aceitos ou recusados.

Esse registro é o que a AdOpt chama de Consent Log, e é ele, não o banner, que serve de prova de conformidade caso a empresa seja questionada. O CookieID só existe para ligar a escolha de um visitante específico a esse registro, sem guardar dado pessoal além do necessário.

É esse encadeamento completo (aviso, escolha, sinal, tag, registro) que faz a diferença entre ter um banner e ter uma CMP de verdade. Um resolve a aparência. O outro resolve a cadeia de prova inteira.

Veja como a AdOpt cobre essa cadeia do início ao fim em uma conversa com o time.

A política existe desde 2015, mas o Google reforçou a cobrança dela em etapas bem marcadas nos últimos anos. Conhecer essa linha do tempo ajuda a entender por que o assunto ganhou urgência agora, mesmo não sendo novo.

Fora desse calendário oficial, especialistas de performance em mídia relataram, ao longo de 2025, restrições sentidas na prática em contas que não enviavam os sinais do Consent Mode V2 para tráfego do EEE e Reino Unido, incluindo perda de qualidade em remarketing e em mensuração de conversão.

O Google não publica isso como uma penalidade formal e nominal, e por isso vale tratar com cautela: o que está documentado oficialmente é a exigência do sinal, não uma lista pública de punições.

Outro sinal de que a fiscalização ficou mais ativa são os e-mails automáticos que o Google passou a enviar a contas de anúncio identificadas em possível violação da política, pedindo revisão dos sites ou apps listados e avisando que a conta será monitorada e reavaliada com regularidade. O texto desses avisos deixa claro que a consequência, quando a violação não é resolvida, pode incluir a suspensão da conta de anúncios, não só uma recomendação.

Esse tipo de mensagem não substitui a obrigação legal de ter consentimento válido. Ele é só o lado comercial da mesma exigência: o Google protegendo o próprio ecossistema de anúncios de reclamação regulatória vinda de publishers que ele mesmo hospeda.

A própria página da política no Ad Manager reforça esse ponto ao linkar uma seção própria de perguntas frequentes sobre o que chama de "auditoria da EU User Consent Policy", confirmando que existe, sim, um processo de checagem por trás dessas mensagens, mesmo sem detalhar publicamente os critérios técnicos usados para disparar um aviso a uma conta específica.

Aqui vale separar o que está confirmado na documentação oficial do que é efeito colateral observado pelo mercado, porque misturar os dois é como artigos de terceiros erram esse assunto com frequência.

Essa separação entre o confirmado e o relatado importa mais do que parece. Um artigo que trata tudo como se fosse regra oficial do Google corre o risco de prometer uma consequência que nunca chega, fazendo o leitor ignorar o alerta da próxima vez. E um artigo que trata tudo como "só rumor" corre o risco oposto: deixar o leitor achando que nada muda de verdade, quando o efeito nos números já é real para quem mede com atenção.

Para quem anuncia na UE e Reino Unido, o GA4 exige que ad_user_data e ad_personalization estejam concedidos para que aquele usuário entre em públicos de produtos de anúncio conectados, como públicos de remarketing compartilhados entre o GA4 e o Google Ads. Sem o sinal, o usuário simplesmente não compõe esse público, não porque o Google "bloqueia" ativamente, mas porque a condição de entrada não foi atendida.

Já para publishers que servem anúncios via AdSense, Ad Manager ou AdMob nessas regiões, usar uma CMP certificada e integrada ao IAB TCF deixou de ser recomendação e virou condição para seguir servindo os formatos de anúncio cobertos pela política, desde janeiro de 2024.

Especialistas de contas de anúncio relataram perda de qualidade em conversões, degradação de remarketing e restrição em recursos de personalização para tráfego europeu sem os sinais corretos, ao longo de 2025. É um efeito plausível e coerente com como o Consent Mode V2 funciona, mas não existe, até a data deste artigo, uma página oficial do Google tratando isso como bloqueio automático e documentado com data de corte única para todo o ecossistema.

A lição prática para quem administra um site é a mesma, independente de qual dessas duas camadas pesa mais: sem o sinal correto, o dado de conversão na Europa fica pior, e fica pior de um jeito que é difícil de diagnosticar depois, porque parece "tráfego ruim" quando na verdade é sinal ausente.

Imagine um e-commerce que vende para Alemanha e França, roda campanhas de Google Ads e usa GA4. Se o banner de cookies não dispara o update corretamente quando o visitante aceita, o Google Ads nunca recebe ad_user_data nem ad_personalization como granted para aquele acesso, mesmo que a pessoa tenha clicado em "aceitar todos".

Do lado do painel, o efeito aparece como queda de conversões atribuídas e públicos de remarketing menores do que deveriam, sem nenhum erro visível no site. Ninguém recebe um aviso dizendo "seu Consent Mode está quebrado". O sintoma é só um número mais baixo, e a causa raiz fica escondida atrás de uma pergunta mais básica, que é se o sinal técnico realmente saiu do navegador do jeito que a interface do banner sugeria.

É por isso que auditar a implementação não pode depender só de olhar o aviso de cookies na tela. É preciso confirmar, no inspetor do navegador ou na camada de dados do GTM, que o evento de consentimento realmente dispara com o valor certo, no momento certo, para cada categoria.

Muita implementação de Consent Mode V2 para no gtag e não chega até a camada de leilão de anúncios. É aí que entra o IAB TCF, o framework de transparência e consentimento usado pela indústria de publicidade para que a escolha do visitante viaje junto com o leilão de anúncio, não só dentro do site.

Para quem usa AdSense, Ad Manager ou AdMob, o requisito desde janeiro de 2024 é usar uma CMP com certificação do Google e integração ao IAB TCF, o mesmo escaneamento completo de cookies descrito em por que escanear os cookies do site é o primeiro passo da conformidade.

Isso não é a mesma coisa que apenas ter um Consent Mode V2 configurado via código. São duas camadas diferentes: uma fala com o Google diretamente (Consent Mode), outra fala com toda a cadeia de fornecedores de anúncio que participam do leilão (TCF).

Quem já usa a AdOpt como CMP resolve as duas camadas de uma vez, porque o escaneamento de cookies, o registro de consentimento e o disparo dos sinais corretos para Google e para o ecossistema TCF nascem da mesma configuração, sem depender de três ferramentas separadas conversando entre si por conta própria.

Na prática, o TCF funciona com uma string de consentimento, um texto codificado que carrega a escolha do visitante e viaja junto com o pedido de anúncio por toda a cadeia de fornecedores cadastrados na Global Vendor List do IAB.

Enquanto o Consent Mode V2 fala só com o Google, essa string fala com qualquer fornecedor de anúncio participante do leilão, o que inclui redes de display, provedores de medição e plataformas de retargeting além do próprio Google. Ignorar essa camada é a razão mais comum de um site "ter Consent Mode" e ainda assim continuar recebendo reclamação de parceiros de anúncio sobre sinal ausente.

Vale uma comparação rápida para quem opera site nos dois mercados. A LGPD, no Brasil, também trata consentimento como uma entre dez bases legais possíveis, não como a única forma de justificar o tratamento de dado.

A GDPR europeia segue uma lógica parecida: existem bases legais além do consentimento, mas para cookies de publicidade e personalização de anúncio, na prática, o consentimento costuma ser a base aplicável, porque não há como amparar essa coleta específica em execução de contrato ou legítimo interesse do mesmo jeito que outras operações permitem.

A diferença que mais pega quem só conhece o cenário brasileiro é o grau de automação da fiscalização. No Brasil, a ANPD ainda constrói seu histórico de aplicação de multas. Na Europa, o próprio Google, como plataforma de anúncio, já embutiu a checagem do sinal de consentimento dentro do produto, via Consent Mode e via exigência de CMP certificada.

Isso significa que a consequência de uma falha de implementação aparece primeiro no painel de anúncios, antes mesmo de qualquer autoridade de proteção de dados entrar em cena.

Para quem administra sites nos dois mercados ao mesmo tempo, a recomendação prática é tratar a exigência mais rígida como o padrão da casa. Configurar o site para a Europa, com Consent Mode V2, CMP certificada e registro completo, também deixa o site brasileiro mais robusto do que o mínimo exigido pela LGPD, sem custo adicional de manutenção.

A tese que sustenta este artigo inteiro não é sobre anúncio funcionar melhor. É sobre o consentimento, quando coletado, chegar íntegro até a camada que vai usá-lo, seja o Google, seja qualquer outro parceiro de dados.

Um banner bonito que não propaga a escolha do visitante para as tags certas não é conformidade, é teatro de conformidade. A diferença entre os dois só aparece quando alguém audita: um regulador, o próprio Google, ou um cliente que pergunta "como vocês provam que eu recusei aquele cookie em março?".

Quem só tem o aviso visual de cookies não tem resposta pronta para essa pergunta. Quem tem o registro completo, data, hora, versão do aviso, cookies aceitos e recusados, tem.

É por isso que medir taxa de consentimento sozinha não conta a história inteira. A métrica que realmente importa é se aquele consentimento chegou, sem perda, até o Google Ads, até o GA4, até qualquer parceiro que receba dado de primeira parte do site. Uma taxa de aceitação alta ao lado de um sinal mal configurado é a pior combinação possível: parece que está tudo bem, e não está.

Fale com a AdOpt sobre como fechar esse ciclo no seu site, do aviso até a prova.

Para quem está revisando a implementação agora, estas são as armadilhas que mais aparecem na prática, nessa ordem de prioridade:

• Tag disparando antes do consentimento. Confira se o código de Consent Mode carrega antes de qualquer outro script de medição, em toda página, não só na home.
• Confundir GTM com Consent Mode. O Tag Manager organiza as tags, mas quem declara o estado de consentimento é a CMP. Sem uma CMP de verdade, o GTM não tem o que ler.
• Default genérico demais. Se o site atende Europa e outros mercados, o estado padrão por região evita negar consentimento onde a lei não exige, ou conceder onde exige.
• Achar que CMP certificada é opcional para quem usa AdSense, Ad Manager ou AdMob. Desde janeiro de 2024, deixou de ser.
• Tratar o banner como o produto final. O banner é a parte visível. O que prova conformidade é o registro por trás dele.

Cada uma dessas armadilhas custa dado de conversão real, mesmo quando o site "parece" estar em conformidade por fora. O guia completo de implementação do Consent Mode, do básico ao avançado, detalha a configuração técnica passo a passo para quem vai colocar a mão na instalação.

Antes de mexer em qualquer linha de código, três perguntas já revelam a maior parte dos problemas:

1. O estado padrão existe antes de qualquer tag? Abra o site como se fosse um visitante novo, sem aceitar nada, e confira se alguma tag de anúncio ou análise já disparou.
2. O clique em aceitar realmente muda o estado? Aceite o aviso e confira, na camada de dados do navegador, se os quatro sinais (ad_storage, analytics_storage, ad_user_data, ad_personalization) mudaram de denied para granted.
3. A recusa também está registrada em algum lugar? Procure o registro da escolha, com data e hora. Se ele não existir, a conformidade termina onde a tela termina, e isso é o problema que a AdOpt resolve na prática: o Consent Log é esse registro, gerado automaticamente a cada escolha.

Três respostas certas aqui já colocam o site à frente da maior parte do mercado europeu, onde erros de ordem de carregamento e de sinal perdido ainda são comuns mesmo em sites grandes.

Depende do que o site faz. Para quem usa AdSense, Ad Manager ou AdMob e exibe anúncios no EEE, Reino Unido ou Suíça, usar uma CMP certificada com Consent Mode é condição desde janeiro de 2024. Para quem só usa GA4 ligado a produtos de anúncio, o sinal é condição para entrar em certos públicos. Fora desses casos, a exigência legal de consentimento (GDPR, ePrivacy) continua valendo de qualquer forma.

Oficialmente, públicos de produtos de anúncio conectados ao GA4 deixam de incluir usuários sem o sinal concedido, e publishers que usam AdSense, Ad Manager ou AdMob sem CMP certificada deixam de atender a exigência contratual do Google. O mercado também relata perda de qualidade em remarketing e em mensuração de conversão, embora isso não seja uma página oficial com data de corte única.

Não. O aviso de cookies é a interface que o visitante vê e usa para escolher. O Consent Mode V2 é o sinal técnico que carrega essa escolha até as tags do Google. Um site pode ter um banner bonito e ainda assim não enviar o sinal corretamente, porque são duas camadas separadas que precisam estar ligadas.

É obrigatória para quem usa AdSense, Ad Manager ou AdMob ao servir anúncio no EEE, Reino Unido ou Suíça, desde janeiro de 2024. O programa de certificação cobre a integração ao IAB TCF. Fora desse uso específico, a lei ainda exige consentimento válido, mas a certificação da CMP em si é um requisito do Google, não uma lei separada.

Não. Ele não cria consentimento, só transporta a escolha que já foi feita no aviso de cookies. Sem um aviso que colete a escolha de forma válida, o Consent Mode V2 só tem um estado padrão para enviar, geralmente negado, e o site continua sem base legal para o que depende de consentimento.

Não. Em julho de 2024, o próprio Google anunciou que não ia mais descontinuar cookies de terceiros no Chrome e propôs, no lugar, uma nova tela de escolha para o usuário. Até a data deste artigo, essa experiência não tem cronograma de lançamento confirmado, então o cookie de terceiro continua funcionando no Chrome hoje, e a responsabilidade pelo consentimento continua sendo do site, não do navegador.

Do primeiro acesso ao registro final, a Política de Consentimento da UE não exige um banner mais bonito. Exige uma cadeia inteira funcionando: aviso antes de qualquer coleta, escolha virando sinal correto, sinal chegando íntegro ao Google e aos parceiros de anúncio, e tudo isso registrado de um jeito que sobrevive a uma auditoria, seja ela do Google, de um regulador ou de um cliente curioso.

A maior parte dos sites falha em algum elo dessa cadeia sem perceber, porque cada elo, isolado, parece estar funcionando. Conversar com a AdOpt é o jeito mais rápido de descobrir em qual elo o seu site está, antes que seja o Google a descobrir primeiro.

• Guia de implementação do Google Consent Mode, do básico ao avançado
• O que é o IAB TCF