Política de cookies e consentimento: o que o site precisa pedir, como pedir e o que acontece se não pedir

Nem todos os cookies são iguais — e a LGPD faz uma distinção importante entre cookies que são estritamente necessários para o funcionamento do site e cookies que coletam dados para fins adicionais, como análise de comportamento e publicidade direcionada.

• Cookies essenciais (não exigem consentimento): sessão de login, carrinho de compras, preferências de idioma, proteção CSRF, balanceamento de carga. Sem eles, o site não funciona.
• Cookies de performance (exigem consentimento): Google Analytics, Hotjar, Microsoft Clarity, Heap — coletam dados sobre como o usuário navega no site.
• Cookies de marketing (exigem consentimento): Meta Pixel, Google Ads, TikTok Pixel, LinkedIn Insight Tag — rastreiam o comportamento do usuário para exibir anúncios personalizados.
• Cookies de preferência (geralmente exigem consentimento): armazenam preferências do usuário que não são estritamente necessárias para o funcionamento básico.

O banner de cookies não pode ser apenas decorativo. Para que o consentimento coletado através dele seja válido, ele precisa cumprir os requisitos de consentimento da LGPD: ser livre, informado, inequívoco e granular.

• Livre: o usuário não pode ser penalizado por recusar cookies de marketing — o site deve funcionar normalmente se o usuário recusar tudo exceto os essenciais.
• Informado: o banner deve descrever, de forma acessível, quais categorias de cookies estão sendo solicitadas e para qual finalidade.
• Inequívoco: o consentimento deve ser um ato afirmativo — marcar uma caixa, clicar em 'Aceitar'. Continuar navegando no site não é consentimento válido.
• Granular: o usuário deve poder aceitar algumas categorias e recusar outras — por exemplo, aceitar analytics e recusar marketing.

Banners que têm apenas um botão 'Aceitar tudo' sem alternativa para recusar são considerados não conformes. A LGPD exige que recusar seja tão fácil quanto aceitar — botões de tamanho, cor e posição equivalentes para as duas opções.

Além do banner, o site deve ter uma política de cookies — um documento que explica, em detalhe, quais cookies são utilizados, quem os opera, qual é a finalidade, por quanto tempo ficam ativos e como o usuário pode gerenciá-los ou excluí-los.

• Nome e operador de cada cookie: 'Google Analytics (_ga): operado pelo Google Ireland Ltd., finalidade: análise de tráfego'.
• Duração: cookies de sessão (expiram ao fechar o navegador) vs. cookies persistentes (expiram em data definida).
• Como excluir: instruções ou link para as configurações do navegador para exclusão de cookies.
• Como revogar o consentimento: o usuário deve poder revogar o consentimento a qualquer momento tão facilmente quanto o concedeu — o banner deve ser reacessível.
• Transferência internacional: se os cookies transmitem dados para servidores fora do Brasil (o que é o caso de Google, Meta e TikTok), isso deve ser declarado.

O consentimento precisa ser implementado tecnicamente — não apenas declarado na política. Isso significa que os scripts de analytics e de marketing só devem ser carregados após o usuário dar o consentimento para aquela categoria.

• Google Tag Manager com modo de consentimento (Consent Mode v2): permite carregar tags apenas após o consentimento adequado.
• Plataformas CMP (Consent Management Platform): ferramentas como Cookiebot, OneTrust e Usercentrics automatizam o gerenciamento de consentimento e geram log para conformidade.
• Armazenamento do consentimento: o status de consentimento de cada usuário deve ser armazenado — se o usuário voltou ao site, o banner não deve reaparecer, mas as preferências anteriores devem ser respeitadas.
• Verificação periódica: sempre que um novo cookie ou nova ferramenta de analytics/marketing for adicionada ao site, a política e o banner devem ser atualizados.