Dados de primeira parte são os que a sua empresa coleta diretamente do público: cadastros, compras, formulários e os cookies que o próprio site grava. Eles descrevem a origem do dado, e não a sua licitude. Coletar direto não dispensa base legal, e o consentimento continua sendo a hipótese mais apropriada para boa parte dos usos de marketing.

Muita conversa de marketing trata "primeira parte" como sinônimo de "livre de consentimento". A LGPD não funciona assim. Este guia mostra o que a lei e o Guia da ANPD dizem, como separar as finalidades dos seus dados e o que muda quando eles seguem para plataformas de anúncios. A CMP é a peça que conecta essas decisões ao site.

No jargão do marketing, dado de primeira parte é o que a empresa coleta diretamente do cliente ou do visitante, em oposição ao dado de terceiros, comprado ou obtido de outra fonte. É uma distinção útil para planejar mídia, porque o dado de primeira parte costuma ser mais confiável e mais próximo da relação com o cliente.

Mas a palavra "primeira" fala de quem coletou, e não de o que se pode fazer com o dado. Para a LGPD, dado pessoal é a informação relacionada a pessoa natural identificada ou identificável (art. 5º, I), venha de onde vier. Se o dado se enquadra nessa definição, as regras de finalidade, necessidade e base legal se aplicam.

O Guia Orientativo de Cookies da ANPD define cookies próprios, ou primários, como os definidos diretamente pelo site que o titular está visitando (p. 9). Em outra classificação, a das necessidades, separa os cookies necessários dos não necessários (p. 10).

As duas classificações são independentes. Um cookie próprio pode ser necessário, como o do carrinho ou o do login. Pode também não ser necessário, como um cookie próprio de medição de desempenho ou de publicidade. O Guia lembra que a distinção entre necessários e não necessários é a que pesa na definição da hipótese legal. Em outras palavras, quem decide é a necessidade, e não quem grava o cookie.

A LGPD pede que cada tratamento tenha finalidade específica e informada (art. 6º, I) e se limite ao mínimo necessário (art. 6º, III). A base legal vem depois, por finalidade. O Guia da ANPD informa que não há hierarquia entre as hipóteses legais, mas que o consentimento é mais apropriado quando a coleta é feita por cookies não necessários (p. 20).

A tabela mostra como isso se desenha em dados de primeira parte comuns. É uma leitura orientativa, e não parecer jurídico: o enquadramento final depende do caso e deve ser validado com o jurídico ou o encarregado.

A última linha é a que mais gera confusão. O e-mail dado para receber um pedido não vira, automaticamente, e-mail autorizado para qualquer campanha. O art. 6º, I, proíbe o tratamento posterior de forma incompatível com as finalidades informadas, e o art. 8º, § 4º, diz que o consentimento se refere a finalidades determinadas e que autorizações genéricas são nulas.

O dado de primeira parte não fica parado. Ele atravessa quatro pontos, e cada um merece uma pergunta.

Aqui valem as regras do início: finalidade, necessidade, base legal e informação. Para cookies e tags do site, o inventário do escâner e a categorização por finalidade são o ponto de partida, como mostra o artigo sobre boas práticas na categorização de tags.

Ligar o comportamento no site ao cadastro do CRM transforma um dado menos identificável em um mais identificável, e muda o tratamento. O Guia da ANPD (p. 8) lembra que a informação coletada por cookies pode permitir a identificação indireta de pessoas, por inferências e cruzamentos, e que um perfil comportamental associado a uma pessoa natural pode ser considerado dado pessoal (p. 9). Antes de cruzar, confirme se a finalidade informada cobre o cruzamento.

Quando dados vão para o Google, a Meta ou outras plataformas, o consentimento precisa acompanhá-los. No Google Consent Mode, o parâmetro ad_user_data define o consentimento para enviar dados do usuário relacionados à publicidade ao Google, e o ad_personalization, o consentimento para publicidade personalizada, conforme a documentação do Google. O guia de Consent Mode mostra como esses sinais funcionam.

No Pixel da Meta, a documentação sobre o GDPR descreve comandos que pausam e retomam o envio conforme o consentimento, e deixa claro que cada empresa é responsável pela própria conformidade. O raciocínio vale para qualquer canal: o ponto técnico onde a tag roda muda a implementação, não a responsabilidade. Veja também Pixel da Meta e LGPD.

O consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º), e a revogação encerra o tratamento baseado nele (art. 15, III). Se o visitante revoga a autorização de marketing, a decisão precisa chegar às audiências e às integrações que usam aquele dado. Quem constrói uma estratégia de primeira parte precisa desenhar o caminho de volta, e não só o de ida.

Para cada dado de primeira parte, cinco perguntas ajudam a transformar a discussão em um documento:

1. Qual dado? Cadastro, compra, evento no site, cookie.
2. Para quê? Uma finalidade específica, escrita em uma frase.
3. Em que base legal? Consentimento, execução de contrato, legítimo interesse ou outra, decidida por finalidade.
4. Quem recebe? Time interno, fornecedor, plataforma de anúncios.
5. Por quanto tempo? O prazo ligado à finalidade, com critério escrito.

O mapeamento ou inventário de dados e o ROPA dão o formato para esse documento. O resultado deve conversar com o aviso: tudo o que o mapa diz que depende de consentimento precisa aparecer no segundo nível do banner, com a descrição certa.

Se o consentimento é a base do seu uso de dados de primeira parte em marketing, ele precisa ser pedido bem, medido e provado.

• Pedir bem. Aviso com recusa tão fácil quanto o aceite, categorias claras e texto honesto. O artigo sobre UX de banner detalha cada decisão.
• Medir com critério. Acompanhar o aceite por categoria, a recusa e a revogação, como no guia sobre taxa de consentimento.
• Provar. Guardar o registro individual de cada escolha, com data, categorias e versão dos documentos, como mostra o artigo sobre registro de consentimento.

Para o time de marketing que precisa conciliar metas com a lei, o artigo como adequar o marketing digital à LGPD traz o contexto geral.

1. "É cookie meu, então não precisa de consentimento." A necessidade, e não a origem, decide a base legal.
2. Usar dado de compra para publicidade sem informar. A finalidade informada na compra raramente cobre campanhas.
3. Enviar listas de clientes a plataformas sem checar a base legal daquele envio.
4. Ignorar a revogação nas audiências, mantendo a pessoa em listas que usam um dado que ela deixou de autorizar.
5. Classificar tudo como necessário para evitar o consentimento. O Guia diz que a categoria se restringe ao essencial para prestar o serviço pedido (p. 10).

Consentimento pode ser simples. A parte que exige cuidado é decidir, finalidade por finalidade, o que o seu dado de primeira parte pode fazer. Se você quer que o aviso, o registro e as integrações trabalhem alinhados a essas decisões, veja os planos da AdOpt e comece pelo teste grátis de 30 dias.

• Google Analytics 4 e LGPD
• Bases legais da LGPD

Depende da finalidade, e não de quem coletou. Cookies necessários e dados para executar um contrato têm outras bases. Para cookies não necessários, como os de publicidade, o Guia da ANPD indica que o consentimento tende a ser a hipótese mais apropriada. Cada finalidade precisa de base própria, validada com o jurídico ou o encarregado.

Não necessariamente. O Guia da ANPD separa cookies próprios de terceiros e, por outro eixo, necessários de não necessários. Um cookie próprio de medição ou de publicidade é um cookie não necessário e entra na avaliação de base legal e na informação ao titular. Só os cookies estritamente necessários ficam de fora do pedido de consentimento.

Só se a finalidade e a base legal cobrirem esse uso. O e-mail coletado para executar uma compra tem uma finalidade informada, e usar o mesmo dado para campanhas é outra finalidade, que exige base própria e informação clara ao titular. A LGPD veda o tratamento posterior incompatível com a finalidade informada (art. 6º, I).

A revogação encerra o tratamento baseado no consentimento (art. 15, III), e os tratamentos já feitos antes dela continuam válidos enquanto não houver pedido de eliminação (art. 8º, § 5º). Na prática, a decisão precisa chegar às audiências, às integrações e às plataformas que usam aquele dado, e o registro deve guardar a revogação.

Ela cuida de uma parte: inventário de tags, aviso, bloqueio e registro do consentimento. A decisão de finalidade e de base legal de cada dado, e o que acontece com os dados fora do site, como no CRM e nas audiências, continua sendo da empresa. A CMP deve ser ligada ao mapa de dados, e não substituí-lo.

Quer ligar o seu aviso de cookies ao mapa dos seus dados? Fale com o time da AdOpt e vemos juntos o que o seu site precisa.