LGPD em anúncios pagos: o que muda a partir de 2026

A ANPD aprovou, em dezembro de 2025, o Mapa de Temas Prioritários para o biênio 2026-2027, com pelo menos 75 ações de fiscalização e um eixo dedicado a direitos dos titulares que inclui, de forma explícita, o uso secundário de dados pessoais para publicidade direcionada e perfilamento. Na prática, isso significa que campanhas de remarketing, públicos semelhantes e listas de clientes usadas no Google Ads e na Meta entraram no radar do órgão regulador.

Para quem administra tráfego pago, a LGPD deixou de ser um tema só do jurídico. Ela afeta diretamente como a conta de anúncios coleta, usa e compartilha dados de clientes e visitantes do site.

O que a ANPD vai fiscalizar em 2026 e 2027?

A Resolução CD/ANPD nº 30/2025, publicada em 23 de dezembro de 2025, aprovou o Mapa de Temas Prioritários para o próximo biênio, com quatro eixos estratégicos: proteção dos direitos dos titulares, dados de crianças e adolescentes, tratamento de dados pelo Poder Público e inteligência artificial e tecnologias emergentes.

Dentro do eixo de direitos dos titulares, a ANPD prevê fiscalizações específicas sobre o uso secundário de dados pessoais para publicidade direcionada, especialmente quando envolve técnicas de perfilamento, segundo cobertura do Teletime e análise da Baker McKenzie. O órgão também passa a tratar o tema como prioritário sobre pedidos de fiscalização de outras matérias, segundo a mesma cobertura.

Desde que a nova diretoria da ANPD assumiu, em março de 2025, a fiscalização de micro e pequenas empresas se intensificou, com destaque para e-commerce, educação e serviços jurídicos, conforme reportagem da AmdJus. Entre as práticas mais citadas em ações de fiscalização estão o disparo de promoções sem consentimento e a compra de listas de contatos de terceiros.

Minha empresa pequena precisa se preocupar com isso?

Sim, principalmente se a conta de anúncios usa listas de clientes, pixel de conversão ou retargeting. O porte da empresa não isenta ninguém da LGPD; o que muda é o nível de exigência operacional.

A ANPD reconhece essa diferença: mais de 90% das empresas brasileiras são micro ou pequenas, e o órgão publicou um guia orientativo de segurança da informação voltado a agentes de tratamento de pequeno porte, com um checklist mais simples que o exigido de grandes corporações. Isso não dispensa a empresa de ter base legal para os dados que usa em campanha, nem de manter um canal para o titular solicitar acesso ou exclusão de dados.

Exemplo hipotético: uma clínica de estética que roda Click-to-WhatsApp e usa a lista de pacientes para criar um público semelhante no Meta Ads precisa documentar que colheu esse contato com consentimento ou outra base legal válida, e não pode simplesmente importar uma lista comprada de um corretor de dados.

Quais bases legais valem para anúncios segmentados?

Na prática, a maioria das campanhas de retargeting e públicos personalizados se apoia em consentimento ou legítimo interesse (artigo 7º, incisos I e IX, da LGPD). A escolha certa depende da origem do dado e da expectativa razoável do titular.

Situação	Base legal mais indicada	Cuidado principal
Pixel/Tag no site para remarketing	Consentimento (via banner de cookies)	O aviso precisa aparecer antes de o dado ser coletado, não depois
Lista de clientes próprios para público semelhante	Legítimo interesse ou consentimento	Documentar que o dado foi coletado pela própria empresa, não comprado
Lista de contatos comprada de terceiros	Nenhuma base seguro, alto risco	Prática citada em fiscalizações da ANPD; evitar
Dados sensíveis (saúde, biometria) para segmentação	Quase nunca legítimo interesse	Exige consentimento específico e destacado

Legítimo interesse para publicidade é permitido pelo artigo 7º, inciso IX, e pelo artigo 10 da LGPD, mas especialistas alertam que seu uso para perfilamento pode ser questionado quando a coleta é excessivamente intrusiva ou desproporcional à privacidade do titular. Documentar essa análise, o chamado relatório de legítimo interesse, é a forma de reduzir risco.

O Google e a Meta já têm recursos prontos para a LGPD?

Têm, mas o uso correto é responsabilidade do anunciante, não automático. Segundo a própria Central de Ajuda do Google, a empresa incorporou termos específicos da LGPD aos contratos de proteção de dados de ferramentas como Display & Video 360, Campaign Manager 360, Search Ads 360 e Google Analytics, e algumas contas precisam aceitar separadamente essas cláusulas atualizadas.

Na prática, o Google oferece três controles que todo anunciante deveria revisar:

• Retenção de Customer Match: listas de clientes enviadas para criar públicos personalizados ficam retidas só pelo tempo necessário para gerar o público, sendo excluídas depois, segundo a mesma página.
• Exclusão de identificadores específicos: é possível remover um usuário determinado de uma lista de remarketing via API, por exemplo após um pedido de exclusão de dados.
• Anúncios não personalizados: dá para exibir anúncios sem usar dados de personalização para quem não deu consentimento, e excluir esse público das listas de remarketing.

Do lado da Meta, as contas de anúncios operam sob os Termos de Ferramentas Empresariais, que definem como dados enviados via pixel, Conversions API ou Customer Match são tratados pela plataforma. A responsabilidade por garantir que o dado enviado tem base legal válida continua sendo do anunciante, não da Meta.

O que muda na prática para uma campanha de Google Ads ou Meta Ads?

Na configuração da campanha, pouco muda tecnicamente. O que muda é a governança por trás dos dados que alimentam a segmentação e as integrações de conversão, como a Conversions API do WhatsApp ou o pixel do site.

Checklist prático para revisar antes do próximo ciclo de campanhas:

• Banner de consentimento de cookies ativo e funcional no site, antes de disparar pixels de remarketing.
• Política de privacidade atualizada, descrevendo o uso de dados para publicidade.
• Origem das listas de clientes documentada; nunca importar base comprada ou raspada de terceiros.
• Canal de atendimento ao titular para pedidos de acesso, correção ou exclusão de dados, mesmo sem um encarregado formal.
• Contrato com agência ou freelancer prevendo quem é controlador e quem é operador dos dados tratados na conta de anúncios. Isso costuma ser esquecido em processos de contratação de gestão de tráfego.
• Retenção de dados: definir por quanto tempo listas e públicos personalizados ficam ativos nas plataformas antes de serem atualizados ou excluídos.

Quanto custa não cumprir a LGPD em campanhas de anúncios?

A multa administrativa pode chegar a 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, conforme o artigo 52 da LGPD. Em casos de descumprimento de medida cautelar, a ANPD pode aplicar multa diária até o limite da sanção.

Fora da multa em si, o risco mais comum para uma PME é operacional: suspensão temporária do tratamento de dados determinada pela ANPD, o que pode significar parar campanhas de remarketing e envio de e-mail ou WhatsApp até a regularização. Isso afeta diretamente métricas como CAC e ROAS no curto prazo, porque interrompe canais de reengajamento que normalmente têm custo de aquisição mais baixo que a aquisição fria.

GEO, cookies e IA mudam a conversa sobre privacidade?

Mudam, mas de forma indireta. O eixo 4 do Mapa de Temas Prioritários da ANPD trata especificamente de inteligência artificial e tecnologias emergentes, incluindo sistemas de decisão automatizada e perfilamento algorítmico, segundo o Teletime. Ferramentas de otimização de campanha que usam IA para prever propensão de compra entram nesse radar quando tratam dados pessoais para esse fim.

Vale lembrar que o Google manteve os cookies de terceiros ativos no Chrome, revertendo o plano original de descontinuação, após pressão da indústria publicitária e de reguladores como a CMA britânica. Isso significa que, por ora, a discussão de rastreamento no Brasil segue centrada na LGPD e no consentimento dentro do próprio site, e não numa mudança técnica forçada pelo navegador.

Como a Attract pode ajudar

A Attract estrutura campanhas de tráfego pago, Google Ads e Meta Ads com atenção à origem dos dados usados em segmentação e integrações de conversão. Se você quer revisar como sua conta de anúncios trata dados de clientes, fale com a equipe pelo WhatsApp e peça um diagnóstico gratuito.