Banner de Cookies LGPD: seu site precisa? O que a ANPD diz

Meu site precisa de banner de cookies? O que a ANPD exige do seu negócio

Você abriu o site da sua empresa e o banner de cookies tem só um botão, “Aceitar”. Ou nem tem banner, porque o designer disse que “é só um aviso e ninguém liga”. Se o site tem Google Analytics, pixel de anúncio ou chat de terceiros, esse detalhe pode virar problema com a LGPD. É um problema que se corrige com pouco esforço, mas só se você souber o que corrigir.

A resposta curta: depende dos cookies que o seu site usa. Se ele usa só cookies essenciais, em geral não precisa pedir consentimento, mas precisa informar. Se usa cookies de publicidade, de rastreamento entre sites ou outros não essenciais, precisa de consentimento válido, e um botão “Aceitar” sozinho não é válido.

O que são cookies, em linguagem simples

Cookies são arquivos que o site grava no navegador de quem o visita. Servem para lembrar preferências, manter o carrinho de compras, medir quantas pessoas visitam cada página e exibir anúncios. Em algumas situações eles coletam dados pessoais, e é por isso que a LGPD (Lei 13.709/2018) se aplica.

O que a ANPD diz: cookies necessários e não necessários

A ANPD publicou o Guia Orientativo “Cookies e Proteção de Dados Pessoais” (versão 1.0, outubro de 2022). É um guia de orientação do regulador, não uma lei nova, mas mostra como a ANPD interpreta a LGPD e o que ela deve olhar numa fiscalização. Ele separa os cookies em dois grupos que importam para o seu negócio.

Cookies necessários são os que o site precisa para funcionar: login, carrinho de compras, segurança, pagamento. Para esses, o guia desaconselha usar o consentimento como base legal, porque o usuário não tem escolha real se o site não funciona sem eles. A base indicada é o legítimo interesse. Mesmo assim, é preciso informar o usuário sobre o uso.

Cookies não necessários são os de análise, publicidade, perfilamento e rastreamento entre sites. Para esses, o guia indica o consentimento como a base mais apropriada, com opção real de aceitar ou recusar.

Uma observação sobre métricas de audiência: o guia admite o legítimo interesse para medição de audiência feita com dados agregados e sem cruzamento com outros rastreamentos. Já publicidade com cookies de terceiros e formação de perfil de comportamento pedem consentimento. Como cada ferramenta de analytics é configurada de um jeito, vale revisar o que o seu site realmente faz.

Como deve ser um consentimento válido

Segundo a LGPD e o guia, o consentimento precisa ser livre, informado e inequívoco.

• Livre: o usuário pode recusar sem ser prejudicado.

• Informado: ele sabe quais cookies são usados, para quê, por quanto tempo, se há compartilhamento com terceiros e quais são os seus direitos.

• Inequívoco: exige um ato positivo do usuário. Caixas já marcadas e a ideia de que “continuar navegando é aceitar” não valem.

O consentimento também pode ser revogado a qualquer momento, por procedimento gratuito e facilitado.

Como deve ser o banner, segundo o guia

O guia descreve o banner em dois níveis.

Primeiro nível (o que aparece quando a pessoa entra no site):

• um botão visível para rejeitar os cookies não necessários;

• um link para o exercício de direitos do titular;

• um link para o segundo nível.

Segundo nível (as configurações):

• cookies organizados por categoria, com a finalidade de cada uma explicada;

• consentimento específico por categoria;

• cookies não necessários desativados por padrão;

• orientação de como bloquear cookies pelo navegador.

O guia também diz que as opções “Aceitar”, “Rejeitar” e “Gerenciar” devem ter formato e destaque equivalentes.

Erros comuns que o guia desaconselha

Se o banner do seu site se parece com algum destes, vale revisar:

• só o botão “Aceitar”, sem opção de rejeitar ou gerenciar;

• botão de aceitar em destaque e opção de rejeitar escondida em texto pequeno;

• cookies não necessários ligados antes de qualquer escolha do usuário;

• ausência de configurações por categoria;

• nenhum caminho simples para o usuário revogar o consentimento depois;

• informações só em língua estrangeira;

• lista de cookies tão longa e detalhada que ninguém consegue entender.

Banner não basta: a política de cookies

Além do banner, o site precisa informar, de forma clara e fácil de achar, o que a LGPD (art. 9º) exige: finalidades, prazo de retenção, compartilhamento com terceiros, direitos do titular e a base legal adotada. Isso pode ficar em seção própria da política de privacidade, em página separada ou no próprio banner. Uma política de privacidade genérica, copiada de modelo, costuma não dizer nada disso.

Meu site é pequeno. Isso me livra?

Não automaticamente. A LGPD vale para qualquer empresa que trate dados pessoais, de qualquer tamanho. Existe um regime simplificado para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022), mas ele flexibiliza algumas obrigações, não dispensa a base legal nem a transparência. [LINK: LGPD para pequenas empresas]

E se eu não me adequar?

A ANPD pode aplicar sanções administrativas previstas no art. 52 da LGPD, que vão de advertência a multa simples de até 2% do faturamento da empresa no último exercício, limitada a R$ 50 milhões por infração. Há ainda o risco de reclamações de usuários e de ações judiciais, e o custo de reputação para quem trata o visitante do site sem transparência.

Checklist rápido para o seu site

1. Liste todos os cookies e ferramentas de terceiros do site (analytics, pixels, chat, mapas, vídeos incorporados).

2. Separe os necessários dos não necessários.

3. Defina a base legal de cada grupo e registre a decisão.

4. Configure o banner em dois níveis, com botão de rejeitar e cookies não necessários desligados por padrão.

5. Publique ou atualize a política de cookies com as informações do art. 9º.

6. Ofereça um jeito fácil de o usuário revisar ou revogar a escolha.

7. Revise tudo sempre que incluir uma nova ferramenta no site.

Perguntas frequentes

Todo site precisa de banner de cookies?
Não necessariamente. O banner serve para obter consentimento quando o site usa cookies não necessários. Um site com apenas cookies essenciais pode dispensar o consentimento, mas ainda precisa informar o usuário sobre o seu uso.

Posso usar o Google Analytics sem pedir consentimento?
Depende da configuração. O guia aceita o legítimo interesse para medição de audiência com dados agregados e sem cruzamento com outros rastreamentos. Se a ferramenta compartilha dados com terceiros para publicidade ou cria perfis, o consentimento é o caminho mais seguro. Cada caso deve ser analisado.

Um banner só com o botão “Aceitar” é permitido?
O guia da ANPD indica que não. Ele aponta como prática a evitar o banner que só tem o botão de aceitar, sem opção de rejeitar ou gerenciar.

O guia da ANPD é lei?
Não. É um guia orientativo do regulador, que mostra a interpretação da ANPD sobre a LGPD. A lei em vigor é a LGPD, e o próprio guia lembra que segui-lo não dispensa o cumprimento integral da lei.

Quem pode me multar se o banner estiver errado?
A ANPD, nos termos da LGPD. Também podem surgir reclamações de usuários e ações judiciais.

Preciso de política de cookies separada?
Não. Ela pode ser uma seção da política de privacidade, desde que fácil de encontrar e com as informações exigidas pela LGPD.

Seu site está em conformidade?

A Reis Araujo Advogados revisa os cookies, o banner e a política de privacidade do seu site, e ajusta tudo à LGPD e ao guia da ANPD. Fale com a nossa equipe pela contato@reisaraujo.com.br e conte qual é o seu caso

© 2024 Reis Araujo

+55 11939138445

Política de Privacidade