Google Reverteu a Proibição do Fingerprinting: O Que Desenvolvedores Precisam Saber

Em fevereiro de 2025, o Google atualizou discretamente suas políticas de publicidade para permitir o fingerprinting de dispositivos — a mesma técnica que havia condenado publicamente como "errada" em 2019. A mudança entrou em vigor em 16 de fevereiro de 2025 e tem consequências significativas para qualquer pessoa que desenvolva analytics, gerencie uma propriedade web ou dependa da infraestrutura de anúncios do Google.

O que é fingerprinting de verdade

Fingerprinting de dispositivo é a prática de combinar múltiplos sinais passivos de um navegador ou dispositivo para construir um identificador persistente. Nenhum cookie é gravado. Nenhuma entrada em localStorage é criada. O usuário nunca é notificado. Os sinais utilizados incluem:

• Endereço IP e metadados de rede
• Sistema operacional e versão do navegador
• Resolução de tela e profundidade de cores
• Fontes instaladas e codecs disponíveis
• Idioma, fuso horário e estado da bateria

Individualmente, nenhum desses sinais é um identificador único. Combinados, produzem uma impressão digital precisa o suficiente para re-identificar o mesmo dispositivo entre sessões, mesmo após limpar os cookies e mesmo no modo de navegação privada. Diferente dos cookies, não existe mecanismo para o usuário apagar uma impressão digital.

O que a política do Google dizia — e o que mudou

A posição do Google em 2019 era explícita: o fingerprinting "subverte a escolha do usuário e é errado" porque opera fora dos controles de privacidade padrão do navegador. A política proibia os anunciantes de usar fingerprinting nos produtos de publicidade do Google.

A atualização de fevereiro de 2025 removeu essa proibição. A abordagem do Google foi procedimental — a atualização foi descrita como uma revisão de política de rotina — mas a substância foi uma reversão. Os anunciantes agora podem usar identificadores em nível de dispositivo, incluindo endereço IP, tamanho de tela, fuso horário, estado da bateria e strings de user agent para segmentação e medição, sem nenhum requisito de obter consentimento do usuário ou divulgar a prática.

A reação regulatória

O Information Commissioner's Office (ICO) do Reino Unido respondeu imediatamente. Stephen Almond, diretor executivo de risco regulatório da ICO, chamou a mudança de "irresponsável" e deixou clara a posição regulatória: o fingerprinting está sujeito aos mesmos requisitos de consentimento que cookies sob a PECR (Privacy and Electronic Communications Regulations).

O raciocínio da ICO é tecnicamente preciso. A PECR define um gatilho de consentimento como "armazenar informações, ou acessar informações armazenadas, em um dispositivo". O fingerprinting acessa informações do dispositivo — lê valores do ambiente do navegador — o que significa que o requisito de consentimento se aplica independentemente de um arquivo de cookie ser gravado ou não. O mecanismo de acesso é o que importa, não o formato de persistência.

Sob o GDPR, os mesmos titulares de dados que podem solicitar a exclusão de um perfil baseado em cookies não têm mecanismo comparável para um perfil derivado de fingerprinting. Você não pode apagar uma impressão digital de um servidor que não controla. Isso cria uma assimetria que reguladores na UE e no Reino Unido estão examinando ativamente.

Por que isso importa para seu stack de analytics

Se seu site carrega as tags de publicidade do Google — incluindo o gtag.js do GA4 quando conectado ao Google Ads — seus visitantes agora estão sujeitos ao fingerprinting sob uma política que não exige o consentimento deles. A própria tag do GA4 tem aproximadamente 45 KB e faz múltiplas requisições de saída; com a mudança de fingerprinting, essas requisições agora podem carregar identificadores persistentes derivados do dispositivo para a infraestrutura do Google.

Para desenvolvedores que operam sob o GDPR, a consequência prática é que implantar as tags do Google sem um mecanismo de consentimento está cada vez mais difícil de justificar. A ICO declarou que o fingerprinting "apresenta um alto padrão a ser cumprido" sob os marcos existentes — um sinal de que ações de enforcement contra publishers que habilitam rastreamento baseado em fingerprinting são um risco realista no curto prazo.

Há uma segunda consequência, mais sutil: qualidade dos dados. O fingerprinting injeta identificadores não consentidos nos pipelines de analytics. Se você usa o stack de medição do Google, uma fração dos seus dados de atribuição agora é derivada de sinais passivos do dispositivo em vez de eventos consentidos. As duas populações — consentida e por fingerprinting — não são equivalentes, e misturá-las sem rotulagem degrada a confiabilidade das suas métricas.

O contraste com a coleta de dados sem fingerprinting

Uma abordagem de analytics que não realiza fingerprinting algum evita esses problemas de forma estrutural. O tracker do Monoid envia um único POST para /collect sem sinais em nível de dispositivo além de uma família de navegador aproximada e tipo de dispositivo derivados no lado do servidor a partir do User-Agent ordinário da requisição. Nenhum IP é armazenado. Sem enumeração de fontes. Sem resolução de tela. Sem identificador entre sessões.

O hash diário de visitantes — SHA-256(IP + UA + SALT_SECRET + YYYY-MM-DD) — utiliza o IP e o user agent apenas em memória, os descarta imediatamente e produz um valor que se reinicia a cada 24 horas. Isso é o oposto de uma impressão digital: não pode persistir entre sessões, não pode ser correlacionado entre dias e não pode ser usado para re-identificar um dispositivo específico.

Segundo a análise da ICO, essa abordagem não aciona os requisitos de consentimento da PECR, pois não acessa informações armazenadas no dispositivo e não produz um identificador persistente. O argumento legal e técnico para essa abordagem apenas se fortaleceu desde fevereiro de 2025.

O que auditar agora

Se você está executando tags de analytics ou publicidade no seu site, vale a pena responder três perguntas imediatamente:

1. Essa tag acessa sinais em nível de dispositivo (fontes, bateria, resolução de tela)?
2. Ela envia esses sinais para um servidor de terceiros?
3. Você tem uma base legal — consentimento ou interesse legítimo — documentada para essa transferência?

A mudança de política do Google não altera suas obrigações legais; ela muda o que o Google permite que seus anunciantes façam. O GDPR e a PECR ainda exigem uma base legal para o processamento, transparência no seu aviso de privacidade e — onde a base é o consentimento — um mecanismo para os usuários negarem e retirarem o consentimento.

O caminho mais simples é simplesmente não coletar dados derivados de fingerprinting. Uma ferramenta que nunca toca sinais em nível de dispositivo não tem exposição à incerteza regulatória que cerca o fingerprinting, independentemente de como as políticas do Google evoluam.