Banner de cookies: o que a ANPD desaconselha e o botão que os sites esquecem

Quase todo site brasileiro já tem uma faixa no rodapé avisando que usa cookies. A pergunta que pouca gente faz é se aquela faixa faz o que a autoridade de proteção de dados espera dela, ou se só cumpre tabela com um botão “entendi”.

Este artigo vai direto à fonte: o Guia Orientativo “Cookies e Proteção de Dados Pessoais”, da ANPD. Mostramos o que ele pede no banner, as dez práticas que desaconselha, o exemplo da escola que refez o banner e ainda ficou devendo um item, e um roteiro para auditar o seu site em quinze minutos.

O que é banner de cookies e para que ele serve?

Banner de cookies é o aviso que aparece quando alguém entra no site e informa, de forma resumida, que a página usa cookies e para quê. A definição do próprio guia vai além do aviso: o banner também dá ao visitante ferramentas de controle, como aceitar ou recusar determinados tipos de cookie.

Essa segunda parte é a que costuma faltar. Um aviso que só informa e oferece um único botão de concordância não entrega controle nenhum; ele registra que a pessoa viu a faixa, não que escolheu. Para a LGPD, quando a base do tratamento é o consentimento, a escolha precisa existir de fato.

Cookie, vale lembrar, é o pequeno arquivo que o site grava no navegador para lembrar coisas: o login, os itens do carrinho, o idioma, mas também o caminho de navegação que alimenta métricas e anúncios. É essa variedade de usos que obriga o banner a separar o que é essencial do que é opcional.

O banner de cookies é obrigatório pela LGPD?

A LGPD não usa a palavra “banner”. O que ela exige são coisas que o banner resolve bem: informação clara sobre a finalidade do tratamento (art. 9º), consentimento livre, informado e inequívoco quando essa for a base legal (art. 8º) e um procedimento gratuito e facilitado para revogá-lo (art. 8º, § 5º). O texto está na Lei nº 13.709/2018, no portal do Planalto.

Na prática, se o site usa cookies que não são essenciais (de métricas, de publicidade, de remarketing), algum mecanismo de escolha é necessário. O banner é o formato que a ANPD analisa no guia e o que o visitante já reconhece. Um site que só usa cookies estritamente necessários ainda precisa informar, mas não precisa pedir consentimento para eles, como veremos adiante.

O que é o guia da ANPD sobre cookies, e o que ele não é?

O guia foi publicado pela Autoridade Nacional de Proteção de Dados como publicação digital em outubro de 2022 e continua disponível no site da ANPD, em PDF. Ele traz conceitos, categorias de cookies, as bases legais aplicáveis, orientações para política e banner e sete exemplos comentados.

O ponto que muitos textos de mercado pulam: o documento se apresenta como guia de boas práticas, com orientações “não exaustivas”, que pode ser atualizado e se adequar a regulamentações futuras. Ele não é um regulamento de cookies com tabela de multas própria. O que pode gerar sanção é descumprir a LGPD; o guia mostra como a ANPD lê a lei aplicada a cookies.

O guia não cria a obrigação; ele mostra como a autoridade enxerga a obrigação que a LGPD já criou.

Isso tem uma consequência prática. Seguir o guia não é burocracia opcional: é a forma mais segura de demonstrar que o consentimento foi colhido do jeito que a lei pede. E o próprio guia lembra que cabe ao controlador comprovar isso, o que torna boa prática registrar como e quando cada escolha foi feita.

Qual a diferença entre banner de cookies e política de cookies?

São peças complementares, e o guia separa as duas com clareza. O banner é o recurso visual, curto, que aparece na hora; a política é a declaração pública detalhada, que o banner normalmente aponta por link.

Elaborado pela Alliance Comunicação a partir do Guia Orientativo Cookies e Proteção de Dados Pessoais (ANPD, 2022), pp. 28 a 33.

O guia aceita três formatos para a política: seção do aviso de privacidade, página separada ou diluída nas camadas do próprio banner. Mas, no exemplo 7, faz uma ressalva útil: deixar a informação sobre cookies só dentro da política de privacidade pode não bastar, porque o visitante raramente abre essa página. O banner de segundo nível resolve isso.

Quais cookies precisam de consentimento e quais não?

É aqui que a maioria dos banners erra para mais ou para menos. O guia afirma que não é apropriado usar o consentimento para cookies estritamente necessários: se o site não funciona sem eles, o visitante não tem escolha real, e consentimento sem escolha não é consentimento.

Entre os dois extremos ficam os cookies de medição de audiência. O guia admite o legítimo interesse para eles “em determinados contextos”: quando a coleta se limita a identificar padrões com dados agregados, sem combinar com outros rastreadores e sem formar perfil de usuário. O exemplo 4 do guia, de um centro cultural municipal, descreve exatamente esse cenário.

Síntese da Alliance Comunicação a partir do Guia Orientativo da ANPD (2022), pp. 9 a 27. A escolha da base legal depende de análise do caso concreto.

Repare na última coluna. Mesmo onde não se pede consentimento, o visitante precisa ser informado e conseguir se opor. O banner não some; ele muda de papel. Se a sua ferramenta de métricas cruza dados com plataformas de anúncio, a hipótese de medição “limpa” deixa de valer, e vale rever a configuração do Google Analytics 4 e o que ele realmente precisa medir.

O que a ANPD manda observar no banner de primeiro e segundo nível?

O guia divide o banner em duas camadas. A primeira é o que aparece ao entrar no site; a segunda é o painel que se abre quando o visitante quer escolher por categoria. Para cada uma, lista o que observar.

1. No primeiro nível: rejeitar à vista e um link para direitos

• Um botão que permita rejeitar todos os cookies não necessários, de fácil visualização, presente no primeiro e no segundo nível.
• Um link de fácil acesso para o titular exercer seus direitos: saber como os dados são usados e por quanto tempo, pedir eliminação, opor-se ao tratamento ou revogar o consentimento.

2. No segundo nível: categorias, finalidades e tudo desligado

• Classificar os cookies em categorias e descrever cada uma pelo uso e pela finalidade.
• Escrever essas finalidades de forma simples, clara e precisa.
• Permitir o consentimento para cada finalidade específica, quando couber.
• Desativar por padrão os cookies que dependem de consentimento.
• Informar como bloquear cookies pelas configurações do navegador e avisar quando algum rastreador não puder ser desligado por ali.

Quais práticas a ANPD desaconselha no banner de cookies?

Na página 33, o guia traz uma lista curta e objetiva, sob o título “O que evitar na elaboração de banners de cookies”. São dez itens, e vale lê-los como checklist negativo do seu próprio site.

1. Usar um único botão no primeiro nível (“concordo”, “aceito”, “ciente”), sem opção de gerenciar, quando a base legal é o consentimento.
2. Dificultar a visualização ou a compreensão dos botões de rejeitar ou configurar e dar destaque só ao aceite.
3. Impossibilitar ou dificultar a rejeição de todos os cookies não necessários.
4. Apresentar cookies não necessários ativados por padrão, exigindo que o titular os desligue.
5. Não oferecer banner de segundo nível.
6. Não oferecer informação e mecanismo direto, simplificado e próprio para revogar o consentimento e se opor ao tratamento, além das configurações do navegador.
7. Dificultar o gerenciamento, por exemplo sem opções separadas para cookies com finalidades distintas.
8. Apresentar a política de cookies apenas em idioma estrangeiro.
9. Apresentar uma lista de cookies granular demais, com informação em excesso que leva ao efeito de fadiga.
10. Vincular o consentimento ao aceite integral das condições de uso de cookies, sem opção efetiva.

Dois itens quase nunca aparecem nos guias publicados por fornecedores de ferramentas. O idioma estrangeiro pega quem instala uma plataforma de consentimento importada e esquece de traduzir a política gerada por ela. A granularidade excessiva pega o extremo oposto: o banner que lista sessenta cookies um a um, com nome técnico e duração, e transforma a escolha num documento que ninguém lê.

O item 2 também merece atenção de quem cuida da interface. Botão de aceite colorido e botão de rejeição em cinza claro, em texto pequeno ou escondido atrás de “mais opções” é exatamente o desenho que o guia descreve. Contraste e legibilidade, aliás, são o mesmo cuidado que a acessibilidade digital do site já exige.

Que botão quase todo site esquece?

O mecanismo de revogação. O banner aparece, o visitante clica, o banner some, e não há mais nenhum caminho visível para mudar de ideia. A única saída que sobra é apagar os cookies pelo navegador, que o guia diz expressamente não bastar.

O exemplo 2 do guia mostra o problema melhor do que qualquer explicação. Uma escola recebeu reclamação de uma associação de pais: o site exibia só um banner com o botão “entendi”. Depois de estudo, com participação do encarregado e da alta direção, a escola refez tudo.

Ou seja: um redesenho que acertou nove décimos do trabalho ainda ficou incompleto. A base é o art. 8º, § 5º da LGPD, que fala em revogação “a qualquer momento”, por procedimento “gratuito e facilitado”. O guia acrescenta que o caminho para revogar deve ser parecido com o caminho usado para aceitar.

A solução técnica é simples: um link fixo “Gerenciar cookies” ou “Preferências de cookies” no rodapé de todas as páginas, ou um pequeno ícone flutuante, que reabre o segundo nível com as escolhas atuais. Muitas plataformas de consentimento já trazem isso; o problema costuma ser alguém ter desligado ou nunca ter colocado o link no rodapé.

O que os textos sobre cookies dizem que o guia não diz?

Ao ler os primeiros resultados para “banner de cookies”, a maior parte vem de quem vende plataforma de consentimento ou software jurídico. É natural que o texto puxe para a ferramenta. O problema aparece quando a fonte é citada para afirmar o que ela não afirma.

• “Os dark patterns que a ANPD pune.” O guia não usa a expressão nem fala em punição. Ele lista práticas desaconselhadas; a sanção, se houver, decorre de violar a LGPD.
• Multas atribuídas à ANPD sem processo identificado. Se o texto não aponta o processo, a decisão e a data, trate o número como ilustração, não como precedente.
• “O guia exige banner com três botões.” O guia pede rejeitar com destaque equivalente e um caminho para gerenciar. Três botões é uma forma comum de cumprir isso, como no exemplo 2, não a única.
• “Consentimento para todos os cookies, inclusive os necessários.” É o contrário: o guia diz que o consentimento não é a base apropriada para os estritamente necessários.

Nada disso tira o valor das ferramentas, que resolvem bem a parte técnica de bloquear scripts antes da escolha. Só que a régua do que o banner deve fazer está no guia, e é ela que você precisa conferir.

Como auditar o banner de cookies do seu site?

Para uma auditoria completa, siga a ordem abaixo. Ela leva cerca de quinze minutos por site e não exige ferramenta paga.

1. Confira a primeira tela

Existe botão de rejeitar os não necessários, visível sem rolar e sem abrir outra camada? Ele tem o mesmo formato, tamanho e contraste do aceite? Há link para a política e para os direitos do titular?

2. Abra o segundo nível

As categorias têm nome compreensível e finalidade descrita em uma ou duas frases? As chaves dos cookies não necessários estão desligadas quando o painel abre? Dá para aceitar métricas e recusar publicidade?

3. Teste o que acontece de verdade

Recuse tudo e abra as ferramentas de desenvolvedor do navegador, na aba de armazenamento. Se cookies de anúncio ou de métricas aparecerem mesmo após a recusa, o banner é só fachada: os scripts carregam antes da escolha. Esse é o erro mais grave e o menos visível.

4. Procure o caminho de volta

Depois de aceitar, existe link permanente para reabrir as preferências? Ele funciona em todas as páginas, inclusive no blog e nas páginas de conversão?

5. Leia a política como visitante

Está em português? Diz finalidades, período de retenção e terceiros? A lista de cookies ajuda a decidir ou é um inventário técnico de dezenas de linhas? A política só se mantém atual se a empresa souber quais dados coleta, e esse levantamento é o inventário de dados que a adequação à LGPD pede antes de tudo.

O que escrever no texto do banner de cookies?

Pouco, e específico. O banner de primeiro nível precisa dizer, em duas ou três frases, quais tipos de cookie o site usa e para quê, separando os necessários dos que dependem da permissão do visitante. O guia dá um modelo no exemplo 2, que pode ser adaptado.

Uma estrutura que funciona: “Usamos cookies necessários para o funcionamento do site. Com a sua permissão, também usamos cookies para medir a audiência e exibir anúncios personalizados. Você pode aceitar, rejeitar ou escolher por categoria, e mudar de ideia a qualquer momento em Gerenciar cookies, no rodapé.”

Evite frases que presumem a concordância, como “ao continuar navegando, você concorda”. O guia diz que não é recomendável presumir o consentimento a partir da navegação, o chamado consentimento tácito. Evite também “usamos cookies para melhorar sua experiência” como única explicação: é vago demais para que a escolha seja informada.

Por onde começar hoje?

Comece pelo teste da janela anônima e pelo link de revogação no rodapé, que costuma ser a correção mais barata. Em seguida, confira se os scripts de métricas e de anúncio só carregam depois da escolha, porque é onde o banner pode estar dizendo uma coisa e o site fazendo outra.

1. Abra o site em janela anônima e compare o destaque de aceitar e rejeitar.
2. Garanta um link “Gerenciar cookies” permanente no rodapé.
3. Verifique que nenhum cookie não necessário é gravado antes do consentimento.
4. Revise categorias e textos do segundo nível em português simples.
5. Defina a base legal de cada categoria, com quem responde por dados na empresa, como o encarregado de dados (DPO).
6. Registre a data da revisão e reveja sempre que entrar uma ferramenta nova no site.

Se quiser ajuda para fazer isso junto com o resto da adequação, a Alliance cuida de adequação à LGPD para sites e operações de marketing, do banner à política. E, para ver onde a presença digital da empresa está mais frágil, comece pelo diagnóstico de marketing gratuito.