Cookie banner é obrigatório no Brasil? O que diz a ANPD

O que a LGPD diz sobre cookies

A LGPD estabelece que o tratamento de dados pessoais deve ser pautado pela transparência (art. 6º, VI) e que o consentimento, quando exigido, deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular (art. 5º, XII). Para cookies que não são estritamente necessários ao funcionamento do site — como cookies de rastreamento, marketing e personalização — o consentimento prévio do usuário é a base legal mais adequada.

Não existe, até o momento, uma resolução específica da ANPD que regulamente o formato exato de um banner de cookies. A orientação geral é que o titular deve ser informado sobre:

• Quais cookies são utilizados e para quais finalidades;
• Quais cookies são essenciais e quais são opcionais;
• Como o usuário pode aceitar, recusar ou personalizar suas preferências;
• Como revogar o consentimento posteriormente.

Quando o banner é necessário

O banner de cookies é necessário sempre que o site utiliza cookies ou tecnologias similares que coletam dados pessoais para finalidades que não são estritamente necessárias ao funcionamento do site. Exemplos:

• Cookies de análise (Google Analytics, por exemplo);
• Cookies de marketing e rastreamento (Pixel do Facebook, Google Ads);
• Cookies de personalização (preferências do usuário além do estritamente necessário).

Para cookies estritamente necessários (como cookies de sessão, autenticação e segurança), o consentimento não é exigido, mas o usuário ainda deve ser informado sobre seu uso na política de privacidade.

O que a ANPD diz

A ANPD tem se manifestado no sentido de que a transparência é um dos pilares da LGPD. Em suas orientações e fiscalizações, a autoridade tem destacado a importância de informar o titular de forma clara e acessível sobre o tratamento de dados. Embora não exista uma norma específica sobre banners de cookies, a ANPD pode considerar a ausência de um mecanismo de informação e consentimento como uma violação aos princípios da LGPD, especialmente quando cookies de rastreamento são utilizados sem o conhecimento do usuário.

Boas práticas para implementar um cookie banner

Mesmo sem uma regulamentação específica, as seguintes práticas são recomendadas para estar em conformidade com a LGPD:

• Exiba o banner assim que o usuário acessar o site, antes de carregar cookies não essenciais;
• Informe claramente quais cookies são utilizados e para quais finalidades;
• Ofereça opções granulares: o usuário deve poder aceitar ou recusar cada categoria de cookie;
• Registre cada consentimento (ou recusa) com data, hora e detalhes do que foi aceito;
• Permita que o usuário revise e altere suas preferências a qualquer momento;
• Mantenha a política de privacidade sempre acessível e atualizada.

Consequências de não ter um banner

A ausência de um banner de cookies, quando combinada com o uso de cookies de rastreamento sem o consentimento do usuário, pode configurar infração à LGPD. As penalidades incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração) e outras sanções administrativas. Além disso, a falta de transparência pode gerar danos à reputação da empresa e ações judiciais de titulares.