Rejeitar cookies não funciona: Google, Meta e Microsoft te rastreiam mesmo assim

Clicar em “rejeitar tudo” nos banners de cookies pode ser completamente inútil. Uma auditoria independente conduzida pela webXray em março de 2025 na Califórnia revelou que Google, Microsoft e Meta continuam rastreando usuários na internet mesmo após a recusa explícita. O levantamento analisou o tráfego de mais de 7 mil sites populares e detectou violações sistemáticas de privacidade.

O que a auditoria descobriu sobre os cookies

A pesquisa da webXray expôs falhas graves nas Plataformas de Gerenciamento de Consentimento (CMPs), os sistemas responsáveis por exibir e processar os banners de cookies. Segundo o levantamento publicado, em 55% dos sites avaliados, os cookies são instalados mesmo após a recusa formal do usuário.

O problema é ainda pior do que parece: 78% dos banners de consentimento analisados não executam qualquer ação nos bastidores para garantir a escolha do visitante. Na prática, o clique em “rejeitar” vira puro teatro digital — a interface muda, mas o rastreamento continua operando normalmente.

A webXray também identificou um grave conflito de interesses: o Google, um dos maiores distribuidores de cookies do mundo, opera o serviço “Cookiebot”, que certifica essas mesmas plataformas de consentimento. O resultado final, segundo a auditoria, é que nenhuma delas funciona com 100% de eficácia.

Como Google, Microsoft e Meta justificam o rastreamento

Procuradas pelo portal 404 Media, as três gigantes contestaram o levantamento. O Google afirmou que o relatório parte de um “mal-entendido fundamental” sobre o funcionamento de seus produtos e garantiu que respeita a exclusão exigida por lei.

A Microsoft argumentou que a privacidade é prioridade, justificando que certos cookies são tecnicamente indispensáveis para o funcionamento das páginas e devem ser instalados mesmo sem a aprovação do usuário. Já a Meta declarou oferecer o recurso de Uso Limitado de Dados, que permite que os próprios sites indiquem as permissões que possuem, restringindo os dados repassados à empresa.

Apesar das justificativas oficiais, a webXray sustenta que as corporações frequentemente ignoram os pedidos de privacidade por encararem possíveis sanções bilionárias como uma espécie de custo operacional. A auditoria estima que as empresas de tecnologia podem ter que pagar cerca de US$ 5,8 bilhões em multas — quase R$ 29 bilhões na cotação atual — em vez de cumprirem as normas de privacidade.

A solução seria simples, mas ninguém implementa

Segundo a webXray, resolver o problema exigiria uma mudança técnica extremamente simples. Bastaria adicionar uma única linha de código: quando o servidor recebe o sinal de recusa do usuário, ele deveria retornar o código de status HTTP 451 (Não Disponível por Motivos Legais).

Esse código indicaria que o conteúdo publicitário não pode ser exibido devido à opção de privacidade do consumidor, bloqueando imediatamente a instalação do cookie. A tecnologia existe, é padronizada e funciona — mas as plataformas simplesmente optam por não implementá-la.

Os pop-ups de consentimento inundaram a web nos últimos anos como resposta a legislações mais rigorosas como a GDPR na Europa e a LGPD no Brasil. A premissa era garantir que o internauta tivesse a opção real de bloquear o rastreamento publicitário. Na prática, a auditoria de 2025 mostra que essa promessa é amplamente burlada.

Enquanto as gigantes da tecnologia não enfrentarem sanções que superem os lucros obtidos com rastreamento não autorizado, a tendência é que os banners de cookies continuem sendo apenas uma fachada de conformidade — e clicar em “rejeitar tudo” siga sendo um gesto vazio.