O GA4 é realmente um cookie necessário? A perspetiva da KVKK

Atualizado: 3 de setembro de 2026 · Categoria: KVKK e conformidade digital

O GA4 é realmente um cookie necessário? A perspetiva da KVKK

Não existe nova decisão do Conselho turco de Proteção de Dados Pessoais específica para o GA4. Contudo, as decisões do Conselho sobre cookies e o Guia sobre Práticas de Cookies mostram que os cookies de desempenho/análise devem ser avaliados separadamente dos estritamente necessários. Sem outra condição legal de tratamento, devem funcionar mediante consentimento explícito opt-in baseado na escolha ativa do utilizador. A implementação do GA4 também deve ser avaliada quanto à finalidade, minimização de dados e transferências internacionais.

Índice

Resposta curta
Porque importa?
O que devem fazer as empresas?
Como medir?
Fontes
Perguntas frequentes

Resposta curta

O nome do produto não permite classificar automaticamente o GA4 como cookie necessário ou como cookie que exige consentimento explícito em todas as circunstâncias. Nos termos da KVKK, avalie a implementação real: cookies, finalidades de medição, funcionalidades Google, fluxos de dados pessoais e existência de outra condição legal de tratamento. No caso da decisão 2024/1361, exigiu-se consentimento explícito opt-in para o cookie analítico não essencial por não existir outra condição legal de tratamento.

Porque é importante?

Um erro frequente é substituir a categoria jurídica pelo nome da tecnologia. Tanto «usamos Google Analytics, logo é um cookie necessário» como «todo uso analítico está sujeito exatamente ao mesmo regime jurídico» ignoram a arquitetura real de tratamento. A avaliação KVKK deve identificar os dados tratados, as finalidades, os cookies ou identificadores usados e os terceiros que recebem os dados.

Na decisão 2024/1361, o Conselho considerou ilícito operar o cookie analítico não essencial do site sem opt-in ativo: não era necessário ao serviço expressamente solicitado e não existia outra condição legal de tratamento. Não foi uma decisão específica sobre o GA4; mostra a necessidade de auditar o comportamento real das implementações de análise web.

Por que a configuração GA4 é importante?

Duas empresas podem usar GA4 com fluxos de dados diferentes. Uma pode medir apenas tráfego básico, enquanto a outra ativa funcionalidades publicitárias, medição entre domínios, User-ID, sinais avançados, correspondência CRM ou outras integrações. O nome da categoria no banner não basta.

O controlo deve abranger cookies do navegador e eventos e parâmetros enviados. Impeça o envio desnecessário de dados pessoais por URLs, campos de formulários, cadeias de consulta ou eventos personalizados. A marcação do lado do servidor não dispensa a avaliação jurídica; apenas altera a arquitetura técnica do fluxo de dados.

O que devem fazer as empresas? Verificação KVKK do GA4 em oito passos

Faça uma análise real dos cookies. Examine os cookies efetivamente instalados em produção em vez de apenas a documentação.
Faça o inventário das funcionalidades GA4. Registe separadamente funcionalidades publicitárias, Google Signals, User-ID, medição entre domínios e integrações personalizadas.
Separe as finalidades. Não trate medição básica, análise de desempenho, remarketing e otimização publicitária como uma finalidade única.
Teste o consentimento antes da ativação das etiquetas. Quando é exigido consentimento explícito, confirme tecnicamente que as etiquetas e cookies relevantes não funcionam antes da aceitação.
Teste o percurso de recusa. Recusar deve ser tão fácil como aceitar e efetivo na prática.
Verifique as cargas úteis dos eventos. Impeça o envio desnecessário de dados pessoais em URLs, formulários, dimensões personalizadas e parâmetros de eventos.
Avalie separadamente as transferências internacionais. Não trate o consentimento de cookies e o mecanismo de transferência de dados como o mesmo ato jurídico.
Mantenha registos de versões. Repita a análise quando mudarem o contentor GTM, as definições de consentimento ou a configuração analítica.

Como testar um banner de consentimento?

Mostrar o banner não basta. Numa nova sessão do navegador, observe os pedidos de rede enviados e os cookies instalados antes de qualquer escolha. Volte a testar as tecnologias analíticas e publicitárias depois de o utilizador escolher «recusar».

Repita o teste após cada alteração importante do GTM ou da CMP. Mesmo sem mudar o texto jurídico, uma atualização técnica do contentor pode permitir que uma etiqueta antes bloqueada funcione fora do controlo de consentimento.

Modelo de Medição proposto para B10

Controlo	KPI	Sinal de risco
Antes do consentimento	Número de pedidos analíticos antes do consentimento	Pedido inesperado
Cookie	Contagem de cookies não classificados	Cookie fora do inventário
Recusa	Sucesso técnico do percurso de recusa	Etiquetas ativas após recusa
Carga útil	Contagem de parâmetros PII inesperados	Dados pessoais não necessários
Configuração	Cobertura do inventário de funcionalidades GA4	Funcionalidade não documentada
Transferência	Cobertura da avaliação de transferências	Fluxo de dados não revisado

Estas métricas vão além do design do banner de consentimento: medem se altera efetivamente o comportamento do tratamento de dados.

Avaliação especializada

A conformidade GA4 deve classificar o tratamento em vez do produto. O mesmo produto analítico pode criar riscos diferentes de dados, finalidades e transferências conforme a configuração. Relacione num inventário comum a tabela de cookies da equipa jurídica e a configuração GTM/GA4 da equipa técnica.

Soluções técnicas como Consent Mode ou marcação do lado do servidor não certificam por si só a conformidade jurídica. Verifique no tráfego real quais os sinais tratados em cada estado de preferência de consentimento.

Análise de Risco e Conformidade Digital

A B10 pode reunir num Web Analytics Compliance Audit análises reais de cookies/etiquetas do site, inventários de funcionalidades GTM e GA4, testes de consentimento antes das etiquetas, revisões de cargas úteis e mapas de fluxos internacionais de dados.

Conteúdos relacionados

Fontes oficiais e primárias

Perguntas frequentes Porque é que isso é importante agora?

O que as empresas devem primeiro verificar?

Analise os cookies efetivamente instalados pelo GA4 e GTM.

Basta uma verificação pontual?

Não. A avaliação não depende apenas de existir GA4. Examine em conjunto funcionalidades, cookies, dados de eventos, finalidades, mecanismo de consentimento e estrutura de transferências.

O que pode a B10 fornecer neste domínio?

A B10 pode medir a diferença entre o banner de consentimento e o comportamento técnico real através da varredura de cookies, solicitação de rede, configuração GTM/GA4 e testes de fluxo de dados.