O que são cookies e por que a LGPD os regula

Cookies são pequenos arquivos de texto armazenados no navegador do usuário quando ele acessa um site. Eles permitem que o servidor reconheça o visitante em requisições subsequentes, mantendo estado entre sessões ou registrando preferências e comportamentos.

Do ponto de vista técnico, existem quatro categorias principais:

• Essenciais: necessários para o funcionamento básico do site, como autenticação e carrinho de compras.
• Funcionais: armazenam preferências do usuário, como idioma e região.
• Analíticos: medem o comportamento de navegação para fins de análise de audiência.
• De rastreamento e publicidade: identificam o usuário entre diferentes domínios para segmentação e retargeting.

A LGPD regula cookies porque qualquer dado capaz de identificar, direta ou indiretamente, uma pessoa natural é dado pessoal. Um cookie que armazena um identificador único vinculado a um perfil de comportamento, endereço IP ou histórico de compras se enquadra nessa definição. O simples fato de o dado estar num arquivo de texto no navegador não o exclui do escopo da lei.

A distinção entre cookies de sessão e cookies persistentes tem relevância direta para privacidade. Cookies de sessão expiram ao fechar o navegador e, em geral, carregam menor risco. Cookies persistentes permanecem por dias, meses ou anos, criando um perfil longitudinal do usuário, o que aumenta a necessidade de base legal clara e de informação transparente sobre o prazo de retenção.

O que a LGPD exige sobre consentimento de cookies

Definição legal de consentimento válido

O art. 5º, XII da LGPD define consentimento como “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Cada um desses quatro adjetivos tem implicação prática para o design do banner e do fluxo de coleta.

• Livre: o usuário não pode ser pressionado ou prejudicado por recusar cookies não essenciais.
• Informado: a finalidade de cada categoria de cookie deve ser descrita de forma clara antes de qualquer coleta.
• Inequívoco: silêncio, inação ou pré-seleção de caixas não configuram consentimento válido.
• Finalidade determinada: consentimento genérico para “melhorar a experiência” não é suficiente.

Quando outras bases legais se aplicam

Consentimento não é a única base legal disponível. Para cookies estritamente essenciais à execução de um serviço contratado, como autenticação em plataformas SaaS, a base de execução de contrato (art. 7º, V) pode ser mais adequada e elimina a necessidade de capturar consentimento para essa categoria.

O legítimo interesse (art. 7º, IX) é por vezes invocado para cookies analíticos. A aplicação exige a realização de um teste de balanceamento documentado, avaliando se o interesse do controlador não sobrepõe os direitos e expectativas razoáveis do titular. Essa base legal não é um atalho para dispensar o banner: a transparência e a possibilidade de opt-out continuam obrigatórias.

Registro e rastreabilidade do consentimento

A LGPD impõe ao controlador o ônus de demonstrar que o consentimento foi coletado de forma válida (art. 8º, § 2º). Isso significa guardar, no mínimo: o momento exato da manifestação, a versão do banner exibida, as categorias aceitas e o identificador do usuário ou sessão. Sem esse log, a empresa não tem como se defender em caso de investigação da ANPD.

Direito de revogação

O art. 8º, § 5º garante ao titular o direito de revogar o consentimento a qualquer momento, com a mesma facilidade com que o concedeu. Na prática, isso exige que o usuário consiga acessar o painel de preferências de cookies sem abrir um processo de suporte, enviar e-mail ou navegar por menus obscuros. A revogação deve produzir efeito imediato sobre o carregamento de scripts.

Como estruturar um banner de cookies válido pela LGPD

Elementos mínimos obrigatórios

Um banner válido precisa conter, antes de qualquer interação do usuário:

• Identificação do controlador responsável pelos dados.
• Finalidade de cada categoria de cookie de forma legível, não apenas rótulos como “analytics”.
• Link para a Política de Cookies completa.
• Opção clara de aceitar, recusar e personalizar categorias individualmente.

A ausência de qualquer um desses elementos compromete a validade do consentimento coletado e pode ser enquadrada como descumprimento das obrigações de transparência previstas no art. 9º da LGPD.

Design sem dark patterns

Dark patterns são recursos de interface deliberadamente projetados para direcionar o usuário a uma escolha específica, em geral a aceitação irrestrita de cookies. As práticas mais comuns incluem:

• Pré-selecionar todas as categorias de cookies, incluindo as não essenciais.
• Exibir o botão “Aceitar tudo” com destaque visual enquanto o botão “Recusar” é apresentado como link discreto ou omitido.
• Exigir múltiplos cliques para recusar, mas apenas um para aceitar.
• Usar linguagem confusa, como “Não rejeitar cookies” em vez de “Recusar”.

Essas práticas invalidam o consentimento porque comprometem o requisito de liberdade. A ANPD e autoridades congêneres em outros países já multaram empresas especificamente por essa razão.

Granularidade e renovação do consentimento

O usuário deve poder aceitar cookies analíticos sem aceitar os de publicidade, e vice-versa. Um botão único de “Aceitar tudo ou nada” pode ser questionável para sites com múltiplas finalidades distintas, especialmente quando há compartilhamento de dados com terceiros.

Quanto à renovação, novo consentimento deve ser solicitado quando a política de cookies muda de forma substancial, quando novas categorias de cookies são adicionadas, ou quando o período razoável de validade do consentimento anterior expira. Não existe prazo fixo na LGPD, mas doze meses é o intervalo mais adotado como referência, alinhado com práticas de mercado e orientações de autoridades europeias.

Política de Cookies: o que documentar

Inventário de cookies

A Política de Cookies deve listar todos os cookies ativos no site, com os seguintes atributos para cada um:

• Nome: identificador técnico do cookie.
• Provedor: domínio que o define (first-party ou third-party).
• Duração: prazo de expiração.
• Finalidade: descrição funcional em linguagem acessível.
• Base legal: consentimento, execução de contrato, legítimo interesse etc.

Esse inventário é o ponto de partida para qualquer auditoria interna ou externa. Sem ele, é impossível verificar se todos os cookies em uso têm base legal válida documentada.

Manutenção do inventário

Scripts de terceiros adicionados via tag manager frequentemente instalam cookies adicionais sem conhecimento da equipe jurídica ou de privacidade. Um processo regular de varredura técnica do site, trimestral no mínimo, é necessário para identificar cookies não declarados. Ferramentas de scanner automatizado devem complementar revisões manuais, especialmente após atualizações de plataforma ou integração de novos fornecedores.

Linguagem acessível e relação com a Política de Privacidade

A LGPD exige que a informação ao titular seja fornecida de “forma clara, adequada e ostensiva” (art. 9º). Termos como “identificador de sessão persistente” ou “fingerprinting de dispositivo” devem ser explicados em linguagem simples. O teste prático: um usuário não técnico consegue entender o que o cookie faz e por que ele está ali?

A Política de Cookies é um documento complementar à Política de Privacidade, não substituto. A Política de Privacidade cobre o tratamento de dados em sentido amplo; a de Cookies detalha especificamente os rastreadores utilizados no ambiente digital. Os dois documentos devem estar alinhados e referenciar-se mutuamente.

Erros comuns e riscos de não conformidade

Carregar scripts antes do consentimento

O erro mais frequente e de maior risco é disparar scripts de rastreamento, pixels de redes sociais, tags de analytics e ferramentas de heatmap, antes de o usuário ter manifestado consentimento. Isso constitui tratamento de dados sem base legal, independentemente de qualquer banner exibido depois. A ordem correta é: exibir o banner, aguardar a manifestação, carregar os scripts autorizados.

Assimetria de UX entre aceitar e recusar

Quando aceitar cookies exige um clique e recusar exige três, o design está invalidando o consentimento. A facilidade de recusa deve ser equivalente à de aceitação: mesmo número de etapas, mesmo destaque visual, mesma clareza de linguagem. Essa assimetria é um dos pontos de verificação mais objetivos em fiscalizações de autoridades de proteção de dados.

Ausência de prova de consentimento

Muitas empresas implementam um banner funcional, mas não armazenam log de consentimento. Em caso de reclamação de titular ou investigação da ANPD, a empresa precisará demonstrar que obteve consentimento válido, e “o banner estava no ar” não é prova suficiente. O log deve vincular a manifestação a um identificador de sessão ou usuário, com timestamp e versão do texto exibido.

Confundir LGPD com GDPR

Empresas que operam simultaneamente no Brasil e na Europa frequentemente importam soluções desenhadas para o GDPR e assumem conformidade automática com a LGPD. As diferenças práticas existem: a LGPD tem dez bases legais (contra seis do GDPR), não exige nomeação formal de DPO para todas as empresas nos mesmos termos, e a ANPD ainda está consolidando sua jurisprudência. Uma CMP configurada exclusivamente para o GDPR pode não cobrir os requisitos de geolocalização e idioma exigidos para o público brasileiro.

Como implementar a gestão de consentimento na prática

Critérios para escolher uma CMP

Uma Consent Management Platform (CMP) automatiza a exibição do banner, o bloqueio de scripts, o armazenamento de logs e a atualização do inventário de cookies. Ao avaliar plataformas, como OneTrust, Cookiebot, Usercentrics, CookieYes e TrustArc, entre outras, considere:

• Cobertura de cookies de terceiros: a ferramenta detecta e bloqueia automaticamente cookies não declarados?
• Geração de prova: os logs de consentimento são exportáveis e vinculados a identificadores rastreáveis?
• Integração com GTM: é possível condicionar o disparo de tags ao status de consentimento por categoria?
• Suporte a múltiplas regulações: a configuração pode diferenciar comportamento para usuários brasileiros e europeus?
• Facilidade de atualização: o inventário de cookies pode ser atualizado sem depender de desenvolvimento?

Implementação própria: quando faz sentido

Desenvolver uma solução interna pode ser justificável para organizações com requisitos muito específicos de integração ou que operam em ambientes fechados sem scripts de terceiros. Os requisitos técnicos mínimos incluem: bloqueio condicional de scripts por categoria antes do carregamento da página, armazenamento server-side dos logs de consentimento, mecanismo de renovação e revogação acessível ao usuário, e versionamento do texto do banner para rastreabilidade histórica.

Para a maioria das organizações, o custo de manutenção de uma solução própria, especialmente diante de mudanças regulatórias, supera o custo de licenciamento de uma CMP estabelecida.

Papel do DPO na gestão de cookies

O Encarregado de Proteção de Dados (DPO) deve revisar periodicamente o inventário de cookies, o texto do banner e os logs de consentimento armazenados. Essa revisão não é tarefa exclusiva da área jurídica: exige interação com desenvolvimento, marketing e operações de dados para identificar novos rastreadores e avaliar se as bases legais documentadas continuam válidas.

O DPO também é o ponto de contato em caso de reclamação de titular relacionada a cookies. Ter um processo documentado de resposta, incluindo como localizar o log de consentimento específico de um usuário, reduz o tempo de resposta e demonstra maturidade do programa de privacidade.

Integração com o programa de privacidade mais amplo

A gestão de consentimento de cookies não é um projeto isolado: ela alimenta o registro de atividades de tratamento (ROPA), integra o ciclo de vida dos dados pessoais e conecta-se ao processo de resposta a solicitações de titulares. Um usuário que revoga o consentimento para cookies analíticos está exercendo o direito de oposição ao tratamento, e isso precisa ser refletido nos sistemas de CRM e analytics, não apenas no navegador.

Tratar cookies como um tema de compliance pontual, resolvido com a instalação de um banner, é o caminho mais curto para a não conformidade. A sustentabilidade do programa depende de processos que conectem consentimento coletado, dados tratados e sistemas que consomem esses dados.

Como avaliar a maturidade do seu programa de consentimento

Use as perguntas abaixo como checklist de diagnóstico rápido:

• O site bloqueia todos os scripts não essenciais até que o usuário manifeste consentimento?
• O botão de recusa está visível com o mesmo destaque visual do botão de aceitação?
• O usuário consegue revogar o consentimento em menos de dois cliques, sem contato com suporte?
• Existe um log de consentimento com timestamp, versão do banner e categorias aceitas por sessão?
• O inventário de cookies foi atualizado nos últimos noventa dias?
• A Política de Cookies lista base legal e prazo de expiração para cada cookie?
• O DPO revisou o banner e a política nos últimos doze meses?
• A CMP ou solução interna está configurada para diferenciar comportamento por jurisdição?

Cada “não” nesse checklist representa um vetor de risco regulatório concreto. O objetivo não é atingir conformidade perfeita em um único ciclo, mas identificar lacunas e priorizá-las com base no impacto sobre os direitos dos titulares e na probabilidade de fiscalização.