O youtuber espanhol Carles Tamayo voltou a tocar em um ponto sensível, em seu estilo habitual informal, engraçado e mordaz. No episódio final de Se nos ha ido de las manos (“Se nos escapou das mãos”), uma série documental que estreou na televisão pública espanhola em abril de 2026, ele mostra como as empresas compram e vendem dados pessoais.

O episódio, intitulado El activo eres tú (“O ativo é você”), coloca uma questão incômoda na mesa: quem tem nossos dados, e o que fazem com eles? E o que estamos dispostos a abrir mão em troca da promessa de algo gratuito? Depois de receber ligações de spam de empresas que sabiam demais sobre ele, Tamayo transformou sua própria produtora em um corretor de dados para ver por dentro como os dados pessoais são coletados e negociados.

Veja como funciona o negócio dos corretores de dados e quais direitos o GDPR (Regulamento Geral sobre a Proteção de Dados) lhe garante.

O que é um corretor de dados e como ele ganha dinheiro

Um corretor de dados é uma empresa que coleta, analisa e vende informações sobre pessoas e organizações. O que torna essas informações valiosas para os compradores é a forma como podem ser combinadas e analisadas. Hábitos, interesses, dados de localização e outros sinais podem ser reunidos, cada vez mais com a ajuda da IA, em algo utilizável. Os corretores de dados vendem a matéria-prima que permite traçar o perfil de quase qualquer pessoa.

No relatório de Tamayo, por exemplo, um corretor de dados oferece a ele informações sobre pessoas que tiveram um bebê recentemente. Esses novos pais haviam fornecido seus dados no hospital em troca da participação em um sorteio de produtos para recém-nascidos.

Os corretores de dados costumam coletar endereços de e-mail, endereços IP(nova janela), localização aproximada, compras on-line, pesquisas na internet, interesses selecionados dentro de um aplicativo e os dispositivos que alguém usa.

Já recebeu uma ligação de uma operadora de telefonia (ou de qualquer empresa) e se perguntou de onde tiraram seu número? É mais simples do que parece. Cookies, aplicativos móveis e formulários on-line podem coletar suas informações e repassá-las a corretores de dados. O mesmo vale para fontes off-line, como cartões de fidelidade, sorteios e registros públicos.

O que são cookies e para que servem

Você já os viu em todos os sites que visita: um pequeno pop-up que pede que você aceite ou rejeite cookies. Provavelmente você só passa os olhos, aceita os cookies(nova janela) e segue em frente, sem nunca se perguntar o que os cookies realmente são(nova janela) ou o que você acabou de concordar que as empresas façam com seus dados.

Cookies são pequenos arquivos que um site armazena no seu navegador para lembrar informações sobre a sua visita. Os que interessam aos corretores de dados são os cookies de publicidade, projetados para criar perfis comportamentais e exibir anúncios personalizados.

Mas hoje você pode ser rastreado por métodos que vão muito além dos cookies. O fingerprinting de navegador, por exemplo, cria uma assinatura única a partir das características do seu dispositivo, enquanto o rastreamento entre sites acompanha sua atividade à medida que você navega entre sites. No celular, os IDs de publicidade fazem algo semelhante ao vincular seu comportamento a um identificador persistente.

Rejeitar cookies melhora sua privacidade, mas não a garante por completo. E, quando você começa a perguntar para onde vão seus dados, quem os detém e como são usados, inevitavelmente esbarra na questão de se negociar seus dados é sequer legal.

Como o GDPR protege você

O GDPR é o conjunto de regras da União Europeia que rege como organizações e empresas coletam, usam, compartilham e armazenam os dados pessoais de qualquer pessoa na UE. Ele também se aplica a empresas sediadas fora da UE que têm como alvo pessoas no bloco. Na Espanha, a conformidade é supervisionada pela Agência Espanhola de Proteção de Dados (AEPD), que também trata de reclamações quando uma empresa viola esses direitos.

O GDPR estabelece vários direitos fundamentais:

Direito de acesso: descubra quais dados pessoais uma empresa mantém sobre você, para que os usa, com quem os compartilhou e onde os obteve. Você também pode solicitar uma cópia.

Direito de retificação: solicite a correção de informações incorretas ou desatualizadas.

Direito de eliminação: conhecido como “direito ao esquecimento”, ele permite solicitar a exclusão dos seus dados quando a empresa não precisar mais deles, quando você retirar o consentimento ou se opuser ao uso, ou quando eles tiverem sido tratados de forma ilícita.

Direito de oposição: recuse determinados tipos de tratamento, como o uso dos seus dados para publicidade. Para o marketing direto, esse direito é absoluto: assim que você se opuser, a empresa precisa parar.

Direito à portabilidade dos dados: receba os dados pessoais que você forneceu a uma empresa em um formato estruturado, de uso comum e legível por máquina, para poder transferi-los a outro prestador de serviços. Isso se aplica quando a empresa trata seus dados com base no seu consentimento ou em um contrato, por meios automatizados.

O GDPR confere às pessoas direitos exigíveis, respaldados por multas, mas muitas não sabem que podem exercê-los gratuitamente. Uma empresa só pode cobrar uma tarifa ou recusar quando o pedido for manifestamente infundado ou excessivo.

Como mostra o relatório de Tamayo, há uma grande distância entre as garantias que a lei oferece e o que o cidadão comum sabe sobre proteger suas informações pessoais. Essa lacuna dificulta que as pessoas usem as ferramentas legais disponíveis e retomem o controle dos próprios dados.

Como usar seus direitos do GDPR contra os corretores de dados

Os direitos acima só funcionam se você os exercer. Nenhum deles exige advogado ou formulário especial: basta um e-mail para o contato de privacidade da empresa.

Pergunte de onde vieram seus dados. Se uma empresa entrar em contato e você nunca tiver fornecido seus dados a ela, pergunte qual é a fonte. Pelo direito de acesso, ela precisa informar, e essa resposta muitas vezes leva direto a um corretor de dados.

Envie um pedido de acesso. Pergunte à empresa ou ao corretor quais dados ele mantém sobre você, para que os usa e com quem os compartilhou, e peça uma cópia. O pedido é gratuito, e a empresa deve responder em até um mês. Ela pode prorrogar esse prazo por mais dois meses em pedidos complexos, mas precisa avisar você.

Oponha-se e peça a eliminação. No mesmo e-mail, você pode se opor ao uso dos seus dados para marketing e pedir sua exclusão. A empresa também deve comunicar a exclusão a quem compartilhou seus dados, a menos que isso seja impossível ou exija esforço desproporcional.

Cadastre-se na Lista Robinson. Na Espanha, as empresas que enviam marketing direto precisam consultar essa lista de exclusão de publicidade antes de entrar em contato. O cadastro é gratuito.

Reclame à AEPD. Se uma empresa ignorar você, recusar sem motivo válido ou perder o prazo, você pode registrar uma reclamação gratuita na Agência Espanhola de Proteção de Dados.

Limite o que os corretores de dados podem coletar desde o início

Seus direitos do GDPR limpam o que já está por aí. Alguns hábitos simples reduzem a quantidade de dados novos que chegam aos corretores.

Revise as permissões dos seus aplicativos e desative qualquer acesso de que um aplicativo não precise para funcionar, especialmente os que têm acesso à sua localização, aos seus contatos ou às suas fotos.

Rejeite cookies não essenciais. Nos sites da UE, rejeitar deve ser tão fácil quanto aceitar, e isso bloqueia os cookies de publicidade que alimentam perfis comportamentais.

Mantenha-se desconectado dos sites e serviços quando estiver apenas navegando. Quando você está conectado ao Google, YouTube, Amazon ou a um site de notícias, tudo o que pesquisa, assiste, lê ou compra fica vinculado à sua conta. Navegar desconectado dá às empresas menos informações para associar a você.

Use um navegador focado em privacidade, como Firefox ou Brave, que bloqueiam muitos rastreadores por padrão. Você também pode conhecer navegadores europeus alternativos focados em privacidade.

Mude para o Proton Mail, nosso serviço de e-mail privado e seguro que não consegue ler seus e-mails e não escaneia sua caixa de entrada em busca de anúncios, rastreamento ou vigilância. Ele também bloqueia pixels de rastreamento, que os profissionais de marketing costumam usar para ver quando você abre uma mensagem (além de outros indicadores).

Use uma VPN(nova janela) para ocultar seu endereço IP de sites, aplicativos e redes de anúncios, para que eles não possam usá-lo para estimar sua localização ou vincular sua atividade entre sites. O Proton VPN também tem um recurso chamado NetShield, que bloqueia anúncios e rastreadores antes de serem carregados. Ele tem uma política de inexistência de registros auditada de forma independente(nova janela), então não mantém registro do que você faz on-line.

Use um gerenciador de senhas criptografado para criar senhas fortes e únicas, para que uma conta comprometida não exponha as demais. O Proton Pass também oferece aliases hide-my-email para newsletters, sorteios e lojas on-line. Se um deles começar a receber spam, você pode ver quem pode tê-lo compartilhado ou vazado e então desativar o alias.

Como deixa claro o relatório de Tamayo, os corretores de dados fazem parte de um modelo de negócios construído sobre nossos dados. Mas o GDPR e as ferramentas que protegem nossa privacidade nos dão meios de retomar o controle. O objetivo não é desaparecer da internet, mas ser intencional sobre quem tem permissão para acessar nossos dados e por qual motivo.