Imagine: abre o seu email de manhã e tem uma mensagem de um regulador europeu. Uma multa de 1 milhão de euros. O motivo: o Google Analytics, que instalou há três anos e de que se esqueceu. Não é fantasia. Em outubro de 2025, o Tribunal de Recurso de Estocolmo confirmou a sanção contra a Tele2. O recurso foi rejeitado, a multa entrou em vigor.

Sete países europeus emitiram decisões contra o Google Analytics na forma como 90% dos proprietários de sites o configuram. O problema não é a ferramenta em si, mas para onde e como os dados dos utilizadores europeus vazam.

A Google respondeu: GA4 com anonimização de IP forçada, Consent Mode v2, servidores de processamento europeus. A Comissão Europeia adotou o Data Privacy Framework. Mas será isso suficiente em 2026? E, mais importante, o que deve um proprietário de site fazer agora para evitar repetir o destino da Tele2? Vamos analisar com base em factos, apoiando-nos em decisões reais de tribunais e reguladores.

💡 Visão geral rápida:

• Saiba por que a decisão Schrems II de 2020 derrubou o Privacy Shield e minou a base legal do Google Analytics na Europa
• Veja multas reais: a Tele2 pagou 1 milhão de euros, a CDON 27 700 euros, e o recurso da Tele2 falhou em outubro de 2025
• Explore o mapa de proibições: sete países da UE com decisões oficiais contra implementações específicas do GA
• Avalie a resposta da Google: anonimização de IP forçada, servidores europeus, Consent Mode v2
• Compreenda o estado do Data Privacy Framework: está ativo, mas a NOYB já está a preparar o Schrems III
• Percorra uma lista de verificação de oito pontos para colocar o GA4 em conformidade com o RGPD
• Compare o GA4 com alternativas sem cookies: Plausible, Fathom, Umami, e pondere honestamente o que perde

Schrems II: a decisão que minou a base legal do Google Analytics

A 16 de julho de 2020, o Tribunal de Justiça da União Europeia proferiu o seu acórdão no processo Schrems II (Processo C-311/18). O Tribunal invalidou o Privacy Shield. Este mecanismo era a única base legal que permitia às empresas norte-americanas receber licitamente dados pessoais da UE.

A causa principal: a Secção 702 da FISA e a Ordem Executiva 12333. Estes dois diplomas dão às agências de informações dos EUA acesso a dados detidos por fornecedores americanos. A Google, com a sua sede na Califórnia, cai totalmente no seu âmbito.

Após o Schrems II, as empresas ficaram com uma única via para transferências legais de dados para os EUA: Cláusulas Contratuais-Tipo (CCT) mais «medidas suplementares». Mas o TJUE afirmou claramente: as promessas contratuais não se sobrepõem às leis de segurança nacional. Nenhum contrato obriga as agências de informações dos EUA a ignorar a FISA. Este beco sem saída jurídico tornou-se a base para as decisões contra o Google Analytics.

Mais detalhes: auditoria de RGPD.

As primeiras multas: Tele2, CDON e o precedente sueco

Em junho de 2023, a Autoridade Sueca para a Proteção da Privacidade (Integritetsskyddsmyndigheten, IMY) multou dois grandes intervenientes:

• Tele2 (operadora de telecomunicações): 1 milhão de euros (12 milhões de coroas suecas) por usar o Google Analytics sem medidas suficientes de proteção de dados.
• CDON (retalhista online): 27 700 euros (300 000 coroas) pelas mesmas violações.

Ambas as empresas transferiam dados para os EUA via CCT. Mas o regulador determinou que as medidas técnicas de proteção adicionais eram insuficientes. O contrato existia, mas não havia proteção real contra o acesso pelas agências de informações dos EUA.

A Tele2 recorreu da multa. Em outubro de 2025, o Tribunal de Recurso de Estocolmo rejeitou o recurso e confirmou a sanção. Este é um momento chave: o tribunal confirmou que usar o Google Analytics sem medidas suplementares adequadas não é uma falha técnica, mas uma violação plena do RGPD.

Em paralelo, a IMY analisou os casos da Coop e do Dagens Industri. Estas empresas também usavam o Google Analytics. Não receberam multas. A diferença: realizaram uma auditoria técnica, implementaram encriptação a um nível que o regulador considerou adequado e documentaram cada passo.

A conclusão do precedente sueco: o Google Analytics em si não está proibido. O que está proibido é transferir dados sem medidas de proteção comprovadas e funcionais. A diferença entre uma multa de 1 milhão de euros e a ausência de reclamações é o volume de trabalho técnico, não a escolha da ferramenta.

O mapa de proibições: que países da UE emitiram decisões contra o GA

Desde 2022, sete países europeus publicaram decisões oficiais declarando ilegal o uso do Google Analytics nas implementações específicas analisadas:

Cada decisão dizia respeito a uma implementação específica do GA num site específico. Isto não é uma proibição a nível da UE. Mas a posição coordenada através do Comité Europeu para a Proteção de Dados (CEPD) significa que uma decisão num país serve de precedente para os outros.

A campanha da NOYB (organização de Max Schrems) apresentou 101 queixas em 30 países da UE e do EEE já em agosto de 2020. O processo arrastou-se por anos, mas não parou. Os reguladores continuam a abrir processos.

O que a Google mudou: GA4, servidores europeus e Consent Mode v2

Na sequência da vaga de decisões, a Google introduziu três alterações significativas do ponto de vista do RGPD.

Anonimização de IP por defeito. No Universal Analytics, a anonimização era uma opção. Era frequentemente esquecida, e este mesmo facto apareceu nas decisões austríaca e francesa. No GA4, a anonimização é forçada e não pode ser desativada: os endereços de IP dos utilizadores europeus são suprimidos antes de os dados entrarem em processamento.

Processamento em servidores da UE. Desde 2023, o tráfego europeu pode ser processado em servidores da Google dentro da UE antes de ser enviado para fora da região. A empresa-mãe nos EUA ainda está sujeita às leis de vigilância americanas, mas a superfície para reclamações tornou-se notoriamente menor.

Consent Mode v2, obrigatório desde março de 2024. Esta é uma camada de JavaScript entre o banner de consentimento e as tags da Google. Quando um utilizador rejeita cookies, o Consent Mode v2 não se limita a bloquear a instalação de rastreadores; envia «pings sem cookies» anonimizados. Sem o Consent Mode v2, o GA4 não pode operar licitamente com tráfego europeu.

Uma nuance importante: o Consent Mode v2 tem dois modos. O Básico bloqueia as tags até que o consentimento explícito seja obtido, uma opção juridicamente sólida. O Avançado envia sinais sem cookies em qualquer caso, mesmo sem consentimento. A Google obtém mais dados para modelação, mas legalmente este é um caminho mais controverso. A escolha do modo é uma das primeiras decisões que terá de tomar durante a configuração.

Quadro de Proteção de Dados: salvação ou remendo temporário

A 10 de julho de 2023, a Comissão Europeia adotou uma decisão de adequação para o Quadro de Proteção de Dados UE-EUA (DPF). Este é o sucessor do Privacy Shield, que foi anulado pelo acórdão Schrems II. A Google LLC certificou-se ao abrigo do DPF, o que resolve formalmente a principal questão de conformidade legal: as transferências de dados para empresas certificadas nos EUA voltam a ter uma base jurídica.

Mas é cedo para relaxar. Três fatores de risco.

Primeiro: o DPF assenta em ordens executivas presidenciais dos EUA. Uma mudança de administração pode enfraquecer ou revogar essas ordens. Max Schrems declarou publicamente que não consegue imaginar como «uma ordem imposta aos EUA pelos europeus, regulando a vigilância americana no estrangeiro, sobreviveria à lógica America First».

Segundo: a NOYB já está a impugnar o DPF em tribunal. O primeiro ataque jurídico ao DPF foi repelido, mas a NOYB está a preparar um novo caso mais amplo, o Schrems III. Os advogados consideram que é uma questão de tempo, não de probabilidade.

Terceiro: o DPF resolve apenas a questão da transferência transfronteiriça. Todos os outros requisitos do RGPD, consentimento, minimização de dados, limitação da finalidade, mantêm-se em vigor. Um banner que não cumpra o artigo 7.º do RGPD torna toda a cadeia ilegal, independentemente do DPF.

A Datatilsynet norueguesa colocou a questão com precisão: «O que até agora tem sido o principal problema com o Google Analytics parece estar resolvido. No entanto, não excluímos que a ferramenta possa ter outros problemas de privacidade.»

Então o GA4 é legal na Europa em 2026

A resposta curta: é legal quando configurado corretamente. Com ressalvas.

Se tiver o GA4 com o Consent Mode v2, um banner de consentimento válido (botões «Aceitar» e «Rejeitar» iguais, sem caixas de seleção pré-marcadas), processamento em servidores da UE, CCT assinadas e recolha de dados minimizada, está numa posição defensável. As reclamações são possíveis. Mas tem a conformidade documentada, e é exatamente isso que o regulador analisa.

O problema é que a maioria dos websites não atinge esse estado. Uma análise de 2025 a 254.000 websites mostrou que apenas 15% dos banners de cookies na Europa cumprem os requisitos mínimos do RGPD. Outro estudo que abrangeu 35.000 websites encontrou violações em 49% dos recursos verificados. Se o banner for inválido, a implementação do GA4 herda essa invalidade automaticamente.

Uma dor de cabeça separada: a perda de dados. A mesma investigação regista uma perda de 40 a 70% dos dados rastreados quando é implementado um banner genuíno com um botão «Rejeitar» igual. Quando até dois terços dos visitantes europeus recusam cookies, os números no GA4 tornam-se modelados em vez de medidos. Os reguladores já estão a fazer perguntas: se a própria modelação cria novos problemas de RGPD.

A conclusão prática: o GA4 na Europa em 2026 é um risco gerido, não um assunto encerrado.

O que fazer agora: uma lista de verificação prática

Eis oito pontos que os reguladores europeus analisam ao auditar uma implementação do GA. Passe por cada um deles.

• Mude para o GA4 se ainda estiver no Universal Analytics. O Universal Analytics foi descontinuado pela Google em julho de 2024. Os dados já não estão a ser recolhidos, mas os riscos do RGPD não desapareceram.

• Implemente o Consent Mode v2. Sem ele, o GA4 não pode processar tráfego europeu de forma lícita. A integração é feita através de uma plataforma CMP: CookieYes, Cookiebot, Complianz ou iubenda. Escolha o modo Básico para máxima proteção jurídica.

• Verifique o seu banner de consentimento. Dois botões iguais: «Aceitar todos» e «Rejeitar todos». Sem caixas de seleção pré-marcadas, sem «interesse legítimo» como pretexto para a recolha. Verifique através do separador Rede nas DevTools: quando rejeitar cookies, não deve haver pedidos para google-analytics.com.

• Ative o processamento em servidores da UE. GA4, Administração, Definições de dados, Recolha de dados, Recolha regional de dados. Dois minutos.

• Defina a retenção de dados para 14 meses. GA4, Administração, Definições de dados, Retenção de dados. Este é o período mais curto que a Google permite. O RGPD exige que os dados não sejam conservados por mais tempo do que o necessário.

• Desative a partilha de dados com produtos Google. GA4, Administração, Definições de dados, Partilha de dados: desmarque todas as caixas. Por predefinição, a Google recebe os seus dados para melhorar os seus serviços. Para a conformidade com o RGPD, isto deve ser desativado.

• Assine um Acordo de Processamento de Dados com a Google. O DPA está disponível nas definições da sua conta GA4. Verifique se a política de privacidade do seu site menciona explicitamente a utilização do Google Analytics e as finalidades do processamento.

• Audite os seus processos de recolha e armazenamento de dados. Para empresas com grandes volumes de tráfego, isto não é uma opção, é um requisito. Um auditor irá comparar os fluxos de dados reais com os processos documentados. Uma discrepância entre o que está declarado na política e o que o GA4 realmente recolhe é um caminho direto para uma coima.

Uma via separada para quem não quer gerir este risco de todo: ferramentas sem cookies. Plausible, Fathom, Umami e Swetrix não recolhem dados pessoais por definição. Sem cookies, sem exigência de banner de consentimento. Sem transferências de dados para os EUA, sem problema Schrems II. O preço: perde os funis de utilizador, a atribuição do Google Ads e a profundidade habitual de segmentação. Para projetos de conteúdo, blogues e pequenas empresas, este é frequentemente um compromisso honesto.

⁉️🤔 Perguntas frequentes

O Google Analytics está completamente proibido na Europa?

Não. Países individuais da UE consideraram que implementações específicas do GA em sites específicos eram ilegais. Não existe uma proibição a nível da UE. O GA4 com o Consent Mode v2, servidores europeus e um banner de consentimento válido encontra-se numa posição defensável em 2026.

É importante compreender a escala: as decisões incidiram sobre casos em que os dados foram transferidos para os EUA sem salvaguardas técnicas adicionais. O simples facto de usar o GA4 com um conjunto completo de medidas de conformidade nunca foi, até agora, alvo de qualquer multa. Mas isto não é uma garantia: os reguladores trabalham com um desfasamento de dois a três anos, e os processos de 2023-2024 ainda não chegaram à fase de decisão.

Em que é que o GA4 difere do Universal Analytics do ponto de vista do RGPD?

No GA4, a anonimização do IP é aplicada de forma obrigatória e não pode ser desativada. O Universal Analytics tornava-a opcional, e foi precisamente essa a base para as primeiras decisões na Áustria e em França. O GA4 utiliza um modelo baseado em eventos e não em sessões, o que reduz o volume de dados pessoais recolhidos. Acresce o Consent Mode v2 obrigatório.

O GA4 foi arquitetonicamente concebido para a realidade pós-Schrems. Os endereços IP são eliminados antes do processamento, o Consent Mode v2 tornou-se obrigatório a partir de março de 2024 e o processamento de dados em servidores da UE reduz a superfície de exposição a reclamações. Mas a conformidade depende da sua configuração: o GA4, por si só, não torna um site compatível com o RGPD.

Quanto custa, na prática, uma multa por violação do RGPD através do Google Analytics?

O limite máximo nos termos do artigo 83.º do RGPD: até 20 milhões de euros ou 4% do volume de negócios anual global. Multas registadas para o GA: Tele2, 1 milhão de euros, CDON, 27 700 euros. O montante depende da escala das violações, do volume de dados processados e das salvaguardas demonstradas ao regulador.

O precedente sueco mostrou que a diferença entre a ausência de reclamações e uma multa de 1 milhão de euros está no volume de trabalho técnico e documentação, e não na escolha da ferramenta. A Coop e o Dagens Industri usaram o mesmo Google Analytics, mas com medidas adicionais adequadas, e não foram multados.

Preciso do Consent Mode v2 se não usar o Google Ads?

Sim. O Consent Mode v2 é obrigatório para qualquer site com tráfego europeu que utilize o GA4. O facto de ter ou não Google Ads é irrelevante. A partir de março de 2024, sem o Consent Mode v2, o GA4 não pode recolher licitamente dados sobre visitantes europeus.

O Consent Mode v2 gere os sinais analytics_storage e ad_storage. Sem o consentimento devidamente configurado, o GA4 ou não recolhe dados de todo, ou recolhe-os em violação do RGPD. Na perspetiva do regulador, não há diferença entre «apenas analítica» e «analítica para publicidade»: o processamento de dados pessoais exige consentimento em ambos os casos.

O que acontece se o Data Privacy Framework for anulado?

A situação reverteria para o cenário pós-Schrems II: as empresas que transferem dados para os EUA devem recorrer a SCC mais salvaguardas adicionais. A diferença é que o GA4 com o Consent Mode v2 e servidores europeus está mais bem preparado para esse cenário do que o Universal Analytics estava em 2020.

Uma invalidação do DPF não seria instantânea: os procedimentos judiciais na UE demoram anos e as empresas teriam um período de transição. Conselho prático: teste uma alternativa sem cookies em paralelo com o GA4 durante um mês. Se o DPF colapsar, fará a mudança num dia, em vez de um mês de migração de emergência.

Posso usar o GA4 num site na Ucrânia e noutros países fora da UE?

Tecnicamente, sim. Legalmente: o RGPD aplica-se ao processamento de dados de residentes da UE, independentemente da localização geográfica do site. Se o seu site for visitado por utilizadores da Alemanha, França ou Polónia, está a processar os dados pessoais deles e deve cumprir o RGPD. A geolocalização do servidor é irrelevante.

O RGPD é extraterritorial por natureza. Um site ucraniano com um público europeu está exatamente na mesma situação jurídica que um site alemão. A diferença prática reside apenas na probabilidade de aplicação: a IMY sueca não irá multar diretamente uma empresa ucraniana, mas os utilizadores europeus podem apresentar uma queixa através da NOYB, e o regulador local envolver-se-á através da coordenação do CEPD.

Em suma: pesar o risco e a ação

O GA4 em 2026 não está «proibido» nem é «completamente seguro». É uma ferramenta que exige uma configuração deliberada. Sete países da UE emitiram decisões contra ele, já foi aplicada e confirmada por um tribunal de recurso uma multa de 1 milhão de euros, e a NOYB continua a pressionar os reguladores. Ao mesmo tempo, a Google construiu um conjunto de medidas de conformidade que não existia em 2020: anonimização de IP obrigatória, Consent Mode v2, servidores europeus, certificação DPF.

Para o proprietário de um site, a escolha resume-se a duas opções. Se precisa de toda a profundidade do GA4 (funis, atribuição, remarketing, integração com o Google Ads), siga a lista de verificação de oito pontos acima, configure cada item e durma descansado com a conformidade documentada. Se a profundidade não for crítica e a segurança jurídica for mais importante, mude para uma ferramenta sem cookies e encerre completamente a questão do RGPD.

A terceira opção, «instalar o GA4 tal como está e esperar pelo melhor», já não existe em 2026. Os reguladores na Europa provaram que multam por isso. Com dinheiro real, não com avisos. A decisão é sua, mas deve ser tomada de forma informada.