O banner de cookies deixou de ser peça de layout para virar evidência de conformidade. Todo site ou aplicativo que coleta dados pessoais por rastreadores precisa identificar, antes de qualquer escolha visual, a hipótese legal que autoriza cada categoria de tratamento — e a responsabilidade recai sobre controladores, encarregados e as equipes de segurança, jurídico e marketing. A ação prioritária é inventariar os cookies em produção e classificá-los por necessidade, porque para a ANPD a distinção entre cookies necessários e não necessários define a hipótese legal aplicável, seja consentimento, legítimo interesse ou outra prevista em lei, antes de qualquer decisão de interface.
Comece pela classificação dos cookies
O guia orientativo de cookies da ANPD organiza a auditoria em quatro eixos: a entidade responsável pela gestão (próprios ou de terceiros), a necessidade (necessários ou não necessários), a finalidade (funcionalidade, desempenho, publicidade) e o período de retenção (de sessão ou persistentes). O eixo da necessidade é o que decide a base legal: cookies necessários sustentam o funcionamento da página ou a prestação adequada do serviço; os não necessários cobrem rastreamento comportamental, medição de desempenho e anúncios, e a desabilitação deles não pode quebrar o site.
A classificação errada contamina todo o resto. Tratar um rastreador de publicidade como indispensável à navegação infla a coleta além do princípio da necessidade; o contrário obriga a pedir consentimento até para funções básicas, criando atrito sem ganho de privacidade. O inventário deve ser refeito a cada deploy, porque bibliotecas de análise, players de vídeo e widgets incorporam rastreadores de terceiros sem aviso, e cada novo domínio que grava dados no navegador entra no escopo da lei.
No eixo de retenção, cookies de sessão são descartados ao fechar o navegador, enquanto os persistentes sobrevivem por período definido pelo controlador. A recomendação da autoridade é limitar a duração ao mínimo compatível com a finalidade declarada, porque períodos indeterminados ou desproporcionais não se sustentam diante do princípio da necessidade. O gerenciamento pelo navegador tem função complementar: ele nunca substitui um mecanismo próprio do site para o titular exercer seus direitos.
| Categoria | Exemplo típico | Tratamento recomendado |
|---|---|---|
| Necessários | Sessão de login, carrinho de compras | Legítimo interesse; informar finalidade no banner e na política |
| Desempenho | Medição agregada de audiência | Legítimo interesse se limitado e agregado, sem perfis |
| Publicidade | Anúncios personalizados | Consentimento prévio, específico e revogável |
| Terceiros | Widgets, pixels e players externos | Inventário por domínio; bloqueio até decisão formal de base legal |
Escolha a base legal
A LGPD condiciona qualquer tratamento de dados pessoais a uma hipótese legal específica. O texto consolidado da lei lista o fornecimento de consentimento pelo titular e o legítimo interesse entre as alternativas, e o teste de balanceamento separa uma da outra. Para cookies estritamente necessários, o consentimento não funciona: o titular não tem escolha real quando a recusa quebra o serviço, e a ANPD recomenda não usar essa base ali. O legítimo interesse pode amparar a medição de audiência, desde que limitada a dados agregados, sem combinação com outros mecanismos de rastreamento e sem formação de perfis de usuários.
Publicidade é o caso oposto: cookies de terceiros para publicidade concentram o maior risco à privacidade, porque combinam rastreamento entre páginas distintas, construção de perfis comportamentais e previsão de preferências. Nessas condições, o balanceamento tende a favorecer direitos e liberdades do titular, e o consentimento é a hipótese mais apropriada. No setor público, o legítimo interesse ainda esbarra em limite adicional quando há vínculo claro entre a coleta e o exercício de prerrogativas estatais típicas.
Guardar a documentação dessa análise — finalidade por categoria, decisão de base legal, avaliação de expectativas do titular e versão do banner — é o que transforma a escolha em evidência defensável, papel semelhante ao dos registros que conectam exigências regulatórias à gestão da segurança da informação em outros regimes de conformidade.
Conserte o banner de consentimento
O banner é onde a maioria dos erros aparece. Na avaliação da ANPD, um banner com um único botão de aceite contraria o requisito de consentimento livre: sem opção efetiva de recusa, não há manifestação de vontade genuína do titular. A lista de práticas desaconselhadas é objetiva: caixas de aceitação pré-marcadas, botão de rejeitar com menor destaque visual, ausência de segundo nível de gerenciamento e vínculo do aceite às condições gerais de uso do site.
A correção mínima tem quatro pontos. Primeiro, oferecer rejeição de todos os cookies não necessários com o mesmo destaque do aceite, tanto no primeiro quanto no segundo nível do banner. Segundo, classificar os cookies por categoria no segundo nível, com descrição simples de cada finalidade e consentimento separado por finalidade. Terceiro, desativar por padrão toda categoria baseada em consentimento, exigindo marcação explícita do titular. Quarto, fornecer mecanismo próprio e simplificado para exercício dos direitos, além das configurações do navegador. Continuar navegando não vale como aceite tácito, e qualquer alteração nas premissas da coleta exige novo consentimento ou nova base legal.
Revogação e provas do consentimento
Revogar precisa ser tão simples quanto aceitar. O consentimento pode ser revogado a qualquer momento, mediante manifestação expressa do titular, por procedimento gratuito e facilitado, e o ato é unilateral: basta a vontade do titular para obrigar o controlador. Na prática, isso exige salvar o estado das escolhas por categoria, expor um canal para reverter permissões antigas e propagar a revogação para os terceiros que recebiam os dados — o elo que quase sempre falta na cadeia.
O ônus da prova é do controlador. Sem registro de quando, como e com quais informações o consentimento foi obtido, a base legal se desfaz na primeira fiscalização ou reclamação. Documentar as versões do banner, os textos apresentados e a marcação temporal de cada escolha é o mínimo auditável; o mesmo vale para o teste de balanceamento do legítimo interesse, que deve ser anterior à operação e não retroativo.
Checklist de auditoria em produção
Uma revisão prática cabe em uma semana de escopo fechado, com prioridades claras:
- P1 — inventariar todos os cookies por domínio, inclusive os de terceiros, e classificá-los por necessidade e finalidade;
- P1 — desativar por padrão toda categoria não necessária e dar à recusa destaque equivalente ao aceite;
- P1 — implementar revogação simétrica ao aceite e registrar cada manifestação do titular;
- P2 — limitar a duração dos cookies persistentes ao mínimo compatível com a finalidade declarada;
- P2 — revisar a política de cookies a cada mudança de stack e testar o fluxo nos navegadores principais;
- P2 — estender o mesmo padrão a SDKs de aplicativos e a outras tecnologias equivalentes de rastreamento.
O princípio é o mesmo de qualquer controle de minimização: quanto menos dado circula, menor a superfície de exposição e o custo de responder a um incidente. O raciocínio é análogo ao de restringir fluxos de dados em ambientes de nuvem, como na contenção de exfiltração no Google Cloud.