Audite Os Rastreadores Do Seu Site Antes Que Um Regulador O Faça Por Si
Cada pixel de marketing que instala é um contrato de partilha de dados assinado em nome de todos os visitantes. A lei responsabiliza cada vez mais o operador do site, não a plataforma, por aquilo que esse script recolhe.
Instale um único pixel de marketing e terá tomado uma decisão em nome de todas as pessoas que alguma vez acederem ao seu site, uma decisão sobre os dados delas, não sobre os seus. O código fica no cabeçalho da página, dispara antes de o visitante ler uma única palavra, e envia sinais comportamentais para um terceiro que nunca irá inspecionar. Se nunca se sentou a auditar os rastreadores do seu próprio site, está a gerir uma operação de exportação de dados que não controla e não sabe descrever. É uma relação com um fornecedor que assumiu às cegas, e pertence ao mesmo registo de risco que qualquer outra.
Siga o mecanismo, porque o mecanismo é todo o argumento. Um pixel de rastreio é código controlado pelo fornecedor, seja uma tag JavaScript ou um simples pedido de imagem, carregado pelo browser do visitante sob a confiança do seu domínio. Lê o que lhe foi instruído para ler e envia para onde lhe foi instruído para enviar. O operador do site não recebe cópia nem recibo. A Consumer Reports, em parceria com a empresa de software Disconnect, analisou cerca de 20 000 sites e encontrou centenas de organizações a entregar, sem alarde, dados de visitantes à TikTok, incluindo dados de pessoas que nunca instalaram a aplicação. Ninguém invadiu nada para que isto acontecesse: foram os próprios operadores dos sites que incorporaram o código, e a plataforma limitou-se a receber aquilo que o operador concordou em enviar.
Porque é que um rastreador invisível o torna responsável pelo tratamento de dados?
Porque determinar que a recolha acontece pode já ser suficiente, mesmo sem tocar nos dados. O Tribunal de Justiça da União Europeia decidiu, no processo Fashion ID, que o operador de um site que incorpora um plugin social de terceiros pode ser responsável conjunto pela recolha e transmissão dos dados dos visitantes, mesmo que nunca aceda a esses dados. Esse acórdão foi proferido ao abrigo do direito da UE, mas no Reino Unido as decisões do Tribunal de Justiça anteriores ao final de 2020 foram mantidas em vigor como jurisprudência da UE retida ao abrigo da secção 6 do European Union (Withdrawal) Act 2018, e o artigo 26.º do UK GDPR consagra o mesmo critério de responsabilidade conjunta que a orientação do Information Commissioner's Office (ICO) sobre responsáveis e subcontratantes aplica. Vale a pena assinalar: nenhum tribunal britânico nem ação do ICO aplicou ainda esta lógica a um rastreador de marketing incorporado, pelo que o que se segue é uma leitura, não direito britânico assente. Essa leitura não é exclusiva do Reino Unido: o artigo 26.º do RGPD, em vigor em Portugal e no resto da União, usa a mesma redação sobre responsabilidade conjunta, pelo que o mesmo raciocínio pode, em princípio, ser aplicado por qualquer autoridade de controlo europeia, incluindo a CNPD. Nessa leitura, quem escolhe o meio de recolha carrega responsabilidade pela recolha em si, ainda que não pelo que o destinatário faça depois com os dados, e a defesa habitual, a de que foi o fornecedor quem recolheu, torna-se mais frágil no momento em que um regulador pergunta quem decidiu que o script do fornecedor devia correr na página.
É aqui que a economia joga contra a maioria das pilhas de marketing. O fluxo de dados não custa nada a acrescentar e é invisível no balanço, por isso acumula-se. Um pixel para atribuição, outro para remarketing, uma ferramenta de mapas de calor, um widget de chat que liga para casa. Cada um é uma decisão defensável isoladamente. Juntos, formam uma rede de distribuição do comportamento dos visitantes que ninguém na empresa conseguiria reconstituir de memória. A responsabilidade é real e o fluxo é invisível, e ninguém lhe pôs preço.
Como auditar os rastreadores de terceiros no seu site?
Trate isto como uma revisão de fornecedores, porque é exatamente isso. Abra o painel de rede do browser, ou corra uma ferramenta como o Blacklight do The Markup, e carregue todas as páginas importantes numa sessão limpa, sem cache. Registe cada domínio externo a que um pedido chega. Para cada um, indique o fornecedor, a finalidade e o fundamento de licitude que invocaria se fosse questionado. Depois verifique o momento em que dispara, que é a parte que a maioria das equipas salta: veja se o rastreador dispara antes de o visitante dar consentimento. Um pedido a www.facebook.com/tr/ (o Meta Pixel) ou a analytics.tiktok.com que dispara ao carregar a página, antes de a plataforma de consentimento escrever o cookie de opt-in, é exatamente o padrão a assinalar, porque a barra de consentimento à frente não está a fazer nada. Tudo o que recolhe antes do consentimento, ou que ninguém na sala sabe explicar, sai. Mantenha o registo, date-o, e repita a auditoria com regularidade, porque o script pode mudar sem que ninguém toque no seu código.
Um fornecedor pode alterar o que o pixel recolhe depois de instalado?
A parte incómoda da governação de rastreadores é que aquilo que auditou no trimestre passado não é garantidamente aquilo que está a correr hoje. O script de um fornecedor faz o que o fornecedor decidir nesse momento, e essa decisão vive no servidor dele, não no seu repositório. O âmbito é uma definição que alguém pode alterar remotamente, por isso o pixel no seu cabeçalho deve ser tratado como código que pode ser reapontado sem o seu aval.
É aqui que o regime britânico tem dentes que muitas equipas de marketing ainda não sentiram, e vale a pena perceber porquê mesmo fora do Reino Unido: a lógica é a mesma que sustenta o RGPD. Os rastreadores não essenciais são regulados pelo Privacy and Electronic Communications Regulations (PECR), a par do UK GDPR, e o Information Commissioner's Office é explícito quanto a ser necessário obter consentimento antes de instalar ou ler cookies não essenciais e tecnologias semelhantes. Uma tag que dispara ao carregar a página, antes de a barra de consentimento ser respondida, está portanto já fora das regras, o que torna o disparo antes do consentimento uma exposição a sanções, não um pormenor de estilo. Para uma empresa portuguesa, a leitura equivalente está no artigo 5.º, n.º 3, da Diretiva e-Privacy, transposto pela Lei n.º 41/2004, e reforçado pelas orientações da CNPD sobre cookies: o mesmo princípio, consentimento prévio, aplica-se cá.
Leve a conclusão para o contrato. Um acordo de tratamento de dados não deve limitar-se a prometer cuidado com os dados depois de recolhidos; deve limitar o que um script pode recolher à partida. Uma cláusula que um leitor pode adaptar para um anexo de fornecedor diz, em traços gerais: «O Subcontratante não recolhe, lê nem transmite dados pessoais através de scripts incorporados para além dos campos e finalidades definidos no Anexo X, não o faz antes de o Responsável ter registado o consentimento do titular dos dados, e não alarga esse âmbito sem aprovação prévia e escrita do Responsável.» Se um fornecedor não aceitar uma cláusula deste género, trate a recusa como um facto material e pondere-o na decisão de o contratar.
As consequências de segunda ordem caem, portanto, sobre as compras e os contratos, não sobre o calendário de marketing. É uma questão de estratégia técnica antes de ser jurídica, porque a correção é arquitetónica: conhecer cada fluxo de saída, condicioná-lo a um consentimento real, e tratar cada script de fornecedor como código não fiável que decidiu confiar. A mesma disciplina que mantém a capacidade automatizada sob controlo humano aplica-se ao martech que já tem instalado. O instrumento de recolha está no seu próprio site, com o seu nome por trás da decisão de o carregar, e alegar desconhecimento do próprio cabeçalho não é uma defesa que um regulador seja obrigado a aceitar.
Perguntas frequentes
Um pixel de rastreio pode recolher dados antes de o visitante aceitar os cookies?
Sim, e muitos fazem-no. Os scripts colocados na página disparam assim que o browser lá chega, muitas vezes antes de a própria barra de consentimento ser desenhada. A posição do ICO britânico, que espelha o princípio do consentimento prévio também presente na regulamentação portuguesa de cookies, é que o consentimento tem de vir antes de os rastreadores não essenciais serem instalados ou lidos, pelo que um pixel que recolhe antes do consentimento torna a barra decorativa, e é uma das primeiras coisas que uma auditoria de rastreadores deve apanhar e bloquear.
Somos responsáveis se um pixel de terceiros fizer mau uso dos dados dos nossos visitantes?
Segundo o raciocínio do acórdão Fashion ID, mantido em vigor no direito britânico ao abrigo do European Union (Withdrawal) Act 2018, e assente na mesma redação do artigo 26.º que também existe no RGPD aplicável em Portugal, um operador que incorpora um coletor de terceiros pode ser responsável conjunto pela recolha e transmissão que possibilita, mesmo sem aceder aos dados. Nenhum tribunal ou regulador britânico aplicou ainda esta leitura a rastreadores de marketing, pelo que deve ser tratada como um risco em aberto, não como direito assente. A responsabilidade tende a limitar-se às operações cuja finalidade e meios o operador determina, mas escolher carregar o pixel é uma dessas decisões.
Com que frequência deve repetir-se uma auditoria a rastreadores de terceiros?
Trate-a como contínua, não anual. Os scripts dos fornecedores atualizam-se remotamente sem alterar nada no seu código, por isso um âmbito que aprovou uma vez pode alargar-se sem aviso. Repita a análise com regularidade fixa e sempre que alterar o gestor de tags ou as ferramentas de marketing.
Relacionado
- No Ubuntu 26.04 LTS, o Coreutils Que Sustenta as Suas Compilações Já Não É GNU
- O Prêmio da Soberania: por que a IA soberana corporativa está vencendo pelo acesso, não pela velocidade
- Os Processos por Segredos Comerciais Ganham-se Anos Antes de Alguém se Demitir. Pergunte à Faccenda Chicken.
- Security & Trust
Escrito por uma persona editorial de IA do sistema editorial proprietário da Abyshire e revisto pela nossa equipa.