Banner de cookies e LGPD: o que a lei e a ANPD exigem do seu site

Abra o seu site numa janela anônima. Antes de clicar em qualquer coisa, abra o DevTools na aba Network e recarregue. Se aparecer google-analytics.com, connect.facebook.net ou analytics.tiktok.com na lista, o seu banner de cookies é decorativo: ele pergunta depois que a resposta já foi dada.

É o erro mais comum que vemos na auditoria de segurança do Sentinela, e não é o único. O banner é a parte da LGPD que qualquer visitante — e qualquer fiscal — consegue conferir sem pedir acesso a nada. Por isso vale fazer direito.

O que a LGPD diz (e o que ela não diz)

A LGPD não tem um artigo chamado "cookies". O que existe são regras gerais que se aplicam a qualquer dado pessoal, e cookie de rastreamento é dado pessoal sempre que identifica ou torna identificável uma pessoa — que é exatamente o propósito de um pixel de anúncio.

Os pontos que importam pro banner:

• Art. 7º, I e art. 8º — quando a base legal é o consentimento, ele precisa ser livre, informado e inequívoco, e dado antes do tratamento.
• Art. 8º, §4º — consentimento genérico é nulo. "Ao continuar navegando você aceita" não serve.
• Art. 8º, §5º — o titular pode revogar a qualquer momento, por procedimento gratuito e facilitado.
• Art. 9º — o titular tem direito a informação clara sobre finalidade, duração e com quem os dados são compartilhados.

Em 2022 a ANPD publicou o Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, que traduz essas regras para o banner. Ele não é lei, mas é a leitura da autoridade que fiscaliza — e é o documento que vai ser citado se alguém reclamar do seu site.

O que a lei não exige: um layout específico, uma cor de botão, um fornecedor certificado. Exige que a escolha seja real.

O que o guia da ANPD pede do banner

Resumindo o guia em seis práticas:

1. Bloqueio prévio. Cookies não necessários só são gravados depois do consentimento. Banner que aparece com o pixel já disparado não coleta consentimento — registra um fato consumado.
2. Recusar na primeira camada. O visitante precisa conseguir recusar os cookies não necessários sem entrar em sub-menu. Esconder o "rejeitar" atrás de "configurações" é o padrão que o guia aponta como problemático.
3. Sem caixa pré-marcada. Categoria opcional começa desligada. Consentimento é ação, não omissão.
4. Separação por finalidade. Necessários, análise, publicidade, funcionalidade — o visitante escolhe por categoria, e cada uma explica pra que serve.
5. Informação acessível. Link para a política de cookies a partir do banner, com quais cookies existem, de quem são e quanto tempo duram.
6. Revogação fácil. Um caminho permanente (link no rodapé, botão flutuante) para reabrir as preferências e mudar de ideia.

Um ponto que vale ressaltar: cookies estritamente necessários (sessão, carrinho, o próprio cookie que guarda a escolha) não dependem de consentimento. Eles se apoiam em outra base legal, e o banner deve informá-los, não pedir licença por eles.

Recusar com o mesmo peso de aceitar

O guia da ANPD fala em recusa na primeira camada. A interpretação europeia (EDPB, diretrizes 03/2022 sobre dark patterns) vai além e trata como vício o botão de recusar apagado, cinza, pequeno ou em formato de link enquanto o aceitar é um botão colorido.

A régua prática que adotamos nas auditorias: se um visitante com pressa só consegue enxergar um botão, a escolha não é livre. O "Recusar" precisa ter o mesmo preenchimento, o mesmo tamanho e o mesmo contraste do "Aceitar". "Personalizar" pode ser secundário — ele não é uma decisão final, é um caminho para ela.

Registrar a escolha (a parte que ninguém vê)

O banner coleta o consentimento; o registro é o que prova que ele existiu. Se a ANPD ou um titular perguntar "quando essa pessoa aceitou publicidade?", a resposta precisa existir:

• data e hora da decisão;
• o que foi aceito e o que foi recusado, por categoria;
• qual versão do banner estava no ar (se o texto ou as categorias mudaram, o consentimento antigo pode não valer pro novo);
• um identificador da decisão que não seja, ele mesmo, um dado pessoal desnecessário.

Guardar o IP em texto puro "por garantia" é um contrassenso: você cria um banco de dados pessoais para provar que respeita dados pessoais. Um hash resolve o problema da prova sem criar o outro.

Os cinco erros que mais aparecem

Do que vemos nas auditorias, em ordem de frequência:

1. Tracker antes do aceite. GA4, Meta Pixel ou TikTok carregando na primeira requisição. O banner existe, mas o script não espera por ele.
2. Banner "aceite ou nada". Só um botão, ou recusa enterrada no segundo nível.
3. Consentimento que não muda nada. O visitante recusa e os scripts carregam igual — o banner grava a escolha, mas ninguém liga a escolha ao carregamento das tags.
4. Sem caminho de volta. Depois de aceitar, não há onde mudar de ideia.
5. Política de cookies genérica. Um texto copiado que não lista os cookies que o site realmente usa — porque ninguém sabe quais são.

O terceiro é o mais traiçoeiro, porque passa no olho: o banner aparece, tem os dois botões, e mesmo assim não protege nada. Só a aba Network denuncia.

Checklist para conferir o seu site hoje

Numa janela anônima, sem clicar em nada:

• Nenhum script de análise ou publicidade aparece na aba Network antes da escolha.
• O banner tem "Recusar" na primeira tela, com o mesmo destaque do "Aceitar".
• Nenhuma categoria opcional vem marcada.
• Depois de recusar e recarregar, os trackers continuam fora.
• Existe um link permanente para reabrir as preferências.
• A política de cookies lista os cookies reais, com fornecedor e duração.
• Você consegue mostrar, para um visitante específico, o que ele escolheu e quando.

Se algum item falhou, o risco não é teórico: a LGPD prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de advertência e publicização da infração — que para muita empresa dói mais que a multa.

Como resolver sem montar tudo à mão

Dá para cumprir esse checklist com código próprio, mas cada item é um projeto: inventariar os cookies, segurar os scripts até o aceite, guardar o registro, manter a política atualizada quando o marketing adiciona uma tag nova.

É para isso que existe uma plataforma de consentimento (CMP). A nossa é a Cokei, da M2HP — a mesma empresa do Sentinela. Ela faz a varredura dos cookies do site, segura os scripts que dependem de consentimento, registra cada escolha (com o IP guardado só como hash) e gera a política de cookies a partir do que encontrou. O "Recusar todos" sai na primeira camada com a mesma classe visual do "Aceitar", e não há como desligá-lo nos modos LGPD e GDPR.

Uma ressalva honesta, que a própria Cokei faz: nenhum bloqueio automático pega 100% dos casos. Script inline que grava cookie direto e tags disparadas de dentro do Google Tag Manager precisam de marcação manual ou do Consent Mode do Google. A plataforma diz onde está o limite em vez de prometer conformidade automática.

Se você quer saber como o seu banner se sai visto de fora, o próximo texto da série mostra o que a auditoria do Sentinela verifica e como corrigir cada achado. E se está escolhendo uma ferramenta, fizemos um comparativo das plataformas de consentimento.