Cookies e LGPD: o que o guia da ANPD exige do seu site

O que a LGPD exige sobre cookies?

A LGPD exige que os cookies que coletam dados pessoais tenham uma base legal, como o consentimento ou o legítimo interesse, e que o usuário seja informado com clareza sobre finalidades, período de retenção e compartilhamento. Para cookies não necessários, como os de publicidade, o guia da Agência Nacional de Proteção de Dados (ANPD) recomenda um banner com botão para rejeitar todos, sem opções pré-marcadas, e uma política de cookies detalhada. A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) não tem um artigo só sobre cookies, mas se aplica sempre que eles tratam dados pessoais.

A referência prática é o guia orientativo Cookies e proteção de dados pessoais, publicado pela ANPD em outubro de 2022. Ele não é uma norma obrigatória, mas mostra como a autoridade interpreta a LGPD. Para quem mede o site com o Google Analytics 4 (GA4), anuncia no Google Ads ou usa o pixel da Meta, ele responde às perguntas mais comuns. Este artigo não é aconselhamento jurídico.

Cookies necessários e não necessários: como a ANPD classifica

O guia da ANPD classifica os cookies por quatro critérios: necessidade (necessários ou não necessários), finalidade (por exemplo analíticos, de funcionalidade ou de publicidade), entidade responsável (primários, do próprio site, ou de terceiros) e período de retenção (de sessão ou persistentes). A distinção mais importante para a prática é entre necessários e não necessários, porque dela depende a base legal.

Cookies necessários são os essenciais para o funcionamento do site ou para o serviço que o usuário pediu, como o carrinho de compras ou a sessão de login. Cookies não necessários servem a outras finalidades: rastrear comportamento, medir o desempenho da página ou exibir anúncios. O cookie _ga do GA4 e o _fbp da Meta pertencem a este segundo grupo.

→ Banner de cookies com Consent Mode v2: em conformidade, sem licença mensal

Consentimento ou legítimo interesse?

O guia da ANPD discute as duas bases legais mais usadas para cookies. O legítimo interesse pode ser apropriado para cookies estritamente necessários. Para cookies de medição de audiência, a ANPD admite o legítimo interesse em determinados contextos, quando o tratamento se limita a identificar padrões e tendências com dados agregados, sem combinação com outros mecanismos de rastreamento e sem formação de perfis. Já para publicidade, o guia afirma que o legítimo interesse dificilmente será a base mais apropriada, em especial com cookies de terceiros e perfis comportamentais.

Na prática, o GA4 com Google Signals ativado, ligado ao Google Ads para públicos de remarketing, já não é medição agregada sem perfis. Nesse caso, o consentimento é a escolha mais segura. Quem usa o legítimo interesse precisa avaliar antes se os direitos do titular não prevalecem, informar com transparência e garantir o direito de oposição.

O que o banner de cookies precisa ter

O guia da ANPD traz boas práticas concretas para o banner. Os principais pontos para um site que usa consentimento são estes:

• Botão para rejeitar todos os cookies não necessários, fácil de ver, no primeiro e no segundo nível.
• Link de fácil acesso para o usuário exercer seus direitos, como revogar o consentimento ou se opor ao tratamento.
• Banner de segundo nível com os cookies classificados em categorias e suas finalidades.
• Cookies não necessários desativados por padrão, sem caixas pré-marcadas.
• Mecanismo simples para revogar o consentimento a qualquer momento, além das configurações do navegador.

O guia também lista o que evitar: um único botão “Aceitar” no primeiro nível, destaque visual só para o botão de aceite, dificultar a rejeição, cookies não necessários ativados por padrão e ausência de banner de segundo nível. A ANPD considera incompatível com a LGPD presumir que o usuário consente só por continuar navegando.

Para conferir o seu próprio banner, abra o site em uma janela anônima e observe a primeira tela. “Rejeitar” está visível com o mesmo destaque de “Aceitar”? Existe um caminho para configurar por categoria? Depois, nas ferramentas do navegador, veja se cookies como _ga, _gcl_au ou _fbp aparecem antes de qualquer clique. Se aparecerem, as tags de publicidade estão carregando sem base legal adequada, e a correção deve ser feita nas regras do Google Tag Manager ou do plugin que instalou as tags.

→ Configurando o Google Consent Mode v2 corretamente: sem aviso no Tag Assistant

Política de cookies: o que colocar

A política de cookies é a página detalhada, normalmente acessível por um link no banner ou integrada ao aviso de privacidade. Segundo a ANPD, ela deve informar as finalidades específicas, o período de retenção e se há compartilhamento com terceiros, entre os demais pontos do artigo 9º da LGPD. Uma tabela com o nome de cada cookie, o fornecedor, a finalidade e a duração é a forma mais prática. O importante é mantê-la atualizada sempre que uma nova ferramenta entra no site.

Exemplo: uma loja de cosméticos em Belo Horizonte

Uma loja de cosméticos de Belo Horizonte vende pela internet e anuncia no Google Ads e na Meta. O banner tinha só o botão “Concordo” e um link para a política. Na revisão, a equipe viu que o pixel da Meta e a tag do Google Ads carregavam antes de qualquer escolha. A solução foi um banner com “Aceitar”, “Rejeitar” e “Configurar” no mesmo formato, as tags de publicidade movidas para o Google Tag Manager com condição de consentimento e o GA4 configurado com o Google Consent Mode v2. Depois, a equipe testou três cenários: sem resposta, rejeitar e aceitar.

Para ver o que o seu site carrega em cada cenário, a verificação gratuita da Trackum (trackum.app/check) abre a página inicial três vezes em um navegador real, sem responder ao banner, rejeitando e aceitando, além de duas páginas internas, e mostra quais tags e cookies carregam. Se aparecerem falhas, a Trackum corrige tudo no seu Google Tag Manager por 79 € (sem impostos), com testes e um relatório curto.