Banner de cookies: o erro de 90% dos sites brasileiros

O banner de cookies do seu site foi copiado de um template europeu, traduzido para o português, e agora fica lá piscando pra todo visitante. Parece legal. Não é. A LGPD não é uma cópia da GDPR, e o seu banner não pode ser uma cópia do que rola na União Europeia.

A maioria dos banners que a gente vê em sites brasileiros tem o mesmo padrão: um botão "Aceitar todos" grande e verde, fácil de clicar, e um link "Gerenciar preferências" esmaecido em cinza claro, escondido no rodapé do popup. Isso tem nome: dark pattern. E, na leitura da ANPD, consentimento obtido com dark pattern não é consentimento válido.

GDPR e LGPD não são a mesma lei. Pare de tratar como se fossem.

A GDPR (Regulamento Europeu, 2018) tem um ecossistema inteiro de decisões, guidelines e punições que moldaram o padrão dos banners de cookies que a gente conhece. Esses banners surgiram por causa de uma leitura específica de como a lei europeia trata dado pessoal no ambiente digital. É um modelo maduro, com anos de enforcement.

A LGPD (Lei 13.709/2018) segue lógica parecida, mas não é idêntica. O consentimento aqui precisa ser "livre, informado e inequívoco" e vinculado a finalidades determinadas (art. 5º, XII c/c art. 8º, §4º). Template europeu copiado e colado não garante isso automaticamente, porque a ANPD aplica critérios próprios de interpretação e o contexto brasileiro tem especificidades que o modelo europeu ignora.

Nossa leitura: empresas que terceirizaram o banner pra um plugin de WordPress ou uma plataforma SaaS sem revisar o comportamento real dos cookies estão expostas, mesmo que o visual pareça "adequado". O problema não é o banner em si. É o que está rodando por baixo.

Quais cookies realmente precisam de consentimento

Nem todo cookie exige consentimento. Essa confusão faz empresas colocarem banner desnecessário pra cookies técnicos e, ao mesmo tempo, esquecerem de pedir consentimento onde é realmente obrigatório. A distinção que funciona na prática:

• Cookies estritamente necessários (sessão, autenticação, carrinho de compras): sem eles o site não funciona. Base legal: execução de contrato ou legítimo interesse. Não precisam de consentimento.
• Cookies de preferência (idioma salvo, tema escuro/claro): cobertos por legítimo interesse se bem documentados na política de privacidade. Podem dispensar consentimento, desde que a finalidade seja transparente.
• Cookies analíticos (Google Analytics, Hotjar, Microsoft Clarity): depende. Analytics própria sem perfil comportamental pode ser legítimo interesse. Analytics vinculada a plataforma de anúncios ou compartilhada com terceiros: consentimento obrigatório.
• Cookies de marketing e rastreamento (Facebook Pixel, Google Ads, TikTok Pixel): consentimento obrigatório, sempre. Não existe base legal alternativa aqui.
• Cookies de terceiros que alimentam perfis publicitários: consentimento obrigatório, de preferência granular por plataforma.

Na prática: a maioria das lojas virtuais e sites de prestadores de serviços no Brasil, inclusive no Vale do Itajaí, carrega o Facebook Pixel e o Google Ads sem pedir consentimento prévio. Só isso já é exposição real e documentável. O dado de rastreamento está sendo coletado antes de qualquer manifestação do usuário.

O erro do botão único: "Aceitar" sem "Recusar" no mesmo nível

O modelo mais comum que a gente vê: banner aparece, tem um botão "Aceitar todos" bem visível, e um link "Configurar" ou "Mais opções" em fonte menor, cor diferente, enterrado no rodapé do popup. Quem quiser recusar precisa navegar dois ou três submenus antes de conseguir. Isso é escolha arquitetada pelo design. Não é consentimento livre.

O art. 8º, §3º da LGPD proíbe tratamento mediante vício de consentimento. Uma interface que coloca obstáculos pra recusa cria exatamente esse vício. A ANPD, em documentos orientativos, já sinalizou que mecanismos que dificultam a recusa configuram violação ao princípio do livre consentimento, mesmo que o botão de recusa exista em algum lugar da tela.

A regra prática é simples: se "Aceitar" está num botão, "Recusar" também precisa estar num botão, no mesmo nível visual, com destaque equivalente. Não precisa ter a mesma cor. Mas não pode ter tamanho de fonte menor, largura reduzida, nem estar escondido atrás de um link de texto.

Peso visual igual: o que isso significa quando você vai implementar

Empresas que entendem o problema mas não sabem implementar acabam pecando nos detalhes. Traduzindo "peso visual igual" pra algo que desenvolvedor ou designer consegue executar de forma objetiva:

• Ambos os botões no mesmo nível de hierarquia visual: lado a lado ou um abaixo do outro, mesmo padding, mesma altura, mesma família e tamanho de fonte.
• Cores diferentes são permitidas: "Aceitar" verde e "Recusar" cinza ou branco com borda. O que não pode: "Recusar" em 10px enquanto "Aceitar" está em 14px, ou botão de recusa com metade da largura do de aceite.
• Nenhuma caixa de seleção pré-marcada. Checkbox de "Aceitar cookies de marketing" que já vem ativado por padrão não é consentimento. É captura disfarçada, vedada pelo art. 8º, §3º.
• O modal de preferências deve permitir ativar ou desativar categoria por categoria. "Aceitar todos ou recusar todos" sem granularidade é insuficiente pra finalidades diferentes.
• Guardar o log da escolha do usuário com timestamp e identificador de sessão. Se vier questionamento da ANPD, você precisa provar que houve consentimento válido, momento exato e o que foi aceito.

O que o banner precisa comunicar, além da interface

Além do visual, o texto importa. Banner que diz apenas "Usamos cookies para melhorar sua experiência" não serve. A LGPD exige informação clara sobre a finalidade específica e sobre os terceiros que terão acesso aos dados (art. 9º, I e V). Isso não precisa estar todo no banner inicial, mas precisa estar acessível com um clique direto.

O banner precisa ter, no mínimo: categorias de cookies usadas, finalidade de cada categoria, opção de aceitar ou recusar por categoria, e link pra política de privacidade completa. Falando sério: sem esse link funcionando, não tem conformidade. E o link precisa ir pra uma página real e atualizada, não pra um PDF esquecido de 2021.

O usuário tem o direito de revogar o consentimento a qualquer momento, por procedimento gratuito e facilitado (art. 8º, §5º da LGPD). Isso significa que, além do banner inicial, precisa existir um local acessível no site pra o usuário mudar a escolha depois. Botão no rodapé ou link no menu de privacidade. Quem esconde essa opção transfere o risco inteiro pro controlador.

O que fazer nos próximos 15 dias

Se o seu site tem Google Analytics, Facebook Pixel, ou qualquer ferramenta de rastreamento de terceiros, e o banner atual não tem um botão "Recusar" no mesmo nível visual do "Aceitar", a exposição existe. Não é alarmismo: é análise de risco com base no texto da lei e nos sinais da ANPD.

• Abra o DevTools do navegador (aba Application, seção Cookies) e liste todos os cookies que o seu site dispara antes de qualquer interação do visitante. Esse é o ponto crítico: cookies de rastreamento não podem disparar antes do consentimento.
• Separe por categoria: necessário, preferência, analítico, marketing. Os dois últimos precisam de consentimento prévio e explícito.
• Revise a interface do banner: "Aceitar" e "Recusar" precisam ser botões equivalentes. Se não forem, um desenvolvedor leva menos de 2 horas pra corrigir.
• Adicione gerenciamento de preferências por categoria no modal de detalhes. Granularidade não é opcional.
• Atualize a Política de Privacidade pra mencionar os cookies utilizados e identificar os parceiros que recebem os dados (ex: Meta Platforms, Google LLC).
• Adicione no rodapé do site um link "Gerenciar preferências de cookies" pra quem quiser revogar a escolha depois da primeira visita.
• Configure o registro do consentimento com timestamp. Plataformas de CMP (Consent Management Platform) fazem isso automaticamente. Se usar solução própria, o log precisa ser armazenado.

O custo de corrigir um banner de cookies está próximo de zero. O custo de responder a uma reclamação formal perante a ANPD, com prazo de 15 dias para manifestação, não está.