Precisas de consentimento para o Google Analytics?
Sim. Ao Google Analytics 4 aplicam-se duas regras, e convém não as misturar:
- A regra dos cookies, em Portugal o artigo 5.º da Lei n.º 41/2004. O GA4 guarda no browser do visitante cookies como o _ga, com um identificador único, e envia dados à Google. Guardar ou ler essa informação exige consentimento prévio, a menos que seja estritamente necessário para o serviço que o visitante pediu ou para transmitir uma comunicação. A medição de audiências não é nenhuma dessas coisas.
- O RGPD: o GA4 trata dados pessoais, como identificadores de cookies e informações do dispositivo. Isso exige um fundamento jurídico, transparência e, quando os dados saem da Europa, um mecanismo de transferência válido.
A CNPD foi clara na sua nota informativa de 25 de junho de 2021: os responsáveis pelos sites têm de informar os utilizadores e obter o consentimento "quando tal se impõe, como é o caso de cookies para fins de analítica". A CNPD acrescentou que quem tem o site responde por todos os cookies que deixa colocar, também os de terceiros como a Google.
Se usares também o Google Analytics para publicidade, por exemplo com os Google Signals, o remarketing ou uma ligação ao Google Ads, estás perante cookies de rastreamento, e o consentimento é indiscutível.
E uma configuração "privada", sem consentimento?
Em alguns países da UE, as autoridades admitem a medição de audiências sem consentimento em condições rigorosas. A CNIL francesa, por exemplo, só o aceita para estatísticas anónimas do próprio site, sem rastreamento entre sites e sem reutilização dos dados pelo fornecedor, e uma configuração padrão do GA4 não cumpre essas condições.
Em Portugal, essa porta não existe. A Lei n.º 41/2004 não tem uma exceção para cookies de análise, e a CNPD não publicou critérios para isentar ferramentas de medição. Anonimizar endereços IP ou desativar a partilha de dados com a Google reduz o tratamento de dados pessoais, mas não dispensa o consentimento para os cookies.
O que decidiram as autoridades sobre as transferências para os EUA?
Na sequência de queixas da organização noyb, várias autoridades europeias analisaram em 2022 o antigo Universal Analytics. A autoridade austríaca, a CNIL francesa (fevereiro de 2022) e o Garante italiano (junho de 2022) concluíram que determinados sites transferiam dados pessoais para a Google nos EUA sem proteção adequada contra o acesso dos serviços de informações norte-americanos. O problema central era a transferência, não a análise em si: o Tribunal de Justiça da UE tinha anulado o Privacy Shield em 2020 (Schrems II).
A CNPD não publicou uma decisão sobre o Google Analytics, mas aplicou o mesmo raciocínio a outro serviço web norte-americano. Em abril de 2021, ordenou ao Instituto Nacional de Estatística (INE) que suspendesse, no prazo de 12 horas, as transferências de dados dos Censos 2021 para os EUA através da Cloudflare. Em dezembro de 2022, aplicou ao INE uma coima de 4,3 milhões de euros, entre outros motivos por transferências feitas com cláusulas contratuais-tipo sem medidas complementares contra o acesso das autoridades norte-americanas.
O que mudou com o Data Privacy Framework
A 10 de julho de 2023, a Comissão Europeia adotou uma decisão de adequação para o EU-US Data Privacy Framework (DPF). As empresas norte-americanas certificadas podem receber dados pessoais da UE sem instrumentos de transferência adicionais. A Google LLC está certificada e afirma que se baseia no DPF para os seus produtos de publicidade e de análise.
O quadro foi contestado. A 3 de setembro de 2025, o Tribunal Geral da UE negou provimento à ação do deputado francês Philippe Latombe (processo T-553/23). Latombe recorreu para o Tribunal de Justiça (processo C-703/25 P), e em outubro de 2026 esse recurso continua pendente. Se o DPF cair, a questão das transferências volta a colocar-se, como antes de 2023.
O que o GA4 faz com os dados
Segundo a documentação da própria Google:
- Endereços IP: o GA4 não regista nem guarda endereços IP. Para utilizadores na UE, no Reino Unido e na Suíça, o endereço IP é usado em servidores na UE para determinar a localização aproximada e depois descartado.
- Termos de tratamento de dados: a Google atua como subcontratante para o Google Analytics ao abrigo dos Google Ads Data Processing Terms. Verifica em Administração, nas definições da conta, se foram aceites.
- Funcionalidades de publicidade: se ativares os Google Signals ou as funcionalidades de publicidade, ou se ligares o Analytics ao Google Ads, os dados também são usados para publicidade. A Google indica que, nesse caso, és o único responsável pelo tratamento no que toca a essas funcionalidades.
- Controlos regionais: podes desativar os Google Signals e os dados granulares de localização e de dispositivo por região.
E as alternativas?
Alguns proprietários de sites mudam para ferramentas que recolhem menos dados ou que alojam por conta própria, como o Matomo. Isso pode reduzir as transferências e a partilha de dados com terceiros. Mas, em Portugal, também essas ferramentas precisam de consentimento se colocarem cookies ou lerem informação do dispositivo para fins de análise.
No Reino Unido, as regras são outras: desde fevereiro de 2026, alguns cookies usados apenas para estatísticas deixaram de precisar de consentimento. Vê UK cookie law (em inglês).
Na prática
- Bloqueia o GA4 até haver consentimento para todos os visitantes em Portugal.
- Usa o Google Consent Mode v2, para que o GA4 respeite a escolha e possa modelar dados dos visitantes que recusam. Vê O Google Consent Mode v2 explicado.
- Verifica os Data Processing Terms e as tuas definições de partilha de dados e de Google Signals.
- Menciona o Google Analytics na tua política de cookies e na tua política de privacidade, incluindo a transferência para os EUA e o DPF. Vê o nosso modelo de política de cookies.
O Cookie Confirm bloqueia o Google Analytics até haver consentimento, envia os quatro sinais do Consent Mode e pode aplicar regras diferentes por país, por exemplo para visitantes do Reino Unido.
Fontes
- Diário da República: Lei n.º 41/2004, de 18 de agosto
- Diário da República: Lei n.º 46/2012, de 29 de agosto (nova redação do artigo 5.º da Lei n.º 41/2004)
- CNPD: Nota informativa relativa à utilização de cookies (25 de junho de 2021)
- CNPD: Censos 2021, CNPD suspende fluxos para os EUA (27 de abril de 2021)
- CNPD: CNPD sanciona INE por cinco contraordenações (12 de dezembro de 2022)
- CNIL: Sheet 16, Use analytics on your websites and applications
- CNIL: Use of Google Analytics and data transfers to the United States
- Garante: decisão sobre o Google Analytics de 9 de junho de 2022 (comunicado de imprensa de 23 de junho de 2022)
- Comissão Europeia: decisão de adequação para o EU-US Data Privacy Framework
- Data Privacy Framework: registo da Google LLC como participante
- TJUE: processo T-553/23 e recurso C-703/25 P, Latombe/Comissão
- Google: produtos de publicidade e de análise, transferências internacionais de dados
- Ajuda do Google Analytics: EU, Switzerland or UK-focused data and privacy
- Ajuda do Google Analytics: Data Processing Terms
- ICO: What are the exceptions?