Geolocalização sensível: o caso Kochava mostra o risco invisível em apps, mídia e data brokers
Em maio de 2026, a Federal Trade Commission, autoridade norte-americana de proteção do consumidor, anunciou um acordo envolvendo a Kochava e sua subsidiária. A medida busca impedir a venda, o compartilhamento ou a divulgação de dados sensíveis de localização sem consentimento expresso dos consumidores.
Segundo a FTC, dados de localização associados a milhões de dispositivos móveis poderiam permitir o rastreamento de movimentos de pessoas, inclusive visitas a locais sensíveis, como unidades de saúde e locais de culto.
A notícia é relevante para empresas brasileiras porque dados de localização aparecem em muitos contextos: aplicativos, delivery, mobilidade, eventos, varejo, mídia programática, analytics, antifraude, segurança, benefícios, academias, escolas, clínicas e plataformas digitais.
Localização não é apenas um ponto no mapa
Um dado de localização pode parecer simples. Mas, dependendo da frequência, precisão e contexto, ele pode revelar informações muito íntimas da vida de uma pessoa.
A localização pode indicar, por exemplo:
- onde a pessoa mora ou trabalha;
- quais lugares frequenta;
- rotinas de deslocamento;
- visitas a hospitais, clínicas ou farmácias;
- presença em sindicatos, igrejas ou locais de reunião;
- hábitos de consumo;
- eventos frequentados;
- relações familiares ou profissionais;
- e padrões de comportamento.
Pela LGPD, o dado de localização não deve ser automaticamente tratado como dado pessoal sensível em todos os casos. Mas ele pode revelar ou permitir inferências sensíveis, a depender do contexto. Por isso, exige uma análise cuidadosa de finalidade, necessidade, transparência, segurança e compartilhamento.
O risco aumenta quando entra o ecossistema de publicidade
Muitas empresas coletam localização diretamente por meio de seus aplicativos. Outras nem percebem que dados de localização podem estar sendo tratados por SDKs, pixels, ferramentas de analytics, plataformas de mídia, redes de anúncio ou parceiros de mensuração.
É aqui que o risco fica menos visível. A empresa acredita que está apenas “fazendo marketing” ou “medindo conversão”, mas pode estar permitindo que terceiros coletem, combinem ou compartilhem dados comportamentais e de localização.
Esse cenário exige due diligence de fornecedores. Não basta aceitar termos padrão sem entender:
- quais dados são coletados;
- se a localização é precisa ou aproximada;
- se há compartilhamento com terceiros;
- se os dados são usados para publicidade comportamental;
- se existe venda ou enriquecimento de bases;
- por quanto tempo os dados são retidos;
- e como o titular pode exercer seus direitos.
Consentimento genérico pode não ser suficiente
Quando a empresa usa localização para uma função esperada pelo usuário — por exemplo, mostrar uma loja próxima ou calcular entrega — a análise pode ser diferente de quando a localização é usada para publicidade, perfilamento ou compartilhamento com terceiros.
O problema está em agrupar tudo em uma autorização genérica, escondida em uma política longa ou em um banner confuso. Quanto maior o risco e menor a expectativa do titular, maior deve ser o cuidado com clareza, escolha real e registro da decisão.
Em alguns casos, pode ser necessário consentimento específico. Em outros, a empresa precisará demonstrar base legal adequada, finalidade legítima, minimização e possibilidade de oposição, conforme o contexto.
Perguntas que toda empresa deveria fazer
Se sua empresa usa localização ou dados comportamentais, vale revisar:
- Por que coletamos localização?
A finalidade é essencial para o serviço ou é usada para marketing, análise, personalização ou terceiros? - Qual é o nível de precisão?
Precisamos de localização exata ou uma região aproximada seria suficiente? - Com quem compartilhamos?
Existem SDKs, redes de mídia, parceiros de analytics, antifraude ou data brokers envolvidos? - O usuário entende esse uso?
A informação aparece de forma clara no aviso de privacidade, no app, no banner ou no fluxo de permissão? - O usuário consegue controlar?
Há forma simples de negar, revogar ou ajustar permissões quando aplicável? - Por quanto tempo guardamos?
A retenção é proporcional à finalidade ou os dados ficam armazenados indefinidamente? - Esse tratamento exige avaliação de impacto?
Uso recorrente, preciso, em larga escala ou combinado com perfilamento pode justificar análise mais aprofundada.
Geolocalização deve entrar na governança de privacidade
O caso Kochava mostra que reguladores estão atentos a modelos de negócio baseados em coleta e circulação de dados comportamentais. Para empresas brasileiras, o aprendizado é direto: geolocalização, publicidade e fornecedores precisam ser tratados como parte do programa de privacidade.
Isso envolve inventário de dados, revisão de contratos, ajustes de consentimento, configuração de ferramentas, documentação de base legal, gestão de cookies e SDKs, além de treinamento dos times de marketing, produto e tecnologia.
Como a TOGETHER pode apoiar
A TOGETHER ajuda empresas a revisar o uso de geolocalização, analytics e mídia digital sob a ótica da LGPD. O trabalho pode incluir mapeamento de dados, análise de fornecedores, revisão de avisos de privacidade, avaliação de riscos e criação de processos contínuos para que marketing e tecnologia operem com mais segurança.
