Como a LGPD afeta a contratação de uma agência de tráfego pago?

Contratar uma agência de tráfego pago virou uma decisão que mistura performance e conformidade legal — e muita gente só percebe isso quando o contrato já está assinado. Se você gere campanhas no Google, Meta ou TikTok e ainda não sabe o que a LGPD exige dessa relação, este texto foi escrito para você. A seguir, mostramos o que avaliar antes de fechar com uma agência, o que cobrar em contrato e como proteger sua empresa.

O que a LGPD muda quando você terceiriza o tráfego pago

Contratar uma agência de tráfego pago deixou de ser apenas uma decisão comercial sobre orçamento de mídia e passou a envolver uma cadeia de tratamento de dados pessoais com responsabilidades legais definidas. A LGPD se aplica a qualquer operação que colete, armazene, compartilhe ou processe informações de pessoas físicas — e campanhas de Google Ads, Meta Ads ou TikTok Ads fazem exatamente isso, mesmo quando o anunciante não percebe. Cada clique, visualização de pixel, preenchimento de formulário ou upload de lista de clientes gera um rastro de tratamento que a lei regula.

Na prática, a terceirização não transfere a responsabilidade para a agência. O anunciante continua sendo o principal responsável perante a autoridade nacional de proteção de dados e perante os titulares, porque é ele quem define a finalidade do tratamento — gerar leads, vender, remarketing. A agência entra como prestadora de serviço que executa instruções, mas isso não elimina o risco: se a agência usar uma lista de e-mails sem base legal, configurar um público com dado sensível ou vazar um relatório com informações de clientes, o anunciante responde junto. A diferença é que agora existe um contrato, um fluxo de instruções e uma delimitação de papéis que precisam estar documentados.

Outro ponto que muda é a transparência. O usuário que clica num anúncio e cai numa landing page tem o direito de saber quem está tratando seus dados, com qual finalidade e por quanto tempo. Quando a agência opera o pixel, o Gerenciador de Tags e as integrações de CRM, essa transparência precisa estar refletida na política de privacidade do anunciante — não em um documento genérico da agência. A ausência dessa clareza é uma das fragilidades mais comuns em operações terceirizadas de mídia paga.

Quem é controlador e quem é operador na relação com a agência

A LGPD organiza os agentes de tratamento em duas figuras centrais: o controlador, que toma as decisões sobre o tratamento (finalidade, dados coletados, duração, compartilhamento), e o operador, que executa o tratamento em nome do controlador seguindo instruções. Na relação entre anunciante e agência de tráfego pago, o anunciante é, na imensa maioria dos casos, o controlador. É ele quem decide qual campanha rodar, qual público atingir, quais eventos rastrear e o que fazer com o lead gerado. A agência, ao configurar a conta de anúncios, criar públicos e otimizar lances, atua como operadora.

Essa classificação não é burocrática: ela define quem responde a requisições de titulares, quem mantém o registro das operações de tratamento e quem precisa demonstrar conformidade em uma fiscalização. Se o contrato com a agência for omisso, a autoridade pode interpretar que ambos decidiam juntos — e aí a responsabilidade se embaralha. Por isso, a delimitação de papéis precisa estar explícita desde a proposta comercial, não apenas em um anexo jurídico que ninguém lê.

O que a agência decide sozinha e o que depende da sua aprovação

Operador legítimo executa, não decide finalidade. Na rotina de tráfego pago, há uma zona cinzenta: a agência escolhe copy, criativo, segmentação por interesse, estratégia de lance e orçamento diário. Essas decisões operacionais não transformam a agência em controladora, desde que estejam dentro da finalidade definida pelo anunciante — por exemplo, “gerar leads qualificados para o serviço X”. O problema surge quando a agência decide, por conta própria, ampliar o escopo: criar um público lookalike a partir da base de clientes do anunciante, instalar um pixel em páginas que o anunciante não aprovou ou cruzar dados de campanha com uma ferramenta de enriquecimento de leads.

O que precisa de aprovação explícita do anunciante inclui: upload de listas de clientes para as plataformas, instalação de pixels e tags em propriedades digitais, integração com CRM, uso de dados de campanha para treinar modelos de otimização da própria agência e compartilhamento de relatórios com terceiros. Sem essa aprovação documentada, a agência extrapola a condição de operadora e assume decisões de controladora — sem ter assumido formalmente as obrigações correspondentes.

Quando a agência também vira controladora (e o que isso muda)

Existem cenários em que a agência acumula o papel de controladora. O mais comum é quando ela usa os dados de campanha para finalidade própria, como montar benchmark de mercado, treinar algoritmos internos de otimização ou criar um painel agregado que será vendido como inteligência para outros clientes. Nesse momento, a agência deixa de apenas executar a finalidade do anunciante e passa a definir uma finalidade paralela — o que a torna controladora para aquele tratamento específico.

Outro cenário é a agência que atende o cliente final diretamente na ponta do funil: ela recebe o lead, qualifica, faz o primeiro contato e só depois repassa para o anunciante. Nesse desenho, a agência decide como tratar aquele dado durante a qualificação, por quanto tempo o retém e quais informações repassa. Se a agência também define a estratégia de nutrição e o conteúdo do follow-up, a fronteira se desloca ainda mais. Quando isso acontece, o contrato precisa prever obrigações de controladora para a agência: registro de tratamento, canal de atendimento a titulares, base legal própria para o contato comercial e medidas de segurança proporcionais.

Na dúvida, vale aplicar um teste simples: quem decide o “porquê” do tratamento é controlador; quem decide apenas o “como” técnico dentro de um porquê já definido é operador. Se a agência começa a responder pelo “porquê” em qualquer etapa, o contrato e as políticas precisam ser revistos. Essa distinção também importa quando o anunciante avalia quando contratar uma agência de tráfego pago pela primeira vez, porque o desenho da operação define o papel de cada parte antes mesmo da assinatura.

Dados que o tráfego pago realmente movimenta

Campanhas de mídia paga movimentam mais dados do que o nome e o e-mail do lead. Há uma camada de dados de navegação capturada por pixels, uma camada de dados de audiência enviada às plataformas e uma camada de dados de conversão que retorna para o CRM do anunciante. Cada camada tem requisito próprio de base legal, de transparência e de segurança. Ignorar as camadas invisíveis — achando que “só o formulário importa” — é o erro que mais expõe anunciantes em auditorias de conformidade.

O volume também importa: uma campanha de lead com mil conversões mensais gera registros de navegação de dezenas de milhares de usuários que não converteram. Esses dados de não conversão também são dados pessoais tratados, mesmo que nunca cheguem ao CRM. A LGPD não distingue “dado que virou venda” de “dado que passou pelo pixel e foi descartado”. Ambos exigem finalidade definida, base legal e prazo de retenção.

Públicos personalizados, lookalikes e listas enviadas às plataformas

Quando o anunciante envia uma lista de clientes para o Meta Ads ou Google Ads criar um público personalizado, ele está compartilhando dados pessoais com a plataforma — que atua como operadora ou suboperadora, dependendo do desenho contratual. A lista pode conter e-mail, telefone, nome ou identificadores criptografados. Mesmo criptografada, continua sendo dado pessoal para fins da LGPD, porque a plataforma consegue reidentificar o usuário a partir do hash.

O lookalike (público semelhante) adiciona uma camada extra: a plataforma usa a lista do anunciante como semente para encontrar perfis com comportamento similar. O anunciante não vê quem são esses perfis, mas eles são gerados a partir de dados pessoais de terceiros tratados pela plataforma. A transparência para o titular, nesse caso, precisa constar na política de privacidade do anunciante: informar que dados de clientes podem ser usados para criar públicos semelhantes em plataformas de anúncio. Sem essa menção, o tratamento fica sem base de transparência adequada.

Há ainda o risco de a agência enviar listas por conta própria, compradas de terceiros ou montadas a partir de raspagem. Lista comprada não tem consentimento válido e, em muitos casos, nem origem comprovável. Se a agência fizer upload de uma base dessas na conta de anúncios do anunciante, o problema de conformidade nasce na conta do anunciante — e a responsabilidade solidária se instala. O contrato precisa proibir expressamente o uso de listas sem origem documentada e sem base legal.

Pixels, tags, eventos de conversão e dados de navegação

O pixel do Meta, a tag do Google e os eventos de conversão capturam dados de navegação: páginas visitadas, tempo de permanência, dispositivo, endereço IP, ações no site (scroll, clique, formulário iniciado). Esses dados são usados para otimização de campanha, atribuição de conversão e remarketing. Do ponto de vista da LGPD, são dados pessoais porque permitem identificar o usuário direta ou indiretamente — o IP e os identificadores de dispositivo são suficientes para isso.

A instalação desses rastreadores exige transparência prévia e, dependendo da finalidade, consentimento. Remarketing e publicidade comportamental exigem consentimento do titular antes do disparo do pixel, o que se operacionaliza por meio de banner de cookies e ferramentas de gestão de consentimento. Já eventos de conversão estritamente necessários para medir uma ação solicitada pelo usuário podem se apoiar em outra base legal, como execução de contrato ou legítimo interesse — desde que o legítimo interesse seja documentado por meio de teste de balanceamento.

O que a agência não pode fazer é instalar tags em páginas que o anunciante não controla, ou manter pixels ativos após o fim do contrato. Pixel órfão continua coletando dados sem finalidade vigente, o que configura tratamento irregular. A devolução de dados na saída da agência precisa incluir a remoção de acessos a contas de anúncio, Gerenciador de Tags e painéis de analytics — tema que volta na seção contratual.

Leads, formulários e integrações de CRM

O formulário de captura é o ponto em que o dado sai da camada de navegação e vira um registro identificado: nome, e-mail, telefone, empresa, cargo, mensagem. A partir daí, o dado entra no CRM do anunciante, muitas vezes por integração automática via API ou ferramenta de automação. Essa integração é um compartilhamento de dados entre sistemas e precisa estar prevista na política de privacidade e no contrato com a agência, quando é ela quem opera a integração.

Um risco recorrente é a agência manter uma cópia dos leads em planilha própria ou em ferramenta de automação que ela controla, sem que o anunciante saiba. Isso cria um segundo banco de dados fora do controle do controlador, sem registro de tratamento, sem prazo de retenção e sem medida de segurança definida. O contrato precisa determinar que a agência não pode reter cópia de leads fora dos sistemas do anunciante, exceto pelo tempo estritamente necessário à prestação do serviço e com eliminação comprovada ao final.

Outro ponto é o enriquecimento de leads: a agência pode, por conta própria, cruzar o lead com bases públicas ou ferramentas de scoring para qualificar antes de repassar. Esse cruzamento é um novo tratamento com finalidade própria e, se não autorizado, coloca a agência na posição de controladora sem base contratual. O anunciante precisa decidir, por escrito, se autoriza ou veta o enriquecimento — e a resposta muda o desenho de responsabilidades.

Base legal e consentimento nas campanhas

Todo tratamento de dados pessoais precisa se apoiar em uma das bases legais previstas na LGPD. No tráfego pago, as bases mais usadas são consentimento, execução de contrato, legítimo interesse e obrigação legal. A escolha da base não é livre: ela depende da finalidade e da expectativa razoável do titular. Para publicidade comportamental, remarketing e criação de perfis, o consentimento é a regra — e precisa ser livre, informado, inequívoco e revogável.

O erro mais comum é tratar consentimento como curinga. “O usuário aceitou os cookies, então posso fazer qualquer coisa” não vale. O consentimento precisa ser granular: aceitar cookies de análise não autoriza cookies de publicidade; aceitar receber e-mails não autoriza compartilhar o e-mail com plataforma de anúncio. Cada finalidade pede seu próprio consentimento, e o registro dessa coleta precisa ser armazenado para eventual demonstração à autoridade.

Quando consentimento é necessário e quando outra base legal se aplica

Consentimento é necessário quando o tratamento depende de rastreamento do usuário para fins de perfilamento publicitário ou remarketing. Também é necessário para o envio de comunicações de marketing direto, como e-mail de nutrição disparado a partir de um lead que não solicitou contato comercial. Nesses casos, o banner de cookies e o formulário precisam capturar consentimento específico, com registro de data, hora e texto exibido.

Outras bases legais se aplicam em cenários distintos. Se o usuário preencheu um formulário pedindo um orçamento, o tratamento dos dados para responder àquele pedido se apoia em diligências preliminares ou execução de contrato — não é preciso pedir consentimento para responder ao que ele pediu. Se o anunciante precisa guardar notas fiscais e registros de venda por obrigação legal, essa retenção não depende de consentimento. O legítimo interesse pode amparar, por exemplo, a medição agregada de desempenho de campanha sem identificação do usuário, desde que o teste de balanceamento mostre que os direitos do titular não são desproporcionalmente afetados.

O que define a base legal é a finalidade concreta, não o canal. A mesma campanha pode ter tratamentos com bases diferentes: o clique no anúncio e a exibição do pixel de publicidade pedem consentimento; o preenchimento do formulário de contato se apoia em diligências preliminares; a retenção do contrato assinado se apoia em obrigação legal. A agência precisa saber distinguir essas camadas — e o contrato precisa deixar claro quem documenta cada base.

Consent Mode, banners de cookies e o impacto em medição e otimização

O Consent Mode do Google e ferramentas equivalentes em outras plataformas permitem que as tags de anúncio se adaptem ao estado de consentimento do usuário. Quando o usuário nega cookies de publicidade, a tag continua disparando, mas sem identificadores — o que preserva uma medição agregada e modelada, ainda que menos precisa. Essa modelagem é a resposta técnica para o dilema entre conformidade e perda de dados de otimização.

O impacto prático é relevante: sem consentimento, a atribuição de conversão fica dependente de modelagem estatística, e públicos de remarketing ficam restritos a quem consentiu. Campanhas que dependiam de audiências de site perdem volume. A agência precisa saber operar nesse cenário, ajustando a estratégia para públicos baseados em interesse, busca e primeira parte — em vez de insistir em contornar o banner ou usar identificadores proibidos. A maturidade da agência nesse ajuste é um critério de seleção tão importante quanto o custo por lead.

O banner de cookies, por sua vez, precisa bloquear o disparo de cookies de publicidade antes do consentimento — não apenas informar que eles existem. Banner meramente informativo, com cookies já disparando ao carregar a página, não atende à exigência de consentimento prévio. A configuração correta envolve bloqueio por padrão para categorias de publicidade e análise não essencial, com liberação após o aceite. Essa configuração costuma ser responsabilidade do anunciante, mas a agência precisa validar se os eventos que ela depende estão sendo capturados corretamente sob o regime de consentimento.

Dados sensíveis em segmentações: o que não pode ser usado como público

A LGPD dá proteção reforçada a dados sensíveis: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Usar esses atributos para segmentar anúncios é, em regra, proibido ou exige base legal específica que raramente se aplica a campanhas comerciais.

Na prática, isso veta segmentações como “mulheres grávidas”, “pessoas com diabetes”, “usuários interessados em clínicas de reabilitação” ou “eleitores de determinado partido” — mesmo que a plataforma ofereça a opção de segmentação. O fato de a plataforma disponibilizar o público não torna o uso lícito. O anunciante e a agência respondem pela escolha do público, e a defesa de “a plataforma permitia” não afasta a irregularidade.

Há uma zona de atenção em públicos inferidos: a plataforma pode classificar usuários em interesses sensíveis a partir de comportamento, sem que o anunciante tenha pedido explicitamente. Se o anunciante usa públicos amplos e a plataforma otimiza para um perfil sensível, a responsabilidade é mais difusa, mas o anunciante que não monitora as segmentações efetivamente exibidas assume risco. O contrato com a agência deve prever a obrigação de revisar periodicamente os públicos e reportar qualquer segmentação que se aproxime de atributo sensível, com bloqueio imediato.

O que exigir no contrato com a agência de tráfego pago

O contrato é o instrumento que transforma a conformidade abstrata em obrigação verificável. Sem cláusulas específicas de proteção de dados, a relação fica regida apenas pela boa-fé — e, em caso de incidente, cada parte tentará empurrar a responsabilidade para a outra. Um contrato bem desenhado define papéis, finalidades, prazos, suboperadores, fluxo de resposta a titulares e consequências de descumprimento.

Não basta inserir uma cláusula genérica dizendo que “as partes cumprem a LGPD”. Isso não define nada e não protege ninguém. O contrato precisa descer ao nível operacional: quais dados a agência acessa, para quais finalidades, em quais sistemas, por quanto tempo, com quais suboperadores e com qual procedimento de devolução ao final. Quanto mais específico, menor o espaço para interpretação divergente em uma fiscalização ou disputa.

Cláusulas de tratamento de dados, finalidade e retenção

A cláusula de tratamento precisa listar os dados envolvidos — leads, dados de navegação, listas de público, dados de CRM — e vincular cada um a uma finalidade determinada. “A agência tratará os dados para executar as campanhas contratadas” é insuficiente. O ideal é descrever: a agência acessará a conta de anúncios para configurar campanhas; poderá criar públicos personalizados mediante autorização prévia por escrito; poderá visualizar leads no CRM apenas para fins de otimização de conversão; não poderá exportar leads para sistemas próprios.

A retenção também precisa de prazo. Dados de campanha em relatórios podem ser mantidos pela agência pelo período do contrato mais um prazo curto para encerramento, após o qual devem ser eliminados ou devolvidos. Leads não podem ser retidos pela agência após o repasse ao anunciante, salvo obrigação legal específica. A cláusula deve prever comprovação de eliminação — um simples “confirmamos que apagamos” por e-mail é fraco; o ideal é um procedimento com evidência, como captura de tela do sistema vazio ou declaração formal com responsabilidade.

Vale incluir também a obrigação de a agência manter registro das operações de tratamento que executa em nome do anunciante, com finalidade, categoria de dados, prazo e base legal. Esse registro é o que a autoridade pede em fiscalização, e o anunciante não consegue produzi-lo sozinho se a agência não documentou nada.

Suboperadores: plataformas de anúncio, ferramentas de automação e IA

A agência raramente trata os dados sozinha. Ela usa Google Ads, Meta Ads, TikTok Ads, ferramentas de automação, CRMs, plataformas de relatório e, cada vez mais, ferramentas de IA para gerar criativos e analisar dados. Cada um desses fornecedores é um suboperador — e a LGPD exige que o operador só subcontrate com autorização do controlador e com as mesmas garantias de proteção.

O contrato precisa prever que a agência só pode usar suboperadores previamente aprovados pelo anunciante, com lista anexa e procedimento de atualização. Se a agência quiser usar uma nova ferramenta de IA para analisar leads, precisa comunicar antes. Se a ferramenta de IA envia dados para processamento em outro país, isso precisa estar mapeado na transferência internacional. A omissão sobre suboperadores é a porta de entrada para vazamentos em ferramentas que o anunciante nem sabia que existiam.

Ferramentas de IA generativa merecem atenção extra: se a agência cola leads ou dados de campanha em um prompt de IA para gerar relatório ou criativo, está compartilhando dados pessoais com o provedor da IA. Dependendo da ferramenta, esse dado pode ser usado para treinar modelos — o que configura finalidade incompatível. O contrato deve proibir o uso de dados pessoais em ferramentas de IA sem autorização específica e sem garantia de não treinamento.

Confidencialidade, devolução de dados e saída da agência

A cláusula de confidencialidade precisa cobrir não apenas segredos comerciais, mas também dados pessoais tratados em razão do contrato. O dever de sigilo deve sobreviver ao fim do contrato, sem prazo de expiração para dados pessoais. Também é recomendável prever que a agência não pode usar dados de campanha do anunciante para benchmark, estudo de caso ou material comercial sem autorização expressa — mesmo que anonimizados, o processo de anonimização precisa ser robusto e irreversível.

A saída da agência é o momento de maior risco operacional. O contrato precisa prever: devolução de todos os dados tratados em formato utilizável; eliminação de cópias em sistemas da agência; remoção de acessos a contas de anúncio, Gerenciador de Tags, CRM e ferramentas de automação; e prazo para conclusão dessas etapas. Sem isso, o anunciante fica com pixels ativos que não controla, leads em planilhas que não enxerga e contas com acesso de ex-funcionários da agência.

Uma cláusula de saída bem feita também define quem responde por campanhas em andamento durante a transição e quem arca com o custo de migração de contas. Contas de anúncio criadas pela agência em nome do anunciante devem estar desde o início no nome e no e-mail corporativo do anunciante — não em conta pessoal da agência. Essa simples definição evita o pior cenário: perder acesso ao histórico de campanhas e aos públicos construídos ao longo do contrato. Esse ponto se conecta com a discussão sobre quando faz sentido aumentar o investimento em tráfego pago com a agência atual, porque a continuidade da operação depende de o anunciante manter o controle sobre os ativos de dados.

Responsabilidades e indenização em caso de incidente

A cláusula de responsabilidade precisa prever o que acontece se houver vazamento, uso indevido de lista, segmentação irregular ou descumprimento de instrução do anunciante. O ideal é vincular a responsabilidade à conduta: se o incidente decorreu de ação da agência fora das instruções, a agência responde; se decorreu de instrução do anunciante, o anunciante responde; se decorreu de falha de suboperador, aplica-se o que o contrato definir sobre suboperadores.

A indenização precisa cobrir multas administrativas, custos de notificação a titulares, custos de resposta a requisições, honorários de consultoria para remediação e danos morais coletivos ou individuais comprovados. Muitas apólices de seguro de responsabilidade civil não cobrem multas administrativas — o que torna a cláusula de indenização ainda mais relevante. O anunciante também deve exigir que a agência mantenha seguro de responsabilidade civil com cobertura para incidentes de privacidade, com comprovação anual.

Não se deve aceitar cláusula que limite a responsabilidade da agência a “o valor pago nos últimos três meses”. Em incidente de dados, o dano pode superar em muito o valor do contrato — e a limitação genérica tende a ser questionada em juízo quando há culpa grave ou dolo. O equilíbrio razoável é limitar a responsabilidade por lucros cessantes, mas não por danos decorrentes de violação à LGPD.

O que define o custo de adequar a operação de tráfego à LGPD

O custo de adequação não é uma tabela fixa; ele depende de fatores estruturais que variam de anunciante para anunciante. O primeiro fator é o estado atual da operação: uma empresa que já tem política de privacidade atualizada, banner de cookies configurado e contrato com cláusulas de dados gasta menos do que uma que precisa começar do zero. O segundo fator é o volume e a sensibilidade dos dados: campanhas que usam listas de clientes, integração de CRM e públicos personalizados exigem mais documentação do que campanhas de tráfego frio sem coleta de lead.

O terceiro fator é a complexidade da cadeia de suboperadores. Quanto mais ferramentas a agência e o anunciante usam — automação, IA, analytics, CRM, plataformas de relatório —, maior o esforço de mapeamento, de análise de transferência internacional e de adequação contratual. O quarto fator é o nível de maturidade da agência: uma agência que já tem fluxo de conformidade documentado reduz o custo do anunciante; uma agência que precisa ser conduzida do zero aumenta o tempo e o risco.

Há ainda o custo de manutenção: conformidade não é projeto com data de término. Revisão de bases legais, atualização de política quando a operação muda, treinamento de equipe e resposta a requisições de titulares são custos recorrentes. Na prática, o custo de adequação se distribui entre honorários de consultoria jurídica especializada, ferramentas de gestão de consentimento, horas internas de mapeamento e eventual adequação de sistemas. Anunciantes que tratam isso como custo fixo de entrada tendem a subestimar o esforço contínuo.

Como avaliar se uma agência é realmente preparada para LGPD

A maioria das agências diz que está “em conformidade com a LGPD”. A afirmação sem evidência vale pouco. O que separa uma agência preparada de uma que apenas repete o jargão é a capacidade de responder perguntas operacionais com precisão: qual base legal sustenta cada tratamento da campanha, como funciona o fluxo de resposta a titular, quais suboperadores são usados, onde os dados ficam armazenados e por quanto tempo.

A avaliação precisa acontecer antes da assinatura, no mesmo nível de rigor dedicado a portfólio, preço e prazo. Uma agência com excelente performance de mídia e zero governança de dados pode gerar leads a um custo baixo e, ao mesmo tempo, criar um passivo regulatório que custa mais do que a economia. O processo seletivo deve incluir perguntas técnicas e revisão de documentos — não apenas a apresentação comercial.

Perguntas para fazer na reunião comercial

• Quais dados pessoais vocês vão acessar e tratar na nossa operação?
• Qual base legal vocês consideram para cada tratamento — pixel, lista, lead, remarketing?
• Quais suboperadores e ferramentas vocês usam, incluindo IA e automação?
• Onde os dados ficam armazenados e por quanto tempo vocês os retêm?
• Como vocês respondem a uma requisição de titular que chega por causa de uma campanha?
• Vocês têm registro das operações de tratamento e política interna de privacidade?
• Como tratam a transferência internacional de dados nas plataformas de anúncio?
• O que acontece com os dados e acessos quando o contrato termina?
• Vocês já passaram por auditoria ou avaliação de conformidade com a LGPD?
• Quem é o encarregado de proteção de dados da agência e como acioná-lo?

Sinais de alerta: práticas que colocam sua empresa em risco

• Agência que diz que “LGPD é problema do jurídico, não da mídia”.
• Uso de listas compradas ou raspadas para públicos personalizados.
• Instalação de pixels e tags sem aprovação prévia do anunciante.
• Retenção de leads em planilhas próprias sem prazo de eliminação.
• Segmentação por atributos sensíveis, mesmo que a plataforma permita.
• Conta de anúncios criada em e-mail pessoal da agência, não do anunciante.
• Recusa a assinar cláusulas específicas de proteção de dados.
• Uso de ferramentas de IA com dados de campanha sem autorização.
• Ausência de encarregado de dados ou canal de privacidade na agência.
• Promessa de “conformidade total” sem conseguir explicar uma base legal.

Transferência internacional de dados e plataformas estrangeiras

Google Ads, Meta Ads e TikTok Ads são plataformas operadas por empresas sediadas fora do Brasil. Os dados de campanha — cliques, impressões, conversões, listas de público — transitam por servidores em outros países. A LGPD permite transferência internacional, mas exige que o país de destino ofereça grau de proteção adequado ou que existam garantias contratuais, como cláusulas-padrão, normas corporativas globais ou certificações reconhecidas.

Na prática, as grandes plataformas se apoiam em mecanismos próprios de transferência, como cláusulas contratuais-padrão e, no caso de EUA, em decisões de adequação que variam ao longo do tempo. O anunciante não precisa auditar o data center do Google, mas precisa mapear a transferência, informá-la na política de privacidade e exigir que a agência use apenas plataformas com garantias documentadas. A omissão da transferência internacional na política de privacidade é uma das falhas mais apontadas em avaliações de conformidade.

Quando a agência é estrangeira, o problema ganha outra camada: o próprio serviço de gestão pode envolver acesso remoto aos dados a partir de outro país, e o contrato precisa prever a lei aplicável e o foro. Para anunciantes brasileiros que consideram esse desenho, a decisão passa por avaliar se a economia compensa o esforço adicional de conformidade — tema que se conecta com a pergunta sobre se vale a pena contratar agência internacional para gerir tráfego pago no Brasil. A resposta, do ponto de vista de proteção de dados, quase sempre exige mais documentação, não menos.

Incidentes, fiscalização e o que acontece na prática

Incidente de segurança com dados pessoais é qualquer acesso não autorizado, perda, alteração ou vazamento — inclusive um relatório de campanha com nomes de leads enviado por engano para o e-mail errado. A LGPD exige comunicação à autoridade nacional e aos titulares afetados quando o incidente puder acarretar risco ou dano relevante. A avaliação de risco é do controlador, com apoio do operador, e precisa ser documentada.

Na relação com a agência, o incidente pode nascer em qualquer ponta: na conta de anúncios invadida, na planilha de leads vazada, na ferramenta de automação comprometida, no pixel mal configurado que capturou dado sensível. O contrato precisa prever prazo curto para a agência comunicar o incidente ao anunciante — 24 a 48 horas é o padrão de mercado — e obrigação de cooperar na investigação e na notificação. Atraso na comunicação pela agência agrava a posição do anunciante perante a autoridade.

Multas, sanções e responsabilidade solidária

A autoridade nacional pode aplicar sanções que incluem advertência, multa simples ou diária, publicização da infração, bloqueio e eliminação de dados. Os valores de multa são calculados sobre o faturamento da empresa, o que torna a exposição proporcional ao porte do anunciante — não ao valor do contrato com a agência. Uma infração de tratamento em campanha de tráfego pode gerar multa que supera em muitas vezes o investimento mensal em mídia.

A responsabilidade solidária se aplica quando há mais de um agente de tratamento causando o dano. Se a agência configurou um público irregular e o anunciante aprovou a campanha sem revisar, ambos respondem. Se a agência agiu fora das instruções, o anunciante ainda pode ser chamado a responder perante o titular, com direito de regresso contra a agência — mas o direito de regresso é uma disputa posterior, não uma blindagem automática. A melhor proteção é preventiva: instruções claras, aprovações documentadas e monitoramento contínuo.

Além da sanção administrativa, há o dano reputacional. A publicização da infração pela autoridade expõe a marca do anunciante, não a da agência. O consumidor que recebeu anúncio baseado em dado sensível não sabe quem configurou a segmentação; ele associa a prática à marca anunciada. Por isso, a diligência na contratação da agência é também proteção de marca — não apenas conformidade regulatória.

Como responder a um pedido de titular que chegou por causa de uma campanha

O titular pode, a qualquer momento, pedir confirmação de tratamento, acesso aos dados, correção, eliminação, portabilidade ou revogação de consentimento. Se o pedido chega porque o usuário viu um anúncio e quer saber como seus dados foram usados, o anunciante precisa responder em prazo razoável — e a resposta depende de informações que a agência detém: quais públicos o usuário integrava, quais eventos de conversão foram registrados, quais listas foram usadas.

O contrato precisa prever que a agência atenderá às solicitações do anunciante relacionadas a requisições de titulares em prazo curto, fornecendo os dados necessários para a resposta. Sem essa cláusula, o anunciante fica refém da boa vontade da agência em meio a um prazo legal. O fluxo ideal é: o anunciante recebe o pedido, aciona a agência por canal definido, a agência extrai as informações da conta de anúncios e das ferramentas, e o anunciante responde ao titular no prazo.

A revogação de consentimento tem efeito específico em tráfego pago: o usuário que revoga o consentimento para publicidade deve ser removido dos públicos de remarketing e das listas de contato. A operacionalização disso depende de integração entre a ferramenta de consentimento, o CRM e as plataformas de anúncio — e a agência é quem executa a remoção técnica. Se a remoção não acontece, o consentimento revogado continua sendo violado a cada nova exibição de anúncio, o que agrava a infração.

Checklist de conformidade antes de assinar com a agência

• Papéis definidos por escrito: anunciante como controlador, agência como operadora, com exceções mapeadas.
• Finalidades de tratamento listadas no contrato, vinculadas a cada categoria de dado.
• Base legal identificada para pixel, listas de público, leads e remarketing.
• Banner de cookies com bloqueio prévio para categorias de publicidade e análise.
• Política de privacidade atualizada, mencionando plataformas de anúncio e transferência internacional.
• Lista de suboperadores aprovada, incluindo ferramentas de automação e IA.
• Proibição expressa de uso de listas compradas, raspadas ou sem origem documentada.
• Proibição de segmentação por dados sensíveis e obrigação de revisão periódica de públicos.
• Cláusula de retenção com prazo e comprovação de eliminação ao final do contrato.
• Fluxo de resposta a requisições de titulares com prazo de atendimento pela agência.
• Cláusula de incidente com prazo de comunicação de 24 a 48 horas e cooperação na notificação.
• Contas de anúncio e ativos de mídia em propriedade do anunciante, com acesso administrativo.
• Cláusula de saída com devolução de dados, remoção de acessos e eliminação de cópias.
• Comprovação de que a agência mantém registro de operações de tratamento e encarregado de dados.
• Revisão jurídica do contrato antes da assinatura, com foco nas cláusulas de proteção de dados.

Perguntas frequentes sobre LGPD e agência de tráfego pago

A agência responde sozinha se usar uma lista irregular?

Não. O anunciante pode ser responsabilizado solidariamente, porque é o controlador do tratamento e responde perante o titular e a autoridade. O direito de regresso contra a agência existe, mas é uma disputa posterior. A prevenção está em proibir o uso de listas irregulares no contrato e auditar os públicos efetivamente usados.

Preciso de consentimento para toda campanha de tráfego pago?

Não. O consentimento é exigido para publicidade comportamental, remarketing e comunicação de marketing direto. Tratamentos como responder a um pedido de orçamento ou reter nota fiscal se apoiam em outras bases legais. O que não pode é usar consentimento como justificativa genérica para tudo.

O pixel da plataforma de anúncio é problema do anunciante ou da agência?

Dos dois, em camadas diferentes. O anunciante é responsável pela transparência e pela base legal do rastreamento em seu site. A agência é responsável por instalar e operar o pixel conforme as instruções e a finalidade definida. Se a agência instala pixel sem autorização ou em páginas não aprovadas, assume responsabilidade própria — mas o anunciante continua exposto perante o titular.

Posso usar dado de saúde para segmentar anúncio de clínica?

Em regra, não. Dado de saúde é sensível e exige base legal específica que campanhas comerciais raramente conseguem demonstrar. Segmentar por condição de saúde, mesmo que a plataforma ofereça o público, configura tratamento irregular. O caminho seguro é segmentar por interesse amplo e comportamento, sem atributo sensível.

O que acontece se a agência sumir com os dados no fim do contrato?

O contrato precisa prever devolução e eliminação com prazo e comprovação. Se a agência desaparecer sem cumprir, o anunciante deve documentar as tentativas de contato e, se necessário, acionar a via judicial. A prevenção mais eficaz é manter as contas de anúncio e o CRM em propriedade do anunciante desde o início, para que a saída da agência não signifique perda de acesso aos dados.

Contratar agência remota ou de outro país muda algo na LGPD?

Muda. Agência estrangeira acessando dados a partir de outro país configura transferência internacional, que exige garantias adicionais e cláusulas contratuais específicas. Mesmo agência remota dentro do Brasil precisa demonstrar controle de acesso e segurança no ambiente de trabalho distribuído. A avaliação é semelhante à feita para agência 100% remota versus agência com escritório físico, com o acréscimo da camada de proteção de dados.

Quem responde se o usuário pedir para excluir os dados dele da campanha?

O anunciante responde ao titular, mas depende da agência para executar a exclusão técnica: remover o usuário de públicos, listas e ferramentas de automação. O contrato precisa obrigar a agência a executar essas exclusões em prazo curto e a comprovar a remoção. Sem essa cláusula, o anunciante corre o risco de não conseguir cumprir o prazo legal de resposta.