Usar o Google Analytics 4 em um site brasileiro não é proibido pela LGPD. O que define o enquadramento é como o site coleta os dados e para quê. Na medição simples de audiência, o legítimo interesse é uma leitura que o guia da ANPD admite em certos contextos.

Quando o GA4 se junta a publicidade, perfis ou cruzamento de dados, o consentimento passa a ser o caminho mais seguro. Nos dois casos, a empresa precisa de uma hipótese legal do art. 7º da lei, de informação clara para o visitante e de respeito à escolha ou à oposição dele.

Este artigo mostra o que o Guia Orientativo de Cookies da ANPD diz sobre cookies de análise e como o Google Consent Mode conecta o banner ao Google Analytics 4.

Quando a base é o consentimento, o ponto crítico passa a ser técnico: a recusa do visitante precisa chegar ao tag do GA4. Este texto não é consultoria jurídica: a escolha da base legal é decisão da sua empresa, de preferência com apoio do jurídico ou do encarregado.

O guia da ANPD, publicado em outubro de 2022, é a referência brasileira mais direta para quem mede audiência com cookies. Ele não cita o Google Analytics pelo nome, mas classifica a categoria à qual o GA4 pertence.

O guia separa os cookies em necessários e não necessários. Os necessários são os essenciais para o site funcionar ou para prestar o serviço pedido pelo visitante. Os demais entram na categoria dos não necessários, e o próprio guia (p. 10) cita como exemplos os usados para "rastrear comportamentos, medir o desempenho da página ou serviço" e exibir anúncios.

Na prática, o cookie de análise não entra na categoria dos cookies estritamente necessários: a medição ajuda o negócio, mas o site funciona sem ela. Por isso a ANPD trata a medição de audiência como um caso à parte, com condições próprias, em vez de enquadrá-la como cookie essencial.

A ANPD diz que não há hierarquia entre as hipóteses legais da LGPD. Em regra, afirma que o consentimento é "mais apropriado" quando a coleta é feita por cookies não necessários (p. 20), porque o visitante pode escolher de verdade entre aceitar e recusar.

Para a medição de audiência, porém, o guia abre uma exceção expressa: ela "pode ser amparada na hipótese legal do legítimo interesse em determinados contextos" (p. 24). A condição descrita é restrita: tratamento limitado à finalidade de identificar padrões e tendências, com dados agregados, sem combinação com outros mecanismos de rastreamento e sem formação de perfis.

O exemplo 4 do guia (p. 26) acrescenta que os dados não são compartilhados com terceiros nem cruzados com outras bases, e que o banner e a política explicam a finalidade, a retenção e a possibilidade de oposição.

Na prática, o caminho depende do uso que o site faz do GA4:

• Medição simples de audiência (páginas vistas, origem do tráfego, desempenho), com dados agregados e sem perfis: é o cenário em que o legítimo interesse tem respaldo no guia, desde que a empresa confira cada condição na configuração da conta e informe o visitante.
• GA4 ligado a publicidade, perfis ou cruzamento com outras bases: o uso se aproxima do cookie de publicidade, para o qual o guia diz que o legítimo interesse "dificilmente será a hipótese legal mais apropriada" (p. 25). Aqui o consentimento é o caminho mais seguro.

É a mesma lógica do modelo do Consent Mode para o Brasil descrito no guia do início deste texto, em que o analytics_storage vem liberado por padrão e os parâmetros de marketing ficam negados até a escolha. Seja qual for o caminho, documente a decisão e o motivo.

Quando o consentimento é a base, a LGPD o define como "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada" (art. 5º, XII). Para o banner, o guia da ANPD (p. 30 e 31) recomenda:

• um botão para rejeitar todos os cookies não necessários, de fácil visualização, nos banners de primeiro e de segundo nível;
• um banner de segundo nível que classifique os cookies em categorias e permita consentir para cada finalidade;
• cookies baseados em consentimento desativados por padrão;
• um link de fácil acesso para o titular exercer seus direitos.

O mesmo guia (p. 33) lista práticas desaconselhadas: botão único de aceite, destaque maior só para o aceite, cookies não necessários ligados por padrão e ausência de um mecanismo direto e simplificado para revogar o consentimento. A revogação aparece também na lei: o consentimento pode ser revogado "a qualquer momento", por procedimento "gratuito e facilitado" (art. 8º, § 5º).

Se você quer ver a regra aplicada ao banner, o artigo sobre banner de cookies e LGPD detalha cada elemento.

Quando o consentimento é a base legal, um banner correto não basta. Se o GA4 carregar antes da escolha ou ignorar a recusa, o consentimento registrado no banner não vale na prática. A segurança do dado entre o consentimento e a ativação depende desse elo entre o banner e as tags.

O Google Consent Mode usa quatro parâmetros de consentimento: ad_storage, analytics_storage, ad_user_data e ad_personalization. Para o GA4, o que importa de início é o analytics_storage, que controla o armazenamento usado na análise.

A CMP envia ao Google um estado padrão (default) quando a página carrega e uma atualização (update) quando o visitante faz a escolha. A documentação do Google traz o passo a passo, inclusive o uso do parâmetro wait_for_update para CMPs que respondem de forma assíncrona.

A ajuda do Google Analytics descreve dois modos. Na implementação básica, as tags só carregam depois do consentimento. Na avançada, as tags carregam antes da escolha e, se o analytics_storage está negado, o Google Analytics não grava cookies de análise e recebe "cookieless pings", pings sem cookies, usados para medição futura e para modelagem de comportamento.

Dois cuidados. O primeiro: o que a documentação do Google descreve é o funcionamento da ferramenta, não o enquadramento na LGPD. Se o seu jurídico entende que o ping sem cookie ainda exige a escolha do visitante, o modo básico é a alternativa mais conservadora. O segundo: a modelagem preenche lacunas de medição, mas não substitui o consentimento como base legal.

Para entender as diferenças entre os dois modos com mais calma, o guia de Consent Mode do básico ao avançado compara cada um.

O teste leva poucos minutos e não exige programar:

1. Abra o site em uma janela anônima.
2. Abra as ferramentas do navegador, na aba de rede, e filtre por google-analytics.
3. Recuse todos os cookies no banner.
4. Recarregue a página e veja se há requisições para domínios do Google Analytics. No modo básico, não deve haver nenhuma. No avançado, podem aparecer pings sem cookies.
5. Confira na aba de aplicativo se foram gravados cookies de análise do Google.
6. Repita o teste aceitando e confirme que a medição começa.

Guarde capturas de tela e a data do teste. Pela LGPD, cabe ao controlador "o ônus da prova de que o consentimento foi obtido em conformidade" com a lei (art. 8º, § 2º), e esse registro ajuda a demonstrar o cuidado.

• Decida e documente a base legal usada para a medição com o GA4, de acordo com o que o site coleta e para quê.
• Se a base for legítimo interesse, informe a finalidade, o tempo de retenção e como o visitante pode se opor.
• Confirme que o banner tem botão de rejeitar com o mesmo destaque do aceitar.
• Verifique se o tag do GA4 só dispara depois do consentimento (modo básico) ou respeita o analytics_storage (modo avançado).
• Revise o texto da política de cookies: finalidade, tempo de retenção e como revogar.
• Refaça o teste da janela anônima a cada mudança no GTM ou no banner.

A CMP é a peça que coleta a escolha, registra o consentimento e envia o sinal ao Google. É por isso que ela faz diferença nesse fluxo: sem uma CMP que vai além do banner, o analytics_storage não é atualizado no momento certo e o GA4 fica descolado da escolha do visitante.

A AdOpt liga o registro de consentimento ao bloqueio de scripts e ao Google Consent Mode. A mesma lógica vale para o Pixel da Meta e, para quem monetiza com anúncios, para o TCF da IAB. Quer conferir como está a conexão do seu site? Comece grátis e faça o teste com a ferramenta de verificação da AdOpt.

• Pixel da Meta e LGPD: como usar o pixel respeitando o consentimento
• Como adequar o marketing digital à LGPD

Depende de como o site coleta os dados e para quê. O guia da ANPD admite o legítimo interesse para medição de audiência em contextos restritos: dados agregados, sem perfis e sem combinação com outros rastreadores. Quando o GA4 alimenta publicidade, perfis ou cruzamentos de dados, o consentimento é o caminho mais seguro. A decisão é da empresa, com apoio do jurídico ou do encarregado.

Não. O Consent Mode apenas transmite ao Google a decisão do visitante. Quem coleta essa decisão, com informação clara e opção de recusar, é o banner, normalmente fornecido por uma CMP. Sem o banner, o Consent Mode fica sem a informação de consentimento para repassar.

Depende do modo do Consent Mode. No básico, as tags do Google só carregam depois do consentimento, então não há medição de quem recusa. No avançado, o Google Analytics deixa de gravar cookies de análise e recebe pings sem cookies, que alimentam a modelagem de comportamento. Os números de quem recusa passam a ser estimados, não medidos.

Normalmente sim. Com a AdOpt, a verificação da instalação ajuda nessa conferência. Confira se o tag do GA4 usa os sinais do Consent Mode, se o estado padrão configurado corresponde à base legal que você escolheu e se a CMP atualiza o consentimento no momento certo. Depois, faça o teste da janela anônima, com recusa e com aceite.

Quer ver se o seu Google Analytics respeita a escolha do visitante? Fale com o time da AdOpt e verificamos juntos onde a conexão pode estar falhando.