O que são cookies e por que a LGPD os regula?
Cookies são pequenos arquivos armazenados no navegador do usuário que registram informações sobre sua navegação — páginas visitadas, preferências, carrinho de compras, dados de sessão. Quando os cookies identificam o usuário (por e-mail, ID, comportamento) ou permitem rastreá-lo entre sites, passam a ser dados pessoais sujeitos à LGPD.
Tipos de cookies e o tratamento adequado
- Cookies estritamente necessários: essenciais para o funcionamento do site (sessão de login, carrinho de compras). Não exigem consentimento — podem ser usados sem aprovação do usuário
- Cookies de preferências/funcionalidade: lembram escolhas do usuário (idioma, tema). Recomenda-se informar, mas o consentimento é debatido
- Cookies analíticos/estatísticos: medem tráfego e comportamento (Google Analytics, etc.). Exigem consentimento quando permitem identificar usuários individuais
- Cookies de marketing/publicidade: rastreiam usuário entre sites para publicidade segmentada. Exigem consentimento obrigatoriamente
Como implementar o aviso de cookies adequado
- Carregar apenas cookies estritamente necessários até que o usuário consiça (ou recuse)
- Apresentar o banner com opções claras: aceitar, recusar, ou personalizar por categoria
- O botão “Aceitar todos” não deve ser mais proeminente que “Recusar” ou “Personalizar”
- Registrar o consentimento (data, versão da política apresentada)
- Respeitar a escolha: se o usuário recusou cookies de marketing, não instalá-los
- Permitir revisão da escolha a qualquer momento (link no rodapé)
Google Analytics e LGPD
O Google Analytics (GA4) pode ser usado com LGPD desde que: o usuário seja informado e, se necessário, consinta; a coleta seja configurada para anonimizar IPs; não sejam ativadas funções de rastreamento cruzado sem consentimento. O simples uso de Analytics com a configuração padrão sem aviso de cookies é não conforme com a LGPD.
Perguntas frequentes
Banner de cookies que bloqueia o site até aceitar é válido?
Não — é a chamada “cookie wall”. Condicionar o acesso ao site ao aceite de cookies não estritamente necessários invalida o consentimento (que deve ser livre). A ANPD e autoridades europeias têm posição consolidada contra cookie walls.
Sites menores com poucos visitantes precisam de aviso de cookies?
Se o site usa cookies que identificam ou rastreiam usuários (Google Analytics, pixel do Facebook), sim — o tamanho do site não isenta da obrigação.