Em julho de 2023 eu subi num palco da Campus Party Brasil (a #CPBR15) para dizer que o anonimato na internet estava acabando. A Apple e o Google tinham anunciado o fim do suporte aos cookies de terceiros, e a minha tese era que a indústria da comunicação digital não ia aceitar perder o rastreamento assim, de graça (spoiler: não aceitou). Ela ia correr atrás de técnicas de targeting tão avançadas que navegar sem ser reconhecido ficaria praticamente impossível.
Passaram dois anos e pouco, e o Google desistiu de matar os cookies. Tu não leu errado: desistiu.
Logo, eu errei?
O que é um cookie de terceiro
Sabe a pulseirinha que o parque de diversões coloca no teu braço na entrada? Com ela, o pessoal do parque sabe que tu já pagou e te deixa entrar nos brinquedos sem perguntar de novo. Isso é um cookie primário: o site que tu visita grava um pequeno arquivo no teu navegador para lembrar de ti, do teu login ou do teu carrinho de compras.
Agora imagina que uma empresa coloca a pulseira dela em todos os parques da cidade. Ela não vende ingresso nem cuida de brinquedo, mas sabe em quais parques tu foi, em que dia e quanto tempo tu ficou em cada fila. Esse é o cookie de terceiro: um cookie de outro domínio, normalmente de uma empresa de anúncios ou de métricas, carregado dentro dos sites que tu visita. Como a mesma empresa está em milhares de sites, ela reconhece o teu navegador em todos eles e monta um perfil do que tu anda fazendo.
Foi essa pulseira que sustentou boa parte da publicidade digital nos últimos vinte e poucos anos. Obviamente, ninguém do mercado queria tirar ela do braço de ninguém.
O que aconteceu desde a palestra
O Safari e o Firefox já tinham tirado a pulseira. O Safari bloqueia todos os cookies de terceiros desde março de 2020, e o Firefox separa os cookies de cada site, com a Proteção Total de Cookies ligada para todo mundo desde junho de 2022.
O Google desistiu de tirar a dele. O plano de remover os cookies de terceiros do Chrome foi adiado várias vezes. Em julho de 2024, o Google abandonou o cronograma e passou a falar numa escolha do usuário. Em abril de 2025, desistiu também dessa tela de escolha: o Chrome segue com os cookies de terceiros como sempre seguiu.
O Privacy Sandbox foi para a gaveta. O Privacy Sandbox era o conjunto de tecnologias que o Google criou para substituir os cookies de terceiros, como a API Topics, que deixava o próprio navegador dizer aos anunciantes os assuntos que te interessam. Em outubro de 2025, o Google anunciou a aposentadoria da maior parte delas, por causa da baixa adoção (o Google Reader manda lembranças). No mesmo dia, a autoridade de concorrência do Reino Unido (CMA) liberou o Google dos compromissos que ele tinha assumido sobre o projeto.
E o fingerprinting ganhou passe livre. Pensa no porteiro do teu prédio. Ele não precisa ver o teu crachá para saber que é tu: reconhece pelo jeito de andar, pela mochila, pela hora em que tu chega. O fingerprinting (impressão digital do navegador) faz a mesma coisa: identifica o teu navegador pela combinação das suas características, como o sistema operacional, o tamanho da tela, as fontes instaladas e o idioma. A diferença para o porteiro é que tu não tem como trocar de mochila: não existe cookie para apagar. Desde fevereiro de 2025, as regras de publicidade do Google deixaram de proibir essa técnica, e o regulador de privacidade britânico (ICO) chamou a mudança de irresponsável.
Então eu errei?
Na minha opinião, errei no gatilho e acertei no resultado. O cookie de terceiro não morreu no Chrome, mas a corrida que a ameaça da morte dele provocou já tinha largado, e ninguém voltou para a linha de partida:
- Dados primários. É o mercadinho do bairro que pede o teu cadastro para te dar desconto. As empresas passaram a pedir login, cadastro e consentimento para ter os próprios dados sobre ti, sem depender de terceiros.
- Identificadores universais. É o "CPF na nota?" da internet. Soluções como o UID2 e o RampID transformam o teu e-mail num código que vários anunciantes e sites reconhecem.
- Clean rooms. Duas lojas querem saber quantos clientes têm em comum sem mostrar a lista inteira uma para a outra. A clean room é a sala neutra onde as duas bases se cruzam e só o resultado sai.
- Coleta no servidor. Em vez de o teu navegador avisar a plataforma de anúncios que tu comprou alguma coisa (e o teu bloqueador cortar esse aviso no meio do caminho), o servidor da loja avisa direto. Tu nem fica sabendo.
- Fingerprinting, agora com o aval do maior vendedor de anúncios do mundo.
Cada uma dessas técnicas é mais precisa do que o cookie de terceiro. Várias ligam a navegação a uma pessoa com nome e e-mail, não só a um navegador. O cookie, pelo menos, era o rastreamento que tu podia ver e apagar. O que veio depois é bem mais difícil de enxergar.
E até aqui eu só falei do navegador. Sem falar no celular, que é o porteiro morando no teu bolso. O Android e o iOS controlam tudo o que acontece no aparelho: quais aplicativos tu abre, por quanto tempo, com quem tu fala e, principalmente, onde tu está. Num estudo de 2018, o professor Douglas Schmidt, da Universidade Vanderbilt, deixou um celular Android parado em cima da mesa, sem ninguém mexer, com o Chrome aberto em segundo plano. Em 24 horas, o aparelho mandou a localização para o Google 340 vezes, umas 14 por hora (o Google chamou o estudo de enganoso e lembrou que o professor era testemunha da Oracle num processo contra ele).
E desligar o aparelho nem sempre resolve. Desde o iOS 15, o iPhone pode ser encontrado pela rede Buscar mesmo desligado, porque continua emitindo um sinal que os outros aparelhos da Apple por perto captam. A ideia é ótima para achar um celular roubado. Porém, isso mostra que "desligado" já não quer dizer o que a gente pensa.
Até a rede da operadora entra na brincadeira. Em 2024, o Derek, do canal Veritasium, invadiu com autorização o celular do Linus, do Linus Tech Tips, sem encostar no aparelho, só com o número de telefone dele. Ele usou uma falha no SS7, o sistema que as operadoras usam para trocar chamadas e SMS entre si, para desviar ligações, ler mensagens e, de quebra, mostrar como dá para saber onde o telefone está.
Agora, repara numa coisa que eu disse na palestra e repito aqui: ninguém rouba os nossos dados. Nós damos eles de graça para as big techs, em troca de filtros engraçados de vídeo, de e-mail grátis e de um GPS que nos "protege do trânsito". Tem até uma frase famosa sobre isso: quando o produto é grátis, o produto é tu. (Ninguém sabe ao certo quem disse primeiro. O Quote Investigator encontrou a ideia num vídeo de arte de 1973, o Television Delivers People, e a versão que se espalhou pela internet num comentário de 2010 no MetaFilter.)
Percebeu?
O anonimato é uma faca de dois gumes
Na minha opinião, o anonimato na internet é uma faca de dois gumes. Quem me conhece sabe que eu trabalho justamente do lado de quem quer te reconhecer, então deixa eu começar defendendo o meu lado.
Pensa na diferença entre o panfleto que te entregam na sinaleira e o vendedor da loja onde tu sempre compra. O panfleto é de quem não sabe nada sobre ti e nem se importa: tanto faz se tu tem carro, cachorro ou dinheiro, ele vai para a mão de todo mundo. O vendedor sabe o teu número, lembra do que tu levou da última vez e te avisa quando chega uma coisa do teu gosto. Na publicidade, estar anônimo é receber panfleto. Quando o site não consegue te identificar, ele te mostra anúncios aleatórios, muitas vezes de empresas que não se importam muito para quem os anúncios delas aparecem.
Toda essa tecnologia nasceu para isso: te identificar para te mostrar coisas que realmente te interessam, ou que tu poderia gostar, e fazer da propaganda algo útil. O problema não é a tecnologia. É como as empresas têm usado ela.
O caso mais conhecido é o da Cambridge Analytica. Um aplicativo de teste de personalidade no Facebook coletou dados de até 87 milhões de perfis, e a consultoria usou esses dados em campanhas políticas para aprender a falar com cada tipo de eleitor. No meio da história apareceu até a Palantir, uma empresa especializada em cruzar grandes volumes de dados: a própria Palantir admitiu que um funcionário dela trabalhou com gente da Cambridge Analytica, segundo a empresa "a título pessoal". Ou seja, as mesmas ferramentas que servem para te mostrar o tênis certo servem para descobrir o que te deixa com medo, ou com raiva, e usar isso para mudar o teu voto.
E tem os algoritmos das redes sociais, que são o mesmo problema com outra roupa. Imagina um garçom que percebe que tu pede mais cerveja sempre que a mesa começa a discutir futebol. Se ele ganha por cerveja vendida, logo, logo ele vai puxar o assunto do Gre-Nal toda vez que passar pela tua mesa. O algoritmo de uma rede social é o garçom: ele escolhe o que aparece no teu feed para te manter mais tempo lá dentro, e aprende sozinho que briga e indignação seguram as pessoas. Isso não é teoria da conspiração. Os documentos internos do Facebook que vazaram em 2021 diziam que otimizar para o engajamento era um dos motivos para o discurso de ódio e a desinformação se espalharem, e que entre as adolescentes que já passavam por um momento difícil, uma em cada três dizia que o Instagram piorava a relação com o próprio corpo.
É aí que entra o outro gume. Durante muito tempo, querer navegar anônimo parecia coisa de quem faz o que não deve na internet. Hoje, isso está cada vez mais necessário para preservar a tua sanidade mental e não ser manipulado por empresas com interesses escusos.
Agora, falando sério, só que nem tanto: se tu tiver navegando e aparecer um anúncio de penis enlargement, te preocupa se tu não tiver anônimo. Talvez tu precise e nem saiba disso ainda.
E a LGPD?
A LGPD (Lei Geral de Proteção de Dados, a Lei 13.709 de 2018) é a lei brasileira que diz o que as empresas e o governo podem fazer com os teus dados pessoais. Na teoria, ela existe para proteger o cidadão. Na minha opinião, ela foi distorcida para proteger mais a classe política do que a população.
E eu não estou sozinho nessa. Em 2021 e 2022, especialistas em proteção de dados e em transparência denunciaram que o governo federal estava usando a LGPD como desculpa para negar pedidos feitos pela Lei de Acesso à Informação. A agência Fiquem Sabendo contou 79 pedidos negados com base na LGPD. O cartão de vacinação do presidente e os crachás de acesso dos filhos dele ao Palácio do Planalto ganharam sigilo de 100 anos, com a justificativa de que eram dados pessoais. O presidente da comissão de privacidade da OAB-SP, Solano de Camargo, resumiu assim: o governo "tem se utilizado indevidamente da LGPD como desculpa para violar a LAI".
Ou seja, a lei que deveria esconder os teus dados das empresas acabou servindo para esconder os dados do governo de ti. Irônico, para dizer o mínimo.
Mesmo assim, a LGPD tem coisas que tu pode (e deve) exigir de qualquer empresa que guarda dados sobre ti. Pelo artigo 18, tu tem o direito de saber se uma empresa tem dados teus, de ver quais são, de corrigir o que estiver errado, de pedir para apagar o que foi coletado sem necessidade, de saber com quem ela compartilhou esses dados e de retirar o consentimento que tu deu. E pelo artigo 20, tu pode pedir a revisão de uma decisão tomada só por um algoritmo, como um crédito negado. Se a lei não pega sozinha, ela pega quando a gente cobra.
Dá para navegar sem ser rastreado?
Antes de tudo, não precisa ficar paranoico. Uma pesquisa da Forrester de 2019, encomendada pela Oracle, concluiu que só 11% das marcas conseguem usar de forma efetiva os dados que juntam sobre os clientes (e é por isso que as empresas me chamam e eu ganho o meu pão, ainda bem). Seis anos depois, o quadro não melhorou muito. Numa pesquisa da Apply Digital de 2025 com executivos de marketing do varejo britânico, só 8% disseram não ter nenhum problema para usar os próprios dados dos clientes, e os campeões de reclamação foram dados errados (34%), inconsistentes (33%) e desatualizados (32%). E a mesma pesquisa achou um detalhe saboroso: 94% já tinham começado a trocar os cookies de terceiros pelos próprios dados, mas 99% continuavam usando os cookies de terceiros para comprar mídia.
Ou seja, quem te protege hoje é a incompetência delas.
Isso não é motivo para ser descuidado (e não, eu não estou falando de tapar a tua webcam). Algumas dicas de quem entende de segurança:
- Descobre o quanto tu está exposto. O Cover Your Tracks, da EFF, uma ONG americana de direitos digitais, testa se o teu navegador bloqueia rastreadores e o quanto a tua impressão digital é única.
- Usa um navegador que bloqueia rastreadores por padrão, como o Firefox ou o Safari, e um bloqueador de rastreadores, como o Privacy Badger, da própria EFF.
- Para a proteção mais forte, usa o Tor Browser. É a recomendação da EFF contra o fingerprinting, com o custo de uma navegação mais lenta.
- Revisa as configurações de privacidade das tuas redes sociais e dos aplicativos do celular, como recomenda a Cartilha de Segurança para Internet, do CERT.br.
- Pensa antes de dar o teu e-mail ou o teu CPF. Para cadastros, um e-mail de encaminhamento (um endereço descartável que repassa as mensagens para o teu) já separa a tua vida das listas de marketing. E na farmácia, pergunta para que serve o CPF antes de dizer.
- E por favor, não usa o teu CPF ou o teu telefone como chave Pix!!!! Para receber, tu precisa passar a chave para quem vai pagar, e aí o teu CPF ou o teu número vai junto para qualquer um. Usa a chave aleatória.
Nenhuma dessas dicas é 100% eficaz. A própria EFF avisa que os bloqueadores pegam alguns rastreadores, "mas infelizmente não todos". E tudo muda o tempo todo na internet: este post mesmo começou com uma previsão sobre os cookies que o Google tratou de desmentir.
A pulseirinha saiu do braço. Só que agora o porteiro conhece o teu jeito de andar.
Referências
Esta parte quem preencheu para mim foi o Claudinho (o Claude, a IA da Anthropic). Tu acha que eu ia formatar referência ABNT na mão?
AGÊNCIA CÂMARA DE NOTÍCIAS. Acesso à informação não pode ser prejudicado por conta de Lei de Proteção de Dados, dizem especialistas. Portal da Câmara dos Deputados, Brasília, 18 nov. 2021. Disponível em: https://www.camara.leg.br/noticias/828370-acesso-a-informacao-nao-pode-ser-prejudicado-por-conta-de-lei-de-protecao-de-dados-dizem-especialistas/.
ALMOND, Stephen. Our response to Google's policy change on fingerprinting. Information Commissioner's Office, Wilmslow, dez. 2024. Disponível em: https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/12/our-response-to-google-s-policy-change-on-fingerprinting.
APPLEINSIDER. Find My can find powered-off or wiped iPhones in iOS 15. AppleInsider, jun. 2021. Disponível em: https://appleinsider.com/articles/21/06/07/find-my-can-find-powered-off-or-wiped-iphones-in-ios-15.
BRAHM, Wagner. #CPBR15: O fim do anonimato na internet. In: CAMPUS PARTY BRASIL, 15., 2023, São Paulo. Palestra. Disponível em: https://app.4.events/palestrante-wagner-brahm-3556-c18443.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm.
CENTRO DE ESTUDOS, RESPOSTA E TRATAMENTO DE INCIDENTES DE SEGURANÇA NO BRASIL (CERT.br). Cartilha de Segurança para Internet. São Paulo: NIC.br, [s.d.]. Disponível em: https://cartilha.cert.br/.
CLOVER, Juli. Firefox's Total Cookie Protection now available to all users by default. MacRumors, 14 jun. 2022. Disponível em: https://www.macrumors.com/2022/06/14/firefox-total-cookie-protection/.
CLOVER, Juli. Safari in new versions of iOS and macOS includes full third-party cookie blocking. MacRumors, 24 mar. 2020. Disponível em: https://www.macrumors.com/2020/03/24/safari-full-third-party-cookie-blocking/.
ELECTRONIC FRONTIER FOUNDATION. Cover Your Tracks. San Francisco: EFF, [s.d.]. Disponível em: https://coveryourtracks.eff.org/.
FACEBOOK investigating if Palantir had improper access to user data. CNBC, 26 abr. 2018. Disponível em: https://www.cnbc.com/2018/04/26/facebook-investigating-if-palantir-had-improper-access-to-user-data.html.
McKELVEY, Charlie. Only 8% of marketers face no first-party data issues. Decision Marketing, 4 mar. 2025. Disponível em: https://www.decisionmarketing.co.uk/news/only-8-of-marketers-face-no-first-party-data-issues.
MILMO, Dan. Facebook revelations: what is in cache of internal documents? The Guardian, via Yahoo Tech, 25 out. 2021. Disponível em: https://tech.yahoo.com/general/articles/facebook-revelations-cache-internal-documents-184246049.html.
ORACLE. New study: only 11% of brands can effectively use customer data. PR Newswire, 18 nov. 2019. Disponível em: https://www.prnewswire.com/news-releases/new-study-only-11-of-brands-can-effectively-use-customer-data-300959509.html.
QUOTE INVESTIGATOR. Quote origin: you're not the customer; you're the product. Quote Investigator, 16 jul. 2017. Disponível em: https://quoteinvestigator.com/2017/07/16/product/.
SCHIFF, Allison. Google pulls the plug on Topics, PAAPI and other major Privacy Sandbox APIs (as the CMA says 'cheerio'). AdExchanger, 17 out. 2025. Disponível em: https://www.adexchanger.com/privacy/google-pulls-the-plug-on-topics-paapi-and-other-major-privacy-sandbox-apis-as-the-cma-says-cheerio/.
SCHMIDT, Douglas C. Google Data Collection. Nashville: Vanderbilt University, Institute for Software Integrated Systems, 15 ago. 2018. Disponível em: https://www.dre.vanderbilt.edu/~schmidt/PDF/google-data-collection.pdf.
VALLE, Leonardo. LGPD está sendo usada para censurar informações públicas, alertam especialistas. Instituto Claro, 29 mar. 2022. Disponível em: https://www.institutoclaro.org.br/cidadania/nossas-novidades/reportagens/lgpd-esta-sendo-usada-para-censurar-informacoes-publicas-alertam-especialistas/.
VERITASIUM. Exposing the flaw in our phone system. [S. l.]: YouTube, 21 set. 2024. 1 vídeo. Disponível em: https://www.youtube.com/watch?v=wVyu7NB7W6Y.