Todo site de empresa em Blumenau e no Vale do Itajaí que a gente analisa tem o mesmo banner de cookies. Frase genérica, botão azul enorme escrito "Aceitar todos" e, se o visitante procurar bem, um linkzinho cinza escrito "recusar" ou "configurar" no canto. Isso foi copiado de algum template europeu em 2021 e nunca mais ninguém mexeu.
O problema não é estético. É jurídico. Esse desenho de banner induz o usuário a clicar em "aceitar" por cansaço ou pressa, e isso é exatamente o tipo de prática que a LGPD tenta coibir. Consentimento inválido não protege a empresa de nada. Na prática, é como não ter banner nenhum.
Cookie não é tudo igual: o que precisa de consentimento e o que não precisa
Primeiro erro que a gente vê: empresário tratando todo cookie como se precisasse de autorização prévia. Não precisa. Cookies estritamente necessários, tipo os que mantêm o carrinho de compra, a sessão de login ou a segurança contra fraude, se enquadram em execução de contrato ou legítimo interesse (art. 7º, V e IX da LGPD). Esses podem rodar sem pedir nada.
Agora cookie de analytics (Google Analytics, Hotjar), de publicidade (Meta Pixel, Google Ads) e de personalização de conteúdo dependem de consentimento específico e informado. Nossa leitura: se o cookie serve pra rastrear comportamento, montar perfil ou alimentar anúncio, precisa de opt-in claro antes de disparar.
- Não precisa de consentimento: cookie de sessão, autenticação, carrinho, balanceamento de carga, segurança antifraude.
- Precisa de consentimento: Google Analytics, Meta Pixel, Hotjar, chatbots com rastreamento, remarketing, cookies de terceiros de publicidade.
- Zona cinzenta que gera dúvida: cookie de preferência de idioma ou tema (normalmente dispensa consentimento, mas documente a base legal usada).
O erro do botão único: por que "só aceitar" é vício de forma
Banner com um único botão "Aceitar" e nenhuma opção equivalente de recusa não cumpre a LGPD. Consentimento, pelo art. 5º, XII, precisa ser livre, informado e inequívoco. Se o usuário não tem como recusar com o mesmo esforço que teria pra aceitar, o consentimento nasceu viciado.
Falando sério: a gente já viu banner em que o botão "recusar" só aparecia depois de três cliques dentro de um submenu de "configurações avançadas". Isso é dark pattern. Não é diferença de opinião entre advogados, é descumprimento direto do princípio da boa-fé do art. 6º, X.
O teste que a gente aplica em auditoria é simples: peça pra alguém de fora da empresa, sem contexto, tentar recusar todos os cookies opcionais em menos de 10 segundos. Se não conseguir, o banner está errado.
Peso visual igual: como isso deveria parecer na prática
Não existe uma regra numérica na LGPD dizendo "botão precisa ter tantos pixels". Mas a lógica interpretativa que a gente adota, seguindo a mesma linha que a ANPD já sinalizou em manifestações públicas, é de equivalência de proeminência: mesmo tamanho, mesma cor de destaque, mesma posição hierárquica.
- Botão "Aceitar todos" e botão "Recusar" (ou "Rejeitar não essenciais") lado a lado, mesmo tamanho.
- Nenhum dos dois em cinza-claro-quase-invisível enquanto o outro é azul vibrante.
- Opção de "Personalizar" visível de primeira, não escondida atrás de rolagem ou de um "saiba mais".
- Nenhum cookie não essencial disparando antes do clique. Isso é auditável: abra o DevTools do navegador e veja o que carrega antes de qualquer interação.
Quem responde se o banner está errado
Se a empresa é controladora dos dados (decide a finalidade do tratamento), ela responde direto perante a ANPD. Terceirizou o site pra uma agência? Não muda nada pra fora: quem responde é quem detém a relação com o titular do dado, ou seja, o dono do CNPJ que aparece no rodapé do site.
A multa da LGPD vai até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração (art. 52). Empresa pequena, faturamento modesto, não acha que está livre: mesmo com o regime simplificado da Resolução CD/ANPD 02/2022 pra ME, EPP e startup, o dever de ter base legal válida pra cada cookie continua existindo.
E o Google Consent Mode, isso resolve sozinho?
Não. A gente vê muito cliente achando que ativar o Consent Mode v2 do Google já deixa o site "LGPD compliant". O Consent Mode é uma ferramenta técnica que ajusta como o Google Analytics e o Google Ads se comportam conforme o consentimento dado. Ele não cria consentimento válido sozinho, só reage ao que o banner captura.
Se o banner que alimenta o Consent Mode já está viciado (botão único, peso desigual), o problema se propaga. É lixo entrando, lixo saindo. A ferramenta de consentimento (CMP) e o design do banner têm que estar certos primeiro.
O que fazer nas próximas duas semanas
Não precisa reconstruir o site inteiro. Precisa de ajuste pontual, mas urgente:
- Abra o site no modo anônimo e liste, com DevTools aberto, todo cookie e script de terceiro que carrega antes de qualquer clique.
- Separe essa lista em "estritamente necessário" e "precisa de consentimento".
- Redesenhe o banner com dois botões de peso visual idêntico: aceitar e recusar (ou "rejeitar não essenciais").
- Bloqueie tecnicamente o disparo de scripts de analytics e ads até o clique em "aceitar" (isso geralmente exige ajuste na CMP, não só no design).
- Documente, em política de privacidade própria (não copiada), a base legal usada pra cada categoria de cookie.
- Guarde registro do consentimento dado (data, hora, versão do banner aceita) por prazo razoável, caso a ANPD peça comprovação.
Se sua empresa nunca revisou o banner desde que instalou, é bem provável que esteja rodando cookie de rastreamento sem base legal há anos. Vale o teste dos 10 segundos hoje, antes que vire pauta de fiscalização.
Fale com um advogado da RSA.
Diagnóstico objetivo em até 24h úteis.
