Apps Android vazam dados de localização a anunciantes por padrão, aponta a EFF
Investigação da EFF mostra SDKs de anúncios que herdam a permissão do app e enviam a localização do usuário a anunciantes e corretores de dados.
Uma investigação da Electronic Frontier Foundation revelou que vários SDKs de publicidade coletam e compartilham dados de localização por padrão sempre que um aplicativo Android recebe permissão de acesso ao local.
Como não há permissão específica para o código de terceiros, a posição do usuário segue para anunciantes e corretores de dados sem consentimento claro, alimentando um mercado que já abasteceu vazamentos e vigilância estatal.
Para quem opera no Brasil, o caso testa a base legal da coleta, o dever de transparência e a exposição em transferência internacional sob a LGPD.
A Electronic Frontier Foundation (EFF) publicou em 4 de agosto uma investigação que identificou vários kits de desenvolvimento de software (SDKs) de publicidade que coletam e compartilham a localização dos usuários por padrão sempre que um aplicativo Android recebe permissão de acesso ao local. O achado, noticiado pelo TechCrunch, atinge desenvolvedores que embutem esse código de terceiros sem saber que a coleta já vem ligada.
O ponto técnico central é que não existe permissão de localização específica para o SDK. Uma vez que o usuário autoriza o aplicativo a acessar a posição, o mesmo acesso é herdado pelo código publicitário embarcado, que passa a captar e transmitir os dados de localização do titular.
Bill Budington, tecnólogo sênior da EFF, disse ao TechCrunch que os SDKs analisados representam uma fração pequena do ecossistema de anúncios, mas afirmam alcançar bilhões de usuários em dezenas de milhares de aplicativos. Entre os apps flagrados, dois somam 60 milhões de downloads.
Como o código de anúncio herda a permissão
O mecanismo que move o vazamento é o leilão em tempo real (real-time bidding, RTB), em que o espaço de anúncio é vendido em milissegundos, pouco antes de a tela carregar. Para disputar o leilão, as plataformas transmitem dados do usuário — inclusive a posição — a milhares de potenciais anunciantes. Corretores de dados (data brokers) entram nesses leilões não para comprar espaço, mas para colher as informações contidas nas requisições de lance, aponta a EFF.
A precisão está no centro do risco. A permissão de localização precisa do Android dá acesso a estimativas de cerca de 160 pés (aproximadamente 50 metros) e, em alguns casos, de até 3 metros; a localização aproximada fica em torno de 1,2 milha quadrada.
Há ainda incentivo financeiro para manter a coleta ligada: a documentação da InMobi afirma que impressões enriquecidas com localização costumam render receita maior. A Comissão Federal de Comércio dos Estados Unidos (FTC) já examinou essa dinâmica no caso Mobilewalla, sobre coleta de dados via RTB.
Quatro SDKs que já vêm com a coleta ligada
A EFF nomeou quatro SDKs com o comportamento mais problemático. A InMobi, que se diz presente para mais de 2 bilhões de usuários em mais de 150 países e figura entre os dez SDKs de anúncios mais usados no Android, recomenda pedir permissão de localização precisa e destaca o ganho de receita. A empresa já havia firmado acordo com a FTC em 2016 por rastrear localização contornando permissões, via dados de rede Wi-Fi.
A BidMachine, que alega alcançar mais de 600 milhões de usuários, revisou sua documentação depois que a EFF apontou que dois aplicativos — um leitor de QR Code e um velocímetro por GPS, com 50 e 10 milhões de downloads — enviavam coordenadas precisas a um domínio da empresa, apesar de a página no Google Play declarar que a localização precisa não era coletada.
A HyBid, da Verve, informa que o rastreamento vem "ativado por padrão" e diz alcançar mais de 1,5 bilhão de usuários em mais de 10 mil apps. A Petal Ads, da Huawei, presente em mais de 85 mil aplicativos, destaca o incentivo de receita antes de mostrar como desativar a coleta.
Do anúncio ao vazamento e à vigilância estatal
O risco não é hipotético. Em janeiro de 2025, a corretora de dados Gravy Analytics sofreu um vazamento: o fragmento analisado por pesquisadores tinha cerca de 30 milhões de registros de localização, e o atacante alegou ter capturado um banco de 10 TB. A lista de aplicativos apontados como fontes incluía nomes populares como Tinder, Grindr e Candy Crush — muitos com desenvolvedores que disseram não ter relação conhecida com a Gravy, segundo o 404 Media.
A jusante, esses dados de localização abastecem usos que vão além do anúncio inconveniente. O diretor do FBI confirmou em março de 2026, sob juramento, que a agência compra informação de localização disponível comercialmente.
A Reuters noticiou em maio que militares dos Estados Unidos estariam sendo rastreados a partir de dados de localização. É a cadeia que liga uma permissão concedida a um app de clima ou de corrida ao mercado de vigilância.
O que a LGPD cobra de quem embute esses SDKs
No Brasil, o enquadramento passa pela Lei Geral de Proteção de Dados Pessoais (LGPD) e pela leitura que a Agência Nacional de Proteção de Dados vem consolidando. No Guia Orientativo sobre cookies, de 2022, a Agência trata o consentimento como base legal mais adequada para os cookies de publicidade — a categoria que coleta hábitos de navegação para exibir anúncios direcionados.
A mesma lógica alcança a coleta de localização por SDKs de anúncios: a permissão dada ao aplicativo não equivale a consentimento livre e informado para o compartilhamento com terceiros. Some-se a isso a dimensão de transferência internacional de dados, já que os corretores e as plataformas que recebem a posição costumam operar fora do país.
A corretagem de dados no Brasil não tem regulação específica, e a Agência abriu consulta sobre anonimização que toca dados de IP e geolocalização — sinal de que o tema entrou no radar regulatório.
"App-level location permissions alone cannot signal meaningful consent to location collection and sharing by third-party advertising SDKs."— Lena Cohen e Bill Budington, Electronic Frontier Foundation · eff.org
Reguladores e a pressão sobre quem faz o SDK
A EFF direciona a cobrança a três públicos. Aos desenvolvedores, pede avaliar cada SDK de terceiros e desligar coletas desnecessárias. Aos reguladores, sugere olhar não só para o desenvolvedor que compartilha dados de forma ilícita, mas para as empresas cujos SDKs incentivam a prática em escala. Aos legisladores, defende lei de privacidade de localização e questiona o modelo de publicidade comportamental na origem.
As empresas citadas responderam de formas distintas. A BidMachine afirmou que não consegue obter localização sem permissão concedida pelo sistema operacional e que a configuração de permissões cabe aos publishers; a Verve disse que sua implementação usa localização de rede, arredondada, e que revisa a documentação.
O pano de fundo regulatório não é novo: nos Estados Unidos, a compra de dados por agências sem mandado judicial já mobiliza o Congresso, e o regulador britânico (ICO) concluiu que o setor de leilões em tempo real processava dados pessoais de forma ilegal.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 16 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
