Fim do SDK Runtime: Google encerra o Privacy Sandbox e realinha a privacidade em apps

O Google encerrou o SDK Runtime, a tecnologia que prometia isolar SDKs de anúncios e de análise em um processo separado no Android, com memória e armazenamento próprios. O anúncio veio em 17 de outubro de 2025, assinado por Anthony Chavez, vice-presidente do Privacy Sandbox, que listou o SDK Runtime entre as tecnologias descontinuadas por baixa adoção.

Em 21 de julho de 2026, a empresa concluiu a remoção das dez tecnologias que ainda restavam do Privacy Sandbox no Chrome e no Android, sepultando o projeto iniciado em 2019 para substituir os cookies de terceiros.

O desmonte inverte a premissa que orientou muitas áreas de privacidade: o isolamento de SDKs de terceiros por meio de um ambiente dedicado deixou de ser o caminho oficial. Quem estruturou governança em torno dessa arquitetura precisa refazer a rota.

in light of their low levels of adoption, we've decided to retire the following Privacy Sandbox technologies— Anthony Chavez, VP do Privacy Sandbox, Google — Update on Plans for Privacy Sandbox Technologies · privacysandbox.google.com

Isolamento migra do Privacy Sandbox para o sistema

Baixa adoção pelo mercado e pressão regulatória derrubaram o projeto, segundo a imprensa especializada. Sobrevivem apenas componentes de maior uso, como o CHIPS, que particiona cookies por site para conter rastreamento cruzado, o FedCM e os Private State Tokens, voltados ao combate a fraude e abuso.

O objetivo de isolar o código de terceiros não desapareceu junto com o SDK Runtime. Segundo a publicação setorial BidLogic, o Google passou a buscar nível equivalente de isolamento diretamente no sistema operacional, com mudanças incorporadas ao Android, em vez de uma camada de anúncios à parte.

A diferença importa para quem gere risco: proteção embutida no sistema depende menos da escolha de cada SDK e mais da versão do sistema operacional instalada na base de usuários.

Responsabilidade por SDK de terceiro é do app

Com o fim da promessa de isolamento automático, o controle recai sobre quem publica o aplicativo. As regras do Google Play são explícitas: o desenvolvedor responde por garantir que todo código e prática de SDKs de terceiros cumpram as políticas da loja.

A declaração é obrigatória. O formulário de Segurança dos Dados (Data Safety) exige informar toda coleta e todo compartilhamento feitos por bibliotecas e SDKs embarcados — de análise, publicidade, relatório de falhas e atribuição —, inclusive quando o próprio provedor do SDK usa os dados para fins próprios.

Na App Store, a exigência é equivalente: desde 1º de maio de 2024, apps e atualizações precisam trazer o manifesto de privacidade dos SDKs de terceiros que usam as "required reason APIs", com assinatura válida, sob pena de rejeição na revisão.

A lógica espelha o que a LGPD já impõe: o controlador responde pelo tratamento feito por seus operadores, e delegar a coleta a um SDK não transfere o dever de prestação de contas (accountability).

Verificação de identidade chega ao Brasil em setembro

A partir de setembro de 2026, o Brasil entra no primeiro grupo de países em que o Google passa a exigir verificação de identidade do desenvolvedor para que um aplicativo possa ser instalado em aparelhos Android certificados — inclusive fora da Play Store, por sideload. Indonésia, Cingapura e Tailândia integram a mesma leva.

A verificação confirma quem é o desenvolvedor, não o conteúdo do app; o Google compara o processo à conferência de identidade no aeroporto. Instalar aplicativo de desenvolvedor não verificado passará a exigir um fluxo avançado, com espera de 24 horas ou uso de ferramenta técnica.

O efeito é o fim da distribuição anônima de aplicativos até o fechamento de 2026, com verificação global prevista para 2027. Para operações que dependem de canais alternativos à loja, muda a exposição a fraude e a rastreabilidade de quem responde por um SDK malicioso.

Consentimento nativo vira exigência para anunciar

Desde 16 de janeiro de 2024, o Google exige que editores do AdMob usem uma plataforma de gestão de consentimento (CMP) certificada pela empresa e integrada ao TCF — o framework de transparência e consentimento do setor — para exibir anúncios personalizados a usuários no Espaço Econômico Europeu e no Reino Unido. A Suíça entrou na regra em 31 de julho de 2024.

Quem não atende fica inelegível para o anúncio personalizado. Para cumprir a norma, o Google oferece a própria User Messaging Platform (UMP), que coleta e sinaliza o consentimento conforme a jurisdição do usuário.

É esse o novo padrão do SDK de publicidade: a lógica de consentimento embarcada, que adapta a coleta ao país onde o titular está — GDPR na Europa, LGPD no Brasil — em vez de caixas genéricas costuradas a cada aplicativo.

Baixa adesão expõe crítica ao modelo de anúncio

O encerramento reacendeu a crítica de que o Privacy Sandbox nasceu comprometido. Para a Proton e para a AdGuard, o desenho tentava preservar o modelo de publicidade dirigida sob a bandeira da privacidade, e a baixa adesão apenas confirmou a desconfiança de mercado e de reguladores.

O risco de fundo permanece com ou sem sandbox. Pesquisa da Unit 42, da Palo Alto Networks, encontrou aplicativos na Play Store vazando dados sensíveis por integrações mal configuradas; a NowSecure aponta que um app típico embarca dezenas de SDKs de terceiros, com fluxos de dados que nem o próprio desenvolvedor domina.

O ponto de fiscalização se desloca para a distância entre o que a política de privacidade declara e o que o tráfego de rede de fato faz — a lacuna que autoridades europeias vêm mirando em ações coordenadas.