Resposta rápida: a LGPD exige consentimento para cookies?
Depende do cookie e da finalidade. A LGPD não contém uma regra única dizendo “todo cookie exige consentimento”. Cada operação precisa de finalidade, base legal e observância dos princípios. Cookies estritamente necessários para funcionamento e segurança têm contexto diferente de pixels de publicidade, perfilamento e rastreamento entre sites.
O guia de cookies da ANPD recomenda transparência, granularidade, possibilidade real de recusa para cookies não necessários e mecanismos de consentimento que não sejam inferidos apenas por silêncio ou continuação da navegação.
Principais conclusões
- Nem todo cookie é igual.
- Consentimento precisa ser específico, demonstrável e revogável quando usado.
- Legítimo interesse pode caber em alguns cenários limitados, especialmente medição agregada e de menor impacto.
- Publicidade comportamental e rastreamento de terceiros tornam o legítimo interesse muito mais difícil de justificar.
- O banner deve refletir o inventário real.
- Server-side tracking não elimina as obrigações da LGPD.
Todo site precisa de banner de cookies?
Não existe uma obrigação textual universal de “ter banner” para qualquer site. O que importa é quais tecnologias são usadas e qual tratamento ocorre.
Um site que utiliza apenas cookies estritamente necessários tem uma análise diferente de outro que carrega analytics de terceiros, advertising IDs, remarketing e pixels cross-site antes de qualquer escolha do usuário.
O banner é uma interface para operacionalizar transparência e escolhas; ele não é a obrigação jurídica em si.
Consentimento vs legítimo interesse
Quando consentimento é utilizado
O Art. 8º coloca no controlador o ônus de provar consentimento, que deve ser relacionado a finalidade determinada. Autorizações genéricas são nulas e a revogação deve ser facilitada e gratuita.
No contexto de rastreamento, isso significa que consentimento não deve ser presumido apenas porque o usuário continuou navegando.
Quando legítimo interesse é considerado
O Art. 10 exige finalidade legítima, consideração de necessidade e respeito a direitos e liberdades fundamentais. A ANPD recomenda teste de balanceamento.
O guia de cookies indica que alguns usos estritamente necessários ou certas medições limitadas e agregadas podem ser mais compatíveis com outras bases, dependendo do contexto. Já publicidade comportamental, perfilamento e rastreamento cross-site por terceiros tendem a ser mais difíceis de justificar por legítimo interesse.
Comparação prática
| Categoria | Exemplo | Análise prática |
|---|---|---|
| Estritamente necessário | sessão, carrinho, segurança, balanceamento técnico | Pode não exigir consentimento quando realmente necessário; ainda requer transparência e minimização. |
| Preferência | idioma, layout, escolha do usuário | Avaliar finalidade, expectativa e necessidade. |
| Analytics limitado | medição agregada com impacto reduzido | Pode haver análise de legítimo interesse em determinados cenários, com salvaguardas. |
| Analytics de terceiros | plataforma que recebe identificadores e eventos | Exige análise mais robusta de fornecedor, base, transparência e transferência. |
| Publicidade | Meta Pixel, remarketing, cross-site | Consentimento tende a ser abordagem mais defensável, especialmente para rastreamento comportamental. |
Google Analytics
Não trate “analytics” como categoria única. Verifique configuração, dados enviados, IDs, Google Signals, advertising features, retenção, compartilhamento, consent mode e países envolvidos.
Uma implementação mínima e agregada tem perfil diferente de analytics ligado a publicidade e identificação cross-device.
Meta Pixel e tags de publicidade
Pixels de publicidade podem transmitir eventos de página, conversões, identificadores e outros sinais para plataformas de ads. O uso para remarketing ou perfilamento de terceiros exige atenção a consentimento, transparência, fornecedores e transferências.
Carregar o pixel antes da escolha do usuário e oferecer apenas botão “Aceitar” cria um problema operacional evidente.
Server-side tracking
Mover o envio para o servidor pode melhorar controle técnico e segurança, mas não muda a natureza do tratamento. Se a empresa transmite identificadores e eventos a uma plataforma de publicidade, ainda precisa analisar finalidade, base legal, transparência e transferência.
Server-side não é “sem cookie” nem “fora da LGPD”. É uma arquitetura de implementação.
Como deve ser um banner de cookies?
Uma primeira camada útil pode incluir:
- explicação curta e clara;
- botão Aceitar não necessários;
- botão Rejeitar não necessários com destaque comparável;
- opção Gerenciar preferências;
- link para política ou detalhes;
- categorias não necessárias desligadas até a escolha quando consentimento for utilizado.
O que evitar
- só botão “Aceitar”;
- caixas pré-marcadas para publicidade;
- linguagem confusa para desestimular recusa;
- consentimento bundlado com Termos de Uso;
- ativar tags não necessárias antes da escolha e chamar isso de “consentimento posterior”;
- impossibilitar retirada posterior.
É necessária uma política de cookies separada?
Não necessariamente. As informações podem estar em política de privacidade, política de cookies específica ou estrutura em camadas. O importante é que o usuário consiga entender categorias, finalidades, duração, terceiros e como controlar suas escolhas.
Por quanto tempo cookies podem permanecer?
A LGPD não estabelece um prazo universal. O período deve ser limitado conforme finalidade e necessidade. O guia da ANPD recomenda limitar cookies persistentes ao período necessário para sua finalidade.
Não copie tempos padrão do fornecedor sem revisar a necessidade da empresa.
Auditoria de 12 pontos
- Liste todos os cookies e tecnologias semelhantes.
- Identifique quem os define.
- Registre finalidade.
- Registre dados e identificadores enviados.
- Classifique necessário, preferência, analytics, publicidade etc.
- Documente base legal.
- Defina duração.
- Identifique terceiros e países.
- Teste se tags não necessárias ficam bloqueadas quando necessário.
- Teste aceitar, rejeitar e granularidade.
- Teste retirada de consentimento.
- Reavalie quando marketing ou stack tecnológico mudar.
Sinal regulatório 2026–2027
A agenda e prioridades da ANPD reforçam atenção a publicidade comercial direcionada, ambientes digitais, crianças/adolescentes e design protetivo. Isso torna especialmente importante manter documentação para adtech e perfilamento.
Exemplos práticos
Cookies de sessão e segurança
Usados apenas para autenticação e proteção da sessão, com duração limitada. O foco é necessidade, segurança e transparência.
Medição limitada de audiência
Analytics configurado para métricas agregadas, com minimização, retenção curta e sem publicidade comportamental pode ter perfil de risco menor. Ainda exige análise de base e fornecedor.
Pixel de publicidade e remarketing
Um pixel que constrói públicos e acompanha comportamento entre contextos cria impacto maior e tende a exigir consentimento claro antes de ativação.
Banner “Aceitar” apenas
Não oferece escolha real para cookies não necessários e deve ser revisto.
Erros comuns
“Todo cookie exige consentimento.”
Simplificação excessiva. O tratamento precisa ser classificado.
“Nenhum cookie precisa de consentimento porque temos legítimo interesse.”
Igualmente errado. Publicidade comportamental e terceiros podem tornar essa posição difícil de sustentar.
“Usamos Consent Mode, então estamos em conformidade.”
Ferramenta técnica não substitui análise jurídica, configuração correta e transparência.
“O usuário aceitou os Termos.”
Termos e consentimento específico para rastreamento não são a mesma coisa.
Perguntas frequentes
Posso usar Google Analytics sem consentimento?
Depende da configuração e finalidade. Não existe resposta universal para toda implementação do produto.
Meta Pixel deve ficar bloqueado antes da escolha?
Quando consentimento é a base para a publicidade, a ativação deve respeitar a escolha antes do tratamento correspondente.
É preciso ter botão “Rejeitar” na primeira camada?
A orientação de boas práticas da ANPD favorece mecanismos que ofereçam escolha real e não tornem a recusa injustificadamente mais difícil.
Fontes oficiais
Transforme orientação em implementação
O Manual de Conformidade com a LGPD no Brasil — Edição 2026 reúne guia prático, auditoria de 100 pontos, 16 planilhas e modelos de implementação e um roteiro estruturado de 30 dias.
Obter o Manual de Conformidade com a LGPD no Brasil