Cookies e LGPD: como adequar o site da empresa ao consentimento

Por que cookies entram no radar da LGPD

Cookies são pequenos arquivos que o site grava no navegador do visitante. Eles guardam um carrinho de compras, mantêm o login ativo e medem quantas pessoas visitaram uma página. Também alimentam campanhas de remarketing. O problema é que muitos cookies carregam identificadores únicos, como um ID de sessão, um ID de anúncio ou uma impressão do dispositivo. Esses dados permitem reconhecer a mesma pessoa em visitas diferentes e, cruzados com outras informações, chegar a um indivíduo. Quando isso acontece, o cookie trata dado pessoal e passa a seguir as regras da Lei Geral de Proteção de Dados (Lei nº 13.709/2018).

Muitas empresas ainda acham que basta colocar uma faixa no rodapé com "este site usa cookies" e um botão "OK". Esse modelo não informa o suficiente, não dá escolha ao visitante e não gera nenhuma prova de consentimento. Pior: na maioria dos casos, os scripts de análise e de publicidade começam a rodar antes de o visitante clicar em qualquer coisa. O banner vira enfeite, e a empresa continua exposta.

O risco não é só teórico. A LGPD prevê sanções que vão da advertência à multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Também prevê a publicização da infração e o bloqueio dos dados. Para quem investe em mídia paga e depende de dados de navegação para medir conversões, o problema também é de negócio. Uma base coletada de forma irregular é uma base que pode precisar ser descartada.

O que o guia da ANPD diz sobre cookies

Em 2022, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o Guia Orientativo "Cookies e Proteção de Dados Pessoais". O documento não cria obrigações novas, mas mostra como a ANPD interpreta a LGPD nesse tema. Na prática, é a melhor referência para saber o que será cobrado numa fiscalização. A primeira mensagem do guia é que o consentimento não é a única base legal possível para cookies. Cada finalidade de uso precisa ter a sua base legal.

Cookies estritamente necessários são os que sustentam o próprio funcionamento do site, como segurança, balanceamento de carga e manutenção da sessão. Para eles, o controlador pode usar outras hipóteses da lei, como o legítimo interesse, sempre com transparência. Cookies de publicidade, de perfilamento e de rastreamento entre sites atendem a interesses que vão além do que o visitante espera. Nesses casos, o consentimento tende a ser a base mais adequada. E o consentimento precisa cumprir a definição do artigo 5º da LGPD:

"Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada." (Lei nº 13.709/2018, art. 5º, XII)

Cada termo dessa definição tem consequência prática. "Livre" significa que recusar não pode punir o visitante. "Informada" exige explicar quais cookies existem, para que servem e com quem os dados são compartilhados. "Inequívoca" afasta o consentimento presumido: continuar navegando, rolar a página ou simplesmente fechar o banner não conta como aceite. "Finalidade determinada" impede pedir uma autorização genérica para "melhorar sua experiência" e depois usar os dados em publicidade direcionada.

Como classificar os cookies do seu site

Não dá para pedir consentimento correto sem saber o que o site realmente instala. O primeiro passo técnico da adequação é um inventário. Rode uma varredura com ferramenta de escaneamento ou pelas ferramentas de desenvolvedor do navegador, em várias páginas e em diferentes estados (deslogado, logado, depois de um formulário). Liste cada cookie com nome, domínio, duração e finalidade. É comum descobrir scripts esquecidos de campanhas antigas, plugins que ninguém usa mais e pixels de terceiros instalados por agências que já deixaram o projeto.

O guia da ANPD sugere classificar os cookies por três critérios complementares, e a combinação deles orienta o tratamento de cada um:

• Por quem instala: cookies próprios (primários), gravados pelo domínio que o usuário visita, e cookies de terceiros, gravados por domínios externos como redes de anúncios, redes sociais e ferramentas de análise.
• Por duração: cookies de sessão, que somem quando o navegador fecha, e cookies persistentes, que ficam guardados por dias, meses ou anos.
• Por finalidade: estritamente necessários; de desempenho e análise (estatísticas de navegação); de funcionalidade (preferências como idioma e região); e de publicidade e marketing (perfilamento, remarketing, medição de campanhas).

A classificação por finalidade é a que aparece para o visitante no banner. Ela precisa ser honesta. Colocar um cookie de remarketing na categoria "necessários" para escapar do consentimento é uma das irregularidades mais fáceis de detectar numa auditoria. Para não se perder, mantenha uma tabela de cookies como documento vivo e reveja sempre que entrar uma tag nova no site. Essa tabela também alimenta a política de cookies publicada.

Banner de consentimento: o que funciona e o que a ANPD condena

O banner é a parte visível da adequação e, por isso, a mais cobrada. O guia da ANPD recomenda um modelo em camadas. A primeira camada traz um resumo claro e opções de ação. A segunda camada, acessível por um botão como "Configurar" ou "Gerenciar preferências", permite escolher por categoria e mostra informações detalhadas sobre cada uma. Também é preciso um caminho permanente, como um link no rodapé, para o visitante mudar a decisão a qualquer momento.

As boas práticas que a ANPD aponta são estas:

• Botão de rejeitar cookies não necessários na primeira camada, com o mesmo destaque visual do botão de aceitar.
• Caixas de categoria desmarcadas por padrão, exceto a de cookies necessários, que pode vir indicada como sempre ativa.
• Texto em linguagem simples, com a finalidade de cada categoria e menção aos terceiros envolvidos.
• Link para a política de cookies e para a política de privacidade, além do contato do encarregado (DPO).
• Revogação tão fácil quanto a concessão, sem exigir cadastro, e-mail ou contato com o suporte.

Na direção contrária, o guia lista práticas inadequadas que ainda aparecem em muitos sites corporativos. A principal é o consentimento implícito, aquele "ao continuar navegando, você concorda". Também entram na lista o banner só com o botão "Aceitar", as categorias pré-marcadas e o cookie wall, que bloqueia o conteúdo até o visitante aceitar tudo. Outra irregularidade é o padrão manipulador (dark pattern): botão de aceitar colorido e grande, botão de rejeitar cinza e escondido em letras miúdas. Para o visitante, esses desenhos parecem detalhe. Para a autoridade, mostram que o consentimento não foi livre.

Registro do consentimento: como provar que você pediu certo

Um ponto que muitas empresas ignoram está no artigo 8º, §2º, da LGPD: cabe ao controlador provar que o consentimento foi obtido de acordo com a lei. Ou seja, numa fiscalização ou reclamação, não basta mostrar que o banner existe. A empresa precisa demonstrar o que cada visitante escolheu, quando escolheu e qual versão do aviso estava no ar naquele momento. Sem registro, o consentimento, na prática, não existe.

Um registro de consentimento robusto deve guardar, no mínimo:

1. Um identificador pseudonimizado do visitante ou do dispositivo, sem dados diretos como nome ou e-mail.
2. Data e hora da escolha, de preferência com fuso horário padronizado.
3. As categorias aceitas e as recusadas, uma a uma.
4. A versão do banner e da política de cookies exibida no momento.
5. O histórico de alterações, incluindo revogações e novos aceites.

Tão importante quanto registrar é respeitar a escolha. Isso exige bloqueio prévio dos scripts: tags de análise e de publicidade só podem disparar depois do aceite da categoria correspondente. A forma mais segura é integrar a plataforma de gestão de consentimento (CMP) ao gerenciador de tags. Para quem anuncia no Google, vale configurar o Consent Mode, que passa às ferramentas da plataforma o estado do consentimento de cada visitante e ajusta a coleta. Outra regra é revisar periodicamente o prazo de validade das escolhas e pedir de novo o consentimento quando surgir uma finalidade nova. Uma autorização dada para estatística não cobre uma campanha de remarketing criada meses depois.

Plano de adequação e como a Duk pode ajudar

Adequar o site ao consentimento de cookies é um projeto curto quando bem conduzido. Mas ele cruza várias áreas: jurídico, marketing, desenvolvimento e infraestrutura. Um roteiro realista inclui: inventário e classificação dos cookies; definição da base legal para cada finalidade; escolha e configuração da plataforma de consentimento; ajuste do gerenciador de tags para bloqueio prévio; redação da política de cookies; testes em diferentes navegadores e dispositivos; e uma rotina de auditoria periódica. Cada etapa deixa um registro, e esse conjunto de documentos é o que sustenta a defesa da empresa diante da ANPD.

O erro mais comum é tratar o tema como tarefa única. Sites mudam todo mês: entra um plugin novo, uma agência adiciona um pixel, um formulário passa a usar uma ferramenta externa. Sem governança, o banner adequado de hoje vira o banner decorativo de amanhã. Por isso a adequação precisa de um responsável definido, de uma revisão agendada (trimestral é um bom ponto de partida) e de integração com o programa de privacidade mais amplo da empresa. O registro das operações de tratamento e o atendimento aos titulares fazem parte desse programa.

A Duk Informática & Cloud apoia empresas nessa jornada pelo lado técnico da conformidade. Fazemos a varredura de cookies e scripts, configuramos o bloqueio prévio no gerenciador de tags, integramos o Consent Mode e protegemos a infraestrutura que guarda os registros de consentimento. São mais de 18 anos de experiência, mais de 550 clientes atendidos e a condição de Microsoft Gold Partner. Com isso, ajudamos sua equipe a transformar a LGPD em processo contínuo, e não em correria às vésperas de uma fiscalização. Se o banner do seu site hoje só tem um botão "OK", vale começar a conversa.