Banner de Cookies é Obrigatório pela LGPD? Como Configurar no Site

O visitante abre o site e, antes mesmo de ler a primeira linha, aparece uma caixa pedindo para aceitar cookies. Em muitos casos, o botão “aceitar” é enorme, enquanto a opção de recusar fica escondida. Em outros, o aviso informa que a simples continuidade da navegação significa concordância. Também existem páginas que não mostram banner algum, embora carreguem ferramentas de publicidade, mapas, vídeos, chat e medição de audiência.

Qual dessas situações está correta? A resposta curta é: a Lei Geral de Proteção de Dados Pessoais não contém uma frase dizendo que todo site brasileiro deve exibir um banner. A necessidade e o formato dependem dos cookies e de outras tecnologias efetivamente usados, dos dados coletados, das finalidades e da base legal escolhida. Porém, quando cookies não necessários tratam dados pessoais com fundamento no consentimento, o site precisa pedir uma manifestação válida antes de ativá-los e oferecer controle real ao usuário.

Isso significa que não basta instalar qualquer pop-up. Um banner que apenas informa, mas deixa Google Analytics, pixels de publicidade ou ferramentas de perfilamento funcionando antes da escolha, pode criar uma aparência de conformidade sem mudar o tratamento. O trabalho correto começa no inventário técnico, passa pela definição jurídica das finalidades e termina na prova de que a decisão do visitante foi respeitada.

Este guia mostra como avaliar se o site precisa de banner, distinguir cookies necessários de analíticos e publicitários, redigir os textos, configurar os botões e testar o bloqueio. Para documentar as escolhas, o DiretoDoc oferece um modelo de Política de Cookies que pode ser ajustado às tecnologias realmente utilizadas.

O que a LGPD tem a ver com cookies?

Cookies são pequenos arquivos gravados no dispositivo durante a navegação. Algumas tecnologias cumprem função parecida sem usar exatamente esse formato, como pixels, identificadores de publicidade, armazenamento local, SDKs e web beacons. A análise jurídica não deve ficar presa ao nome técnico: importa saber se a tecnologia coleta ou produz informação relacionada a uma pessoa natural identificada ou identificável.

Um cookie pode guardar apenas uma escolha de idioma e não permitir identificação razoável. Outro pode receber um identificador único, registrar páginas visitadas, relacionar sessões e alimentar um perfil de interesse. Endereço IP, identificador do dispositivo, histórico de navegação e combinações de eventos podem ser dados pessoais quando permitem individualizar ou tornar alguém identificável.

A Autoridade Nacional de Proteção de Dados, em seu Guia Orientativo sobre Cookies, classifica cookies por entidade responsável, necessidade, finalidade e período de retenção. O documento também apresenta práticas positivas e negativas para políticas e banners. É uma orientação oficial muito útil, mas não substitui o exame concreto do site.

A LGPD exige que qualquer tratamento de dados pessoais tenha fundamento legal e respeite princípios como finalidade, adequação, necessidade, livre acesso, transparência, segurança, prevenção e prestação de contas. Portanto, a pergunta não é apenas “tem cookie?”, e sim “qual dado é tratado, para quê, por quem, durante quanto tempo e com qual base legal?”.

Banner de cookies é obrigatório para todo site?

Não automaticamente. Um site muito simples, que use apenas recursos estritamente necessários para entregar a página, manter segurança, distribuir carga ou guardar uma preferência solicitada, pode não depender de consentimento para esses recursos. Ainda assim, deve prestar informação adequada sobre o tratamento quando houver dados pessoais.

O cenário muda quando existem cookies analíticos, de publicidade, personalização avançada, rastreamento entre domínios ou integrações que coletam dados para finalidades próprias. Nessas situações, a empresa precisa identificar a base legal aplicável. Quando adota o consentimento, deve impedir a ativação antes da escolha, permitir recusa e guardar prova do consentimento.

Também não é correto concluir que todo cookie analítico sempre depende de consentimento ou que mencionar “legítimo interesse” resolve qualquer caso. A base legal depende do contexto. Uma medição estritamente limitada, com dados reduzidos, retenção curta e baixo impacto, pode apresentar argumentos diferentes de uma ferramenta que cria perfis, combina fontes e compartilha identificadores com uma rede publicitária. O controlador deve documentar a avaliação e considerar as expectativas do titular.

Cookies necessários: por que eles são diferentes?

Cookies necessários viabilizam funções básicas ou serviços pedidos pelo usuário. Podem manter uma sessão autenticada, guardar o conteúdo do carrinho, lembrar uma escolha de privacidade, distribuir tráfego entre servidores ou ajudar a impedir fraude. Se forem desligados, a função correspondente deixa de operar corretamente.

Chamar um cookie de “necessário” não basta. A classificação precisa corresponder ao comportamento técnico. Uma ferramenta de publicidade não se torna essencial porque ajuda a financiar o negócio. Da mesma forma, medir conversões pode ser comercialmente importante, mas isso não significa que seja indispensável para entregar a página solicitada pelo visitante.

O site deve aplicar o princípio da necessidade: coletar somente o mínimo adequado para a finalidade. Se um cookie de sessão precisa durar algumas horas, mantê-lo por dois anos exige justificativa. Se um mecanismo de segurança pode funcionar sem compartilhar identificadores com terceiros, a arquitetura mais restrita reduz risco.

Mesmo quando não se pede consentimento para cookies estritamente necessários, a transparência continua relevante. A política pode explicar nome, fornecedor, finalidade e duração. O painel deve deixar claro que essa categoria permanece ativa por ser indispensável à função, sem fingir que o usuário pode desligá-la quando tecnicamente não pode.

Cookies analíticos: consentimento ou legítimo interesse?

Cookies analíticos ajudam a entender acessos, páginas mais visitadas, erros e desempenho. O rótulo, porém, cobre configurações muito diferentes. Há medição agregada e limitada, mas também sistemas que atribuem identificadores persistentes, cruzam sessões, conectam dados a contas ou permitem uso posterior pelo fornecedor.

O legítimo interesse previsto no art. 7º, IX, da LGPD não é autorização genérica. O controlador deve identificar interesse legítimo e finalidade concreta, demonstrar necessidade, avaliar impacto sobre direitos e liberdades e adotar salvaguardas. Se houver alternativa menos invasiva que entregue resultado semelhante, isso pesa na análise.

Quando a ferramenta cria perfil detalhado, compartilha dados ou atua além da expectativa razoável do visitante, o consentimento tende a oferecer fundamento mais coerente. O consentimento deve ser livre, informado e inequívoco, voltado a finalidades determinadas. Autorizações genéricas são nulas, e a revogação deve ser gratuita e facilitada.

Na prática, muitas empresas preferem bloquear analytics não essencial até a escolha, especialmente quando não conseguem limitar o uso do fornecedor. Essa solução não elimina a necessidade de contrato, configuração de retenção e segurança, mas reduz a discussão sobre ativação silenciosa.

Cookies de publicidade e perfilamento

Pixels de publicidade podem registrar visita, produto visualizado, clique, conversão, endereço IP, navegador e identificador. O dado pode ser enviado a plataformas que combinam sinais para medir campanhas, limitar anúncios, criar públicos ou personalizar conteúdo. Há, portanto, mais atores e maior possibilidade de acompanhamento.

Nesse cenário, é arriscado carregar a tag e pedir consentimento depois. Se a informação já foi transmitida, a recusa posterior não desfaz automaticamente a coleta inicial. O gerenciador de consentimento precisa impedir o disparo antes da autorização para a categoria correspondente.

Também é necessário verificar a relação com cada fornecedor. Quem decide finalidades? Quem apenas processa em nome do site? Existem usos próprios da plataforma? Para formalizar instruções, medidas de segurança e responsabilidades com prestadores que tratam dados por conta do controlador, pode ser útil um Contrato de Tratamento de Dados Pessoais.

O uso de serviços estrangeiros pode envolver transferência internacional. A política precisa explicar a operação de forma compreensível, e a empresa deve verificar o mecanismo jurídico aplicável, os países envolvidos e as salvaguardas. Esconder tudo sob a frase “podemos compartilhar com parceiros” não oferece transparência suficiente.

Consentimento válido não é apenas um clique

O art. 8º da LGPD determina que o consentimento seja fornecido por escrito ou por outro meio que demonstre a manifestação de vontade. Cabe ao controlador provar que a autorização foi obtida de modo válido. No ambiente digital, isso exige mais do que registrar que o banner apareceu.

O registro deve permitir demonstrar, por exemplo, quando a escolha ocorreu, qual versão do texto foi apresentada, quais categorias foram aceitas e como a preferência foi associada ao navegador. Não é necessário guardar mais dados do que o necessário para produzir essa prova. A própria evidência de consentimento precisa seguir retenção e segurança adequadas.

Se a política muda de forma relevante ou surge uma finalidade nova, a autorização anterior pode não cobrir a mudança. A empresa deve avaliar se precisa informar novamente e renovar a escolha. Acrescentar uma nova rede publicitária sem revisar o banner e a política é um erro comum.

A revogação deve ser tão acessível quanto a aceitação. Um link permanente como “Configurações de cookies” no rodapé ajuda o usuário a reabrir o painel. Obrigar a pessoa a enviar e-mail, encontrar uma página escondida ou apagar manualmente cada cookie do navegador cria atrito incompatível com a ideia de procedimento facilitado.

Como deve ser a primeira camada do banner?

A primeira camada é o aviso que aparece no acesso inicial. Ela precisa ser curta o suficiente para leitura real, mas não pode esconder a finalidade. Uma redação possível informa que o site utiliza cookies necessários para funcionar e, com autorização, cookies analíticos e de publicidade para medir uso e personalizar campanhas.

Os controles mais úteis são “Aceitar todos”, “Rejeitar não necessários” e “Gerenciar cookies”. A opção de rejeição deve estar disponível sem uma caça ao link. Cores e tamanhos podem seguir o design do site, mas não devem empurrar o visitante para uma única escolha com contraste desproporcional.

Expressões como “Ao continuar, você aceita” são frágeis quando o fundamento é consentimento, porque navegar não necessariamente demonstra uma escolha inequívoca para finalidades determinadas. Da mesma forma, caixas pré-selecionadas para categorias opcionais enfraquecem a liberdade da decisão.

O banner deve conter link visível para a política e para o painel detalhado. O texto não precisa despejar nomes de dezenas de cookies na primeira camada. Essa informação pode ficar na segunda camada, desde que acessível antes da decisão.

O que colocar no painel de preferências?

O painel permite escolher por categoria. Cookies necessários podem aparecer ativos e claramente justificados. Categorias opcionais devem iniciar desativadas quando dependem de consentimento. O visitante precisa entender o efeito básico de ativar cada grupo.

Evite agrupar finalidades incompatíveis. “Experiência e parceiros” é amplo demais. Analítica, funcionalidade opcional e publicidade podem exigir controles separados. Se a empresa utiliza ferramenta para personalização e também para anúncios, precisa explicar as duas operações ou avaliar separação técnica.

A segunda camada também pode informar fornecedores, duração e acesso à lista completa. Para sites com muitas tags, uma tabela pesquisável é útil. Para um site pequeno, uma relação simples costuma ser mais clara.

O botão para salvar preferências deve aplicar a decisão imediatamente. Se o visitante desmarca publicidade, as tags futuras devem parar e os cookies que possam ser removidos pelo próprio site devem ser tratados conforme a solução adotada. Cookies de terceiros podem exigir instruções adicionais ou integração específica.

A política de cookies substitui a política de privacidade?

Não. Os documentos se complementam. A política de cookies detalha tecnologias de rastreamento e armazenamento no dispositivo. A Política de Privacidade apresenta o panorama do tratamento de dados: cadastro, atendimento, contratação, pagamento, segurança, marketing, compartilhamento, retenção e direitos.

É possível manter uma seção de cookies dentro da política de privacidade, especialmente em operações simples. À medida que fornecedores e categorias crescem, um documento separado facilita atualização e leitura. O importante é manter coerência: se o banner fala em três categorias, a política não pode listar cinco com nomes diferentes.

Os Termos de Uso também têm outra função. Eles regulam regras de acesso, conta, propriedade intelectual, condutas proibidas, limitações e funcionamento do serviço. Não devem ser usados como um pacote de consentimento forçado para todo tratamento de dados.

Aceitar termos necessários para usar uma plataforma não significa autorizar publicidade comportamental. Cada fundamento deve ser analisado por sua finalidade. Misturar aceite contratual e consentimento de marketing em uma única caixa pode tirar clareza e liberdade da decisão.

Informações essenciais da política de cookies

Uma política útil começa identificando o controlador e o canal de contato. Depois explica o que são cookies e tecnologias semelhantes em linguagem direta. A lista técnica vem acompanhada de finalidades, não apenas de códigos difíceis de entender.

Para cada categoria, registre quais ferramentas são usadas, se o cookie é próprio ou de terceiro, por quanto tempo permanece e qual fundamento sustenta o tratamento. Quando a duração depende do fornecedor, confira a documentação e a configuração real, em vez de copiar prazo genérico.

Informe como o visitante pode aceitar, rejeitar, mudar preferências e exercer direitos previstos no art. 18 da LGPD. Explique eventuais efeitos da desativação. Não ameace com perda total do site se apenas uma função opcional será afetada.

Descreva compartilhamentos e transferências relevantes. Se ferramentas incorporadas recebem dados, não esconda o fato. Ao mesmo tempo, evite afirmar que o site “vende dados” ou “nunca compartilha” sem verificar contratos e tráfego técnico.

Inclua data da última atualização e processo de revisão. A política deve mudar quando tags, fornecedores, finalidades ou prazos mudam. Uma revisão periódica ajuda, mas o gatilho principal é a alteração concreta no ambiente.

Como fazer o inventário de cookies

Comece pelas páginas mais importantes: inicial, login, cadastro, checkout, área autenticada, formulário, blog e páginas com vídeos ou mapas. Teste antes de qualquer escolha, depois de rejeitar, depois de aceitar cada categoria e após revogar.

Use as ferramentas do navegador e, se necessário, um scanner. O scanner acelera a descoberta, mas não substitui validação manual. Alguns cookies surgem apenas após clique, reprodução de vídeo, login ou campanha específica.

Registre nome, domínio, origem, finalidade, categoria, duração, dados envolvidos e fornecedor. Acrescente a página ou evento que dispara a tecnologia. Isso facilita localizar uma tag antiga quando ela aparece sem responsável interno.

Mapeie também armazenamento local, chamadas de rede, parâmetros de URL e scripts incorporados. Um site pode não gravar cookie de publicidade e ainda transmitir identificadores por pixel. O inventário precisa seguir o fluxo do dado, não só a aba “Cookies”.

Confronte o resultado com Google Tag Manager, plugins, código-fonte, CMS e contratos com fornecedores. Tags duplicadas ou abandonadas são frequentes. Remover o que não tem finalidade atual costuma ser mais seguro do que tentar justificar tudo.

Como impedir tags antes do consentimento

O gerenciador de consentimento deve comunicar a escolha ao sistema que dispara scripts. Se a página carrega primeiro as tags e depois o banner, a coleta já ocorreu. Por isso, a ordem de execução importa.

Em um gerenciador de tags, configure gatilhos para que ferramentas opcionais dependam do estado de consentimento. Scripts colocados diretamente no tema, em plugins ou em widgets podem escapar dessa regra. Faça uma busca técnica completa.

Vídeos, mapas e conteúdo social incorporado podem chamar domínios terceiros antes de interação. Uma alternativa é mostrar uma imagem ou bloco neutro e carregar a incorporação somente após a escolha correspondente. O texto deve explicar que o recurso depende de tecnologia externa.

O modo de consentimento de uma plataforma não substitui automaticamente a avaliação jurídica. Verifique o que é transmitido quando o estado está negado, quais sinais são usados e se existem dados que ainda permitem identificação. A configuração padrão do fornecedor não é garantia suficiente.

Após revogação, impeça novos disparos. Avalie a remoção de cookies próprios e as limitações para cookies de terceiros. Documente o comportamento. Não prometa apagar algo que o site tecnicamente não consegue remover.

Como testar se o banner realmente funciona

Use uma janela limpa, sem consentimento anterior. Antes de clicar, verifique cookies, armazenamento e chamadas de rede. Cookies opcionais e requisições de publicidade não devem surgir quando dependem de consentimento.

Clique em “Rejeitar não necessários” e navegue por várias páginas. Abra vídeo, formulário e checkout. Confirme que a preferência permanece e que tags bloqueadas não aparecem silenciosamente em outra rota.

Depois aceite apenas analytics. A medição pode carregar, mas publicidade deve continuar bloqueada. Aceite todas as categorias e confira os fornecedores esperados. Em seguida, reabra as configurações, revogue e verifique o novo estado.

Teste em celular, desktop e navegadores relevantes. O botão de rejeição não pode ficar fora da tela, encoberto por chat ou impossível de tocar. O painel deve permitir rolagem e fechamento sem apagar a escolha.

Guarde evidências da homologação: versão dos textos, prints, data, ambiente, relação de tags e resultado esperado. Isso demonstra prestação de contas e reduz o tempo de diagnóstico quando uma atualização quebra o bloqueio.

Erros comuns que deixam o banner apenas decorativo

• ativar pixels antes da escolha do visitante;
• oferecer apenas o botão “Aceitar”;
• esconder a recusa em várias telas;
• tratar a continuidade da navegação como consentimento;
• deixar categorias opcionais pré-marcadas;
• classificar publicidade como cookie necessário;
• copiar uma lista que não corresponde ao site;
• não informar fornecedores e duração;
• não permitir mudança posterior da preferência;
• instalar uma plataforma de consentimento sem integrar as tags;
• esquecer scripts inseridos por plugins e widgets;
• usar a mesma finalidade genérica para todos os tratamentos.

Outro erro é prometer anonimização apenas porque o painel mostra relatórios agregados. Se o fornecedor recebe identificadores antes da agregação, pode haver tratamento de dados pessoais. A avaliação deve considerar o fluxo anterior ao relatório final.

Também é perigoso copiar política europeia e mencionar exclusivamente GDPR. Um site brasileiro pode estar sujeito a mais de uma norma conforme público e operação, mas precisa explicar a LGPD e os canais locais aplicáveis. Tradução literal não substitui adequação.

O que pode acontecer em caso de desconformidade?

A ANPD pode fiscalizar o tratamento e aplicar as medidas previstas na LGPD conforme o caso e o processo administrativo. A lei prevê advertência, publicização da infração, bloqueio ou eliminação de dados e multas dentro dos limites legais, entre outras sanções. A resposta não é automática: considera gravidade, boa-fé, vantagem, condição econômica, reincidência, cooperação e mecanismos internos.

Além da esfera administrativa, uso indevido de dados pode gerar reclamação do titular, atuação de órgãos de defesa do consumidor, obrigação de corrigir práticas e responsabilidade civil quando houver pressupostos. A existência de cookie irregular não significa indenização automática em toda situação, mas a empresa precisa conseguir explicar e provar sua conduta.

A jurisprudência sobre proteção de dados continua evoluindo. Em setembro de 2025, a Terceira Turma do STJ reconheceu dano moral presumido em caso específico de disponibilização indevida de informações pessoais por banco de dados sem comunicação e consentimento; em fevereiro de 2026, a Quarta Turma decidiu, em outro contexto de cadastro positivo, que a disponibilização de dados comuns não gerava automaticamente dano moral sem prova de abalo significativo. Os casos têm regimes e fatos próprios e não tratam diretamente de banner, mas mostram por que conclusões automáticas devem ser evitadas. Consulte os resumos oficiais dos julgamentos no REsp 2.201.694 e no REsp 2.221.650.

Para cookies, o caminho mais seguro é prevenir: saber o que coleta, limitar o necessário, escolher base legal, respeitar a decisão e manter evidências. Isso é mais eficiente do que instalar um aviso apenas depois de uma reclamação.

Exemplo de texto para a primeira camada

O texto deve ser adaptado ao uso real. Um exemplo simples para site com categorias opcionais seria:

Usamos cookies necessários para o funcionamento e a segurança do site. Com sua autorização, também usamos cookies analíticos para entender a navegação e cookies de publicidade para medir campanhas. Você pode aceitar todos, rejeitar os não necessários ou escolher por categoria. Consulte nossa Política de Cookies.

Os botões podem ser “Aceitar todos”, “Rejeitar não necessários” e “Gerenciar cookies”. Se não existe publicidade, não a mencione. Se há personalização, vídeo externo ou chat que depende de terceiros, explique no painel correspondente.

Evite frases absolutas como “seus dados estão totalmente anônimos” ou “nenhuma informação é compartilhada” sem validação técnica. Uma redação mais precisa inspira confiança e resiste melhor a mudanças.

Perguntas frequentes

Meu site usa somente cookie de sessão. Preciso mostrar banner?

Não existe resposta automática. Se o cookie for estritamente necessário para função solicitada e não houver tecnologias opcionais, pode não ser necessário pedir consentimento para ele. Porém, informe o tratamento de modo adequado e confirme que não existem pixels, analytics ou integrações ocultas.

Google Analytics sempre exige consentimento?

A análise depende da configuração, dos dados, da finalidade, do papel do fornecedor, da retenção e da base legal. Não trate o nome da ferramenta como resposta. Muitas operações optam por consentimento e bloqueio prévio devido aos identificadores e ao uso de terceiros.

Posso deixar o botão de rejeitar apenas no painel?

A ANPD recomenda facilitar o controle e apresenta como boa prática a opção de rejeitar cookies não necessários. Esconder a recusa em várias etapas ou dar destaque desproporcional ao aceite pode comprometer a liberdade da escolha.

O visitante pode usar o site depois de rejeitar?

As funções essenciais devem continuar quando tecnicamente possível. Recursos que dependam de cookies opcionais podem não funcionar, mas explique isso de modo específico. Não bloqueie todo o conteúdo apenas para forçar autorização sem avaliar necessidade e proporcionalidade.

Preciso listar cada cookie?

Uma lista detalhada aumenta transparência e facilita revisão. Ela pode ficar na política ou em painel próprio, com nome, fornecedor, finalidade, categoria e duração. A relação deve ser mantida atualizada.

Por quanto tempo devo guardar a prova do consentimento?

A LGPD não estabelece um prazo universal para esse registro. Defina período compatível com a finalidade de demonstração, riscos, ciclo da autorização e obrigações aplicáveis. Evite guardar indefinidamente sem justificativa.

Apagar os cookies do navegador revoga o consentimento?

Pode remover o identificador que guarda a escolha, mas o site deve oferecer mecanismo próprio e facilitado para mudar preferências. Não transfira toda a responsabilidade ao usuário.

Uma política gerada por modelo resolve tudo?

O modelo ajuda a organizar informações, mas precisa ser preenchido com o inventário real e acompanhado de configuração técnica. Documento correto com tags incorretas não basta; banner correto com política desatualizada também não.

Checklist de implantação

• liste cookies, pixels, SDKs, armazenamento local e chamadas de terceiros;
• identifique dados, finalidade, fornecedor, duração e página de disparo;
• remova tecnologias sem finalidade atual;
• classifique cookies necessários, analíticos, funcionais e publicitários;
• defina e documente a base legal de cada operação;
• configure bloqueio prévio das categorias dependentes de consentimento;
• ofereça aceitar, rejeitar e gerenciar de forma clara;
• mantenha categorias opcionais desligadas antes da escolha;
• publique política coerente com o inventário;
• verifique contratos e instruções de fornecedores;
• crie link permanente para mudar preferências;
• teste antes do clique, após recusa, aceite parcial e revogação;
• guarde versão, data e evidências da homologação;
• repita a revisão quando entrar nova tag ou finalidade.

Um bom banner não precisa transformar a primeira visita em interrogatório. Ele precisa dizer o essencial, permitir escolha equilibrada e executar tecnicamente essa escolha. A política detalha o restante, e o inventário sustenta ambos.

Antes de publicar, compare o texto com o tráfego real do site. Se a política diz que publicidade fica bloqueada, teste. Se informa retenção de seis meses, confira a configuração. Se oferece revogação, verifique no celular. A diferença entre aviso decorativo e conformidade prática está nesses detalhes.