O Google Analytics cumpre o RGPD?

O Google Analytics 4 pode ser usado legalmente na UE, mas traz obrigações que as ferramentas sem cookies evitam. Esta página resume a situação em outubro de 2026. É informação geral, não aconselhamento jurídico.

O consentimento é obrigatório

O GA4 usa cookies (_ga e _ga_<id>, guardados até dois anos) para reconhecer os visitantes que regressam. Pelas regras da UE, isso exige o consentimento prévio do visitante, e a própria política de consentimento de utilizadores da UE da Google obriga os sites a obtê-lo. Na prática: um banner de cookies, e o GA4 só carrega depois de o visitante aceitar.

Transferências para os Estados Unidos

A Google LLC é uma empresa dos EUA. Entre 2020 e 2023, várias autoridades da UE concluíram que usar o Google Analytics violava o RGPD porque os dados chegavam aos EUA sem proteção adequada. Em julho de 2023 a UE adotou o Quadro de Privacidade de Dados UE-EUA, e a Google está certificada ao abrigo dele, o que torna a transferência novamente lícita.

O quadro não está consolidado. Uma impugnação contra ele (processo T-553/23, Latombe) foi rejeitada pelo Tribunal Geral da UE em setembro de 2025 e está agora em recurso no Tribunal de Justiça. Se o quadro cair, como aconteceu aos anteriores em 2015 e 2020, a questão volta a colocar-se.

Conservação dos dados

O GA4 guarda os dados ao nível do evento durante 2 ou 14 meses, consoante a sua definição. Os relatórios padrão agregados não são afetados.

O que isto significa para si

• Mantenha o GA4 dependente do consentimento e aceite que os visitantes que recusam não aparecem nos seus relatórios.
• Documente a transferência para a Google na sua política de privacidade e nos seus registos.
• Acompanhe o recurso Latombe.

Ou use estatísticas que não usam cookies, não guardam dados pessoais e armazenam tudo na UE, para que nada disto se aplique. É o que o Statsdot faz; veja Statsdot vs Google Analytics.