Banner de cookies é obrigatório? O que a ANPD diz
A resposta depende de quais cookies o seu site usa. O guia da ANPD separa o que dispensa consentimento do que pede, e lista o que um banner não pode fazer.
A LGPD não fala em banner, mas o banner é o jeito prático de cumprir a lei quando o site usa cookies que dependem de consentimento, como os de publicidade do Pixel da Meta e do Google Ads. O Guia orientativo de cookies da ANPD, de outubro de 2022, diz que cookies estritamente necessários não pedem consentimento, que os de medição podem se apoiar no legítimo interesse em certos contextos e que os de publicidade, em geral, pedem consentimento. Nesse caso, recusar precisa ser tão fácil quanto aceitar.
Neste guia: o que é o guia · a base de cada cookie · o que um banner bom tem · o que evitar · como instalar · perguntas frequentes
O que é o guia da ANPD, e quanto ele vale
O "Guia orientativo: cookies e proteção de dados pessoais" foi publicado pela ANPD em outubro de 2022. Ele não é lei nem resolução. É a leitura que a própria autoridade fiscalizadora faz da LGPD aplicada a cookies, com exemplos do que está certo e do que está errado. Na prática, é o melhor mapa que existe para saber o que a ANPD espera de um site.
O guia parte de uma ideia simples: cookie pode coletar dado pessoal, sozinho ou cruzado com outras informações, e aí vale a LGPD. Ele classifica os cookies por quem os gerencia (próprios ou de terceiros), por necessidade, por finalidade e por tempo de retenção. A classificação que decide se o banner é necessário é a da necessidade.
A base legal de cada tipo de cookie
Necessários
Fazem o site funcionar: login, carrinho, idioma, segurança. O guia diz que o consentimento não é a base apropriada para eles, porque a pessoa não tem escolha real. A base indicada costuma ser o legítimo interesse, e basta informar na política.
Análise e medição
Contam visitas e medem páginas. O guia admite o legítimo interesse em determinados contextos: dados agregados, só para ver padrões, sem cruzar com outros rastreadores e sem montar perfil de usuário. Fora disso, o consentimento é o caminho mais seguro.
Publicidade
Pixel, remarketing, anúncio personalizado. O guia diz que o legítimo interesse dificilmente será a base apropriada, principalmente com cookies de terceiros, perfil de comportamento e rastreamento entre sites. Aqui, o consentimento é o caminho.
Resumindo: site que só usa cookies necessários não precisa de banner pedindo aceite. Precisa informar o uso na política de privacidade. Site com Pixel da Meta, Google Ads ou qualquer ferramenta de anúncio precisa de um jeito de pedir consentimento antes de ativar esses cookies. É esse o papel do banner.
E consentimento, na LGPD, tem regra. Ele é uma manifestação livre, informada e inequívoca (art. 5º, XII), e a lei põe no controlador o ônus de provar que foi obtido do jeito certo (art. 8º, §2º). Também precisa poder ser revogado a qualquer momento, por procedimento gratuito e facilitado (art. 8º, §5º). É por isso que "ao continuar navegando você aceita" não serve: o guia diz que não é recomendável presumir consentimento pela navegação nem usar opções pré-marcadas.
O que um banner bom tem
O guia traz recomendações para o primeiro nível (a janela que aparece na chegada) e o segundo nível (a tela de preferências):
- Botão de rejeitar visível já no primeiro nível, para recusar todos os cookies não necessários com um clique.
- Mesmo destaque para aceitar e recusar. Botão de aceite colorido e recusa em link cinza escondido é exatamente o que o guia condena.
- Segundo nível com categorias (necessários, análise, publicidade), cada uma com finalidade descrita em linguagem simples.
- Consentimento por finalidade, com os cookies que dependem de consentimento desligados por padrão.
- Link fácil para os direitos: saber mais, pedir eliminação, se opor ou revogar o consentimento.
- Um jeito de mudar de ideia depois, como um link "preferências de cookies" no rodapé, além das configurações do navegador.
O próprio guia mostra um exemplo que parece perfeito e não é: uma escola que refez o banner com aceitar, rejeitar e gerenciar, todos com o mesmo destaque, e cookies de consentimento desligados por padrão. Faltou só o mecanismo simples para revogar o consentimento depois, e sem ele a página ainda não estava compatível com a LGPD.
O que a ANPD manda evitar
O guia lista dez práticas desaconselhadas. Estas são as que mais aparecem por aí:
Um único botão de "aceito" ou "ciente", sem opção de gerenciar, quando a base é o consentimento.
Dar destaque só ao aceite e dificultar ver ou entender os botões de rejeitar ou configurar.
Cookies não necessários ligados por padrão, obrigando a pessoa a desmarcar um por um.
Não ter segundo nível nem um mecanismo próprio para revogar o consentimento.
Informar só em idioma estrangeiro, ou com uma lista de cookies tão detalhada que ninguém consegue ler até o fim.
Amarrar o consentimento ao aceite integral das condições de uso de cookies, sem opção real de escolha.
Como ter um banner assim no seu site
Antes de tudo, descubra o que roda no site. O Escudo LGPD confere grátis se há Google Analytics ou Pixel da Meta sem banner. No configurador do banner de cookies, você escolhe a cor e testa aceitar, recusar e personalizar, sem pagar.
O código pronto para colar vem no kit de R$ 67, junto com a política de cookies. O banner do kit segura Google Analytics, Pixel e outras tags até o visitante aceitar, deixa as categorias desmarcadas, tem botão de preferências no rodapé e envia os sinais do Consent Mode v2 para as tags do Google.
Perguntas frequentes
Meu site só tem Google Analytics. Preciso de banner?
Depende de como ele está configurado. O guia aceita o legítimo interesse para medição com dados agregados, sem cruzamento e sem perfil. Se o Analytics está ligado ao Google Ads ou a recursos de publicidade, o uso deixa de ser só medição, e o consentimento tende a ser o caminho mais seguro.
O banner pode bloquear o site até a pessoa aceitar?
O guia desaconselha condicionar o consentimento ao aceite integral, sem opção efetiva. Travar o conteúdo até a pessoa aceitar cookies de publicidade vai na direção contrária, porque a LGPD define consentimento como uma manifestação livre.
Banner de cookies substitui a política de privacidade?
Não. O banner pede a escolha, e a política explica o tratamento. Os dois trabalham juntos. Veja todo site precisa de política de privacidade? Este texto não substitui a orientação de um advogado.