NFL vira ré em ação por rastreamento sem consentimento e acende alerta sobre cookies
Torcedora acusa o NFL.com de manter 186 rastreadores ativos mesmo após o opt-out; caso ilustra a onda de litígios sobre cookies, pixels e session replay.
Uma ação coletiva na Califórnia acusa a NFL de rastreamento sem consentimento no NFL.com, com 182 rastreadores antes de qualquer escolha e 186 mantidos mesmo após o opt-out, incluindo gravador de sessão e canvas fingerprinting.
O caso repete a onda de processos nos Estados Unidos sob a CIPA, que prevê US$ 5.000 por violação, e expõe a fragilidade de banners que só governam cookies.
O recado alcança o Brasil: a LGPD e o guia de cookies da Agência Nacional de Proteção de Dados exigem consentimento livre, informado e revogável, e a agenda regulatória 2025-2026 promete apertar o tema.
A NFL Enterprises LLC, empresa por trás do NFL.com, virou ré em uma ação coletiva (class action) por rastreamento sem consentimento, apresentada em 6 de julho de 2026 no Tribunal Superior do Condado de Alameda, na Califórnia. A autora, torcedora dos San Francisco 49ers, afirma que o site instalou centenas de tecnologias de rastreamento no navegador de visitantes para coletar comportamento de navegação e identidade sem autorização.
Segundo a petição, testes forenses apontaram 182 rastreadores de terceiros carregados antes de qualquer escolha de privacidade, incluindo 24 cookies, quatro scripts de canvas fingerprinting e um gravador de sessão. Os dados fluíam em tempo real para redes de publicidade como Google e The Trade Desk.
A ação invoca a California Invasion of Privacy Act (lei estadual que trata a interceptação de comunicações como escuta clandestina), o federal Wiretap Act, a California Computer Data Access and Fraud Act, a Constituição da Califórnia e a lei de concorrência desleal do estado, com pedido de até US$ 5.000 por violação.
Opt-out que não desliga o rastreamento
O ponto central da petição não é a existência dos rastreadores, mas o fato de que recusá-los não os desligava. A autora sustenta que, mesmo após clicar para rejeitar cookies, o NFL.com seguia executando 186 rastreadores — quatro a mais do que antes da recusa.
Parte disso decorre de como as tecnologias funcionam. O gravador de sessão (session replay), fornecido pela LogRocket, reconstruía a tela do usuário e capturava movimentos de mouse, cliques, rolagem e até teclas digitadas em campos de busca, submetidas ou não. O canvas fingerprinting gera uma assinatura do dispositivo a partir de como o navegador desenha imagens — e persiste mesmo que o usuário limpe os cookies.
Como esses scripts não dependem de cookies, o banner de consentimento que governa apenas cookies deixa passar a gravação de sessão e a identificação por impressão digital do dispositivo.
Even when a user chooses to opt-out of the cookies, the website continues to run 186 third party trackers, including 25 cookies, 4 canvas fingerprints and 1 session recorder.— Petição inicial (Kimmons v. NFL Enterprises), Courthouse News Service · courthousenews.com
Varejo lidera onda de processos nos EUA
Milhares de processos por rastreamento sem consentimento correm nos Estados Unidos. Levantamentos de mercado apontam quase 4.000 casos ativos sob a CIPA na Califórnia até o fim de julho de 2026, seguidos por Flórida e Illinois, com o varejo como setor mais visado (mais de 1.800 casos) e a tecnologia em segundo.
Os alvos são ferramentas triviais de qualquer site: Meta Pixel, Google Analytics, software de session replay, widgets de chat e mapas de calor. A tese é que esses recursos interceptam a interação do usuário sem consentimento claro.
O terreno jurídico é instável. Um juiz federal homologou em 26 de junho de 2026 um acordo de US$ 3,85 milhões contra o Los Angeles Times; três semanas antes, uma corte estadual da Califórnia havia rejeitado, com prejuízo, um pedido quase idêntico. Há divisão entre cortes estaduais e federais sobre enquadrar cookies e pixels como dispositivos de escuta.
No Brasil, a conta passa pela LGPD e pela ANPD
No Brasil, a mesma prática recai sobre a LGPD e sobre o guia orientativo "Cookies e Proteção de Dados Pessoais", publicado pela Agência Nacional de Proteção de Dados em outubro de 2022. O material orienta os agentes de tratamento sobre transparência, banners e políticas de cookies, e admite o legítimo interesse como base legal para cookies analíticos, exigindo consentimento para finalidades de publicidade.
Dois pontos do caso da NFL têm tradução direta aqui: o consentimento precisa ser livre, informado e revogável a qualquer tempo, e a coleta deve limitar-se ao mínimo necessário para finalidades legítimas e específicas — os princípios da necessidade e da finalidade previstos na LGPD.
A Lei alcança o tratamento de dados coletados no território nacional, independentemente de onde a empresa esteja sediada. Banner que não respeita a recusa, consentimento agrupado ou rastreamento que dispara antes da escolha do titular são exatamente as falhas que a Agência sinaliza observar.
US$ 5 mil por violação e o custo de defender
O que move o volume de ações é a matemática das indenizações. A CIPA prevê US$ 5.000 por violação, sem teto agregado; o Wiretap Act federal soma o maior valor entre US$ 100 por dia ou US$ 10.000. Estimativas de mercado falam em dezenas de milhares de notificações e ações desde 2022 e em mais de US$ 34 milhões em acordos já divulgados.
A própria petição contra a NFL atribui valor econômico aos dados: compara a informação comportamental coletada à participação em grupos focais, que pagaria de US$ 30 a US$ 500 por sessão. A tese é que a empresa e seus parceiros de adtech capturaram algo de valor sem pagar por ele.
No Brasil, a exposição é de outra ordem: a sanção da Agência Nacional de Proteção de Dados chega a 2% do faturamento no país, limitada a R$ 50 milhões por infração — além do risco reputacional e de ações judiciais movidas por titulares.
Reforma na Califórnia e agenda da ANPD miram cookies
À frente, dois movimentos podem alterar o cenário. Na Califórnia, o projeto SB 690 avançou em 1º de julho de 2026 e propõe eliminar o direito de ação individual sob as seções de pen register da CIPA, transferindo a fiscalização ao procurador-geral do estado — resposta a críticas de uso abusivo da lei por "testers" que visitam sites apenas para litigar. Em 20 de julho de 2026, um dos maiores remetentes de notificações foi declarado litigante contumaz por um tribunal federal.
Na Europa, o Comitê Europeu de Proteção de Dados (EDPB) atualizou em maio de 2026 sua orientação sobre o modelo "pagar ou consentir", restringindo o cookie wall binário e apertando os critérios de consentimento válido.
No Brasil, a agenda regulatória 2025-2026 da Agência Nacional de Proteção de Dados aprofunda o tema dos cookies, com foco na medição de consentimento em plataformas digitais e no rastreamento de crianças e adolescentes, e sinaliza auditoria de sites para identificar banners irregulares.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 20 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
