Banner de cookies é obrigatório para site de empresa?

A LGPD não usa a palavra banner. Ela exige uma base legal para cada uso de dado pessoal. Para o cookie que o site não precisa para funcionar, o Guia da ANPD aponta o consentimento do visitante como a base mais apropriada. O banner de cookies é o meio que os sites adotaram para pedir esse consentimento.

Na prática, o site com pixel de anúncio ou com ferramenta de análise que envia os dados a outra empresa precisa pedir a escolha antes de carregá-los. O site que só usa cookie técnico, como o do login e o do carrinho, não tem consentimento a pedir e continua obrigado a informar.

O que a LGPD diz sobre banner de cookies?

O texto da LGPD no Planalto não tem as palavras banner e cookie. O cookie entra pela definição de dado pessoal do art. 5º, I, que é a informação relacionada a pessoa natural identificada ou identificável. No Guia Orientativo de cookies, a ANPD diz que a informação coletada por um cookie pode ser dado pessoal quando permite identificar alguém, mesmo de forma indireta.

A partir daí vale o art. 7º. Ele diz que o tratamento de dado pessoal só pode ser feito nas hipóteses que lista, e a primeira é o consentimento do titular. As outras estão no verbete de base legal. A lei também diz como esse consentimento precisa ser:

• manifestação livre, informada e inequívoca, para uma finalidade determinada (art. 5º, XII);
• cabe à empresa provar que ele foi obtido conforme a lei (art. 8º, § 2º);
• autorização genérica é nula (art. 8º, § 4º);
• o titular pode revogar a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º).

Nenhum desses artigos manda pôr um aviso na tela.

Quais cookies dependem de consentimento?

Em regra, os cookies não necessários. O Guia da ANPD, publicado em outubro de 2022, chama assim o cookie cuja desabilitação não impede o funcionamento do site. Entre os exemplos do Guia estão os cookies de anúncio e os que medem o desempenho da página.

O Guia diz que não há hierarquia entre as bases legais. Mesmo assim, ele aponta o consentimento como a mais apropriada para o cookie não necessário. Nesse caso o visitante tem uma escolha genuína entre aceitar e recusar. Para publicidade, o Guia afirma que o legítimo interesse dificilmente será a base mais apropriada.

A medição de audiência tem uma exceção estreita. O Guia admite legítimo interesse em certos contextos. Ele considera o risco menor quando a medição usa dados agregados, sem formar perfil e sem combinar com outro mecanismo de rastreamento. No exemplo do Guia, os dados também não são compartilhados com terceiros. A ferramenta de análise que envia os dados a outra empresa ou alimenta público de anúncio fica fora desse exemplo.

Os quatro critérios de classificação do Guia estão no guia de cookies e LGPD.

E o site que só usa cookie necessário?

Esse site não tem consentimento a pedir. O Guia da ANPD diz que não é apropriado usar o consentimento para cookie estritamente necessário. O visitante não tem como recusar de verdade o que o site precisa para funcionar. No exemplo da livraria on-line, os cookies de login e do carrinho se apoiam no legítimo interesse da loja.

O dever de informar continua. Pelo princípio da transparência, o Guia pede informação clara sobre a finalidade e o período de retenção dos cookies. Na livraria do exemplo, o banner e a política de cookies informam as finalidades.

O banner do Concedo só abre na página que tem uma escolha a pedir. Isso inclui a página que carrega um rastreador conhecido, o Google Tag Manager ou um script que você marcou com uma categoria. Nas outras páginas, deixe a política de cookies num link fácil de achar, como o do rodapé. Antes de concluir que o seu site está nesse caso, rode o scanner gratuito. Vídeo incorporado e chat de atendimento costumam entrar sem ninguém lembrar.

Por que o banner virou o padrão, se a lei não fala nele?

Porque o banner é o lugar onde o visitante escolhe. O Guia da ANPD descreve os banners como uma forma de pôr em prática os princípios da transparência e do livre acesso da LGPD. O banner resume a informação na primeira tela. Ele também deixa o visitante consentir ou não com cada tipo de cookie não necessário.

O consentimento precisa ser inequívoco, o que pede uma ação clara e positiva do visitante. Por isso o Guia desaconselha caixa pré-marcada e o aviso de que continuar navegando vale como aceite. No exemplo 6 do Guia, o banner com botão de rejeitar na primeira tela e categorias desativadas por padrão é tratado como compatível com a LGPD.

Entre as práticas que o Guia desaconselha no desenho do banner estão:

• um botão só, como "Aceito" ou "Ciente", quando a base é o consentimento;
• o botão de rejeitar difícil de ver, com destaque só para o de aceitar;
• cookie não necessário ativado por padrão;
• falta de um caminho direto para revogar o consentimento.

O Guia se define como um guia de boas práticas. Ele registra como a autoridade que fiscaliza a LGPD lê a lei nesse tema.

O banner do Concedo traz recusar e aceitar com o mesmo tamanho e o mesmo peso. Nenhuma configuração desliga essa paridade. Depois da escolha fica um ícone de revisão, por onde o visitante muda de ideia quando quiser. Nos planos pagos, esse caminho pode ser um link no rodapé do seu site.

O que acontece se o site não tiver banner?

A LGPD não lista a falta de banner como infração. O pixel que carrega sem escolha trata dado pessoal sem consentimento, e a empresa não tem como provar um aceite que nunca pediu.

O banner que pergunta enquanto o pixel já disparou também chega tarde. O tratamento aconteceu antes da escolha. Por isso o Concedo segura os scripts e iframes dos rastreadores conhecidos até o visitante decidir, pelo bloqueio prévio. Cada escolha vira um registro de consentimento com a data e as categorias escolhidas, ligado à versão da política que estava no ar.

As sanções estão no art. 52 da LGPD. A lista começa na advertência com prazo para corrigir. A multa simples vai até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, com teto de R$ 50 milhões por infração. A lista segue até a suspensão e a proibição do tratamento de dados. Como a ANPD chega ao valor numa empresa pequena está no guia de multas da ANPD para PMEs.

Siga o Concedo no Instagram e no Facebook.