Pixels e scripts de terceiros: que dados saem do seu site

Um pixel ou tag de terceiro manda dados do visitante para o fornecedor no instante em que carrega, antes de qualquer clique. Pela documentação oficial de cada um, o Meta Pixel pode enviar o que vai nos cabeçalhos HTTP (endereço IP, navegador, página, referência), um identificador em cookie, os botões clicados e os nomes dos campos de formulário; o Google tag do GA4 registra páginas vistas, rolagem, cliques de saída, downloads e formulários com identificador em cookie de dois anos; o TikTok Pixel coleta IP, user agent, horário, metadados da página e cliques; e um gravador de sessão como o Microsoft Clarity registra movimentos do mouse, cliques e rolagem para reconstituir a visita. Na LGPD, isso é dado pessoal sempre que der para chegar a uma pessoa identificável, e o identificador por navegador costuma permitir isso. Para pixels de publicidade, o guia da ANPD indica consentimento. Na prática, o script só pode carregar depois do aceite, e o site precisa saber para quem os dados vão, em que país e com qual papel cada fornecedor atua.

Este texto explica a LGPD, normas e guias da ANPD e a documentação dos fornecedores com base nas fontes listadas no fim, consultadas em 26 de outubro de 2026. Não é parecer jurídico: a configuração de cada site muda o que é enviado, e a análise do caso concreto cabe ao controlador e ao seu jurídico.

O que é um pixel, uma tag e um script de terceiro

Script de terceiro é qualquer código JavaScript carregado de um domínio que não é o do site. Pixel é o nome que redes de anúncios dão ao seu script de medição. Tag é o nome genérico usado pelo Google e pelos gerenciadores de tags, como o Google Tag Manager, que carregam vários desses scripts a partir de um só.

Todos funcionam do mesmo jeito: o navegador do visitante faz requisições ao servidor do fornecedor. Só a requisição já leva o endereço IP e o user agent (texto que identifica navegador e sistema), e o script acrescenta o que foi programado para enviar. O guia sobre LGPD, cookies e consentimento explica por que isso já é compartilhamento de dados. Aqui o foco é o conteúdo do envio.

O que cada ferramenta coleta, segundo o próprio fornecedor

A tabela resume as categorias descritas na documentação oficial de cada fornecedor. Ela não mede o que o seu site envia: isso depende da configuração, dos eventos criados e dos recursos ligados.

Meta Pixel

A documentação do Meta Pixel lista cinco categorias que o pixel "pode coletar": cabeçalhos HTTP (com IP, informações do navegador, página, documento e referência), dados do pixel (ID do pixel e o cookie do Facebook), cliques em botões com rótulos e as páginas visitadas depois, valores opcionais que o site decide mandar e nomes de campos de formulário, como email ou address. A Meta diz que não captura o valor desses campos, a não ser que façam parte da correspondência avançada ou dos valores opcionais.

O cookie _fbp guarda um identificador único no domínio do site, com um número aleatório gerado pelo pixel; o _fbc guarda o fbclid, parâmetro que a Meta acrescenta à URL quando alguém clica num anúncio no Facebook ou no Instagram (documentação de fbp e fbc). A correspondência avançada envia e-mail, telefone, nome, data de nascimento, gênero, cidade, estado, CEP e país, e o pixel aplica hash SHA-256 ao e-mail antes do envio.

Google tag e GA4

O Google Analytics 4 coleta sem código extra os eventos first_visit, session_start e user_engagement, e, com a medição aprimorada (enhanced measurement) ligada, página vista, rolagem, clique de saída, download, formulários, vídeo e busca interna. Todo evento leva idioma, endereço da página, página de referência, título e resolução de tela (eventos coletados automaticamente). Os cookies _ga e _ga_<id> servem para distinguir usuários e manter a sessão, com validade padrão de dois anos (uso de cookies do GA4).

Dois pontos da documentação do Google pedem atenção:

• O Google diz que no GA4 os endereços IP "não são registrados nem armazenados" (anonimização de IP). O IP ainda chega ao servidor do Google na requisição; o que muda é a guarda.

• A política do Analytics proíbe enviar ao Google informação que ele possa usar para identificar a pessoa, como e-mail e telefone, e aponta onde isso vaza sem querer: URL com parâmetros, título da página, texto digitado em busca e formulário, parâmetros utm_ (boas práticas para evitar PII). O conceito de "PII" do Google é mais estreito que o de dado pessoal da LGPD. Seguir a política do Google não decide a questão no Brasil.

TikTok Pixel

A página do TikTok Pixel (atualizada em junho de 2026) lista: informações do anúncio clicado ou do evento disparado, horário, endereço IP "para determinar a localização geográfica de um evento", user agent para marca, modelo, sistema e navegador, cookies, e metadados da página com microdados estruturados, desempenho e cliques em botões. Sobre cookies, o texto diz que os cookies próprios são opcionais e que os de terceiro vêm ligados por padrão.

Gravadores de sessão: o exemplo do Microsoft Clarity

Ferramentas de gravação de sessão, como Microsoft Clarity e Hotjar, reconstituem a visita para ser assistida depois. O exemplo aqui é o Clarity porque a documentação dele está aberta e detalhada. Ele captura "como a página está sendo desenhada" e as interações, como movimentos do mouse, cliques e rolagem (perguntas frequentes do Clarity). Usa o IP para geolocalização, guarda os dados no Azure e mantém gravações por 30 dias, com favoritas e uma amostra aleatória guardadas por até 9 meses.

O mascaramento acontece no navegador, antes do envio. O modo padrão é o equilibrado, que esconde números e e-mails; o estrito esconde todo o texto; o relaxado não esconde nada além de campos de entrada e listas suspensas, que ficam mascarados em qualquer modo. O Clarity grava cookies próprios (_clck e _clsk, com um ID pseudônimo do usuário) e cookies em domínios da Microsoft, entre eles o MUID, que a própria documentação descreve como usado "para publicidade, análise de sites e outros fins operacionais" (lista de cookies). Desde 31 de outubro de 2025 o Clarity exige sinal de consentimento para visitas do Espaço Econômico Europeu, do Reino Unido e da Suíça. Essa exigência é do fornecedor para aquelas regiões; não diz nada sobre o Brasil.

Quando esses dados são pessoais na LGPD

Dado pessoal é "informação relacionada a pessoa natural identificada ou identificável" (LGPD, art. 5º, I). Identificável é a palavra que importa aqui: o fornecedor não precisa saber o nome da pessoa. Um identificador que acompanha o mesmo navegador entre páginas, visitas e sites, somado ao IP, ao aparelho e ao histórico de navegação, permite chegar a alguém.

Três regras da lei definem a fronteira:

• Dado anonimizado é o que não permite identificar o titular "considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento" (art. 5º, III).

• Dado anonimizado deixa de ser dado pessoal, salvo se a anonimização puder ser revertida com esforços razoáveis ou com meios próprios de quem a fez (art. 12).

• Dados "utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada" também podem ser considerados dados pessoais (art. 12, § 2º).

O guia de cookies da ANPD (pp. 8 e 9) aplica isso direto: informações coletadas por cookies podem permitir a identificação indireta "mediante, por exemplo, a realização de inferências e o cruzamento com outras informações", e o perfil comportamental associado a uma pessoa é dado pessoal.

Na leitura deste texto, dois casos comuns não escapam da lei:

• E-mail com hash. O hash SHA-256 de um e-mail é sempre o mesmo para o mesmo endereço. A correspondência avançada existe justamente para casar esse valor com uma conta na plataforma, ou seja, para identificar. Isso não é anonimização no sentido do art. 12.

• IP que não é guardado. Ele ainda trafega e pode ser usado no momento da coleta, por exemplo para geolocalização. Não guardar reduz o risco; não elimina o tratamento, que inclui coleta e uso (art. 5º, X).

Controlador, operador ou os dois

Controlador é quem toma as decisões sobre o tratamento; operador é quem trata dados em nome do controlador (art. 5º, VI e VII) e segue as instruções dele (art. 39). O guia da ANPD sobre agentes de tratamento (versão 2.0, abril de 2022) diz que o papel se define pelo poder de decisão no caso concreto, não pelo rótulo do contrato.

O dono do site decide instalar o pixel, escolhe os eventos e define para que vai usar os dados. Por isso, em relação à coleta no seu site, ele é controlador. A dúvida é o papel do fornecedor, e a documentação dele dá a primeira pista:

• Os Termos das Ferramentas de Negócios da Meta (vigentes desde 3 de novembro de 2025) dizem que, fora dos regimes europeu e britânico, o anunciante é controlador e a Meta atua como operadora nos serviços de correspondência, mensuração e análise. Os mesmos termos preveem que a Meta use os dados de eventos para melhorar a entrega de anúncios (depois de agregá-los a outros dados), personalizar recursos e conteúdo e melhorar os próprios produtos.

• A lista de serviços do Google põe o Google Analytics entre os serviços em que o Google atua como operador e o Google Ads entre os serviços em que atua como controlador, com exceções como conversões otimizadas e Customer Match.

• Os mesmos termos da Meta exigem que o anunciante publique, em cada página onde o pixel é usado, um aviso de que terceiros, incluindo a Meta, podem usar os dados para mensuração e direcionamento de anúncios e de como a pessoa pode recusar. Onde a lei local exigir consentimento, o anunciante tem de obtê-lo de forma verificável antes de usar as ferramentas.

Quando o fornecedor usa os dados também para finalidades próprias, ele decide finalidades nessa parte, o que se aproxima da definição de controlador. Se isso forma controladoria conjunta com o site, a ANPD diz que depende de três critérios cumulativos: mais de um controlador com poder de decisão, interesse mútuo com finalidades próprias sobre o mesmo tratamento e decisões comuns ou convergentes sobre finalidades e elementos essenciais (guia de agentes, itens 49 e 50). Havendo controladoria conjunta, os controladores diretamente envolvidos respondem solidariamente por danos (art. 42, § 1º, II), salvo as exceções do art. 43. Nas fontes consultadas, a ANPD não publicou orientação específica sobre pixels de publicidade; a classificação de cada fornecedor fica para a análise do caso.

Consentimento: o que o guia da ANPD indica para cada tipo

O guia de cookies separa as situações pelas finalidades, e as orientações valem também para tecnologias de rastreamento parecidas com cookies (p. 6). O detalhamento das bases legais está no guia pilar desta categoria; para pixels, o resumo é este:

O guia também diz que o consentimento precisa de uma ação clara e positiva e que cookies baseados em consentimento ficam desativados por padrão (pp. 19 e 31). Para um pixel, desativado quer dizer não carregado: se o script roda antes da escolha e só o cookie fica para depois, a requisição com IP, página e user agent já saiu.

Transferência internacional de dados

Meta, Google, TikTok e Microsoft são empresas estrangeiras. Nos termos da Meta, por exemplo, quem trata os dados fora dos regimes europeu e britânico é a Meta Platforms, Inc. A LGPD só permite transferência internacional nas hipóteses do art. 33: país ou organismo com nível de proteção adequado reconhecido pela ANPD, garantias como cláusulas-padrão contratuais, consentimento "específico e em destaque" com informação prévia sobre o caráter internacional da operação, entre outras.

A Resolução CD/ANPD nº 19, de 23 de agosto de 2024, regulamentou o tema e aprovou as cláusulas-padrão contratuais da ANPD. Os pontos que importam para pixels:

• Transferência é a operação em que um agente de tratamento "transmite, compartilha ou disponibiliza acesso" a dados pessoais a outro agente (art. 3º, III, do regulamento). Coleta internacional é a coleta feita "diretamente pelo agente de tratamento localizado no exterior" (art. 3º, V), e o regulamento diz que ela não caracteriza transferência (art. 6º), embora continue sujeita à LGPD.

• Cabe ao controlador verificar se a operação é transferência internacional e se tem base legal e mecanismo válidos; o operador ajuda com as informações que tiver (art. 4º).

• Quem usava cláusulas contratuais para transferir dados tinha até 12 meses da publicação para incorporar as cláusulas-padrão da ANPD (art. 2º, parágrafo único, da resolução). O prazo acabou em 23 de agosto de 2025.

• Com cláusulas-padrão, o controlador publica no site um documento em português, em linguagem simples, com forma, duração e finalidade da transferência, país de destino, identificação e contato do controlador, uso compartilhado, responsabilidades, medidas de segurança e direitos do titular. Esse documento pode ficar dentro da política de privacidade, em destaque (art. 17, §§ 2º e 3º, do regulamento).

• A ANPD reconheceu a União Europeia como organismo com proteção adequada (Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, conforme a lista de regulamentações da ANPD). Isso não cobre fornecedores que tratam dados nos Estados Unidos.

Como um pixel se encaixa nessa divisão não está resolvido nas fontes consultadas. O navegador do visitante envia os dados direto ao fornecedor, o que lembra a coleta internacional. Mas é o site que instala o script e define o que vai, e, quando o fornecedor atua como operador do site, os dados são tratados em nome de um controlador brasileiro, o que lembra a transferência. A recomendação deste texto é tratar o fluxo como transferência para fins de transparência, informar o país de destino na política de privacidade e conferir no contrato de cada fornecedor qual mecanismo do art. 33 ele oferece.

Passo a passo para pôr os pixels em ordem

Os passos abaixo são recomendações montadas a partir da lei, do guia da ANPD e da documentação dos fornecedores. Em páginas de pagamento, os scripts de terceiros também entram nos requisitos de PCI DSS 4.0 para scripts no checkout.

1. Fazer o inventário. Abra o site numa janela anônima, sem tocar no banner, e veja no painel Network do Chrome DevTools as requisições para outros domínios. Depois confira o gerenciador de tags, os plugins do CMS, a plataforma de e-commerce e os widgets (chat, vídeo, mapa), que também carregam scripts.

2. Registrar cada item com domínio, fornecedor, finalidade, dados enviados, país, papel do fornecedor (operador ou controlador, pelo contrato e pelo uso real) e base legal.

3. Cortar o que não tem uso. Um pixel de campanha encerrada continua enviando dados enquanto estiver na página.

4. Carregar só depois do consentimento. O script de cada categoria entra depois do aceite daquela categoria, não ao abrir a página. No Google, o modo básico de consentimento impede o carregamento das tags até a interação com o banner, e, se a pessoa recusar, nada é enviado. No modo avançado, as tags carregam ao abrir a página e, com consentimento negado, enviam sinais sem cookies com dados como horário, user agent e referência. Quem escolhe o modo avançado precisa avaliar esse envio na base legal que usa.

5. Reduzir o que vai. Desligue a correspondência avançada se não houver base para ela, tire dados pessoais de URLs, títulos e parâmetros utm_, prefira o modo estrito de mascaramento no gravador de sessão e marque como mascaradas as áreas com dados de conta, pedido e pagamento.

6. Encurtar prazos. O GA4 permite mudar a validade dos seus cookies; o guia da ANPD recomenda limitar a duração dos cookies persistentes tanto quanto possível (p. 12).

7. Atualizar a política de privacidade com fornecedores, finalidades, países e a forma de recusar. O artigo sobre o que a LGPD pede numa política de privacidade trata disso.

8. Repetir o inventário a cada nova campanha, plugin ou tag. Basta uma tag nova sem revisão para o site voltar a enviar dados antes do consentimento.

Tags no servidor: o que muda e o que não muda

Na marcação do lado do servidor, o navegador manda os dados para um servidor controlado pelo site, e esse servidor repassa aos fornecedores. O Google descreve a vantagem assim: os dados ficam só com o site "até você decidir enviá-los para outro lugar", e o site controla o formato e o destino (introdução à marcação no servidor). A Meta tem um caminho parecido, a API de Conversões, que envia eventos do servidor do anunciante para a Meta.

Isso ajuda a minimizar dados, porque dá para remover campos antes do repasse. Não muda o resto:

• A base legal continua a mesma. Se a finalidade é publicidade, o envio pelo servidor também depende do consentimento.

• O fornecedor continua recebendo dados pessoais. Pelos parâmetros da API de Conversões, e-mail, telefone e nome vão com hash; IP, user agent, fbp e fbc vão sem hash.

• O fluxo some do navegador. Uma auditoria que só olha as requisições da página deixa de ver o envio, então o inventário precisa incluir a configuração do servidor.

O que não fazer

• Carregar o pixel no <head> e só depois mostrar o banner.

• Tratar "rejeitar" como esconder o aviso, com as tags ainda rodando.

• Juntar analytics e publicidade numa única opção do banner.

• Ligar a correspondência avançada ou a coleta automática de formulários sem saber o que ela envia.

• Deixar o gravador de sessão em modo relaxado em páginas de conta, checkout ou formulário.

• Mandar e-mail, CPF ou telefone na URL de páginas de obrigado ou em parâmetros de campanha.

• Instalar o mesmo pixel por dois caminhos (código no tema e gerenciador de tags) e bloquear só um deles.

• Concluir que hash, IP não guardado ou marcação no servidor tiram o tratamento da LGPD.

Como verificar o seu site

O verificador de cookies e LGPD do WebVyze, gratuito, mostra os cookies gravados antes de qualquer clique, os rastreadores encontrados no HTML, se há ferramenta de consentimento e se existe link para a política. A checagem grátis olha riscos de privacidade e acessibilidade da página inicial. Nos planos pagos, há monitoramento com auditorias agendadas e alertas, e cada problema vira uma issue com a lei, a evidência e um guia de correção. As ferramentas leem só páginas públicas e mostram evidências; não enxergam envios feitos pelo servidor e não substituem a análise jurídica.