Pixel do Meta e LGPD: precisa de consentimento para rastrear?

A dúvida sobre o pixel do Meta e a LGPD aparece em toda agência: o pixel pode disparar assim que a página abre? Na maioria dos sites de clientes, ele dispara — e esse é justamente o problema mais encontrado em auditorias de privacidade.

O pixel do Meta trata dado pessoal?

Sim. O Pixel do Meta, a tag do Google (GA4 e Google Ads) e o Pixel do TikTok coletam identificadores de navegador, páginas visitadas e eventos de conversão. Combinados, esses dados permitem identificar e segmentar pessoas — é exatamente para isso que eles existem. Pela LGPD, isso é tratamento de dado pessoal.

Precisa de consentimento?

A base legal mais segura para cookies e pixels de publicidade é o consentimento (art. 7º, I). O guia de cookies da ANPD orienta que cookies não necessários ao funcionamento do site não devem ser ativados por padrão e que a pessoa precisa ter uma escolha real, inclusive a de recusar.

Na prática, para uma agência:

• Cookies estritamente necessários (carrinho, login) podem funcionar sem consentimento.
• Pixel e tags de marketing devem esperar o aceite.
• A opção de recusar precisa ser tão fácil quanto a de aceitar.

Os próprios termos das ferramentas de negócio do Meta colocam no anunciante a responsabilidade de informar e obter o consentimento quando a lei exigir.

O erro mais comum: banner que só avisa

O cenário que mais aparece nos sites de clientes:

1. A página carrega.
2. O pixel dispara na hora.
3. Só depois aparece um banner dizendo “usamos cookies”.

Esse banner não protege ninguém: o dado já foi enviado. Para estar de acordo, o banner precisa bloquear o pixel até o clique em aceitar.

Como configurar do jeito certo

Com uma ferramenta de consentimento (CMP)

Ferramentas como Cookiebot, OneTrust, CookieYes ou soluções brasileiras bloqueiam os scripts por categoria até a escolha da pessoa.

Com o Modo de Consentimento do Google

No Google Tag Manager, ative o Consent Mode e configure as tags de marketing para dependerem do consentimento de publicidade. Para o pixel do Meta, use a mesma regra de disparo no Tag Manager.

Teste depois de instalar

Abra o site em uma janela anônima, não clique no banner e verifique se nenhuma requisição para facebook.com ou googletagmanager.com saiu. A auditoria de site da Dattis faz esse teste com um navegador real.

E a API de Conversões?

A API de Conversões do Meta e as Conversões otimizadas do Google enviam dados pelo servidor, longe dos olhos do visitante. Isso não dispensa a LGPD: continua sendo tratamento de dado pessoal. O mínimo é:

• Enviar e-mail e telefone criptografados (hash SHA-256).
• Ter base legal e informar o uso na política de privacidade.
• Registrar o fluxo no registro de tratamento e no contrato com o cliente.

Checklist rápido para a agência

• Banner de cookies que bloqueia pixel e tags até o aceite.
• Opção de recusar visível.
• Política de privacidade linkada no rodapé e nos formulários.
• API de Conversões com dados em hash.
• Tudo isso registrado por cliente.

Não sabe como estão os sites da sua carteira? Comece pela Auditoria da sua agência e veja o guia de LGPD para agências para o quadro completo.