Banner de cookies na LGPD: o que a ANPD orienta e o que é só teatro
A pergunta certa vem antes do banner: para que serve cada cookie, e qual hipótese legal sustenta aquele uso. Cookie de publicidade depende de consentimento. Cookie de medição de audiência pode, em certos contextos, se apoiar no legítimo interesse. E quando a base escolhida for o consentimento, aí sim ele precisa vir antes do carregamento, com recusa tão acessível quanto o aceite e possibilidade de mudar de ideia.
Quase todo site brasileiro tem um banner hoje, e muitos deles foram instalados sem que ninguém respondesse àquela primeira pergunta. O resultado é um mecanismo que pede autorização para coisas que já aconteceram, ou que pede autorização sem que ninguém tenha decidido qual é a base legal. Este texto separa o que a lei impõe, o que a ANPD orienta e o que é escolha de quem implementa.
A versão curta
- Todo tratamento por cookie precisa de uma hipótese legal definida e documentada. Essa é a obrigação; o banner é só um dos mecanismos.
- Quando a base é consentimento, recusar não pode ser artificialmente mais difícil nem menos visível que aceitar.
- Caixa marcada de fábrica não coleta consentimento válido. Desmarcar não é ação afirmativa.
- Quem consentiu precisa poder voltar atrás com a mesma facilidade com que aceitou.
1. A pergunta que vem antes do banner
A LGPD não fala de cookie em lugar nenhum: ela fala de dado pessoal, e identificador que segue a pessoa é dado pessoal. Por isso a sequência correta não começa no banner. Começa em quatro perguntas, nesta ordem: qual é a finalidade daquele cookie, há tratamento de dado pessoal, qual hipótese legal do Art. 7º sustenta essa finalidade, e só então qual mecanismo a empresa precisa oferecer.
Pular direto para o banner é o erro de origem, e ele explica quase todos os outros. Quem instala primeiro e pergunta depois acaba com um mecanismo que não corresponde a decisão nenhuma: nem coleta consentimento válido, nem documenta legítimo interesse.
| Cookie | Finalidade | Caminho usual |
|---|---|---|
| Sessão de login, carrinho, registro da própria escolha | Fazer o site funcionar | Necessário ao serviço pedido pela pessoa; não depende de banner |
| Medição de audiência | Contar visitas e páginas | Pode se apoiar em legítimo interesse, com condições. Ver seção 2 |
| Publicidade, remarketing, pixel de rede social | Perfilar e anunciar | Consentimento, e ele precisa ser válido |
Obrigação
Ter uma hipótese legal para cada tratamento. Vem do Art. 7º da LGPD, e vale para cookie como vale para qualquer outro tratamento. O consentimento é definido no Art. 5º, XII como manifestação livre, informada e inequívoca, e o ônus de provar que ele existiu é de quem coletou, pelo Art. 8º, § 2º.2. Medição de audiência não é sempre consentimento
Este é o ponto que a maior parte do material simplifica, e que a nossa primeira versão deste texto também simplificou. O Guia Orientativo da ANPD aponta o legítimo interesse como base adequada para cookies analíticos em diversos contextos, e afirma que é razoável supor que a medição de audiência constitua interesse legítimo do controlador. Ou seja: não necessário não equivale a consentimento obrigatório.
A orientação vem com condições, e elas são o que faz a diferença:
- o tratamento se limita a identificar padrões e tendências;
- trabalha com dados agregados;
- sem combinação com outros mecanismos de rastreamento;
- sem formação de perfil de usuário.
E vem com uma trava importante: quem declara usar cookies apenas para medição de audiência não pode usar aqueles dados para finalidade diferente e incompatível, como formar perfil e exibir anúncio. A finalidade declarada limita o uso.
Recomendação da ANPD
Legítimo interesse não é atalho. Ele exige avaliar finalidade, necessidade, riscos e salvaguardas, e documentar esse raciocínio. A ferramenta instalada com a configuração padrão do fornecedor, cruzando dados com a conta de anúncios do mesmo fornecedor, dificilmente cumpre as condições acima. Nesse caso, o caminho volta a ser o consentimento.O que este site faz, e por quê. A nossa barra pergunta sobre medição de audiência mesmo sabendo que o legítimo interesse seria defensável. É escolha, não exigência: a gente prefere que a pessoa decida sobre qualquer identificador que fique no navegador dela. Dizer isso claramente vale mais do que fingir que a lei obrigava.
3. Se a base for consentimento, o que muda
Escolhido o consentimento, ele precisa ser válido, e é aí que quase tudo desanda. Consentimento válido significa que a pessoa fez alguma coisa para autorizar, antes de o cookie entrar, com informação suficiente e liberdade real de recusar. Cada um desses quatro pedaços derruba um banner diferente.
| O requisito | O que ele derruba |
|---|---|
| Ação afirmativa | "Ao continuar navegando você concorda", rolagem, caixa pré-marcada |
| Antes do tratamento | O site que carrega a tag na primeira linha e pergunta depois |
| Informado | Banner que não diz quais categorias existem nem para quê |
| Livre | Recusa escondida, ou acesso condicionado a aceitar |
Recomendação da ANPDNossa recomendação
Sobre a prominência, o Guia orienta não dificultar a visualização e a compreensão do botão de recusar, não dar destaque apenas ao aceite, não impossibilitar ou dificultar a rejeição, e não deixar cookies não necessários ativados por padrão. A forma mais segura de cumprir isso é manter aceitar e recusar no mesmo nível, com o mesmo número de cliques. Isso é implementação nossa, e não texto da ANPD.4. Cinco padrões que devem acender o alerta
Nenhum destes é acidente. São escolhas de projeto feitas para aumentar a taxa de aceite, e todas enfraquecem o consentimento que o banner deveria estar coletando.
4.1 O banner que pergunta depois
O mais grave e o mais frequente. O site carrega a medição e o pixel na primeira linha, a barra aparece meio segundo depois, e a pessoa clica em recusar. Tarde demais: o identificador já está no navegador dela.
Como detectar: abra o site em uma janela anônima, aperte F12, vá em
"Application" ou "Armazenamento" e olhe os cookies antes de clicar em qualquer coisa.
Se aparecer _ga, _gid ou _fbp, e a base declarada for
consentimento, o banner é decorativo.
4.2 A caixa que já vem marcada
O painel abre com as categorias ligadas, esperando que a pessoa desmarque. Desmarcar é o contrário de ação afirmativa, então não há consentimento ali. O detalhe cruel é que esse truque não engana ninguém: ele só transfere o trabalho para quem não queria.
4.3 A recusa que custa mais caro
Aceitar é um botão grande; recusar exige abrir "Personalizar", desmarcar três chaves e salvar. Aceitar: um clique. Recusar: cinco. O inverso também é defeito, ainda que mais simpático: painel que só deixa autorizar marcando caixa por caixa torna o sim mais caro que o não. Atalho para quem quer aceitar é legítimo; resposta pronta no lugar da pessoa não é.
4.4 O "x" que vale como sim
A pessoa fecha a janela para tirar aquilo da frente e o site interpreta como aceite. Fechar sem escolher é ausência de manifestação, e ausência de manifestação não é consentimento.
4.5 O consentimento sem porta de saída
Aceitou uma vez, nunca mais consegue voltar atrás. E há uma sutileza que quase ninguém implementa: revogar não é só parar de carregar. Quem aceitou, navegou e mudou de ideia continua com o identificador guardado, pronto para ser reconhecido de novo. Retirar a autorização de verdade exige apagar o que já entrou.
5. O prazo que quase todo mundo copia errado
A duração declarada na política de cookies é onde mais se erra, porque quase ninguém confere na fonte. Copia-se de outra política, que copiou de um blog, que copiou de um texto escrito para a Europa. O resultado é um documento assinado pela empresa que não corresponde ao que acontece no navegador do visitante.
O exemplo que a gente encontrou no próprio inventário: o cookie IDE, do
Google, é frequentemente declarado como 13 meses. Os 13 meses valem para o Espaço Econômico
Europeu, a Suíça e o Reino Unido. No Brasil ele é informado como 24 meses.
Outro: o _ga nasce com dois anos de validade por padrão, e muita política
declara 13 meses. Nesse caso há saída melhor do que corrigir o texto: dá para
configurar o prazo na chamada e fazer o número da página virar verdade, guardando
identificador por menos tempo.
A lição vale além de cookie: prazo de terceiro varia por região e por configuração. Confira na política do próprio fornecedor, e prefira configurar quando for configurável.
6. Como conferir o seu em cinco minutos
Abra o seu site em uma janela anônima e responda a oito perguntas. A primeira é a que quase ninguém faz, e é a que organiza todas as outras.
- Para cada cookie não necessário, qual é a hipótese legal, e ela está escrita em algum lugar?
- Antes de eu clicar em qualquer coisa, existe cookie apoiado em consentimento já no navegador? (F12 → Application → Cookies)
- Recusar aparece na mesma tela que aceitar, com destaque equivalente?
- Se eu abrir as opções, as caixas estão desmarcadas?
- Fechar o banner sem escolher deixa alguma coisa carregar?
- Existe um caminho permanente para eu mudar de ideia depois?
- Se eu revogar, os cookies que já entraram somem?
- A política lista os prazos reais, conferidos na fonte?
Um "não" em qualquer uma é uma correção a fazer. Um "não" na primeira significa que o banner está resolvendo a etapa errada: ele mostra um mecanismo antes de existir a decisão que o mecanismo deveria executar.
7. Perguntas frequentes
Preciso de banner se o meu site só tem Google Analytics?
Depende da configuração e da hipótese legal escolhida. Cookies de medição não são estritamente necessários, mas o Guia da ANPD admite que a medição de audiência possa se apoiar no legítimo interesse quando o tratamento se limita a identificar padrões e tendências, com dados agregados, sem cruzamento com outros rastreadores e sem formação de perfil. Se a sua configuração depender de consentimento, aí os cookies não podem ser ativados antes da escolha.
Posso usar a frase "ao continuar navegando, você concorda"?
Não, quando a base for consentimento. O Art. 5º, XII da LGPD define consentimento como manifestação livre, informada e inequívoca. Continuar navegando não é manifestação: é a pessoa fazendo o que ia fazer de qualquer jeito. Rolar a página e fechar o aviso também não valem.
Sou MEI ou pequena empresa. Estou dispensado do banner?
O porte não cria dispensa para o tratamento feito por cookies. Mas a LGPD também não determina que todo site tenha banner: o que a empresa precisa é de hipótese legal adequada, transparência e mecanismos compatíveis com essa hipótese. Quando houver cookies apoiados em consentimento, o banner é a forma usual de coletar e gerenciar essa escolha. O regime completo de quem é pequeno está em LGPD para pequena empresa.
Por quanto tempo vale o consentimento que a pessoa deu?
A LGPD não fixa prazo. A boa prática é perguntar de novo periodicamente e sempre que a política mudar de forma relevante, porque um sim dado a um texto antigo não vale para um uso novo. Neste site a escolha vale 12 meses ou até a versão da política mudar.
Posso bloquear o site de quem recusar os cookies?
É arriscado. O consentimento precisa ser livre, e consentimento obtido sob a condição de perder o acesso dificilmente é livre. Cookie não necessário, por definição, não é imprescindível para o site funcionar: se o conteúdo some quando a pessoa recusa, ou o cookie não era dispensável, ou a recusa está sendo punida.
O banner de cookies é obrigatório pela LGPD?
A LGPD não tem a palavra cookie, então o banner não é obrigatório por si. O que a lei exige é base legal e informação para cada cookie, e o banner é a forma de colher consentimento quando a base é o consentimento, como nos cookies de publicidade. Site que usa só cookies necessários para funcionar não precisa pedir nada, só informar na política de cookies. Site com medição de audiência pode, em certos contextos, se apoiar no legítimo interesse, como admite o Guia da ANPD. Site com cookie de anúncio precisa do banner, com a recusa tão fácil quanto o aceite.
Fontes: Guia Orientativo da ANPD: Cookies e Proteção de Dados Pessoais · Lei nº 13.709/2018 (LGPD), Arts. 5º, 7º, 8º e 10 · Resolução CD/ANPD nº 2/2022
Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.
E no seu site?
Quais dessas regras se aplicam ao seu caso, e o que mais a LGPD pede da sua empresa. Grátis, sem cartão.
Começar de graça