O que são cookies e por que a LGPD os regula

Cookies são pequenos arquivos de texto gravados no navegador do usuário quando ele acessa um site. Eles permitem que o servidor identifique aquele navegador em visitas futuras e armazenem informações sobre comportamento, preferências e sessão.

As categorias principais são:

• Essenciais: necessários para o funcionamento básico do site, como manter uma sessão autenticada ou carrinho de compras.
• Analíticos: coletam dados de uso: páginas visitadas, tempo de sessão, origem do tráfego.
• De marketing: rastreiam o usuário entre domínios para exibir anúncios segmentados.
• De preferências: memorizam configurações de idioma, região e layout escolhidas pelo usuário.

A LGPD (Lei 13.709/2018) regula qualquer operação com dados pessoais de pessoas naturais localizadas no Brasil. Cookies analíticos e de marketing frequentemente geram identificadores únicos, como o cookie ID, que permitem individualizar e rastrear um usuário específico. Isso os enquadra diretamente na definição de dado pessoal do art. 5º, I da lei.

Dados anonimizados, nos quais a reidentificação é impossível mesmo com meios razoáveis, ficam fora do escopo da LGPD. A maioria dos cookies de terceiros, porém, não atinge esse grau de anonimização: são, no máximo, pseudonimizados, e continuam sujeitos à lei.

Base legal: quando o consentimento é exigido

O art. 5º, XII da LGPD define consentimento como “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Todos esses quatro atributos, livre, informado, inequívoco e específico, precisam estar presentes simultaneamente.

Cookies estritamente necessários não requerem consentimento porque seu uso se enquadra em outra base legal: a execução do contrato ou o legítimo interesse do operador para garantir a funcionalidade básica do serviço solicitado pelo próprio usuário. Sem esses cookies, o site simplesmente não funciona como esperado pelo titular.

Para os demais tipos, a base legal mais adequada é o consentimento. O legítimo interesse pode ser invocado para alguns cookies analíticos de uso interno, mas exige que o operador realize e documente o teste de balanceamento (legítimo interesse versus direitos do titular). Usar legítimo interesse para cookies de marketing é tecnicamente arriscado e dificilmente sustentável diante de fiscalização.

A ANPD publicou o Guia Orientativo de Cookies, que orienta organizações a classificarem cada cookie por sua finalidade real, não pelo nome que o fornecedor atribui a ele. Um cookie rotulado como “analítico” por um vendor pode, na prática, alimentar perfis comportamentais para publicidade, o que o requalifica como cookie de marketing e exige consentimento explícito.

Como deve ser um banner de cookies em conformidade

Um banner em conformidade com a LGPD não é apenas um aviso. Ele precisa ser o ponto de coleta do consentimento antes que qualquer script não essencial seja executado.

Elementos obrigatórios

O banner deve apresentar linguagem clara e acessível ao público-alvo do site. Jargão técnico sem explicação não satisfaz o requisito de consentimento “informado”. O usuário precisa entender o que está autorizando antes de qualquer clique.

Granularidade é obrigatória: o usuário deve poder aceitar ou recusar cada categoria de cookie separadamente. Um botão único de “Aceitar tudo” sem alternativa equivalente viola a exigência de consentimento específico.

Dark patterns são explicitamente vedados. Isso inclui botões de recusa escondidos em menus secundários, texto de recusa em cinza-claro sobre fundo branco, ou linguagem que induz culpa (“Não, prefiro uma experiência pior”).

Opt-in versus opt-out

Caixas pré-marcadas não configuram consentimento válido. A LGPD exige manifestação inequívoca, ou seja, uma ação positiva do usuário. Se a categoria de marketing já vem marcada por padrão e o usuário apenas fecha o banner, não há consentimento legal.

O modelo correto é opt-in: todas as categorias não essenciais começam desmarcadas, e o usuário escolhe ativamente o que aceita.

Equivalência entre aceitar e recusar

A opção de recusar deve ser tão fácil de acessar quanto a de aceitar. Colocar “Aceitar tudo” em botão verde destacado e “Gerenciar preferências” em link de texto pequeno no rodapé do banner não satisfaz esse requisito. Ambas as opções devem ter proeminência visual equivalente.

Política de cookies: conteúdo e obrigações

A política de cookies é o documento que detalha, de forma permanente e acessível, tudo o que o banner apenas resume. Ela deve estar disponível em link direto no próprio banner, não apenas no rodapé do site.

O que o documento deve conter

• Lista de cookies: nome técnico de cada cookie ativo no site.
• Finalidade: para que cada cookie é usado, em linguagem compreensível.
• Prazo de retenção: por quanto tempo o cookie permanece ativo no navegador.
• Terceiros envolvidos: quais fornecedores externos têm acesso aos dados gerados por cada cookie, com links para as políticas de privacidade desses terceiros quando disponíveis.

A política de cookies deve ser vinculada à política de privacidade geral, mas mantida como documento separado ou seção claramente identificada. Misturar as duas em um único bloco de texto dificulta a compreensão e pode ser interpretado como falta de transparência.

Atualização e papel do DPO

Sempre que um novo script de terceiro for adicionado ao site, seja via tag manager ou integração direta, a política de cookies precisa ser atualizada antes da ativação desse script. Manter uma política desatualizada enquanto cookies não listados operam no site caracteriza violação ativa.

O Encarregado de Dados (DPO) deve revisar a política periodicamente e sempre que houver mudança na stack tecnológica. Ele é também o responsável por garantir que o processo de revisão esteja documentado, o que é relevante para demonstrar accountability em caso de fiscalização.

Implementação técnica: armadilhas comuns

Scripts que disparam antes do consentimento

O erro mais frequente é instalar uma plataforma de consentimento sem configurar o bloqueio condicional de scripts. O banner aparece, mas os pixels de marketing e os scripts analíticos já foram carregados antes de qualquer interação do usuário, o que invalida juridicamente todo o fluxo de consentimento.

A solução é o conditional script loading: scripts não essenciais só são injetados no DOM após o usuário registrar preferências. Plataformas de Consent Management (CMP) como OneTrust, Cookiebot e TrustArc oferecem esse mecanismo nativamente. Implementações manuais via Google Tag Manager requerem configuração cuidadosa de variáveis de consentimento.

Registro de evidências (audit log)

O princípio de accountability da LGPD (art. 6º, X) exige que o controlador consiga demonstrar que o consentimento foi obtido de forma válida. Isso significa armazenar, para cada sessão de consentimento: timestamp, versão da política apresentada, categorias aceitas e recusadas, e identificador anônimo da sessão.

Esse log não deve conter dados pessoais desnecessários. O objetivo é provar que o processo funcionou, não rastrear o usuário individualmente.

Revogação do consentimento

O art. 8º, §5º da LGPD garante ao titular o direito de revogar o consentimento a qualquer momento, com a mesma facilidade com que foi concedido. Na prática, o site precisa oferecer acesso permanente às preferências de cookies, geralmente por um botão flutuante ou link no rodapé, que permita ao usuário alterar ou retirar autorizações sem precisar contatar o suporte.

CMP versus implementação manual

Implementações manuais são viáveis para sites simples com poucos scripts de terceiros. Para operações com dezenas de tags, múltiplos domínios e integrações com plataformas de marketing, uma CMP dedicada reduz o risco operacional e facilita a geração de relatórios de conformidade. A escolha deve considerar custo, complexidade técnica e capacidade de manutenção interna.

Riscos e sanções para quem não se adequa

A LGPD prevê um conjunto escalonado de penalidades administrativas, aplicáveis após processo na ANPD:

• Advertência: com prazo para correção, aplicável em infrações de menor gravidade ou casos de primeira ocorrência.
• Multa simples: de até 2% do faturamento do grupo econômico no Brasil no último exercício, limitada a R$ 50 milhões por infração.
• Multa diária: para infrações continuadas.
• Publicização da infração: divulgação pública do caso, com impacto direto na reputação da marca.
• Bloqueio ou eliminação dos dados: suspensão do tratamento até regularização.

A ANPD tem avançado gradualmente em sua capacidade de fiscalização. Em 2023 e 2024, o órgão instaurou processos administrativos contra empresas de setores variados, incluindo casos relacionados a consentimento inadequado e falta de transparência no tratamento de dados pessoais. Multas bilionárias como as aplicadas pelo GDPR europeu ainda não são o cenário brasileiro, mas o histórico regulatório aponta para crescente rigor.

O impacto reputacional pode ser mais imediato do que as sanções formais. Notícias sobre práticas invasivas de rastreamento afetam a percepção do consumidor e, em e-commerce e SaaS, se traduzem diretamente em queda de conversão e aumento de churn.

Como avaliar o nível atual de conformidade do seu site

Use este checklist para um diagnóstico inicial:

1. Auditoria de cookies: escaneie seu domínio com uma ferramenta de detecção e liste todos os cookies ativos, incluindo os de subdomínios e iframes de terceiros.
2. Classificação por finalidade: para cada cookie identificado, determine a categoria real de uso e a base legal correspondente, seguindo o Guia Orientativo de Cookies da ANPD.
3. Verificação do banner: confirme se cookies não essenciais são bloqueados antes da interação. Abra o site em aba anônima e inspecione o tráfego de rede antes de qualquer clique no banner.
4. Granularidade de escolha: verifique se o usuário consegue aceitar ou recusar cada categoria separadamente, sem categorias pré-marcadas.
5. Equivalência de opções: avalie visualmente se recusar é tão simples quanto aceitar, sem dark patterns.
6. Política de cookies atualizada: compare a lista de cookies na política com os cookies detectados na auditoria. Toda divergência é risco.
7. Mecanismo de revogação: confirme se há caminho claro para o usuário alterar preferências após o primeiro acesso.
8. Audit log: verifique se a plataforma ou implementação atual registra evidências de consentimento com os metadados necessários.
9. Revisão pelo DPO: documente a data da última revisão e programe a próxima, associando-a ao ciclo de mudanças da stack tecnológica.

Conformidade com a LGPD em cookies não é um projeto pontual. É um processo contínuo que acompanha cada alteração na infraestrutura digital do site.