Como fazer pesquisa de mercado sem risco de LGPD: o guia completo sobre dados sintéticos para equipes de marketing
Pesquisar consumidores tornou-se mais arriscado. O fim dos cookies de terceiros no Chrome, a plena vigência da LGPD e a crescente fiscalização da ANPD criaram um ambiente onde qualquer ferramenta de pesquisa que dependa de dados pessoais identificáveis carrega um risco operacional real.
A resposta não é parar de pesquisar. É pesquisar sem tocar em dados pessoais.
Por que dados sintéticos e LGPD estão sendo discutidos ao mesmo tempo
Porque o fim dos cookies, a plena vigência da LGPD e a fiscalização ativa da ANPD chegaram juntos, tornando qualquer solução de pesquisa baseada em dados pessoais identificáveis um risco operacional real. Os dados sintéticos respondem a essa pressão porque preservam a inteligência comportamental sem expor indivíduos reais.
In 2024, o Google eliminou os cookies de terceiros no Chrome, encerrando 25 anos de rastreamento individual em larga escala. A LGPD está em vigor desde 2020, com a fiscalização da ANPD intensificada a partir de 2023. Para as equipes de marketing, isso significa que os insights sobre consumidores devem ser gerados com maior proteção de privacidade por design (privacy by design).
O que são dados sintéticos: definição técnica e jurídica
O que são dados sintéticos?
Dados sintéticos são gerados artificialmente por algoritmos que preservam as propriedades estatísticas de um conjunto de dados reais, sem corresponder a nenhum indivíduo real. Juridicamente, não são dados pessoais sob o Art. 5º, I da LGPD quando não podem identificar uma pessoa natural.
A definição técnica: dados sintéticos são criados por modelos de Machine Learning que aprendem padrões estatísticos de um conjunto de dados reais e geram novos dados que preservam esses padrões sem replicar registros individuais.
A definição jurídica relevante: o Art. 5º, I da LGPD define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável". Os dados sintéticos gerados pela Galaxies não atendem a essa condição porque o resultado não se refere a um indivíduo real.
Os dados sintéticos são legais no Brasil?
Sim. Os dados sintéticos não são dados pessoais sob o Art. 5º, I da LGPD porque não se referem a uma pessoa natural identificada ou identificável. Nenhuma base legal, consentimento ou DPA é necessário para o resultado sintético utilizado em pesquisas de mercado.
A resposta é sim, com uma nuance importante: a legalidade do resultado (dados sintéticos) não elimina as obrigações sobre a entrada (dados reais usados para treinar o modelo). Os dados de entrada devem ter uma base legal adequada sob a LGPD e ser documentados contratualmente.
Na prática, para a equipe de marketing isso significa pesquisas de consumo disponíveis 24 horas por dia, sem um novo processo de coleta-aprovação, sem exposição a multas da ANPD sobre o resultado sintético e sem ter que processar dados pessoais para cada nova pergunta.
A ANPD não havia publicado orientações específicas sobre dados sintéticos até maio de 2026, mas a posição do Comitê Europeu para a Proteção de Dados alinha-se com a interpretação de que dados que não permitem a identificação de uma pessoa natural estão fora do escopo da regulamentação de dados pessoais.
Por que os dados sintéticos são focados em privacidade por design
O que torna os dados sintéticos focados em privacidade?
Quatro propriedades estruturais: não contêm referências a indivíduos reais; não podem ser revertidos para identificar pessoas; não exigem consentimento individual para uso em pesquisas; e eliminam o risco de vazamento de dados pessoais sensíveis no resultado.
Sem referência a indivíduos reais: as personas geradas não correspondem a nenhuma pessoa. Não há caminho de volta de uma persona sintética para um indivíduo real.
Irreversibilidade: o processo de geração sintética não é reversível. Não há registro original para reconstruir a partir do resultado.
Sem consentimento individual para o resultado: como o resultado não é um dado pessoal, o fluxo de trabalho da pesquisa não requer consentimento dos respondentes sintéticos.
Sem vazamento de dados pessoais no resultado: as equipes podem compartilhar, armazenar e consultar o resultado sintético sem expor informações pessoais sensíveis.
Pesquisa de mercado com dados reais vs. dados sintéticos: o que muda para as equipes de marketing
Critério Pesquisa com dados reais Pesquisa com dados sintéticos | Consentimento necessário Sim, base legal obrigatória sob o Art. 7º da LGPD Não, resultado fora do escopo da LGPD | Aprovação do DPO Necessária antes de cada projeto Não necessária para o resultado sintético | Risco de vazamento de dados Existe sempre que dados pessoais são processados Sem vazamento de dados pessoais no resultado | Reutilização entre equipes Restrita por finalidade e consentimento Reutilização mais ampla de insights sintéticos | Tempo para iniciar Depende de coleta e aprovações Imediato após a configuração da persona | Exposição jurídica Maior risco operacional e regulatório Menor exposição no resultado sintético | Escalabilidade Limitada pelo recrutamento e fluxo de privacidade Alta escalabilidade após a criação da persona | Compartilhamento de resultados Depende da limitação de finalidade Pode circular livremente como insight sintético |
A diferença entre dados anonimizados e dados sintéticos
Qual é a diferença entre dados anonimizados e dados sintéticos para fins da LGPD?
Dados anonimizados partem de dados pessoais reais e passam por desidentificação, com risco residual de reidentificação. Dados sintéticos são gerados artificialmente sem depender de registros reais individuais. A LGPD não se aplica a dados sintéticos quando nenhuma pessoa natural puder ser identificada.
Critério Dados anonimizados Dados sintéticos | Origem Dados pessoais reais que foram desidentificados Gerados artificialmente por algoritmos | Risco de reidentificação Risco residual Zero no resultado porque nenhum registro real está presente | Aplicabilidade da LGPD Pode voltar a ser aplicável se a reidentificação for possível Fora do escopo quando não vinculados a uma pessoa identificável | Esforço de governança Exige controles contra a reidentificação Foca na governança de entrada e no processo do modelo |
LGPD vs GDPR: o que muda para a pesquisa de mercado com IA
A abordagem de dados sintéticos da Galaxies é compatível com o GDPR europeu?
Sim. Tanto a LGPD do Brasil quanto o GDPR da Europa excluem de suas definições de dados pessoais as informações que não se referem a uma pessoa natural identificada ou identificável. Para empresas com operações internacionais, a mesma abordagem apoia fluxos de pesquisa com menor exposição à privacidade.
Aspecto LGPD (Brasil) GDPR (Europa) | Definição de dado pessoal Art. 5º, I: pessoa identificada ou identificável Art. 4(1): pessoa identificada ou identificável | Dados sintéticos Fora do escopo quando não são dados pessoais Fora do escopo quando não são dados pessoais | Exigência de consentimento para o resultado sintético Não Não | Obrigações sobre os dados de entrada Ainda se aplicam aos dados reais de entrada Ainda se aplicam aos dados reais de entrada | Foco de governança Base legal e DPA para a entrada Base jurídica e controles de processamento para a entrada |
Perguntas frequentes
Os dados sintéticos são legais no Brasil?
Sim. Os dados sintéticos não são dados pessoais sob o Art. 5º, I da LGPD porque não se referem a uma pessoa natural identificada ou identificável. Não há coleta ou processamento de dados pessoais no resultado sintético gerado pela Galaxies, eliminando os requisitos de consentimento individual para esse resultado.
A pesquisa de mercado com IA exige o consentimento do respondente?
Com dados sintéticos, não. Como as personas geradas não correspondem a indivíduos reais, não há processamento de dados pessoais que exija consentimento. Os dados de entrada seguem as bases legais apropriadas, mas o resultado sintético está fora do escopo da LGPD.
Qual é a diferença entre dados anonimizados e dados sintéticos para a LGPD?
Dados anonimizados partem de dados pessoais reais com risco residual de reidentificação. Dados sintéticos são gerados artificialmente sem registros individuais. A LGPD não se aplica a dados sintéticos quando o resultado não pode identificar uma pessoa, oferecendo uma proteção regulatória mais forte do que a anonimização.
Como a Galaxies lida com os dados de entrada fornecidos pelo cliente?
Os dados de entrada são processados sob uma base legal adequada documentada em contrato com um DPA. A plataforma não armazena dados pessoais de terceiros além do necessário para gerar o modelo e aplica anonimização antes do processamento por IA.
Como a abordagem de dados sintéticos deve ser apresentada ao DPO da empresa?
O argumento central é jurídico e direto: o resultado da plataforma Galaxies não é dado pessoal sob o Art. 5º, I da LGPD. Os dados de entrada permanecem sujeitos à LGPD e são processados sob uma base legal documentada em um DPA. A aprovação do DPO foca no processo de entrada, não em cada uso das personas geradas.
Com o fim dos cookies de terceiros, como a pesquisa de consumo pode ser feita em escala?
Os dados sintéticos são uma resposta estrutural ao cenário pós-cookie. Como não dependem de rastreamento individual ou de dados de navegação, a metodologia não é afetada pela depreciação dos cookies de terceiros no Chrome ou por mudanças nas políticas de privacidade das plataformas.
A pesquisa de mercado com IA requer aprovação jurídica antes de cada projeto?
Com dados sintéticos, não. A aprovação jurídica se aplica ao processo de entrada e é resolvida de uma só vez no contrato, não projeto por projeto. O resultado sintético pode ser usado, compartilhado entre departamentos e armazenado sem aprovação jurídica ou do DPO adicional para cada uso.
