--- title: "Publicidade & vigilância" description: "Real-time bidding, device fingerprinting e como o seu perfil comportamental aparece para um anunciante." url: https://attentionmachine.org/pt/maquina-da-atencao/publicidade/ lang: pt updated: 2026-10-25 license: "CC BY-NC-SA 4.0 (https://creativecommons.org/licenses/by-nc-sa/4.0/)" --- > **Conteúdo em revisão por voluntários** Falantes nativos estão conferindo esta tradução com o original em inglês. [Como traduzimos e como informar um erro (em inglês)](https://attentionmachine.org/en/about/translations/#volunteer-review) # Publicidade & vigilância As plataformas são gratuitas. O produto é você — num sentido mais preciso do que a frase costuma sugerir. ## Como começou A DoubleClick foi fundada em 1996[^src-doubleclick-inc-2001] e começou a rastrear usuários de um site para outro por meio de cookies[^src-kristol-2001] — o primeiro perfilamento comportamental em grande escala de usuários da internet para fins comerciais. Em 1999, a empresa comprou a Abacus Direct[^src-doubleclick-inc-2001], uma corretora de dados offline com registros de compras de consumidores no mundo real. Defensores da privacidade logo deram o alarme[^src-angwin-2016]: juntar a navegação on-line anônima com um histórico de compras capaz de identificar as pessoas criaria algo qualitativamente novo. A FTC investigou e encerrou o caso em 2001[^src-federal-trade-2001] sem tomar nenhuma medida — mas registrou que o encerramento não equivalia a constatar que a lei tinha sido cumprida. O Google anunciou a compra da DoubleClick em 2007 e a concluiu em 2008[^src-google-2007]. Em 2009, lançou a publicidade baseada em interesses[^src-wojcicki-2009], que traçava o perfil de cada navegador pelos sites que ele visitava. Por sete anos, o Google manteve esse histórico de navegação separado dos nomes nas contas dos seus usuários; em 2016, abandonou discretamente essa promessa[^src-angwin-2016] — exatamente a combinação de comportamento on-line e identidade contra a qual os defensores da privacidade tinham alertado em 1999. A preocupação foi documentada, investigada e depois deixada de lado. O setor cresceu. ## Real-time bidding: o leilão que você nunca vê Quando você visita um site, acontece um leilão no tempo que a página leva para carregar — normalmente 100 milissegundos[^src-wang-2017]. O seu perfil comportamental é transmitido a dezenas de empresas de publicidade ao mesmo tempo. Elas dão lances pelo direito de mostrar um anúncio a você. O anúncio de quem vence aparece. O leilão termina antes de você acabar de ler a manchete. Esse sistema se chama real-time bidding (RTB), o leilão em tempo real. Segundo uma pesquisa do Irish Council for Civil Liberties (ICCL)[^src-iccl-2022], estima-se que os dados do usuário médio de internet na UE sejam transmitidos a anunciantes 376 vezes por dia. Nos Estados Unidos, a estimativa é de 747 vezes por dia. Não para quem vence o leilão. Para todos os que dão lance — toda empresa que recebe a transmissão pode guardar uma cópia dos dados do seu perfil, vença ou não o leilão, e nada no sistema a impede. Em 2022, a Autoridade Belga de Proteção de Dados[^src-dpa] concluiu que o modelo de consentimento que o próprio setor publicitário criou para o RTB viola o GDPR, e em 2024 o Tribunal de Justiça da União Europeia[^src-court-justice-2024], respondendo a questões enviadas por um tribunal belga, confirmou partes essenciais desse raciocínio. O sistema continua funcionando. ## O que o perfil contém Os dados transmitidos num leilão de RTB[^src-iccl-2022] costumam incluir: a sua localização aproximada, o aparelho que você está usando, a data e a hora, o site que você está visitando e — o mais importante — as suas características inferidas. Elas não são fatos sobre você. São inferências tiradas do seu comportamento em milhares de sites ao longo de meses e anos: a sua provável faixa de renda, as suas preocupações de saúde, as suas inclinações políticas, a sua situação amorosa, as suas ansiedades. > **Dados inferidos (inferred data)** > > Dados que você nunca forneceu, gerados ao prever os seus atributos a partir do seu comportamento — por exemplo, deduzir uma condição de saúde a partir dos artigos que você lê. Pela legislação europeia de proteção de dados, inferências sobre você podem ser dados pessoais, mas raramente você sabe que elas existem, não pode vê-las e não consegue corrigi-las com facilidade. O perfil que decide o que você vê é um perfil ao qual você não tem acesso. > > **Fontes** > > - Wachter & Mittelstadt (2019), [_A Right to Reasonable Inferences_](https://doi.org/10.7916/cblr.v2019i2.3424), Columbia Business Law Review. Shoshana Zuboff, em _The Age of Surveillance Capitalism_[^src-zuboff-2019] (2019), descreve isso como uma reorientação fundamental da lógica econômica da internet: a experiência humana vira matéria-prima, processada em produtos de predição comportamental e vendida a quem pagar. O produto não é a plataforma. O produto é você — mais exatamente, o modelo que prevê o que você vai fazer em seguida. > **Excedente comportamental (behavioural surplus)** > > O termo de Zuboff para os dados comportamentais que sobram depois que um serviço foi entregue a você — os padrões de clique, as localizações e os horários que não são necessários para o produto funcionar, mas são capturados mesmo assim e usados para fazer previsões. Esse excedente é a matéria-prima do negócio: é refinado em previsões sobre o seu comportamento futuro e vendido em mercados que você nunca vê. > > **Fontes** > > - Zuboff, S. (2019), _The Age of Surveillance Capitalism_, PublicAffairs. ## Device fingerprinting: a vigilância que sobrevive A maioria das pessoas conhece os cookies e os apaga ou aceita os avisos de cookies. O device fingerprinting é diferente. Ele identifica o seu aparelho combinando dezenas de características técnicas[^src-ico-2024] — a versão do navegador, a resolução da tela, as fontes instaladas, o comportamento da placa de vídeo, o fuso horário, as configurações de idioma — num identificador único que não exige guardar nada no seu aparelho. O fingerprinting se apoia em sinais que você não consegue apagar com facilidade[^src-ico-2024], então limpar os cookies não o impede, e ele é mais difícil de bloquear para os navegadores. Ele persiste de uma sessão para outra e, combinado com outros identificadores, pode ligar entre si os rastros da sua navegação. Em 2024, o Google abandonou o plano, anunciado havia muito tempo,[^src-chavez-2024] de eliminar aos poucos os cookies de terceiros no Chrome — o mecanismo de rastreamento que vinha sofrendo pressão de reguladores e do público havia anos. Além disso, a partir de fevereiro de 2025, deixou de proibir que as empresas que usam os seus produtos de publicidade façam fingerprinting — uma mudança que a autoridade de proteção de dados do Reino Unido chamou de “irresponsável”[^src-ico-2024]. A resposta do setor à pressão para aposentar um mecanismo de vigilância foi mantê-lo e permitir, ao lado dele, um mais poderoso. ## Cambridge Analytica: o que isso torna possível Em 2014 e 2015, dados de até 87 milhões de perfis do Facebook foram coletados sem consentimento por meio de um aplicativo de quiz e repassados à Cambridge Analytica, que os usou em seu trabalho para campanhas políticas nos EUA no ciclo eleitoral de 2016. A coleta e o repasse são fatos confirmados, documentados na própria divulgação do Facebook[^src-facebook-2018] e em depoimentos ao Congresso americano[^src-senate-committee-2018] (2018), na ordem da Comissão Federal de Comércio dos EUA (FTC) contra a Cambridge Analytica[^src-federal-trade-2019] (2019) e na investigação do Information Commissioner's Office (ICO)[^src-ico-2020], a autoridade britânica de proteção de dados. Se os dados serviram à eleição presidencial de 2016 é menos certo: a carta do ICO[^src-ico-2020] diz que parte deles teria sido usada em campanhas políticas, “inclusive (suspeita-se) na eleição presidencial de 2016 nos EUA”, mas que não foi “possível determinar”, pelas evidências examinadas, quais dados foram usados em alguma parte específica de uma campanha. O referendo do Brexit é uma história separada e mais limitada. O ICO investigou e concluiu em outubro de 2020[^src-ico-2020] que a Cambridge Analytica não se envolveu no referendo além de contatos iniciais, e que os dados coletados do Facebook — referentes a eleitores registrados nos EUA — não poderiam ter sido usados nele. Registramos isso justamente porque a credibilidade deste site depende de não exagerar nem mesmo uma afirmação conveniente. O efeito do direcionamento sobre os resultados eleitorais é genuinamente contestado por cientistas políticos[^src-kalla-2018] — a afirmação de que a Cambridge Analytica determinou resultados não tem bom respaldo. O que não se contesta é que a infraestrutura existia e foi usada, e que as regras então em vigor pouco fizeram para impedir esse uso: mais tarde, o órgão regulador britânico multou o Facebook no valor máximo de £ 500.000[^src-information-commissioners-2018] permitido pela lei anterior ao GDPR, e o acordo de US$ 5 bilhões da FTC com o Facebook[^src-federal-trade-2019-b] veio em 2019. A legislação de proteção de dados mais forte veio depois. ## O que você pode fazer Nenhuma ação individual derrota o sistema de RTB — ele opera no nível da infraestrutura, e a resposta à altura dessa escala é estrutural. As defesas parciais que ajudam estão reunidas num só lugar, para continuarem atualizadas: [O que fazer](https://attentionmachine.org/pt/informe-se/o-que-fazer/) para as ações, [Ferramentas & sites](https://attentionmachine.org/pt/informe-se/ferramentas/) para as ferramentas específicas. E, para ver o que o seu navegador revela agora mesmo, a [demo Tracking & Targeting](https://attentionmachine.org/pt/maquina-da-atencao/tracking-e-targeting/) mostra isso ao vivo. **Como sabemos — os números do RTB, as decisões sobre o GDPR e o que é contestado no caso Cambridge Analytica** Os números diários de 376 (UE) e 747 (EUA) vêm da análise do ICCL[^src-iccl-2022] sobre dados do próprio setor a respeito da frequência com que o perfil de um usuário típico é transmitido em leilões de RTB. Eles medem a frequência das transmissões, não um uso indevido comprovado — mas o argumento se mantém: todo participante que recebe uma transmissão pode guardar uma cópia, vença ou não, de modo que os dados se espalham muito além de qualquer transação isolada. **A situação jurídica.** A Autoridade Belga de Proteção de Dados[^src-dpa] concluiu que o Transparency and Consent Framework da IAB Europe — a camada de consentimento por trás de boa parte do RTB — viola o GDPR (Decisão 21/2022). Num reenvio prejudicial, o Tribunal de Justiça da UE (Processo C-604/22, 2024)[^src-court-justice-2024] confirmou partes essenciais desse raciocínio, inclusive que uma “TC String” pode ser um dado pessoal. Mesmo assim, o sistema continua funcionando enquanto o framework é reformulado. **Cambridge Analytica — sem ir além do que está provado.** Confirmado: a coleta de até 87 milhões de perfis, o repasse à Cambridge Analytica e o uso que ela fez deles em seu trabalho político nos EUA, e a fragilidade das regras então em vigor. Contestado: se o direcionamento mudou resultados eleitorais — cientistas políticos duvidam[^src-kalla-2018] que o micro-targeting tenha o poder de persuasão decisivo que muitas vezes se atribui a ele. Refutado: a afirmação comum de que a Cambridge Analytica decidiu o Brexit — a investigação do ICO britânico[^src-ico-2020] concluiu que os dados coletados de eleitores americanos não poderiam ter sido usados no referendo. Mantemos essas três categorias separadas de propósito. ## Fontes [^src-iccl-2022]: [Irish Council for Civil Liberties (ICCL)](https://www.iccl.ie/news/iccl-report-on-the-scale-of-real-time-bidding-data-broadcasts-in-the-u-s-and-europe/) — relatório sobre o sistema de RTB da IAB (2022); os números diários de 376/747. [^src-dpa]: Decisão 21/2022 da autoridade belga de proteção de dados sobre o TCF da IAB Europe — [Belgian Data Protection Authority](https://www.dataprotectionauthority.be/citizen/iab-europe-held-responsible-for-a-mechanism-that-infringes-the-gdpr). [^src-court-justice-2024]: Tribunal de Justiça da União Europeia (7 de março de 2024), [_IAB Europe_, Processo C-604/22](https://curia.europa.eu/juris/liste.jsf?num=C-604/22) — uma TC String é dado pessoal, e a IAB Europe é controladora conjunta. [^src-kristol-2001]: Kristol, D.M. (2001), [_HTTP Cookies: Standards, Privacy, and Politics_](https://doi.org/10.1145/502152.502153), ACM Transactions on Internet Technology 1(2), 151–198 (versão aberta: [arXiv:cs/0105018](https://arxiv.org/abs/cs/0105018)) — os cookies de terceiros e as redes de publicidade cujos perfis dependiam deles; a constituição da DoubleClick em janeiro de 1996 (nota de rodapé 21). [^src-doubleclick-inc-2001]: DoubleClick Inc. (13 de março de 2001), [_Form 10-K for the fiscal year ended December 31, 2000_](https://www.sec.gov/Archives/edgar/data/1049480/000095011701000490/0000950117-01-000490-0001.txt), US Securities and Exchange Commission — constituída em 23 de janeiro de 1996; fusão com a Abacus Direct em 23 de novembro de 1999; a FTC “encerrou sua investigação … sem recomendar nenhuma outra medida” em janeiro de 2001. [^src-federal-trade-2001]: US Federal Trade Commission, Bureau of Consumer Protection (22 de janeiro de 2001), [staff letter closing the investigation of DoubleClick](https://www.ftc.gov/sites/default/files/documents/closing_letters/doubleclick-inc./doubleclick.pdf) — a equipe concluiu que a DoubleClick “não combinou dados pessoais identificáveis da Abacus Direct com dados de navegação (clickstream)” e encerrou o caso, um passo que “não deve ser interpretado como uma determinação de que uma violação não possa ter ocorrido”. [^src-angwin-2016]: Angwin, J. (21 de outubro de 2016), [_Google Has Quietly Dropped Ban on Personally Identifiable Web Tracking_](https://www.propublica.org/article/google-has-quietly-dropped-ban-on-personally-identifiable-web-tracking), ProPublica — os protestos de 1999 contra a DoubleClick e a Abacus; os registros de navegação da DoubleClick, mantidos “separados, por padrão, dos nomes” até o Google mudar sua política de privacidade em 2016. [^src-google-2007]: Google (13 de abril de 2007), [_Google to Acquire DoubleClick_](https://www.sec.gov/Archives/edgar/data/1288776/000119312507084483/dex991.htm), comunicado à imprensa arquivado na SEC (US$ 3,1 bilhões em dinheiro), e (11 de março de 2008), [_Google Closes DoubleClick Acquisition_](https://adwords.googleblog.com/2008/03/google-closes-doubleclick-acquisition.html), blog Inside AdWords. [^src-wojcicki-2009]: Wojcicki, S. (11 de março de 2009), [_Making ads more interesting_](https://googleblog.blogspot.com/2009/03/making-ads-more-interesting.html), Official Google Blog — o lançamento da publicidade “baseada em interesses”, que associa “categorias de interesse … ao seu navegador”. [^src-zuboff-2019]: Zuboff, S. (2019), _The Age of Surveillance Capitalism_, PublicAffairs. [^src-wachter-mittelstadt-2019]: Wachter & Mittelstadt (2019), [_A Right to Reasonable Inferences_](https://doi.org/10.7916/cblr.v2019i2.3424), Columbia Business Law Review. [^src-facebook-2018]: Facebook (4 de abril de 2018), [_An Update on Our Plans to Restrict Data Access on Facebook_](https://about.fb.com/news/2018/04/restricting-data-access/) — a divulgação de que dados de até 87 milhões de pessoas podem ter sido compartilhados com a Cambridge Analytica. [^src-federal-trade-2019]: Comissão Federal de Comércio dos EUA (dezembro de 2019), [_FTC Issues Opinion and Order Against Cambridge Analytica_](https://www.ftc.gov/news-events/news/press-releases/2019/12/ftc-issues-opinion-order-against-cambridge-analytica-deceiving-consumers-about-collection-facebook). [^src-federal-trade-2019-b]: Comissão Federal de Comércio dos EUA (24 de julho de 2019), [_FTC Imposes $5 Billion Penalty and Sweeping New Privacy Restrictions on Facebook_](https://www.ftc.gov/news-events/news/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-new-privacy-restrictions-facebook). [^src-ico-2020]: Information Commissioner's Office (ICO) do Reino Unido (2 de outubro de 2020), [carta ao DCMS Committee que encerra a investigação sobre a Cambridge Analytica](https://committees.parliament.uk/publications/2847/documents/27859/default/) — sem envolvimento no referendo da UE; os dados do Facebook se referiam a eleitores dos EUA; seu uso na eleição presidencial de 2016 nos EUA é suspeito, não determinado (Anexo 2, parágrafos 18 e 30). [^src-ico-2024]: Information Commissioner's Office (ICO) do Reino Unido (19 de dezembro de 2024), [_Our response to Google's policy change on fingerprinting_](https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/12/our-response-to-google-s-policy-change-on-fingerprinting/). [^src-chavez-2024]: Chavez, A. (22 de julho de 2024), [_A new path for Privacy Sandbox on the web_](https://privacysandbox.com/news/privacy-sandbox-update/), Google Privacy Sandbox. [^src-kalla-2018]: Kalla, J.L. & Broockman, D.E. (2018), [_The Minimal Persuasive Effects of Campaign Contact in General Elections: Evidence from 49 Field Experiments_](https://doi.org/10.1017/S0003055417000363), American Political Science Review 112(1). [^src-wang-2017]: Wang, J., Zhang, W. & Yuan, S. (2017), [_Display Advertising with Real-Time Bidding (RTB) and Behavioural Targeting_](https://doi.org/10.1561/1500000049), Foundations and Trends in Information Retrieval 11(4–5), 297–435 (versão aberta: arXiv:1610.03013) — da visita à página ao anúncio vencedor, "geralmente em até 100 ms". [^src-senate-committee-2018]: Comissão de Comércio, Ciência e Transportes e Comissão de Justiça do Senado dos EUA (10 de abril de 2018), [_Facebook, Social Media Privacy, and the Use and Abuse of Data_](https://www.govinfo.gov/content/pkg/CHRG-115shrg37801/html/CHRG-115shrg37801.htm), audiência conjunta, S. Hrg. 115-683 — o depoimento de Mark Zuckerberg sobre o aplicativo de questionário de Aleksandr Kogan e a passagem dos dados para a Cambridge Analytica. [^src-information-commissioners-2018]: Information Commissioner's Office do Reino Unido (6 de novembro de 2018), [_Investigation into the use of data analytics in political campaigns: A report to Parliament_](https://ico.org.uk/media2/migrated/2260271/investigation-into-the-use-of-data-analytics-in-political-campaigns-final-20181105.pdf) — a multa de £ 500.000 ao Facebook (25 de outubro de 2018), "a mais alta permitida pela DPA1998". [Veja ao vivo: demo Tracking & Targeting →](https://attentionmachine.org/pt/maquina-da-atencao/tracking-e-targeting/)\ [Veja ao vivo: Combinação de dados →](https://attentionmachine.org/pt/maquina-da-atencao/combinacao-de-dados/)\ [Leis & regulação: GDPR →](https://attentionmachine.org/pt/leis/gdpr/)\ [Digital Services Act →](https://attentionmachine.org/pt/leis/dsa/) --- Parte do conteúdo deste site foi criada com o auxílio de ferramentas de IA e pode conter erros. [Como usamos IA →](https://attentionmachine.org/pt/sobre/como-usamos-ia/)