Uma campanha de tráfego pago envolve anunciante, agência, freelancer de mídia, plataformas de anúncios e ferramentas integradas — e quando um incidente com dados pessoais acontece nesse emaranhado, a primeira pergunta costuma ser justamente quem é responsável legalmente por vazamento de dados durante uma campanha de tráfego pago. Este texto percorre os papéis de cada parte, o que dizem os contratos e como a autoridade reguladora enxerga o caso, para você saber onde sua empresa se posiciona antes que o problema apareça.
O que caracteriza um vazamento de dados em campanhas de tráfego pago
Vazamento de dados em campanhas de tráfego pago é qualquer incidente de segurança que comprometa a confidencialidade, a integridade ou a disponibilidade de dados pessoais tratados para fins de publicidade digital. Isso inclui desde a exposição acidental de uma planilha com leads até o acesso não autorizado a um pixel que transmite informações de visitantes para um servidor de terceiros. A Lei Geral de Proteção de Dados define incidente de segurança como acesso não autorizado, perda, alteração, vazamento ou qualquer forma de tratamento inadequado ou ilícito de dados pessoais.
O contexto do tráfego pago amplia a superfície de risco porque a campanha envolve, em poucos dias, coleta massiva de dados, integração entre plataformas e circulação de informações entre anunciante, agência e fornecedores de tecnologia. Um único formulário de captura mal configurado pode expor nome, e-mail, telefone e até dados de navegação de milhares de titulares. A caracterização do vazamento independe de o incidente ter origem em falha técnica, erro humano ou conduta dolosa: o que importa é que dados pessoais deixaram de estar sob controle seguro.
Coleta de dados em formulários, pixels e públicos personalizados
Formulários de captura são a porta de entrada clássica de dados pessoais em campanhas de tráfego pago. Neles, o anunciante coleta nome, e-mail, telefone, cargo e, em alguns casos, informações de navegação vinculadas a um identificador único. O pixel de conversão do Meta Ads ou do Google Ads, por sua vez, registra eventos como visualização de página, clique em botão e preenchimento de formulário, transmitindo metadados que podem identificar o usuário quando combinados com outras bases.
Públicos personalizados criados a partir de listas de clientes representam outro vetor de risco. Quando o anunciante envia uma lista de e-mails ou telefones para a plataforma gerar um público semelhante, essa base transita entre sistemas e fica sujeita a interceptação, uso indevido pela própria plataforma ou vazamento por falha de configuração. A LGPD considera essa operação como tratamento de dados pessoais, e o envio da lista sem base legal adequada já configura irregularidade — mesmo que nenhum vazamento ocorra.
Vazamento por falha de segurança, compartilhamento indevido e uso além da finalidade
Falha de segurança abrange desde a ausência de criptografia em uma integração de CRM até a exposição pública de um dashboard de relatórios com dados de leads. Compartilhamento indevido ocorre quando a agência repassa a lista de contatos capturada para um parceiro comercial sem autorização do anunciante ou sem previsão contratual. Uso além da finalidade acontece quando dados coletados para uma campanha de geração de leads são reutilizados, por exemplo, para disparo de e-mail marketing não relacionado à oferta original.
Essas três categorias produzem consequências jurídicas distintas. O vazamento por falha de segurança tende a acionar a obrigação de comunicação à ANPD e aos titulares. O compartilhamento indevido e o uso além da finalidade configuram violação direta aos princípios da finalidade e da adequação, podendo gerar sanção mesmo sem exposição pública dos dados. Em campanhas de tráfego pago, os três cenários frequentemente se sobrepõem no mesmo incidente.
Quem são os agentes envolvidos na campanha
Uma campanha de tráfego pago raramente envolve apenas duas partes. Na prática, formam-se cadeias de tratamento com anunciante, agência, freelancer, plataforma de anúncios, ferramenta de automação, CRM e provedor de hospedagem. A LGPD organiza esses papéis em figuras jurídicas: controlador, operador e encarregado. A definição de quem ocupa cada posição determina quem responde primariamente pelo vazamento.
- Anunciante: decide quais dados coleta, para quê e por quanto tempo
- Agência de tráfego: executa campanhas, configura pixels e gerencia públicos
- Plataforma de anúncios: processa dados para exibição e otimização de anúncios
- Ferramentas de terceiros: CRMs, automações e softwares de relatório integrados à campanha
- Freelancer de mídia paga: opera contas de anúncio sob orientação do anunciante ou da agência
A distinção entre essas figuras não é burocrática: ela define quem deve demonstrar base legal, quem responde à ANPD e quem arca com indenizações. Um erro comum é supor que a agência, por operar a conta de anúncios, é automaticamente a responsável principal. Na estrutura da LGPD, a posição de controlador recai sobre quem tem o poder de decisão sobre o tratamento — e, na maioria das campanhas, esse papel pertence ao anunciante.
Anunciante como controlador dos dados
O anunciante é, em regra, o controlador: ele define a finalidade da campanha, decide quais dados serão coletados nos formulários, autoriza a criação de públicos personalizados e determina por quanto tempo os leads ficarão armazenados. Essa posição decorre da própria natureza da relação comercial — a agência executa uma estratégia definida pelo contratante, não cria uma finalidade própria para os dados.
Como controlador, o anunciante responde diretamente perante os titulares e a ANPD por qualquer irregularidade no tratamento, inclusive vazamentos causados por terceiros contratados. A lei impõe ao controlador o dever de instruir o operador, fiscalizar suas atividades e exigir comprovação de medidas de segurança. Se a agência configurar mal um pixel e isso expor dados, o anunciante pode ser chamado a responder — sem prejuízo de ação de regresso contra a agência.
Agência de tráfego pago como operadora
A agência de tráfego pago atua, na maior parte dos casos, como operadora: trata dados pessoais em nome do anunciante, seguindo suas instruções. Isso vale para a configuração de campanhas no Google Ads e Meta Ads, gestão de públicos, instalação de pixels e geração de relatórios. A condição de operadora não isenta a agência de responsabilidade — ela responde pelos danos que causar quando descumprir a LGPD ou as instruções lícitas do controlador.
Há situações em que a agência assume posição de controladora, como quando decide por conta própria reutilizar dados de leads de um cliente para campanhas de outro, ou quando cria uma base própria de contatos a partir das campanhas que gerencia. Nesses casos, a agência responde solidariamente pelos danos. A fronteira entre operação e controladoria depende do grau de autonomia decisória que a agência exerce sobre a finalidade e os meios do tratamento.
Plataformas de anúncios e ferramentas de terceiros
Google Ads, Meta Ads e TikTok Ads operam como operadoras ou controladoras independentes, dependendo do serviço e da jurisdição. Quando processam dados para exibição de anúncios, elas atuam como operadoras do anunciante em relação aos dados que recebem para públicos personalizados. Em outros fluxos, como medição de conversões e atribuição, as plataformas podem tratar dados para finalidades próprias, assumindo posição de controladoras.
Ferramentas de terceiros — CRMs, plataformas de automação, softwares de relatório, integradores de dados — formam uma camada adicional de risco. Cada integração entre a landing page, o formulário, o CRM e a plataforma de anúncios representa um ponto de transferência de dados. Se um desses fornecedores sofre um vazamento, a cadeia de responsabilidade precisa ser reconstruída a partir dos contratos e das configurações técnicas de cada integração.
O que diz a LGPD sobre responsabilidade por vazamento
A LGPD estabelece um regime de responsabilidade que combina deveres preventivos, obrigação de comunicação e sanções administrativas. O texto legal não cria uma regra única de “quem paga o quê” para todos os casos; ele distribui responsabilidades conforme a posição de cada agente e o dano efetivamente causado. A análise parte sempre da identificação do controlador e do operador em cada fluxo de dados da campanha.
Além da responsabilidade civil, a lei prevê sanções administrativas aplicadas pela ANPD, que vão de advertência a multa de até 2% do faturamento da empresa no Brasil, limitada a 50 milhões de reais por infração. Em incidentes de vazamento, a ausência de comunicação à autoridade e aos titulares costuma agravar a penalidade tanto quanto o próprio incidente. A lei também admite responsabilização por dano moral coletivo quando o vazamento atinge um número expressivo de titulares.
Controlador e operador: deveres e responsabilidades distintas
O controlador tem o dever de manter registro das operações de tratamento, adotar medidas de segurança proporcionais ao risco, elaborar relatório de impacto quando o tratamento for de alto risco e comunicar incidentes à ANPD e aos titulares. O operador, por sua vez, deve seguir as instruções do controlador, manter os dados seguros e comunicar imediatamente qualquer incidente ao controlador — não diretamente à ANPD, salvo se o contrato ou a lei assim determinar.
Essa assimetria de deveres tem efeito prático direto em campanhas de tráfego pago. Se um vazamento ocorre na ferramenta de automação contratada pela agência, a agência deve comunicar o incidente ao anunciante, que por sua vez comunica à ANPD. A falha da agência em avisar o controlador em tempo hábil pode torná-la corresponsável pelo agravamento do dano, ainda que o vazamento tenha origem em fornecedor terceirizado.
Responsabilidade solidária e hipóteses de exclusão
A LGPD prevê responsabilidade solidária entre controladores e operadores quando ambos descumprem a lei ou quando o operador age fora das instruções lícitas do controlador. Na prática, isso significa que o titular lesado pode cobrar a indenização integral de qualquer um dos agentes envolvidos, que depois busca o ressarcimento proporcional dos demais. Em vazamento durante campanha de tráfego pago, anunciante, agência e fornecedor de tecnologia podem ser acionados conjuntamente.
As hipóteses de exclusão de responsabilidade são restritas. O agente não responde se provar que não realizou o tratamento de dados, que não houve violação à legislação ou que o dano decorre exclusivamente de culpa do titular ou de terceiro. A mera existência de contrato transferindo responsabilidade entre anunciante e agência não afasta a responsabilidade perante o titular — ela regula apenas a relação interna entre as partes.
Responsabilidade civil e consequências para o anunciante
O anunciante concentra a maior exposição jurídica em caso de vazamento, justamente por sua posição de controlador. Ele responde perante os titulares mesmo quando o incidente foi causado por falha da agência ou de uma ferramenta terceirizada. A responsabilidade civil na LGPD é objetiva em parte da doutrina e da jurisprudência: não é necessário provar culpa do controlador, bastando demonstrar o dano e o nexo com o tratamento de dados.
As consequências práticas incluem indenizações por dano moral individual, ações civis públicas por dano moral coletivo, sanções administrativas da ANPD, perda de contratos comerciais e dano reputacional. Para pequenas e médias empresas, uma multa administrativa elevada ou uma condenação em ação coletiva pode inviabilizar a operação. Por isso, a prevenção e a resposta rápida a incidentes são mais relevantes do que a discussão teórica sobre culpa.
Dano moral coletivo e individual em vazamentos de dados
O dano moral individual em vazamento de dados é reconhecido quando o titular sofre exposição de informações pessoais, risco concreto de fraude, uso indevido de identidade ou simplesmente a perda de controle sobre seus dados. Tribunais brasileiros têm oscilado entre reconhecer dano presumido em vazamentos de grande escala e exigir demonstração de prejuízo concreto, mas a tendência é de reconhecimento do dano moral pela própria exposição indevida.
O dano moral coletivo ocorre quando o vazamento atinge uma coletividade de titulares e afeta valores fundamentais da sociedade, como a confiança no ambiente digital e a proteção de dados como direito difuso. Em campanhas de tráfego pago com grande volume de leads, um único incidente pode gerar tanto ações individuais quanto ação coletiva movida pelo Ministério Público ou por associações de defesa do consumidor.
Sanções administrativas da ANPD e seus critérios
A ANPD aplica sanções considerando critérios previstos na própria LGPD: gravidade e natureza da infração, boa-fé do infrator, vantagem auferida, condição econômica, reincidência, grau do dano, cooperação com a autoridade e adoção de mecanismos de mitigação. A sanção pode variar de advertência com prazo para correção até multa simples ou diária, publicização da infração, bloqueio e eliminação dos dados.
Em vazamentos originados de campanhas digitais, a ANPD tende a considerar agravantes como a ausência de comunicação do incidente no prazo legal, a inexistência de medidas técnicas de segurança documentadas e a falta de base legal para o tratamento dos dados expostos. Atuam como atenuantes a comunicação tempestiva, o plano de resposta a incidentes executado e a cooperação plena com a investigação.
Como o contrato entre anunciante e agência define a responsabilidade
O contrato de prestação de serviços de tráfego pago é o principal instrumento de alocação de responsabilidade entre anunciante e agência. Ele deve definir quem é controlador e quem é operador, quais dados serão tratados, com que finalidade, por quanto tempo e com quais medidas de segurança.
Cláusulas genéricas como “a agência se responsabiliza pela segurança dos dados” têm valor limitado se não vierem acompanhadas de obrigações específicas, procedimentos de incidente e mecanismos de fiscalização. O contrato também precisa prever o destino dos dados ao fim da campanha: devolução, eliminação ou retenção para relatórios. A ausência de previsão sobre o pós-campanha é fonte recorrente de litígio.
Cláusulas essenciais de proteção de dados e responsabilidade
- Definição expressa de controlador e operador para cada fluxo de dados
- Finalidades específicas do tratamento e proibição de uso secundário
- Medidas técnicas de segurança exigidas da agência e de subcontratados
- Obrigação de comunicação de incidente em prazo determinado
- Dever de auditoria e comprovação de conformidade pela agência
- Destino dos dados após encerramento do contrato
- Regras de indenização e ação de regresso entre as partes
Uma cláusula de indenização bem construída não transfere a responsabilidade perante o titular — isso a lei não permite — mas define quem arcará com o custo final. Se a agência causou o vazamento por configuração incorreta, o contrato pode prever que ela indenizará o anunciante por multas, condenações e custos de resposta ao incidente. Para saber se a agência contratada tem estrutura para cumprir essas obrigações, vale avaliar o porte e a estrutura da agência antes da assinatura.
O que acontece quando o contrato é omisso
Quando o contrato não trata de proteção de dados, aplica-se integralmente o regime legal da LGPD: o anunciante responde como controlador, a agência como operadora, e a responsabilidade perante terceiros segue as regras gerais de solidariedade. A omissão contratual não exime ninguém; apenas elimina a previsibilidade sobre quem arcará com custos internos de defesa, multas e indenizações.
Na prática, a omissão empurra todo o ônus financeiro para o anunciante, que terá de arcar com a defesa, as sanções e as indenizações, e depois tentar recuperar valores da agência em ação de regresso — processo longo e de resultado incerto. Por isso, a revisão contratual antes do início da campanha é medida de proteção mínima. A mesma lógica vale para ferramentas de terceiros: sem contrato com cláusulas de proteção de dados, o anunciante assume o risco integral.
O papel das plataformas de anúncios na cadeia de responsabilidade
As plataformas de anúncios ocupam posição peculiar: são, ao mesmo tempo, fornecedoras de infraestrutura essencial e processadoras de dados em escala global. Seus termos de uso costumam atribuir ao anunciante a responsabilidade pela licitude dos dados enviados, pela base legal do tratamento e pela configuração correta das ferramentas. Essa alocação contratual, embora comum, não afasta automaticamente a responsabilidade da plataforma em todas as hipóteses.
O anunciante que utiliza públicos personalizados, por exemplo, declara nos termos da plataforma que possui autorização dos titulares para enviar aqueles dados. Se essa declaração for falsa ou a base legal não existir, o anunciante responde sozinho — e a plataforma pode até suspender a conta. Já quando o vazamento decorre de falha de segurança nos servidores da própria plataforma, a discussão sobre responsabilidade muda de figura.
Termos de uso, políticas de dados e limitação de responsabilidade
Os termos de uso do Google Ads e do Meta Ads contêm cláusulas de limitação de responsabilidade que afastam a obrigação de indenizar por lucros cessantes, danos indiretos e perda de dados, limitando eventual reparação a valores irrisórios ou ao reembolso de créditos de anúncio. Essas cláusulas, no entanto, são interpretadas à luz do Código de Defesa do Consumidor e da LGPD, e podem ser afastadas quando houver falha grave de segurança ou tratamento abusivo.
As políticas de dados das plataformas também definem o que elas fazem com os dados de campanha: quanto tempo retêm, com quem compartilham e como tratam dados de públicos personalizados. O anunciante que não lê essas políticas assume riscos que não consegue mensurar. A auditoria de configurações da conta é uma forma de verificar se a operação está alinhada com as políticas — e há discussão específica sobre a segurança de dar acesso de leitura da conta para auditoria.
Quando a plataforma pode ser responsabilizada
A plataforma pode ser responsabilizada quando o vazamento decorre de falha de segurança em sua própria infraestrutura, quando trata dados para finalidades próprias sem base legal ou quando descumpre deveres de transparência e segurança exigidos pela LGPD. Nesses casos, a plataforma responde como controladora ou operadora, conforme o fluxo de dados afetado, e pode ser acionada diretamente pelos titulares.
Também há responsabilização quando a plataforma falha em comunicar incidentes ao anunciante em tempo hábil, impedindo que o controlador cumpra sua obrigação legal de notificar a ANPD. O anunciante que sofre vazamento em ferramenta da plataforma deve documentar todas as comunicações, capturar telas de configuração e guardar os termos de uso vigentes na data do incidente — evidências essenciais para eventual disputa sobre responsabilidade.
O que fazer após um vazamento durante uma campanha
A resposta a um vazamento de dados em campanha de tráfego pago precisa começar em horas, não em dias. A LGPD exige comunicação à ANPD e aos titulares em prazo razoável, definido pela autoridade como aquele necessário para avaliar o incidente, mas que não pode comprometer a proteção dos titulares. A omissão ou o atraso injustificado agravam a sanção e ampliam o dano moral.
O primeiro passo é interromper o fluxo de dados comprometido: pausar a campanha, desativar o formulário, revogar acessos à ferramenta afetada e isolar o sistema. Em seguida, forma-se uma equipe de resposta com representantes do anunciante, da agência e, se necessário, do fornecedor de tecnologia. A documentação de cada ação, com horário e responsável, é o que sustentará a defesa perante a ANPD e em eventual ação judicial.
Comunicação à ANPD e aos titulares
A comunicação à ANPD deve descrever a natureza do incidente, as categorias de dados afetados, o número aproximado de titulares, os riscos concretos, as medidas adotadas e os canais de contato disponibilizados. A autoridade disponibiliza formulário eletrônico para esse registro. A comunicação aos titulares deve ser clara, direta e individualizada sempre que possível, informando o que ocorreu, quais dados foram expostos e o que o titular deve fazer para se proteger.
Nos casos em que a comunicação individualizada for inviável pelo volume de titulares, admite-se comunicação por meios de ampla divulgação, como aviso no site e nas redes sociais da campanha. A decisão de comunicar ou não deve ser tomada com base no risco ao titular: se houver possibilidade de dano relevante, a comunicação é obrigatória, mesmo que o incidente ainda esteja sob investigação.
Medidas de contenção e documentação de evidências
- Pausar campanhas e desativar formulários e pixels afetados
- Revogar acessos de terceiros à conta de anúncios e ao CRM
- Preservar logs, capturas de tela e registros de configuração
- Identificar a origem do vazamento e o fluxo de dados comprometido
- Registrar cronologicamente cada ação de resposta
- Comunicar o incidente à ANPD e aos titulares
- Revisar contratos e acionar garantias e seguros aplicáveis
A documentação de evidências é decisiva para a defesa jurídica e para a mitigação de sanções. Logs de acesso, versões de configuração, comunicações com a plataforma e registros de alteração de campanha devem ser preservados em local seguro, com controle de integridade. A ausência de evidências costuma ser interpretada como falta de governança, agravando a posição do anunciante perante a ANPD.
Como reduzir o risco de responsabilização antes que o vazamento aconteça
A prevenção é a forma mais barata e eficaz de lidar com vazamento de dados em tráfego pago. Ela começa com governança: saber quais dados são coletados, onde trafegam, quem tem acesso e com que finalidade. Uma campanha sem mapeamento de fluxos é um incidente em potencial, porque ninguém consegue identificar o ponto exato de falha quando ele ocorre.
A redução de risco passa também pela escolha de parceiros. Antes de contratar uma agência, o anunciante deve verificar se a agência de tráfego pago segue boas práticas de segurança da informação e o que a LGPD exige de uma agência que gerencia campanhas com dados de clientes. Essas verificações não eliminam o risco, mas transferem parte da responsabilidade para quem tem estrutura para cumpri-la.
Governança de dados e mapeamento de fluxos na campanha
O mapeamento de fluxos identifica cada ponto de coleta, armazenamento, transferência e eliminação de dados na campanha: do formulário da landing page ao CRM, do CRM à plataforma de anúncios, da plataforma ao relatório. Para cada fluxo, define-se a base legal, o prazo de retenção, as medidas de segurança e o responsável. Esse mapa é a base para o relatório de impacto, quando necessário, e para a resposta a incidentes.
A governança também exige minimização: coletar apenas os dados necessários para a finalidade da campanha. Formulários que pedem CPF, endereço completo ou data de nascimento sem necessidade real ampliam o dano potencial em caso de vazamento e violam o princípio da necessidade. A redução do volume de dados tratados é a medida de segurança mais subestimada do marketing digital.
Contratos, treinamento e auditoria de fornecedores
Contratos com cláusulas de proteção de dados, treinamento periódico da equipe interna e da agência, e auditoria regular de fornecedores formam o tripé da prevenção. O treinamento deve cobrir desde a identificação de tentativas de phishing até o procedimento correto de compartilhamento de acesso a contas de anúncio. A auditoria de fornecedores verifica se as promessas contratuais de segurança são cumpridas na prática.
A auditoria pode incluir a revisão de configurações da conta de anúncios, a verificação de permissões de acesso e a análise de integrações ativas. Ferramentas de diagnóstico e auditoria gratuita, quando bem conduzidas, ajudam a identificar vulnerabilidades antes que se transformem em incidente — e há critérios claros para avaliar o que uma boa auditoria gratuita de conta de anúncio deve mostrar. A prevenção efetiva transforma a discussão sobre responsabilidade de um problema reativo em uma decisão de gestão.
