Publicidade comportamental e LGPD: sua empresa está na mira da ANPD? 

O uso de dados para anúncios direcionados entrou para o topo da agenda de fiscalização. Entenda quem está exposto e o que precisa mudar. 

Toda vez que um usuário pesquisa um produto e passa os próximos dias sendo perseguido por anúncios daquele mesmo produto em qualquer site que visita, está diante de publicidade comportamental. A tecnologia por trás desse fenômeno coleta, processa e compartilha dados pessoais em escala milionária, em frações de segundo, sem que a maior parte dos envolvidos — inclusive as empresas anunciantes — compreenda completamente o que está acontecendo com esses dados. 

A Lei Geral de Proteção de Dados Pessoais (LGPD) nunca ignorou esse fenômeno. O que mudou em 2026 é que a Autoridade Nacional de Proteção de Dados (ANPD) decidiu deixar de ignorar quem a ignora. 

O que a ANPD colocou na mira para 2026 e 2027 

No final de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026 e 2027, documento que define onde a autoridade vai concentrar suas ações de fiscalização. Entre os temas listados, um chama a atenção pela especificidade: o monitoramento do uso secundário de dados pessoais para publicidade comercial direcionada. 

Uso secundário é o conceito-chave. Significa tratar dados coletados para uma finalidade — cadastro, compra, navegação — com uma finalidade diferente: construir perfis e exibir anúncios segmentados. Esse desvio de finalidade é exatamente o que a LGPD veda quando não há base legal adequada e transparência ao titular. 

A sinalização não é abstrata. O Mapa prevê atividades de monitoramento voltadas ao uso secundário de dados pessoais para a entrega de publicidade comercial direcionada, bem como à verificação da adoção, por design e por padrão, do modelo mais protetivo disponível em matéria de privacidade e proteção de dados. Empresas que utilizam análise comportamental, scoring ou publicidade direcionada precisarão demonstrar não apenas que têm base legal, mas que o tratamento é necessário, proporcional e documentado. 

O que é publicidade comportamental, na prática 

Publicidade comportamental é aquela que depende da observação do comportamento do usuário ao longo do tempo para selecionar qual anúncio exibir. A tecnologia que viabiliza isso envolve cookies de rastreamento, pixels de conversão, identificadores de dispositivo e plataformas que agregam esses dados para construir perfis detalhados de cada pessoa. 

Um perfil comportamental pode conter: histórico de navegação em dezenas de sites, produtos visualizados e não comprados, tempo de permanência em cada página, localização inferida pelo IP, interações com anúncios anteriores e dados de outras fontes cruzados por algoritmos de correspondência. Esse perfil é o que as plataformas vendem aos anunciantes — não o espaço publicitário em si, mas a precisão da segmentação. 

A cadeia invisível de dados entre anunciante e plataforma 

O ponto que passa despercebido pela maioria das empresas é que instalar um pixel de conversão ou uma tag de remarketing transforma o anunciante em controlador de dados pessoais. Ao inserir esse código no seu site, a empresa autoriza a coleta de dados dos seus visitantes por um terceiro e compartilha informações sobre o comportamento desses usuários com a plataforma. A LGPD enxerga esse ato como tratamento de dados — com todas as obrigações que isso implica. 

Isso significa que a empresa de médio porte que roda campanhas no Google Ads e no Meta não é apenas cliente dessas plataformas. É corresponsável pelo tratamento dos dados dos seus visitantes. Precisa de base legal para isso, precisa informar o titular,e precisa de um contrato que defina os papéis de controlador e operador na relação com a plataforma. 

Quem está exposto: três camadas de risco 

A fiscalização sobre publicidade comportamental não atingirá apenas as grandes plataformas. O ecossistema é amplo, e a exposição regulatória se distribui em três camadas com perfis de risco distintos. 

Exposição direta. Plataformas de mídia programática, redes de anúncios e as grandes operações de publicidade digital — Google, Meta, TikTok, Amazon — são o núcleo do modelo. Operam com perfilamento como função central do negócio, processam dados de usuários brasileiros em escala e, em muitos casos, transferem esses dados para servidores no exterior sem mecanismo de transferência internacional formalizado. 

Exposição indireta. E-commerces, fintechs, healthtechs e empresas de serviços digitais que usam as ferramentas das plataformas acima para rodar campanhas. São controladores de dados que delegaram a execução técnica a terceiros — mas não delegaram a responsabilidade legal. Quando a ANPD bate na porta de uma plataforma e encontra dados de usuários de determinado anunciante, esse anunciante integra o escopo da investigação. 

Exposição sistêmica. Agências de marketing e publicidade que operam bases de dados de múltiplos clientes, portais de notícias que monetizam com publicidade baseada em comportamento e empresas com programas de fidelidade que cruzam dados transacionais com perfis de navegação. Esse grupo é o menos consciente da sua exposição — e provavelmente o menos preparado para uma fiscalização. 

O problema da base legal: consentimento não é opcional aqui 

A maior parte das empresas brasileiras que opera com publicidade comportamental está fazendo isso sem base legal adequada. O problema não é exatamente desconhecimento da lei — é o uso equivocado do legítimo interesse como justificativa universal para qualquer tratamento que o consentimento tornaria inconveniente. 

O Guia Orientativo de Cookies da ANPD é explícito: o legítimo interesse dificilmente será a base legal mais apropriada para cookies de publicidade. O documento aponta que o consentimento é a hipótese legal mais adequada para esse tipo de tratamento, considerando que os cookies de publicidade são classificados como não necessários e que é essencial respeitar as expectativas legítimas dos titulares. 

O legítimo interesse exige que o tratamento passe por um teste de três etapas: identificação do interesse legítimo, verificação da necessidade do tratamento para aquele fim e ponderação entre o interesse do controlador e os direitos do titular. Para publicidade comportamental, essa ponderação raramente favorece o controlador — o interesse do titular em não ser rastreado e perfilado é concreto, e o interesse comercial do anunciante não o supera automaticamente. 

O banner de consentimento que não consente nada 

Mesmo as empresas que optaram pelo consentimento como base legal frequentemente operam com implementações que não satisfazem os requisitos da LGPD. Os problemas mais comuns são três. 

O primeiro é a ausência de granularidade. O banner exige que o usuário aceite todos os cookies ou não acesse o conteúdo — o chamado cookie wall. Consentimento condicionado ao acesso não é consentimento livre, e autoridades europeias já consolidaram o entendimento de que essa prática invalida a base legal. A ANPD ainda não emitiu posição definitiva, mas o alinhamento com o padrão internacional é a direção mais segura. 

O segundo é o opt-out disfarçado de opt-in. O botão de aceitar todos os cookies é destacado visualmente; o de recusar é cinza, pequeno ou enterrado em três cliques. Consentimento obtido por design manipulativo não é válido. 

O terceiro é a ausência de revogação simples. O titular que consentiu precisa conseguir revogar o consentimento com a mesma facilidade com que o concedeu. Um banner que aparece uma vez, aceita com um clique, mas exige navegar pela política de privacidade para revogar, descumpre esse requisito. 

O que precisa mudar antes que a fiscalização chegue 

O ponto de partida é o mapeamento de todas as ferramentas de marketing digital em uso: pixels, tags, scripts de terceiros, plataformas de automação, ferramentas de analytics. Para cada uma delas, a pergunta é: que dados essa ferramenta coleta, com que finalidade, com quem compartilha, qual é a base legal documentada para esse tratamento? 

Esse levantamento alimenta duas obrigações simultâneas. A primeira é a atualização do Registro de Operações de Tratamento de Dados (ROPA), previsto no artigo 37 da LGPD, para incluir os tratamentos relacionados à publicidade com finalidade, base legal e tempo de retenção especificados. A segunda é a formalização do contrato de operação de dados com cada plataforma ou agência que trate dados em nome da empresa, definindo papéis, responsabilidades e medidas de segurança. 

A revisão do banner de consentimento é inevitável para quem opera com cookies de publicidade. A solução tecnicamente correta prevê categorização clara dos cookies por finalidade, opt-in ativo para cookies não necessários, granularidade que permita ao usuário aceitar analytics e recusar publicidade, e mecanismo de revogação acessível a qualquer momento. 

Para empresas que não têm clareza sobre a própria arquitetura de dados de marketing — o que é mais comum do que parece — o diagnóstico inicial precisa envolver as equipes de TI, marketing e jurídico de forma integrada. A fiscalização não aceita a defesa de que o departamento de marketing não sabia o que o pixel estava fazendo. 

Perfilamento para fins publicitários nunca foi uma zona cinzenta na LGPD. Foi uma obrigação mal cumprida que conviveu com uma fiscalização ainda em construção. Esse período acabou. A ANPD de 2026 é uma agência reguladora com autonomia, orçamento e agenda publicada. Quem ainda não ajustou suas práticas de marketing digital tem uma janela — que está se fechando. 

Precisa revisar a base legal das suas operações de marketing digital? 

O SMN Advogados assessora empresas na adequação de programas de marketing digital à LGPD, desde o mapeamento de ferramentas e bases legais até a formalização de contratos com plataformas e agências. Para empresas que ainda não contam com um Encarregado de Dados (DPO) externo, esse é o ponto de partida mais eficiente para reduzir a exposição regulatória. Entre em contato pelo site ou pelo e-mail de atendimento do escritório.