Banner de cookies é obrigatório no Brasil? O que diz a LGPD

O que a LGPD diz sobre cookies

A LGPD estabelece que o tratamento de dados pessoais deve ser pautado pela transparência (art. 6º, VI) e que o consentimento, quando exigido, deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. Para cookies que não são estritamente necessários ao funcionamento do site — como cookies de rastreamento, marketing e personalização — o consentimento prévio do usuário é a base legal mais adequada.

Não existe, até o momento, uma resolução específica da ANPD que regulamente o formato exato de um banner de cookies. A orientação geral é que o titular deve ser informado sobre:

• Quais cookies são utilizados e para quais finalidades;
• Quais cookies são essenciais e quais são opcionais;
• Como o usuário pode aceitar, recusar ou personalizar suas preferências;
• Como revogar o consentimento posteriormente.

Quando o banner é necessário

O banner de cookies é necessário sempre que o site utiliza cookies ou tecnologias similares que coletam dados pessoais para finalidades que não são estritamente necessárias ao funcionamento do site. Exemplos:

• Cookies de análise (Google Analytics, por exemplo);
• Cookies de marketing e rastreamento (Pixel do Facebook, Google Ads);
• Cookies de personalização (preferências do usuário além do estritamente necessário).

Para cookies estritamente necessários (como cookies de sessão, autenticação e segurança), o consentimento não é exigido, mas o usuário ainda deve ser informado sobre seu uso na política de privacidade.

Para descobrir se o seu site usa cookies não essenciais, o scanner gratuito lista o que o site carrega.

O que a ANPD diz

A ANPD tem se manifestado no sentido de que a transparência é um dos pilares da LGPD. Em suas orientações e fiscalizações, a autoridade tem destacado a importância de informar o titular de forma clara e acessível sobre o tratamento de dados. Embora não exista uma norma específica sobre banners de cookies, a ANPD pode considerar a ausência de um mecanismo de informação e consentimento como uma violação aos princípios da LGPD, especialmente quando cookies de rastreamento são utilizados sem o conhecimento do usuário.

Sobre cookies especificamente, a ANPD publicou em outubro de 2022 o Guia Orientativo “Cookies e Proteção de Dados Pessoais”. É material de orientação da autoridade, sem força de resolução.

Boas práticas para implementar um cookie banner

Mesmo sem uma regulamentação específica, as seguintes práticas são recomendadas para estar em conformidade com a LGPD:

• Exiba o banner assim que o usuário acessar o site, antes de carregar cookies não essenciais;
• Informe claramente quais cookies são utilizados e para quais finalidades;
• Ofereça opções granulares: o usuário deve poder aceitar ou recusar cada categoria de cookie;
• Registre cada consentimento (ou recusa) com data, hora e detalhes do que foi aceito;
• Permita que o usuário revise e altere suas preferências a qualquer momento;
• Mantenha a política de privacidade sempre acessível e atualizada.

Veja como instalar o banner na sua plataforma, passo a passo, e use o gerador de política de cookies grátis para declarar os cookies que o banner pede para aceitar.

Consequências de não ter um banner

A ausência de um banner de cookies, quando combinada com o uso de cookies de rastreamento sem o consentimento do usuário, pode configurar infração à LGPD. As penalidades incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) e outras sanções administrativas. Além disso, a falta de transparência pode gerar danos à reputação da empresa e ações judiciais de titulares.