O que são cookies e por que a LGPD se aplica a eles?

Cookies são arquivos instalados no dispositivo do usuário que registram informações sobre a navegação, como preferências, itens no carrinho, páginas visitadas e identificadores únicos. Quando esses dados permitem identificar uma pessoa ou formar um perfil de comportamento, tornam-se dados pessoais, e seu tratamento passa a seguir a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD). Por isso, ter um banner no site não basta: ele precisa seguir as regras da lei para que o site esteja em conformidade.

O que a LGPD e a ANPD dizem sobre cookies?

A LGPD não tem um artigo específico sobre cookies. A orientação vem do Guia Orientativo "Cookies e Proteção de Dados Pessoais", publicado pela Autoridade Nacional de Proteção de Dados (ANPD) em outubro de 2022. O guia não é uma norma obrigatória, mas mostra como a Autoridade interpreta a lei e serve de referência em fiscalizações. Em linhas gerais, o uso de cookies precisa respeitar os princípios do art. 6º (finalidade, necessidade, transparência e segurança, entre outros) e se apoiar em uma base legal do art. 7º. O guia analisa principalmente o consentimento e o legítimo interesse.

Todo cookie exige consentimento?

Não. Cookies estritamente necessários, como os que mantêm a sessão de login ou o funcionamento do carrinho de compras, podem se apoiar em outra base legal. Já os cookies de análise, de publicidade e de redes sociais costumam exigir consentimento, principalmente os usados para criar perfis e direcionar anúncios. Nesses casos, o consentimento deve ser livre, informado e inequívoco (art. 5º, XII, e art. 8º). Na prática, isso significa que cookies não essenciais não podem ser ativados antes de o usuário escolher, que caixas pré-marcadas não valem e que continuar navegando ou fechar o banner não é aceite.

O que um banner de cookies precisa ter além do "aceito"?

Esse é o ponto em que muitos sites falham. Um banner com um único botão de aceitar não oferece escolha real. A ANPD já recomendou, em análise do Portal Gov.br feita em 2022, que o primeiro nível do banner traga um botão visível para rejeitar os cookies não necessários e que esses cookies fiquem desativados por padrão. Também é recomendável que a política de cookies explique as categorias, as finalidades e o prazo de retenção, e que o usuário possa escolher quais categorias aceitar. O banner deve ainda indicar com clareza quem é o controlador, ou seja, a empresa responsável pelo tratamento dos dados, e como contatá-lo. Ele também não pode usar "dark patterns", isto é, designs que induzem o usuário a aceitar, como o botão de aceitar em destaque e o de recusar escondido em vários cliques.

É possível revogar o consentimento? E como provar que ele foi dado?

Sim, o consentimento pode ser revogado a qualquer momento. A revogação deve ser tão fácil quanto o aceite, então o site precisa de um canal permanente para o usuário rever suas escolhas, como um link no rodapé. Quanto à prova, cabe ao controlador demonstrar que o consentimento foi obtido de acordo com a lei (art. 8º, §2º). Vale guardar registros de quando o consentimento foi dado, qual versão do banner estava ativa e quais categorias foram aceitas.

Quais os riscos de não se adequar?

O descumprimento pode gerar sanções da ANPD, de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52). Um banner enganoso também pode ser questionado por órgãos de defesa do consumidor, como o Procon, com base no Código de Defesa do Consumidor. Além disso, a Autoridade vem ganhando estrutura para fiscalizar, o que aumenta a chance de o tema ser analisado de ofício, isto é, por iniciativa da própria ANPD, sem depender de denúncia.

Cookies são só uma parte da adequação de um site à LGPD. Para ver o que mais entra nessa conta, clique para receber nosso guia gratuito sobre LGPD e Política de Privacidade.