Cookies e LGPD: como revisar o banner e os rastreadores

Revisar cookies e LGPD exige comparar o que o site informa com o que suas ferramentas realmente fazem. Um visitante pode recusar publicidade no banner enquanto uma integração continua enviando identificadores para uma plataforma de anúncios. O problema, nesse caso hipotético, envolve configuração, fornecedores e decisões sobre o tratamento de dados, além do texto exibido.

A revisão deve produzir três entregas: um inventário confiável, uma justificativa para cada finalidade e testes reproduzíveis das escolhas oferecidas. Instalar uma ferramenta de preferências ajuda a executar essas decisões, mas não substitui a análise nem comprova, por si só, a adequação do site.

O que revisar em cookies e LGPD

Cookies são pequenos arquivos armazenados no dispositivo durante a navegação. Podem sustentar funções como autenticação ou participar do acompanhamento de comportamento. A LGPD se aplica quando há tratamento de dados pessoais, definidos pelo artigo 5º da lei como informações relacionadas a pessoa natural identificada ou identificável. Não encontrar um nome no arquivo não encerra essa análise.

Por isso, a avaliação precisa alcançar outras tecnologias de rastreamento. Pixels, que podem transmitir informações ao carregar um recurso, e scripts, que executam instruções no site, merecem investigação. A ausência de cookies visíveis não demonstra ausência de coleta. O banner precisa refletir essas operações, com finalidades compreensíveis e controles que correspondam ao comportamento técnico.

Inventário: descubra o que está em operação

Comece por páginas e jornadas relevantes: entrada no site, formulário, carrinho, área autenticada e páginas de campanha. Combine inspeção do navegador com revisão do gerenciador de tags, ferramenta que centraliza a instalação de scripts. Plugins, vídeos incorporados e integrações antigas também podem introduzir fornecedores fora do planejamento de marketing.

No inventário de cookies e LGPD, registre nome técnico, domínio, dados envolvidos, finalidade, fornecedor, duração e condição de ativação. Identifique quem solicitou a instalação e qual equipe consegue alterá-la. Compare o levantamento automatizado com a documentação e a configuração efetiva: uma classificação sugerida pelo scanner não decide a base legal.

Diferencie a validade do arquivo no navegador da retenção dos dados pelo fornecedor. Um cookie que expira ao terminar a sessão não prova que os registros transmitidos serão eliminados naquele momento. Essa distinção evita prometer uma duração que a empresa não consegue sustentar.

A base legal depende da finalidade

O guia orientativo da ANPD sobre cookies, especialmente nas páginas 17 a 27, aborda consentimento e legítimo interesse sem excluir outras hipóteses legais aplicáveis. Portanto, discutir cookies e LGPD não equivale a exigir consentimento para todo arquivo. É necessário identificar o tratamento e verificar os requisitos da base escolhida.

Para funções estritamente necessárias, como manter autenticação ou carrinho, o guia considera que o consentimento pode ser inadequado, pois não há escolha efetiva sobre uma função indispensável. Isso não dispensa base legal, transparência ou limitação da coleta. Chamar um recurso de “essencial” porque ele é importante para a receita também não resolve sua classificação.

O legítimo interesse pode sustentar certas operações, inclusive medição de audiência em contextos delimitados, conforme a orientação da ANPD. Exige avaliar necessidade, expectativas e direitos dos titulares, além das salvaguardas. Não se aplica a dados pessoais sensíveis. Medição agregada, sem cruzamentos ou formação de perfis, apresenta condições diferentes do acompanhamento entre sites para publicidade.

Na análise de cookies e LGPD, a ANPD considera o consentimento mais apropriado para publicidade comportamental nas circunstâncias descritas no guia. A escolha deve ser livre, informada e inequívoca. Não transforme essa orientação contextual em regra universal, nem use legítimo interesse como justificativa automática para evitar a recusa.

Monte uma matriz que conecte decisão e configuração

A matriz abaixo é hipotética e ilustra uma avaliação inicial de cookies e LGPD. As bases indicadas precisam ser confirmadas conforme os dados e as operações reais. Substitua os fornecedores genéricos pelos responsáveis identificados no inventário.

Finalidade	Base legal a avaliar	Fornecedor	Duração a verificar	Evidência esperada
Manter autenticação	Legítimo interesse, conforme contexto	Plataforma A	Sessão e retenção dos registros	Teste da função e justificativa de necessidade
Medir audiência sem perfis	Legítimo interesse, se atendidos os requisitos	Serviço B	Prazo configurado e retenção contratual	Avaliação documentada e limites de compartilhamento
Personalizar publicidade	Consentimento, conforme orientação do guia	Plataforma C	Validade do identificador e retenção posterior	Registro da escolha e bloqueio anterior ao aceite
Carregar vídeo com rastreamento	Consentimento para a finalidade de rastreamento, se aplicável	Serviço D	Prazo informado e configuração efetiva	Verificação das conexões ao abrir o vídeo

Acrescente um responsável interno e a data da última verificação. Se um fornecedor não esclarecer finalidade ou retenção, registre a pendência antes de aprovar a integração. A tabela deve apoiar decisões, não preencher lacunas com suposições.

Escolhas claras e recusa acessível

Nas páginas 30 a 33, o guia da ANPD apresenta boas práticas para banners: botão visível para rejeitar cookies não necessários, gerenciamento por categorias e desativação inicial dos cookies baseados em consentimento. São orientações para implementar os princípios e requisitos legais, não uma exigência de layout idêntico em todos os sites.

Ao trabalhar cookies e LGPD na interface, explique o que acontece em cada opção. “Aceitar”, “rejeitar não necessários” e “gerenciar preferências” precisam produzir efeitos distintos e verificáveis. Evite finalidades vagas, categorias previamente marcadas e a suposição de que continuar navegando representa consentimento. Informe por que funções realmente necessárias permanecem ativas.

A discussão sobre interfaces manipulativas e proteção de dados ajuda a revisar contraste, linguagem e esforço de recusa. Já o conteúdo sobre transparência na política de privacidade complementa a organização das informações. Na revisão de cookies e LGPD, ambos devem corresponder ao inventário, sem esconder detalhes essenciais em documentos difíceis de localizar.

Como testar disparos e mudança de preferências

Os testes de cookies e LGPD precisam verificar armazenamento e transmissão. Use perfis de navegador limpos e registre página, horário, versão da configuração e ação executada. Inspecione requisições de rede e armazenamento local; quando houver envio pelo servidor, confira também essa configuração. Uma captura do banner não comprova bloqueio.

Antes de qualquer escolha

Abra as páginas selecionadas sem interagir com o aviso. Verifique se as ferramentas dependentes de consentimento permanecem bloqueadas. Registre requisições inesperadas, destinatários e informações transmitidas. Rolagem da página, fechamento do aviso ou tempo de espera não devem ser tratados como manifestação positiva. Diferencie recursos necessários de rastreadores pela finalidade comprovada, não apenas pelo domínio utilizado.

Depois da recusa

Recuse os cookies não necessários, navegue por outras páginas e recarregue o site. Confira se a preferência permanece e se o comportamento observado corresponde à promessa do botão. Teste também páginas de campanha que utilizam componentes diferentes. No controle de cookies e LGPD, verificar apenas a página inicial deixa integrações importantes fora da amostra.

Com aceitação parcial

Quando houver categorias sujeitas a consentimento, autorize somente uma delas. Confirme que as demais continuam bloqueadas e que o registro distingue essa escolha do aceite total. Repita a navegação em dispositivos relevantes para o público. Avalie se aceitar estatísticas, por exemplo, acaba habilitando publicidade por dependência mal configurada entre ferramentas.

Cenário hipotético de regressão: o visitante aceita somente estatísticas, mas o servidor envia o evento de compra ao parceiro de publicidade. A inspeção do navegador pode não mostrar esse envio. Tecnologia verifica a regra no servidor e usa um evento sintético rastreável; marketing confirma a finalidade; o aceite depende de o parceiro não receber o evento quando a publicidade está recusada. Guarde a versão da regra, o estado de preferência e o resultado da verificação, sem armazenar tokens ou dados reais na evidência. Isso complementa, e não substitui, os testes de bloqueio no navegador.

Após a revogação

Reabra as preferências por um caminho acessível e retire a autorização. O artigo 8º, § 5º, da LGPD prevê revogação a qualquer momento, por procedimento gratuito e facilitado. Na validação de cookies e LGPD, confirme a interrupção dos tratamentos futuros dependentes daquele consentimento e verifique como a mudança chega aos fornecedores.

Revogar não significa que todo dado anteriormente coletado desaparece automaticamente. Analise pedidos de eliminação, hipóteses de conservação e limitações técnicas separadamente. Documente o que foi interrompido, o que permanece armazenado e a justificativa correspondente, evitando promessas genéricas de exclusão instantânea.

Quem responde por marketing, tecnologia e fornecedores

A governança de cookies e LGPD precisa de responsáveis por decisões e execução. Marketing explica a finalidade e a necessidade de cada ferramenta; tecnologia configura gatilhos, integrações e bloqueios; privacidade e jurídico avaliam bases, informações e direitos. A gestão deve resolver prioridades e pendências que atravessam essas áreas.

O controlador continua responsável pelas decisões que lhe competem. Contratar uma plataforma de preferências não transfere automaticamente essa responsabilidade. Verifique o papel de cada fornecedor, suas instruções, subcontratações e usos próprios dos dados. A revisão do contrato de tratamento de dados ajuda a definir cooperação e evidências sem presumir que todo destinatário seja operador. O contrato deve ser comparado com a prática observada, inclusive quando houver compartilhamento ou processamento fora do país.

Mantenha registros proporcionais das configurações e escolhas, com acesso restrito e retenção justificada. Para sustentar a revisão de cookies e LGPD ao longo do tempo, inclua a aprovação de novas tags no fluxo de mudanças. Uma campanha pode alterar a coleta sem modificar nenhuma linha do texto do banner.

Checklist operacional para liberar uma alteração

Antes de colocar uma integração em produção, use este controle sugerido:

Marketing: finalidade específica e necessidade documentadas, sem confundir medição com publicidade.
Tecnologia: fornecedor, domínios e gatilhos inventariados, com testes de bloqueio e mudança de preferência.
Privacidade e jurídico: base legal fundamentada e informações compatíveis com o tratamento.
Responsável pelo site: categorias, botões e acesso posterior às preferências verificados.
Gestor da mudança: pendências resolvidas, evidências arquivadas e responsável pela próxima revisão definido.

O checklist de cookies e LGPD deve acompanhar novas tags, troca de fornecedor e alterações relevantes de finalidade. Preserve a versão testada para investigar regressões e repetir os testes após correções, em vez de considerar o primeiro aceite interno uma aprovação permanente.

Como a TOGETHER pode apoiar a revisão

A TOGETHER pode apoiar cookies e LGPD por meio de consultoria em LGPD voltada ao mapeamento das operações, análise de bases legais, revisão das informações e organização das pendências com fornecedores. O trabalho conecta decisões jurídicas às configurações que marketing e tecnologia precisam implementar e demonstrar.

Com DPO as a Service, o acompanhamento pode abranger mudanças de ferramentas, orientação sobre solicitações dos titulares e manutenção das rotinas de revisão. A execução técnica continua dependendo dos responsáveis pelo site e de seus parceiros. Converse com a TOGETHER levando o inventário disponível, a configuração do banner e as principais dúvidas: isso ajuda a definir um escopo compatível com sua operação, sem prometer eliminação de riscos ou conformidade garantida.