Consentimento, privacidade e o que um publisher ganha

Se você vende publicidade e tem tráfego europeu, o consentimento do usuário deixou de ser só uma questão jurídica: é uma variável que entra direto no seu faturamento. Isto é o que significam CMP, TCF e Consent Mode, e o que precisa estar montado.

O consentimento entrou na conta de resultados

Durante anos o aviso de cookies foi uma formalidade: uma barra embaixo, um botão de aceitar e pronto. Isso acabou. Hoje o que o usuário responde decide quais dados a cadeia publicitária pode usar para avaliar uma impressão, e uma impressão avaliada com menos informação é paga por menos.

Vale separar duas normas que se misturam. O RGPD (Regulamento Geral de Proteção de Dados) regula o tratamento de dados pessoais: para que são usados e com que base legal. As regras de ePrivacy, a lei de cookies de cada país, regulam algo mais restrito: guardar ou ler informação no dispositivo. A segunda obriga ao banner; a primeira diz o que você pode fazer com o que coletou.

O que é uma CMP e o que ela faz de fato

Uma CMP (Consent Management Platform, plataforma de gestão de consentimento) é o software que mostra o aviso, coleta a decisão, guarda essa decisão e, esta é a parte importante, transmite ao resto dos sistemas da página. Um banner que só aparece e não comunica é decoração.

Verifique três coisas separadamente: que a informação seja compreensível e as opções equilibradas, que a decisão fique registrada com data e alcance, e que saia um sinal legível para o servidor de anúncios, os wrappers de lances e a medição. Se a terceira falha, você mantém o risco jurídico e perde dinheiro: um sistema sem sinal assume o pior.

O IAB TCF: a língua comum do consentimento

O TCF (Transparency and Consent Framework, marco de transparência e consentimento) é um padrão do setor, impulsionado pelo IAB Europe, para que esse sinal seja igual para todos. Sem ele, cada CMP diria «o usuário aceitou» do seu jeito e nenhum SSP saberia interpretar.

Ele define três coisas:

• Uma lista numerada de finalidades: armazenar informação no dispositivo, criar perfis para publicidade personalizada, medir o desempenho dos anúncios.
• A Global Vendor List, na qual cada fornecedor participante declara para que trata dados.
• A TC String, a cadeia que codifica quais finalidades e quais fornecedores aquele usuário aceitou e que viaja com a requisição de anúncio.

Para vender inventário europeu você precisa de uma CMP integrada ao marco: o Google exige uma certificada por ele para servir anúncios no Espaço Econômico Europeu (EEE) e no Reino Unido. As versões foram apertando o que pode se apoiar no legítimo interesse, e o marco já foi objeto de litígio na Europa: não é um porto seguro definitivo, e sim o padrão operacional do mercado.

Consent Mode v2 do Google: o que é e por que existe

O Consent Mode (modo de consentimento) é um mecanismo diferente e complementar. Em vez de decidir se as tags dele carregam, o Google pede que você comunique o estado do consentimento por alguns parâmetros e os produtos dele se ajustam. Os originais cobrem o armazenamento publicitário e o analítico; a versão 2 acrescentou dois: enviar dados do usuário com fins publicitários e personalizar a publicidade.

Por que a versão 2? Porque a Lei de Mercados Digitais europeia (DMA) obriga as grandes plataformas a pedir consentimento explícito para combinar dados pessoais entre serviços, e o Google repassou a obrigação a quem usa as suas ferramentas: sem esses sinais, certos recursos de públicos e de medição deixam de estar disponíveis para o tráfego do EEE.

O que acontece com a receita quando alguém recusa

Recusar não é desligar a publicidade. Bem montado, esse usuário continua recebendo anúncios não personalizados, decididos pelo contexto da página, pelo idioma ou pelo dispositivo. Eles pagam, mas costumam pagar menos: o comprador não consegue aplicar seus segmentos, nem limitar a frequência, nem atribuir a conversão.

Um usuário que recusa não vale zero. Vale menos. A diferença entre as duas coisas é a sua configuração.

É aqui que se perde receita por motivos alheios à lei. Um servidor de anúncios sem a publicidade não personalizada ativada devolve espaço vazio em vez de um anúncio pago. Uma CMP que bloqueia tudo até haver resposta, somada a um usuário que sai sem responder, deixa a página sem monetização. Olhe dois números separadamente: quanta gente aceita e quanto rende quem não aceita.

O aviso também é uma decisão de produto

A tentação é empurrar para o sim, e há pouca margem. O consentimento precisa ser livre, informado, específico e inequívoco, e as autoridades europeias têm sido explícitas sobre o que o invalida: recusar deve custar o mesmo que aceitar, o silêncio e a rolagem não valem, e as caixas não vêm marcadas.

O resto está na sua mão: pedir no momento certo, explicar em uma frase o que o usuário ganha, não repetir a pergunta depois que ele já respondeu, e não deixar que o aviso quebre a velocidade de carregamento.

O fim dos cookies de terceiros e o que ocupa o lugar deles

O cookie de terceiros, aquele que outro domínio deixa no navegador para reconhecer a mesma pessoa em outros sites, está em retirada há anos. Safari e Firefox o bloqueiam por padrão. No Chrome o assunto deu várias voltas e os anúncios sobre o desaparecimento foram adiados, então aqui não haverá datas: não aposte que tudo seguirá igual, nem que desaparece amanhã.

Enquanto isso, o mercado se moveu para alternativas que já estão em uso:

• Dados de primeira parte: cadastro, newsletter, assinatura. O que o usuário entrega diretamente a você.
• O contextual, que voltou com ferramentas melhores: compra-se a página, não a pessoa que a lê.
• Públicos declarados pelo próprio veículo: a sua audiência em categorias padronizadas, sem ceder identificadores.
• Identificadores próprios do publisher, passados ao servidor de anúncios para limitar frequência e segmentar.
• Identificadores alternativos do setor, construídos sobre um e-mail criptografado que o usuário entregou e consentiu.
• As APIs de navegador propostas para substituir parte desses usos, um terreno ainda em movimento.

O fio comum: quase tudo o que substitui o cookie de terceiros depende de uma relação direta com a sua audiência, e essa relação precisa de consentimento bem pedido e bem registrado.

O que você deveria ter montado

Se você vende inventário para usuários europeus, esta é a lista mínima:

• Uma CMP certificada pelo Google e integrada ao TCF, não um banner caseiro.
• O sinal de consentimento chegando ao servidor de anúncios e aos wrappers de lances, verificado na requisição real.
• Consent Mode implementado, com os parâmetros da versão 2 presentes.
• Publicidade não personalizada ativada, para que a recusa não vire espaço em branco.
• A lista de fornecedores revisada: cada um que você acrescenta é mais alguém a aceitar.
• Registro do consentimento e um caminho simples para mudá-lo ou retirá-lo no próprio site.
• A política de privacidade e a de cookies dizendo o que o site realmente faz.
• Os dois caminhos testados: o que acontece quando alguém aceita e o que acontece quando alguém recusa.

Um aviso que vai a sério: isto explica como funciona a mecânica publicitária, não é assessoria jurídica. A interpretação das normas muda por país e por autoridade, e há pontos ainda em discussão nos tribunais. Serve para você conversar com o seu advogado sabendo do que trata a conversa, não para dispensá-lo: qual base legal usar e como redigir os seus avisos não se decide lendo um blog.