Cookies e LGPD à luz do Guia Orientativo da ANPD

O Brasil não tem uma lei de cookies. Não existe aqui equivalente à diretiva europeia de privacidade eletrônica, a LGPD não dedica nenhum artigo ao tema e a palavra "cookie" não aparece no texto da lei. O que existe é o Guia Orientativo sobre cookies e proteção de dados pessoais, publicado pela ANPD em outubro de 2022, que descreve com precisão o que a autoridade brasileira espera do seu banner.

O status jurídico do Guia Orientativo

Um guia orientativo não tem força de lei. Ele não cria obrigação nova nem define sanção, e não substitui a LGPD. Ele expressa por escrito, publicamente, o entendimento da autoridade que fiscaliza e aplica sanção sobre como a lei incide naquele tema.

O Guia é	O Guia não é
Interpretação oficial da autoridade	Lei ou regulamento com força vinculante
Referência de boa-fé e diligência	Lista fechada de obrigações
Base do que a ANPD provavelmente cobrará	Garantia de imunidade se seguido à risca
Documento público, citável em defesa	Substituto da análise do seu caso concreto

Seguir o Guia não é obrigação formal. Ignorá-lo deixa você discutindo interpretação com quem fiscaliza. Numa fiscalização, dizer que a empresa seguiu o entendimento publicado pela autoridade é um argumento pronto; sustentar leitura própria da lei é uma discussão que você pode até vencer, ao custo de um processo inteiro.

Por que a LGPD não fala "cookie" e mesmo assim se aplica

O art. 5º, I, define dado pessoal como informação relacionada a pessoa natural identificada ou identificável. É por essa porta que o cookie entra.

Um cookie é, tecnicamente, um par nome-valor guardado no navegador. O peso jurídico está no que ele permite fazer. Um identificador aleatório que acompanha a mesma pessoa entre páginas, sessões e dispositivos torna essa pessoa identificável, e o conjunto formado pelo identificador mais o histórico de navegação associado a ele é tratamento de dado pessoal, mesmo sem nome, CPF ou e-mail em lugar nenhum.

A partir daí, tudo o que a LGPD exige de qualquer tratamento passa a valer:

• Base legal para cada finalidade (art. 7º).
• Princípios do art. 6º, com destaque para finalidade, necessidade e transparência.
• Informação ao titular sobre finalidade, forma, duração e compartilhamento (art. 9º).
• Direitos do titular (art. 18).
• Segurança (art. 46).

A exigência de transparência sobre coleta e uso de dados na internet é anterior à LGPD: o Marco Civil da Internet já exigia consentimento expresso e destacado das demais cláusulas contratuais para o tratamento de dados pessoais em aplicações de internet.

Duas consequências disso costumam passar despercebidas. A primeira: o raciocínio não se limita a cookie. Vale para localStorage, pixel, fingerprint de dispositivo e qualquer outra técnica que produza o mesmo efeito, porque o Guia trata do gênero e não do formato. A segunda: um cookie puramente técnico, como o que apenas mantém a sessão aberta, também é tratamento de dado pessoal quando ligado a uma pessoa identificável, embora normalmente encontre base legal fora do consentimento. Por isso a classificação por finalidade é a que muda a decisão.

As três classificações e a que define a base legal

O Guia organiza os cookies em três eixos. Conhecer os três evita confusão de vocabulário com clientes e fornecedores.

Eixo	Categorias	Serve para
Finalidade	Necessários e não necessários	Decidir a base legal
Duração	De sessão e persistentes	Avaliar proporcionalidade e informar o titular
Propriedade	Primários e de terceiros	Avaliar compartilhamento e risco

Finalidade: o eixo que define a base legal

Necessário é o cookie sem o qual o serviço que o titular pediu não funciona: sessão de login, carrinho de compras, balanceamento de carga, prevenção a fraude, preferência de idioma escolhida pelo próprio usuário, token contra falsificação de requisição.

Não necessário é todo o resto: analytics, mapa de calor, gravação de sessão, teste A/B, publicidade, remarketing, personalização de conteúdo, botão de rede social.

Para classificar, remova o cookie e veja se o visitante ainda consegue fazer o que veio fazer. Se conseguir, o cookie não é necessário, por mais valioso que seja para o seu negócio: utilidade comercial não transforma cookie não necessário em necessário.

Analytics é o caso que mais gera discussão. Medir audiência é legítimo e útil, e o site funciona sem isso. Na leitura do Guia, analytics é finalidade não necessária, e daí vem a exigência de que a categoria "estatísticas" venha desmarcada e possa ser recusada.

Duração: sessão e persistente

Cookie de sessão morre quando o navegador fecha. Cookie persistente tem prazo de validade, que pode ser de minutos ou de anos.

Não existe prazo máximo fixado em lei no Brasil. Vale o critério da necessidade: a duração tem de ser proporcional à finalidade declarada, e você precisa conseguir explicar por que aquele cookie de marketing dura dois anos. Renovar o consentimento de tempos em tempos é boa prática, sobretudo quando a lista de cookies muda.

Propriedade: primário e de terceiro

O cookie primário é gravado pelo domínio que o visitante está acessando. O de terceiro é gravado por outro domínio: a plataforma de anúncios, a ferramenta de chat, o vídeo incorporado.

Esse eixo pesa no risco e no dever de informação, sem alterar a base legal. Cookie de terceiro implica compartilhamento com outra empresa, e o titular tem direito de saber com quem. Ele também não serve de escapatória: cookie primário gravado por um script de terceiro para finalidade publicitária continua sendo tratamento não necessário, e o rótulo "primário" não muda isso.

A base legal e o limite do legítimo interesse

A LGPD tem dez bases legais para dado comum (art. 7º), e nenhuma delas é "porque todo mundo faz assim".

Tipo de cookie	Base legal usual
Sessão, carrinho, autenticação, antifraude	Execução de contrato ou legítimo interesse
Obrigação legal específica	Cumprimento de obrigação legal ou regulatória
Analytics, mapa de calor, gravação de sessão	Consentimento
Publicidade, remarketing, personalização	Consentimento
Qualquer finalidade que envolva dado sensível	Consentimento específico e destacado (art. 11)

O legítimo interesse é a base mais invocada e a menos compreendida. Ele é condicionado: exige um teste de balanceamento documentado, o LIA, feito antes do tratamento e não depois da denúncia.

Um LIA que se sustenta cobre, por escrito, quatro elementos:

1. Finalidade legítima e concreta. "Melhorar a experiência" é slogan. "Detectar tentativas de fraude no checkout" é finalidade.
2. Necessidade. Se existe forma menos invasiva de chegar ao mesmo resultado, o legítimo interesse cai.
3. Balanceamento. Os seus interesses contra os direitos, as liberdades e as legítimas expectativas do titular. Publicidade comportamental é justamente onde esse teste costuma falhar: o visitante de uma loja não espera ser seguido por trinta sites depois.
4. Salvaguardas. Transparência reforçada, minimização, prazo curto, opção de oposição fácil. A lei ainda exige transparência específica no legítimo interesse, e a ANPD pode solicitar relatório de impacto.

Onde o legítimo interesse costuma ser usado errado: analytics com identificador persistente que alimenta público de anúncio; "melhoria de produto" que é perfilamento; e o clássico "temos legítimo interesse em vender mais". Interesse comercial existe, e sozinho ele não vence o balanceamento.

O que o consentimento precisa ter para valer (art. 8º)

Se a base é consentimento, ele tem requisitos cumulativos. Faltando um, o consentimento é inválido, e um consentimento inválido cria a ilusão de cobertura jurídica sem entregar nenhuma.

Requisito	O que significa no banner
Livre	Recusar precisa ser possível, fácil e sem penalidade desproporcional
Informado	O titular sabe quais finalidades, por quanto tempo e com quem se compartilha
Inequívoco	Ação afirmativa clara; silêncio, rolagem e inércia não valem
Específico	Por finalidade, granular; autorização genérica é nula (art. 8º, §4º)
Destacado	Separado de termos de uso e de outras cláusulas
Demonstrável	O ônus da prova é do controlador (art. 8º, §2º)
Revogável	A qualquer tempo, por procedimento gratuito e facilitado (art. 8º, §5º)

Três desses são os que mais quebram na implementação.

Específico. Um único botão "aceito os cookies" cobrindo analytics, remarketing e personalização é a autorização genérica que o §4º declara nula. Categorias separadas, com descrição própria, são o que torna esse consentimento válido.

Demonstrável. Ônus da prova do controlador significa que, se você não conseguir mostrar quando o consentimento foi dado, o que exatamente foi consentido e qual versão do texto estava no ar naquele momento, juridicamente é como se não houvesse consentimento. Banner sem registro auditável não produz prova nenhuma.

Revogável com a mesma facilidade. Se aceitar custou um clique e revogar exige encontrar um parágrafo na política de privacidade, escrever um e-mail e esperar resposta, o requisito não foi cumprido. Isso pede um ponto permanente e visível para reabrir as preferências em qualquer página.

O que o Guia espera do banner

Informação em camadas

A primeira camada é o banner: curto, em linguagem simples, dizendo que o site usa cookies, para quê, e oferecendo as opções. A segunda camada é a política de cookies, com o detalhamento completo. Os dois extremos aparecem com frequência parecida: banner com um parágrafo jurídico que ninguém lê, ou banner com uma frase vazia e nenhum link para o detalhe.

Linguagem simples

"Utilizamos cookies para otimizar sua experiência de navegação" não informa nada. "Usamos cookies para lembrar do seu carrinho, medir quais páginas funcionam e mostrar anúncios nossos em outros sites" informa. Escreva o que acontece com o dado.

Nada pré-marcado

Caixas marcadas por padrão para categorias não necessárias não produzem manifestação inequívoca. Só a categoria "necessários" fica sempre ativa, e ela fica ativa porque não depende de consentimento.

Recusar tão fácil quanto aceitar

Este é o item mais visível e o mais descumprido. "Recusar tudo" precisa estar na mesma camada, com o mesmo destaque e o mesmo número de cliques que "Aceitar tudo". Botão de recusar em cinza claro sobre fundo branco, escondido atrás de "Configurar", ou ausente na primeira camada, é o padrão que a autoridade descreve como problemático. Também é o mais fácil de qualquer pessoa constatar de fora, inclusive um concorrente.

Sem cookie wall e sem aceite tácito

Bloquear o acesso ao conteúdo até o aceite compromete a liberdade do consentimento: quem não tem alternativa não consente, cede. Continuar navegando, rolar a página ou fechar o banner no "X" também não constituem manifestação inequívoca de vontade. "Ao continuar navegando, você concorda" segue sendo a formulação mais comum nos sites brasileiros e não vale como consentimento.

Uma consequência disso passa despercebida quase sempre: fechar o banner sem escolher precisa equivaler a recusar. O banner pode voltar a perguntar depois; o que ele não pode é tratar o não clique como sim.

O bloqueio precisa acontecer antes da escolha

Nada do que está acima significa alguma coisa se as tags dispararem antes da escolha. Consentimento pedido depois do tratamento não conserta o tratamento. Isso exige um mecanismo que segure scripts e iframes de terceiros, inclusive os injetados dinamicamente, que são a maioria em site com gerenciador de tags.

Vale a mesma lógica para o próprio banner: um banner que carrega fonte, ícone ou CSS de uma CDN de terceiro entrega o IP do visitante a outra empresa antes de qualquer consentimento. O Concedo não carrega nenhum recurso de terceiro por esse motivo.

Cookies do Google e o sinal de consentimento

Se o site tem tags do Google, existe uma camada a mais: além de bloquear, é preciso comunicar a escolha às tags por meio do Consent Mode v2, com gtag('consent', 'default', ...) negando tudo antes de qualquer tag e o update correspondente à decisão.

São coisas diferentes e as duas são necessárias. O bloqueio cumpre a LGPD; o Consent Mode evita que a recusa vire um buraco total de mensuração, porque permite ao Google modelar conversões sem identificar o visitante. Os sete sinais, a ordem de execução e o teste pelo parâmetro gcs estão no guia do Google Consent Mode v2.

A política de cookies: o que precisa estar listado

A política de cookies é a segunda camada. Ela pode ser uma seção da política de privacidade, desde que fique acessível a partir do banner e de qualquer página.

Item	Detalhe esperado
O que são cookies	Explicação curta, em linguagem comum
Quais cookies o site usa	Lista real, por nome ou por família
Finalidade de cada um	Por categoria, não em bloco
Duração	Sessão ou prazo de validade
Primário ou de terceiro	E qual é o terceiro, nominalmente
Compartilhamento e transferência	Com quem os dados vão parar, incluindo fora do país
Base legal por categoria	Consentimento, execução de contrato, legítimo interesse
Como gerenciar e revogar	Link que reabre as preferências, e não só instruções do navegador
Direitos do titular	Quais são e como exercer
Contato	Do encarregado ou do canal de atendimento ao titular
Data da última atualização	E, idealmente, versionamento

Duas armadilhas frequentes. A primeira: listar cookies que o site não usa, porque o modelo veio pronto. Isso é declaração falsa sobre o próprio tratamento e trabalha contra você. A segunda: listar apenas os cookies de que você lembra, esquecendo o que o tema, o plugin ou a agência antiga instalaram. A lista precisa nascer de um inventário real.

O titular, os direitos do art. 18 e o encarregado

Cookies não são exceção aos direitos do titular. Aplicados a esse contexto, os principais ficam assim:

Direito (art. 18)	Como aparece em cookies
Confirmação e acesso	Saber que há tratamento e qual escolha está registrada para ele
Correção	Corrigir uma preferência registrada errada
Eliminação de dados tratados com consentimento	Apagar o que foi coletado sob consentimento revogado
Informação sobre compartilhamento	Com quais terceiros os dados foram compartilhados
Informação sobre a negativa	O que ele perde ao recusar, e o que não perde
Revogação do consentimento	Reabrir as preferências e mudar a escolha, a qualquer tempo

O direito de ser informado sobre as consequências da recusa merece atenção: é ele que obriga você a dizer que recusar cookies de marketing não impede o acesso ao site. Sites que insinuam o contrário informam errado e contaminam a liberdade do consentimento.

Sobre o encarregado: a regra geral é que a identidade e o contato sejam divulgados publicamente, de forma clara, preferencialmente no site (art. 41). Agentes de tratamento de pequeno porte podem ser dispensados de indicar encarregado, desde que disponibilizem um canal de comunicação com o titular. Essa responsabilidade é da empresa, e não do banner: nenhuma CMP atende pedido de titular por você, e o Concedo não oferece canal do titular. A ferramenta produz a evidência que a sua resposta vai precisar citar.

O que costuma estar errado nos sites brasileiros

Esta lista sai do que se encontra em sites reais. Cada item vem com a correção.

Erro	Por que é problema	Correção
Banner só informa: "ao continuar navegando, você concorda"	Não há manifestação inequívoca; não há consentimento	Botões de escolha real e bloqueio até a escolha
Só existe "Aceitar"	Consentimento não é livre sem alternativa	Incluir "Recusar tudo" com o mesmo peso
"Recusar" escondido atrás de "Configurar"	Recusa mais custosa que o aceite	Trazer para a primeira camada
Categorias pré-marcadas	Manifestação não inequívoca	Tudo desmarcado, exceto "necessários"
Tags disparam antes da escolha	O tratamento já ocorreu; o banner não conserta	Bloqueio real de scripts e iframes
Analytics classificado como necessário	O site funciona sem ele	Categoria "estatísticas", recusável
Nenhuma forma de mudar de ideia depois	Revogação não é facilitada	Ponto fixo e visível para reabrir preferências
Banner reaparece a cada página	Sinal de que a escolha não foi registrada	Persistência com versão da política
Política de cookies genérica, de modelo	Descreve tratamento que você não faz	Gerar a lista a partir de um inventário real
Nenhum registro do consentimento	Ônus da prova é do controlador	Log auditável com data, categorias e versão
Cookie wall no conteúdo inteiro	Compromete a liberdade do consentimento	Conteúdo acessível independentemente da escolha
Banner em inglês, de solução importada	Informação precisa ser compreensível ao titular	Texto em português, adequado ao público
Vídeo incorporado gravando cookie antes do aceite	Terceiro tratando dados sem base legal	Substituir o iframe por aviso até o consentimento

Como provar que você fez certo

O ônus da prova é do controlador, e prova é registro. Um registro de consentimento útil guarda, no mínimo:

Campo	Para que serve na defesa
Data e hora	Prova quando o consentimento foi dado
Categorias escolhidas	Mostra o que exatamente foi consentido
Ação	Distingue "aceitou tudo" de escolha granular e de revogação
Versão da política	Liga o consentimento ao texto que estava no ar
Página de origem	Onde a escolha foi feita
Ambiente do navegador	Evidência em caso de contestação

O próprio mecanismo de prova precisa observar um cuidado de privacidade que a maioria das implementações caseiras ignora: não transforme o log de consentimento num banco de dados de IP bruto de visitante. Isso violaria o princípio da necessidade (art. 6º, III), porque você criaria, para provar conformidade, exatamente o tipo de base que depois teria de proteger e justificar.

No Concedo, o IP nunca é persistido. Grava-se visitor_hash = sha256(ip + user_agent + salt_diário), o que liga as ações do mesmo visitante dentro do dia, suficiente para a prova, e impede a reidentificação depois, porque o salt do dia anterior não reproduz o hash. O histórico integral do registro acompanha os planos pagos, e a retenção de cada plano está em preços; ela pesa quando a discussão é sobre um consentimento dado meses atrás.

Perguntas frequentes

Preciso de banner se meu site só usa Google Analytics? Sim. Analytics é finalidade não necessária, porque o site funciona sem ele. Precisa de categoria própria, desmarcada por padrão, e o script fica bloqueado até o aceite.

E se eu não usar nenhum cookie não essencial? Aí não há consentimento a pedir, mas continua havendo o que informar. Uma seção curta na política, explicando quais cookies estritamente necessários o site usa e por quê, cumpre o dever de transparência. E confirme que é verdade: fonte externa, vídeo incorporado, chat e mapa costumam entrar sem ninguém notar.

O Guia da ANPD tem força de lei? Não. É documento orientativo e expressa o entendimento da autoridade. A força vem da LGPD; o Guia diz como a autoridade lê a LGPD nesse tema, que é a leitura com a qual você vai se deparar numa fiscalização.

Posso usar legítimo interesse para analytics e evitar o banner? É uma tese defendida por parte do mercado. Ela exige LIA documentado, transparência reforçada, minimização e oposição fácil, e ainda assim colide com a leitura do Guia, que trata cookies não necessários como dependentes de consentimento. Quem buscava simplificar não simplifica por esse caminho, e o risco recai sobre quem opera o site, não sobre o fornecedor que sugeriu a tese.

Posso bloquear o conteúdo de quem recusar? Cookie wall compromete a liberdade do consentimento e é desaconselhado. Modelos de assinatura como alternativa à publicidade personalizada são debatidos no exterior e não têm respaldo claro aqui. Para um site de PME, não vale o risco.

Quanto tempo vale um consentimento? Não há prazo fixo em lei. Ele vale enquanto a informação prestada continuar verdadeira: se você mudou finalidades, incluiu novos terceiros ou alterou a política, é caso de perguntar de novo. Versionar a política e reapresentar o banner quando a versão muda resolve isso.

Rolar a página conta como aceite? Não. Rolagem, clique fora e navegação continuada não são manifestação inequívoca de vontade. Continuam sendo o padrão mais comum nos sites brasileiros e um dos mais fáceis de identificar numa denúncia.

O que acontece se eu ignorar tudo isso? Multa automática não existe. O caminho mais provável começa em denúncia ou pedido de titular mal atendido. O que muda o desfecho está detalhado em multas da ANPD para PMEs.

Próximos passos

1. Confira os cinco pontos verificáveis de fora: recusar na primeira camada e com o mesmo peso, nada pré-marcado, nenhuma tag antes da escolha, ponto fixo para revogar, política de cookies que descreve o site que existe.
2. Monte o inventário real de cookies e rastreadores do seu site, por categoria, com o scanner gratuito. Sem ele, a política de cookies vira ficção e a classificação vira chute.
3. Se o público de remarketing encolheu depois de você acertar tudo isso, o diagnóstico e o plano de recuperação estão em seu remarketing quebrou.
4. Compare a sua segunda camada com a política de cookies do Concedo, que segue a estrutura da tabela acima, e complete o que estiver faltando na sua.