LGPD e acessos a contas de anúncio: quem viu o quê

A conversa de LGPD na agência de publicidade quase sempre começa no banner de cookie do site. O incidente de verdade costuma começar no acesso: quem entrou na BM, quem exportou público, quem viu comentário com nome, quem ainda tem admin depois do contrato. O regulador não pergunta se o criativo era bonito. Pergunta base, finalidade, recorte e prova. Sem histórico, a resposta é memória. Memória não é prova.

Este texto não é parecer jurídico. É o mapa operacional que o head de mídia e o DPO conseguem compartilhar. Política de criativo continua no eixo de anúncio. Aqui o eixo é quem viu o quê.

O que há de pessoal numa conta de ads

Nem tudo no Ads Manager é dado pessoal. Muita coisa é.

Público customizado de lista de clientes. E-mail, telefone, identificador. Isso é dado. Exportar, duplicar, mandar para outra BM é operação de tratamento.

Comentários e mensagens em anúncio. Nome, reclamação, às vezes CPF no texto. Community manager com login de ads vê isso. Estagiário com a mesma senha também.

Usuários da BM e da MCC. Nome, e-mail, telefone do 2FA. Inventário de acesso é também inventário de dado de colaborador e de fornecedor.

Pixel e CAPI. Evento com identificador, se o desenho coleta. O painel de eventos não é só gráfico. É destilação de comportamento.

Relatório com granularidade que reidentifica. Cidade pequena, campanha de RH, criativo para um cargo único. Agregado nem sempre é anônimo.

O que em regra não é o centro da LGPD: o lance, o CPC, o naming interno da campanha. Misturar os dois debates — privacidade e performance — gera reunião em que ninguém revoga admin.

Controlador, operador e o atalho da BM compartilhada

No desenho clássico, o anunciante é controlador da mídia dele. A agência opera campanha com recorte. Ferramentas no meio processam dado sob instrução.

O atalho destrói o desenho: BM da agência com todos os clientes; pixel da agência no site do cliente; lista de clientes no e-mail do gestor; senha no grupo. Na prática, ninguém sabe quem é controlador de quê. Na disputa, os dois lados apontam um para o outro.

Escreva no contrato o óbvio: quem é controlador de pixel e de lista; o que a agência pode ver; o que pode exportar; prazo para devolver e apagar; se existe subprocessador (tool de browser, de relatório, de proxy). Sem isso, a entrada de mídia vira cessão informal de dado.

White-label e holding complicam. Marca própria e marca branca no mesmo time exigem a mesma pergunta de titular. Não é só grafo de ads. É titular de lista.

Acesso é tratamento: papel, necessidade, prazo

LGPD de ads, no chão da agência, cabe em três controles que o time já deveria ter por operação.

Papel. Ver relatório não é operar campanha. Operar campanha não é exportar público. Administrar usuários não é o papel do plantão de sábado. O mínimo privilégio não é slogan de TI. É a resposta para “quem viu a lista”.

Necessidade. Freelancer de criativo não precisa do gerenciador de públicos. Financeiro não precisa do pixel helper. Cliente não precisa de admin para “acompanhar”. Relatório existe para isso.

Prazo. Acesso de projeto tem fim. Estágio tem fim. Agência anterior tem fim. Acesso eterno é o achado clássico. A saída do gestor de tráfego é incidente de dado se a sessão continua.

Esses três controles falham quando a senha está no WhatsApp. Quem entra no grupo entra no tratamento. Quem sai continua com o print. Convite com revogação é o modelo que a LGPD reconhece. Grupo de senha, não.

O log que o DPO consegue usar

Pedido de titular, auditoria, disputa com cliente: “quem viu” precisa de timestamp e de identidade humana, não de lenda.

O que registrar, alinhado ao log de atividade em contas de ads:

Abertura de perfil de navegação da operação. Pessoa, identidade de anunciante, horário.

Convite e revogação na BM, MCC, Shopify, seller. Papel concedido.

Export de público, de relatório nominado, de cookie, de catálogo com dado de cliente.

Troca de proxy e de dono do perfil. Não porque proxy é PII, mas porque reconstitui o ambiente do acesso.

Incidente: acesso suspeito, laptop perdido, extensão estranha, publicação na conta errada.

O que não registrar: senha, token, cookie cru, conteúdo da lista. O log aponta o evento. Não republica o dado.

Retenção: combine com o DPO. Tempo demais vira depósito de PII de colaborador. Tempo de menos apaga a prova do trimestre. O número certo é política da empresa, não palpite do gestor.

Histórico de atividades no sistema da operação — no recorte de agência brasileira, o que o Lauth guarda de abertura de perfil, convite e proxy — alimenta essa prova. Não substitui o registro de operações nem o contrato. Evita o vazio.

Pixel, CAPI e o domínio de quem coleta

Acesso ao painel é metade. A outra metade é coleta no site.

Agência que cola o próprio pixel no checkout do cliente “para ter dado” vira, no mínimo, um problema de finalidade. O titular do site não autorizou um dataset paralelo. Consentimento do banner aponta para o anunciante. O dataset da agência fica fora da história que o usuário leu.

Regra operacional que o jurídico entende:

Pixel e CAPI no dataset do anunciante, no domínio do anunciante.

Agência acessa o painel com papel, não duplica o fluxo para a conta dela.

Tool de server-side é subprocessador nomeado. Token no Notion do estagiário não é nomeação.

Consent Mode e banners são do site. O time de mídia não “padroniza” consentimento entre clientes colando o mesmo GTM em dez lojas com políticas diferentes.

Isolamento de sessão ajuda a não logar o pixel helper do cliente A no Chrome do cliente B. Não corrige o pixel instalado no domínio errado. São eixos diferentes.

Listas, públicos e o estagiário curioso

A superfície mais feia é a lista.

Upload de CSV de clientes no gerenciador de públicos. Arquivo no Discord. Arquivo no Drive com link público. Arquivo no notebook pessoal. Cada cópia é tratamento. Cada cópia sem controle é incidente esperando pedido de titular.

Controles possíveis, todos chatos e todos melhores que o CSV no grupo:

Hashing no ambiente controlado, não na máquina de casa.

Papel que opera campanha sem permissão de criar público de lista.

Proibição de download. Se a ferramenta não impede, o procedimento impede e o log denuncia.

Sandbox para estágio, sem produção.

Quando o cliente pede para “usar a lista da campanha antiga na conta nova”, pergunte se a conta nova é o mesmo controlador. Conta gêmea no calor de uma restrição não herda lista por conveniência. Herda risco.

Fornecedores, subprocessadores e o browser da operação

A agência não é o único terceiro.

Ferramenta de relatório com login no Ads. CRM. CDP. Antidetect. Proxy. Cada um pode ver identificador, IP, evento, criativo com dado. Lista de subprocessadores no contrato. DPA quando o enquadramento pede. Sede e transferência se o dado sai do Brasil.

O browser da operação é especial porque carrega sessão. Sessão é acesso contínuo. Quem abre o perfil vê o que o painel mostra. Por isso convite ao perfil com papel é melhor que senha mestra. Saída revoga o perfil. Não espera o ex-colaborador apagar o Chrome.

Compra de ferramenta sem pergunta de log e de retenção é compra cega. O DPO deveria ver a ficha ao lado do head de mídia. Não depois do incidente.

O que responder num pedido ou numa auditoria

Pedido de titular sobre “anúncios que me mostraram” raramente se resolve no Ads Manager da agência. Plataforma é outra camada. O que a agência deve saber responder:

Se tratou lista daquela pessoa. Se exportou. Se ainda tem CSV.

Quem da agência tinha acesso ao painel no período.

Se o pixel no site do cliente estava no dataset combinado.

O que foi apagado no encerramento do contrato.

Sem log, a resposta honesta é “não sabemos”. É pior do que “vimos no dia X com o papel Y e revogamos no dia Z”.

Auditoria interna de perfis no trimestre — amostra de sessão, de proxy, de extensão — não é teatro de LGPD. É a prova de que o acesso acontece no ambiente combinado. Detalhe no texto de auditoria interna de perfis.

Encerramento de contrato é operação de dado

Fim de cliente não é só devolver a BM.

Revogar convites. Apagar CSV e públicos que a agência copiou. Encerrar perfil de navegação. Cortar proxy. Entregar o log do período se o contrato pede. Registrar a data. Arquivar. Não “deixar o perfil quieto caso o cliente volte”. Volta com entrada nova.

Acesso residual é o incidente mais comum e o menos glamoroso. Não precisa de hacker. Precisa de gente que saiu e de convite que ficou.

O que a LGPD não pede ao time de mídia

Não pede para parar de anunciar. Não pede fingerprint perfeito. Não pede o DPO no stand-up de lance.

Pede recorte, prova e fim. Quem viu, para quê, até quando. O time que já opera com papel, cofre e histórico está mais perto disso do que o time que discute banner e ignora a BM. Banner importa. Admin eterno importa mais no dia em que alguém pergunta.

Comentário, inbox e o community no mesmo login

O Ads Manager não é só lance. É canal de mensagem. Reclamação com nome, foto, às vezes documento colado no inbox. Quem opera campanha vê. Quem não deveria ver também, se o login é compartilhado.

Separe, quando o volume pede: papel de community distinto de papel de mídia. Nem sempre a ferramenta deixa. Aí o procedimento deixa: plantão de mídia não responde inbox de dado sensível; escala de community com recorte; proibição de print de conversa no grupo da agência. Print de reclamação com CPF no WhatsApp é tratamento. É também o backup que o DPO não pediu.

Influencer e social com o mesmo Facebook da BM: o grafo pessoal cola no anúncio e o inbox cola no social. São eixos de marca e de dado. Isolar sessão de ads não resolve o Page que já está no perfil pessoal. Resolve não piorar.

Treino do time de mídia, sem transformar gestor em advogado

Quinze minutos na entrada: o que é lista, o que é pixel, o que não se exporta, o que não se manda no chat, quem chama o DPO. Não é curso de 40 horas. É o mínimo para o estagiário não baixar o CSV “para testar o Excel”.

Recorrência: um caso por trimestre. Pedido de titular fictício. “Quem viu a lista da campanha X em março.” Se o time não reconstitui, o log falhou. Treine no vazio, não no ofício.

O que não treinar: jeito de “anonimizar” lista no notebook de casa. Ou como copiar público entre BMs de clientes diferentes. O treino é recorte, não criatividade de dado.

Transferência, tool gringa e o proxy no meio

Dado de lista e de log pode sair do Brasil na tool de relatório, no antidetect, no proxy. O jurídico trata transferência. Ops trata a ficha: onde está, quem subprocessa, se o contrato nomeia.

Proxy residencial de terceiro colado no perfil: o IP não é PII clássica no discurso de mídia. O log de quem navegou, o identificador de sessão, o suporte que pede cookie, são. Nomeie o terceiro. Não deixe “o proxy do João” como subprocessador informal.

Quando a tool gringa não assina DPA, o DPO veta ou aceita risco. Mídia não aceita no cartão corporativo para “não travar o mês”. Travamento de compra é mais barato que ofício depois.

Na mesa brasileira, LGPD de ads quase nunca começa no banner. Começa no grupo de senha e no admin que nunca saiu. O DPO pergunta quem viu. O log responde — ou o silêncio responde pior.