O IP, agora identificador: o Google impulsiona o fingerprinting para personalizar anúncios na Europa

O Google informou anunciantes que, a partir de 3 de agosto de 2026, começará a utilizar endereços IP na União Europeia, no Espaço Económico Europeu, no Reino Unido e na Suíça não só para enrotar tráfego, mas também para identificar dispositivos para fins de medição e personalização de anúncios. Na prática global, isto é habitual, mas no EEE e no Reino Unido, o IP é considerado como dados pessoais e a sua utilização para fins de identificação se encaixa na definição legal de rastreamento que exige consentimento explícito sob as normas de proteção de dados aplicáveis.

A novidade não é tanto a recepção da IP por parte do Google, que já a obtém através de etiquetas, SDKs, chamadas HTTP e cargas, mas a mudança de propósito: usar esse sinal automático para vincular comportamento entre serviços e perfilar usuários. O Google também anunciou o seu registo ao quadro de transparência do IAB Europe para a chamada “Feature 3”, a peça do framework que reconhece o uso de dados transmitidos automaticamente para distinguir dispositivos; no entanto, a adesão ao TCF não substitui as obrigações de consentimento que impõem leis como o GDPR. Para consultar a explicação legal sobre IP como dado pessoal, o texto do GDPR em https://gdpr-info.eu/recitals/no-30/ e a nota do IAB sobre Feature 3 em https://iabeurope.eu/iab-europe-transparency-consent-framework-policies/#:~:text=scanning%20device%20characteristics-,Feature,-3.

Do ponto de vista técnico, situar o IP como peça de identificação faz parte do que é conhecido como fingerprinting: combinar sinais (IP, headers, pegadas do navegador, fingerprints de canvas ou fontes) para reconhecer um dispositivo mesmo quando se borrem cookies. A precisão real do IP varia: em redes domésticas fornece uma pista geográfica e às vezes de provedor, enquanto em móveis a NAT/CGNAT e os proxies compartilhados reduzem a unicidade. Mesmo assim, quando combinado com outros identificadores, você pode facilitar a correlação cross-site que preocupa reguladores e defensores da privacidade.

O contexto regulatório faz com que a decisão do Google tenha implicações audíveis: o Reino Unido e a comissão europeia estão revisando as regras de consentimento para a publicidade online. O Gabinete do Comissariado de Informação do Reino Unido (ICO) já declarou publicamente sua preocupação quando o Google flexibilizou em 2024 sua proibição interna sobre fingerprinting, e em maio de 2026 publicou recomendações que favorecem manter o consentimento obrigatório para técnicas que perfilem usuários através de serviços. Os responsáveis pelo tratamento e os anunciantes que utilizem estes sinais enfrentam, portanto, dois riscos simultâneos: o técnico (possivelmente inexactidão e enviesamentos da identificação por IP) e o regulatório (inspecções, multas ou requisitos de ajustamento por parte de autoridades de dados).

Para anunciantes e editores a instrução do Google de “o Obter e gerenciar o consentimento” não isenta de responsabilidade: antes de 3 de agosto, você deve revisar etiquetas, SDKs e contratos com fornecedores para garantir que qualquer uso de IP para fins de personalização esteja coberto por um consentimento válido e documentado. É recomendável realizar uma avaliação de impacto de proteção de dados (DPIA) centrada no reuso de sinais técnicos, atualizar os banners de consentimento para deixar explícitos esses fins, e revisar as cláusulas contratuais com o Google e outros intermediários. A política do Google de consentimento na UE pode ser consultada em https://www.google.com/about/company/user-consent-policy/.

Para os usuários finais, as opções imediatas continuam sendo as conhecidas: negar cookies não essenciais, recusar consentimento nos banners e revisar a configuração de personalização de anúncios na conta do Google em https://myadcenter.google.com/. Também ajudam medidas de proteção no dispositivo e na rede, como navegadores orientados para privacidade, extensões bloqueadoras de rastreadores ou uso de redes privadas virtuais que mudam a IP vista pelos serviços. É importante compreender, no entanto, que estas defesas não são perfeitas e que a verdadeira protecção depende em grande parte da adequada aplicação do quadro jurídico por parte das empresas e das autoridades.

Do ponto de vista das políticas públicas, o movimento do Google apresenta um teste sobre como se aplicarão normas de privacidade na prática: se os grandes fornecedores podem normalizar a reutilização de sinais técnicos sob quadros de consentimento, o ecossistema de publicidade digital poderia virar para um modelo em que a linha entre contextual e comportamental quede turva. Os reguladores europeus e o Reino Unido estão atentos; as empresas que actuam agora para documentar bases legais, limitar a retenção de sinais identificativos e fornecer controlos claros aos utilizadores reduzirão a sua exposição legal e reputacional.

Em suma, a novidade que entra em vigor em agosto não é técnica, mas legal e de governança: usar o IP como identificador para personalização muda as regras do jogo em territórios onde esse sinal é considerado dado pessoal. Os anunciantes devem auditar a sua pilha publicitária, atualizar seus processos de consentimento e preparar testes de conformidade; os usuários devem rever e exercer suas opções de privacidade; e as autoridades terão a última palavra sobre se este tipo de prática respeita os limites que o direito de proteção de dados impõe. Entretanto, convém seguir a evolução das decisões regulamentares e das orientações públicas da ICO e de outras autoridades europeias.