Publicidade comportamental
Casos recentes envolvendo Microsoft/Xandr, redes globais de publicidade e empresas brasileiras mostram uma mudança importante na proteção de dados: autoridades começam a responsabilizar não apenas quem coleta os dados diretamente, mas toda a cadeia que transforma comportamento, localização, histórico de consumo e características pessoais em audiência publicitária.
A publicidade digital deixou há muito tempo de funcionar apenas com base no conteúdo da página que uma pessoa está acessando. Grande parte do mercado atual utiliza sistemas capazes de acompanhar atividades, combinar informações provenientes de diferentes fontes e construir perfis destinados a prever interesses, hábitos e até determinadas características dos indivíduos.
Esse modelo, conhecido como publicidade comportamental, está entrando em uma nova fase regulatória.
Decisões recentes na Europa, medidas adotadas nos Estados Unidos e processos de fiscalização em andamento no Brasil mostram que autoridades de proteção de dados estão aumentando a pressão sobre anunciantes, plataformas, data brokers e empresas de tecnologia publicitária — as chamadas AdTechs.
O ponto central da mudança é que a responsabilidade começa a alcançar toda a cadeia de tratamento de dados.
Um dos exemplos mais recentes ocorreu na Noruega.
Em decisão divulgada em 16 de outubro de 2026, a autoridade norueguesa de proteção de dados aplicou multa de € 8,6 milhões à Xandr, empresa de tecnologia publicitária adquirida pela Microsoft.
O processo teve origem no ecossistema publicitário do aplicativo de relacionamentos Grindr.
Segundo a decisão, durante processos de Real-Time Bidding — RTB, a Xandr tratou informações relacionadas aos usuários do aplicativo, incluindo identificadores publicitários, endereços IP e a informação de que determinada pessoa utilizava o Grindr.
Para a autoridade, essa última informação poderia revelar ou permitir inferências relacionadas à orientação sexual do usuário, entrando no campo das categorias especiais de dados pessoais protegidas pelo artigo 9º do GDPR.
A decisão possui enorme importância para o mercado de publicidade digital porque a Xandr argumentou que dependia do consentimento obtido pelo Grindr.
A autoridade rejeitou essa justificativa.
O entendimento foi de que, quando existem diferentes empresas atuando conjuntamente na cadeia de tratamento, cada controlador possui responsabilidade própria de verificar se existe base jurídica válida para o tratamento realizado.
Em outras palavras: uma AdTech não pode simplesmente afirmar que “o site ou aplicativo obteve o consentimento”.
Ela precisa demonstrar que esse consentimento é válido e que efetivamente abrange o tratamento que ela realiza.
A autoridade classificou a Xandr como controladora conjunta nas operações analisadas.
Esse raciocínio pode produzir efeitos profundos no setor.
O ecossistema de publicidade programática normalmente envolve dezenas ou até centenas de organizações: sites, aplicativos, plataformas de gerenciamento de consentimento, ad exchanges, demand-side platforms, supply-side platforms, anunciantes e empresas especializadas em dados.
Com a interpretação adotada no caso Xandr, participar dessa cadeia deixa de significar apenas receber dados tecnicamente disponibilizados por outro participante.
Passa a existir uma obrigação própria de accountability, isto é, de demonstrar que o tratamento realizado é juridicamente legítimo.
Outro episódio recente revelou uma dimensão ainda mais sensível do problema.
Em 15 de outubro de 2026, pesquisadores do Citizen Lab e da empresa de segurança Confiant divulgaram investigação sobre a empresa israelense Discover-Tech.
Segundo a investigação relatada pela Reuters, tecnologias originalmente inseridas no ecossistema de publicidade digital teriam sido utilizadas para realizar rastreamento em grande escala.
A infraestrutura teria alcançado anúncios exibidos em mais de 120 mil sites e aproximadamente 75 mil aplicativos, permitindo localizar e identificar dispositivos e, em determinadas circunstâncias, auxiliar operações envolvendo ferramentas de espionagem.
Grandes empresas suspenderam posteriormente o acesso da organização a determinadas plataformas publicitárias, e a IAB Europe retirou a empresa de sua lista de fornecedores.
O episódio demonstra um risco estrutural pouco visível para o usuário comum.
Uma infraestrutura criada para responder à pergunta:
“Qual anúncio devemos mostrar para esta pessoa?”
também pode, tecnicamente, responder perguntas como:
“Onde está esta pessoa?”
“Que dispositivo utiliza?”
“Quais sites e aplicativos frequenta?”
“Quais assuntos parecem interessá-la?”
“A que grupos comportamentais ela pertence?”
É justamente essa capacidade de transformação de dados aparentemente banais em inteligência sobre indivíduos que explica a preocupação crescente das autoridades.
O termo profiling, normalmente traduzido como perfilamento ou criação de perfil, refere-se ao tratamento automatizado de dados pessoais utilizado para avaliar ou prever características de uma pessoa.
Um sistema pode, por exemplo, combinar:
A partir desses elementos, algoritmos podem inferir interesses e características que nunca foram fornecidos diretamente pelo usuário.
Uma pessoa pode nunca informar que está procurando tratamento médico, passando por dificuldades financeiras ou planejando uma gravidez. Entretanto, uma sequência de pesquisas, compras, localização e navegação pode permitir que um sistema probabilístico chegue a essas conclusões.
Por isso, atualmente, a discussão sobre privacidade não se limita aos dados coletados.
Ela alcança também os dados inferidos.
Grande parte desse mercado funciona por meio de Real-Time Bidding (RTB).
Quando alguém abre uma página ou aplicativo, sistemas automatizados realizam uma espécie de leilão eletrônico para decidir qual publicidade será exibida.
Em frações de segundo, diferentes participantes podem receber informações relacionadas àquela oportunidade publicitária.
Dependendo da implementação, podem circular elementos como:
identificador publicitário + características do dispositivo + localização aproximada + página visitada + categorias de interesse + informações comportamentais.
Os anunciantes ou intermediários calculam então quanto estão dispostos a pagar para atingir aquele perfil.
Esse processo acontece tão rapidamente que o usuário normalmente não percebe a quantidade de empresas envolvidas.
O problema regulatório surge quando essas informações permitem identificar, individualizar ou acompanhar uma pessoa ao longo do tempo.
Na União Europeia, o GDPR estabelece atualmente uma das estruturas mais rigorosas para esse tipo de tratamento.
Para publicidade comportamental baseada em rastreamento, consentimento válido ocupa papel central, especialmente quando são utilizados identificadores e tecnologias abrangidas também pelas regras europeias de privacidade das comunicações eletrônicas.
Esse consentimento precisa ser:
livre, específico, informado e inequívoco.
Quando dados sensíveis estão envolvidos, as exigências são ainda maiores.
O recente caso Xandr reforça outro conceito fundamental: a responsabilidade não desaparece porque a informação veio de outra empresa.
Cada participante precisa conhecer a origem dos dados e justificar juridicamente a operação que realiza.
O modelo europeu, portanto, está migrando progressivamente de uma lógica baseada simplesmente em banners de cookies para uma lógica de responsabilização de toda a cadeia tecnológica.
Os Estados Unidos apresentam situação diferente.
O país ainda não possui uma legislação federal geral equivalente ao GDPR europeu ou à LGPD brasileira.
A proteção depende de uma combinação de leis federais específicas, normas estaduais e atuação da Federal Trade Commission — FTC.
A Califórnia possui atualmente uma das legislações mais avançadas.
O California Consumer Privacy Act — CCPA, ampliado pelo California Privacy Rights Act, concede aos consumidores direitos relacionados à coleta, uso, compartilhamento e venda de informações pessoais.
Entre eles está o direito de solicitar que empresas parem de vender ou compartilhar dados pessoais, inclusive mediante sinais automatizados como o Global Privacy Control — GPC.
A Califórnia também intensificou a fiscalização sobre data brokers.
Em janeiro de 2026, a California Privacy Protection Agency anunciou ação envolvendo uma empresa que comercializava listas de consumidores contendo informações relacionadas a doenças, dependência química, idade, suposta raça, opinião política, atividade bancária e hábitos de compra para utilização, entre outras finalidades, em publicidade direcionada.
Outro caso envolveu uma empresa que utilizava bilhões de pontos de dados para construir perfis e audiências personalizadas destinadas à publicidade. Segundo a autoridade californiana, perfis e inferências sobre consumidores também são informações pessoais protegidas pela legislação estadual.
A FTC também tem ampliado sua atuação.
Em 2026, a autoridade chegou a um acordo com a empresa Kochava que restringe a venda e o compartilhamento de informações de localização sensível sem consentimento expresso.
A investigação envolvia dados provenientes de centenas de milhões de dispositivos móveis e capazes, segundo a FTC, de revelar visitas a locais particularmente sensíveis, como clínicas e instituições religiosas.
O modelo norte-americano continua fragmentado, mas a tendência é clara: dados comportamentais e inferências passaram definitivamente para o radar regulatório.
No Brasil, a base jurídica para enfrentar o problema já existe.
A Lei Geral de Proteção de Dados — LGPD adota conceito abrangente de dado pessoal.
A própria ANPD esclarece que hábitos de consumo e aspectos da personalidade podem constituir dados pessoais.
Além disso, o artigo 12, §2º, da LGPD estabelece que dados utilizados para formação do perfil comportamental de uma pessoa natural identificada podem ser considerados dados pessoais.
Portanto, o fato de determinada informação ter sido criada por algoritmo ou inferida estatisticamente não significa automaticamente que ela esteja fora da LGPD.
Se o perfil estiver relacionado a uma pessoa identificada ou identificável, a legislação pode ser aplicável.
Um dos processos mais importantes atualmente em andamento na ANPD envolve a RaiaDrogasil.
A Agência informa que mantém processo administrativo sancionador destinado a investigar possível:
“perfilização comportamental a partir de dados pessoais sensíveis, sem o devido amparo legal, a fim de ofertar publicidade direcionada com contrapartida financeira”.
Ou seja, trata-se diretamente da interseção entre:
dados sensíveis + histórico de consumo + perfilamento + publicidade direcionada + monetização.
O caso teve origem em investigação mais ampla sobre o tratamento de informações pessoais pelo setor farmacêutico.
Em documentação técnica, a ANPD apontou indícios de utilização de informações e histórico de compras para construção de perfis destinados à publicidade direcionada.
Também foram examinadas operações envolvendo a RD Ads, empresa do grupo dedicada ao mercado publicitário.
Um elemento particularmente relevante identificado na investigação é a utilização de técnicas de custom audiences.
Nesse modelo, bases de clientes podem ser comparadas com audiências existentes em plataformas como Google, Meta, YouTube ou TikTok para identificar grupos destinados à entrega de publicidade.
Do ponto de vista técnico, é possível utilizar hashes, identificadores pseudonimizados ou outros mecanismos para realizar esse cruzamento.
Isso, entretanto, não significa necessariamente anonimização.
Essa distinção é fundamental.
Uma das maiores confusões na publicidade digital está no uso da palavra “anonimizado”.
Substituir:
João da Silva
por:
ID 8F93A72
não necessariamente torna o dado anônimo.
Se algum participante possui meios razoáveis de relacionar aquele identificador ao indivíduo, pode existir apenas pseudonimização.
Dados efetivamente anonimizados precisam perder, considerando meios técnicos razoáveis disponíveis, sua capacidade de associação a determinada pessoa.
Essa diferença é particularmente importante em sistemas publicitários porque identificadores aparentemente aleatórios podem ser exatamente o mecanismo utilizado para acompanhar o mesmo usuário em diferentes interações.
Há sinais de que a publicidade comportamental terá atenção crescente da ANPD.
O Mapa de Temas Prioritários 2026–2027 prevê expressamente atividades relacionadas ao monitoramento do uso secundário de dados pessoais para entrega de publicidade comercial direcionada.
A própria documentação técnica utilizada para definir prioridades menciona o tratamento secundário de dados para finalidades incompatíveis com a coleta original, especialmente publicidade direcionada e perfilização, como tema relevante para fiscalização.
Além disso, em 2026 a ANPD iniciou estudos específicos sobre perfilamento e publicidade direcionada a crianças e adolescentes, demonstrando que o assunto deixou de ser exclusivamente uma discussão acadêmica e passou a integrar a agenda regulatória brasileira.
| Aspecto | Brasil | União Europeia | Estados Unidos |
|---|---|---|---|
| Lei geral de proteção de dados | LGPD | GDPR | Não existe uma única lei federal geral |
| Autoridade especializada | ANPD | Autoridades nacionais + EDPB | FTC + autoridades estaduais |
| Perfil comportamental protegido | Sim | Sim | Sim em diversas legislações estaduais |
| Dados inferidos podem ser protegidos | Sim | Sim | Dependente da legislação aplicável |
| Publicidade comportamental | Permitida sob condições | Fortemente regulada | Permitida, mas com crescente direito de opt-out |
| Dados sensíveis | Proteção reforçada | Proteção muito elevada | Varia por Estado e setor |
| Data brokers | Submetidos à LGPD | Submetidos ao GDPR | Crescente regulação específica |
| Fiscalização AdTech | Em expansão | Avançada | Forte em alguns Estados |
| Grandes multas | Ainda relativamente poucas | Frequentes | Variam conforme autoridade e legislação |
| Perfilamento de crianças | Forte tendência de restrição | Altamente restrito | Crescente restrição |
Do ponto de vista normativo, a LGPD oferece ferramentas suficientes para enfrentar muitos dos problemas encontrados na publicidade comportamental.
Princípios como:
finalidade, adequação, necessidade, transparência, prevenção, não discriminação e responsabilização
podem ser aplicados diretamente a operações de perfilamento.
A maior diferença em relação à Europa está atualmente na maturidade do enforcement.
Autoridades europeias acumularam anos de investigações, decisões administrativas e multas envolvendo publicidade, cookies, plataformas digitais e sistemas de rastreamento.
No Brasil, essa jurisprudência administrativa ainda está sendo construída.
Por isso, processos como o da RaiaDrogasil podem produzir efeitos importantes muito além da própria empresa investigada.
Uma eventual decisão poderá ajudar a definir limites para o uso comercial de históricos de consumo e dados sensíveis por todo o mercado brasileiro.
A discussão sobre publicidade comportamental costuma ser reduzida a uma pergunta aparentemente simples:
“Qual o problema de receber anúncios personalizados?”
Essa pergunta, entretanto, ignora a questão principal.
O risco não está apenas no anúncio exibido.
Está na infraestrutura criada para decidir quem deve receber determinado anúncio.
Para chegar a essa decisão, empresas podem construir bancos de dados contendo padrões de comportamento, localização, preferências, consumo, saúde, capacidade econômica e inúmeros outros indicadores.
Esse conjunto pode posteriormente ser utilizado para outras finalidades.
Crédito.
Seguro.
Precificação.
Recrutamento.
Campanhas eleitorais.
Prevenção a fraudes.
Inteligência comercial.
E, como mostrou a investigação envolvendo a Discover-Tech, potencialmente até vigilância e operações de inteligência.
Durante muito tempo, a proteção de dados concentrou-se na informação fornecida diretamente pelo indivíduo.
Nome.
CPF.
Telefone.
Endereço.
O paradigma mudou.
As empresas modernas não precisam necessariamente perguntar ao usuário determinadas informações.
Podem deduzi-las.
Um histórico aparentemente banal de navegação e consumo pode produzir inferências sobre saúde, religião, situação financeira, orientação política, sexualidade ou comportamento.
Nesse cenário, a questão regulatória deixa de ser apenas:
“quais dados a empresa possui?”
e passa a incluir:
“o que a empresa consegue descobrir sobre a pessoa a partir desses dados?”
Essa provavelmente será uma das questões centrais da proteção de dados nos próximos anos.
Os acontecimentos recentes indicam uma mudança importante no modelo de fiscalização.
Reguladores começam a olhar menos para empresas isoladas e mais para o ecossistema de dados.
Site.
Aplicativo.
Plataforma.
AdTech.
Data broker.
Anunciante.
Fornecedor de analytics.
Sistema de inteligência artificial.
Cada participante pode desempenhar papel juridicamente relevante no tratamento.
O precedente envolvendo a Xandr resume essa nova lógica: não basta afirmar que outro participante obteve consentimento.
Quem utiliza dados pessoais precisa compreender sua origem, finalidade, base jurídica e limitações.
Para organizações que atuam no mercado digital, isso significa que governança de dados deixa progressivamente de ser apenas uma obrigação documental.
Passa a exigir conhecimento efetivo sobre como os dados circulam pela arquitetura tecnológica da empresa.
E essa talvez seja a transformação mais importante atualmente em curso na proteção de dados: a publicidade comportamental deixou de ser tratada simplesmente como uma técnica de marketing e passou a ser analisada como aquilo que tecnicamente também é — uma infraestrutura permanente de coleta, classificação e predição do comportamento humano.
European Data Protection Board — Xandr/Microsoft, 16/10/2026: Norwegian DPA fines Xandr EUR 8.6 million
Reuters — Caso Xandr/Grindr: Norway fines Microsoft’s Xandr over Grindr data sharing
Reuters — investigação sobre uso da infraestrutura publicitária para vigilância, 15/10/2026: Israeli firm used online ads to run vast spy operation, researchers say
ANPD — Processos administrativos sancionadores: Fiscalização da ANPD
ANPD — Fiscalização de redes de farmácias: ANPD determina ajustes no tratamento de dados pelo setor farmacêutico
California Attorney General — CCPA: California Consumer Privacy Act
FTC — caso Kochava: FTC v. Kochava
A popularização de smart glasses e outros dispositivos vestíveis equipados com câmeras, microfones e inteligência…
O domínio .br ultrapassou a marca de 6 milhões de endereços registrados, consolidando o Brasil…
O custo médio de uma violação de dados no Brasil atingiu R$ 7,44 milhões em…
Agência avança no monitoramento de sistemas de IA que utilizam dados pessoais e cria novo…
Estudo mostra forte contraste entre a maturidade do SEO tradicional e a capacidade dos sites…
Inteligências artificiais já são utilizadas por crianças e adolescentes para falar sobre sentimentos, problemas pessoais…