E-commerceArtigo
Banner de cookies: o que a LGPD exige, o que a ANPD recomenda e um modelo de texto
Em resumo
Quando a loja se apoia no consentimento, a LGPD exige que ele seja livre, informado e inequívoco e que possa ser revogado por procedimento gratuito e facilitado; o formato do banner está no guia orientativo de cookies da ANPD, de outubro de 2022, que é um guia de boas práticas. O ConnectWeek lista o que observar, as dez práticas a evitar, um modelo de texto e um teste em oito passos.
O ponto central de um banner de cookies, quando a loja se apoia no consentimento, é dar ao visitante a opção real de recusar os cookies que não são necessários. A Lei Geral de Proteção de Dados (LGPD) define consentimento como manifestação livre, informada e inequívoca (artigo 5º, inciso XII), e é o guia da ANPD que, a partir dessa definição, recomenda um botão de rejeitar de fácil visualização. O formato do banner não está na lei: está no guia orientativo de cookies da ANPD, versão 1.0, de outubro de 2022, que se apresenta como guia de boas práticas. A ANPD publicou o guia como Autoridade Nacional de Proteção de Dados e hoje se chama Agência Nacional de Proteção de Dados, nome que consta da LGPD com a redação dada pela Lei nº 15.352, de 2026, tanto no texto do Planalto quanto no da Câmara dos Deputados; a sigla é a mesma. Este artigo separa o que é obrigação legal do que é recomendação, lista o que o guia recomenda observar e o que desaconselha e traz um modelo de texto para o banner de primeiro e de segundo nível. As leituras foram feitas em 8 de outubro de 2026.
O que é lei e o que é recomendação?
Na lei estão as regras do consentimento. Pela LGPD, cujo texto atualizado também pode ser lido no portal da Câmara dos Deputados:
- cabe ao controlador, que no caso é a loja, provar que o consentimento foi obtido conforme a lei (artigo 8º, parágrafo 2º);
- o consentimento deve se referir a finalidades determinadas, e autorizações genéricas são nulas (artigo 8º, parágrafo 4º);
- o consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (artigo 8º, parágrafo 5º);
- o titular tem direito a acesso facilitado às informações sobre o tratamento, a começar pela finalidade específica (artigo 9º).
No guia da ANPD está a tradução dessas regras para o banner. O próprio documento define suas orientações sobre banners como não exaustivas e consideradas boas práticas, e declara nas considerações finais que deve ser entendido como guia de boas práticas, sujeito a atualização. Na avaliação do ConnectWeek, isso não o torna dispensável: é o texto em que a autoridade que aplica a lei diz como lê o consentimento em um banner.
Quais cookies precisam de consentimento?
O guia parte da distinção entre cookies necessários e não necessários e trata de duas hipóteses legais, o consentimento e o legítimo interesse, avisando que a lista não é exaustiva. O quadro resume a leitura da ANPD; a segunda coluna traz a descrição do próprio guia, e a terceira, a posição do documento:
| Categoria | Como o guia descreve | O que o guia diz sobre a hipótese legal |
|---|---|---|
| Necessários | os que fazem o site realizar funções básicas e operar corretamente | o consentimento não é apropriado; o legítimo interesse pode amparar o uso, avaliado o caso concreto |
| Analíticos ou de medição | páginas mais visitadas, erros, desempenho do site | o legítimo interesse pode amparar a medição de audiência em determinados contextos, com dados agregados, sem combinação com outros mecanismos de rastreamento e sem formação de perfis |
| De publicidade | anúncios personalizados a partir dos hábitos de navegação | o legítimo interesse dificilmente será a hipótese mais apropriada; o consentimento pode ser considerado mais apropriado |
O guia cita como exemplos de cookies não necessários os usados para rastrear comportamentos, medir o desempenho da página e exibir anúncios, e afirma que o consentimento é mais apropriado quando a coleta é feita por cookies não necessários. Para a loja, na avaliação do ConnectWeek, a consequência prática é esta: o cookie que mantém o carrinho tende a não depender de aceite, e o de remarketing tende a depender, sempre conforme a análise do caso concreto. O que ainda funciona em anúncios sem o cookie de terceiros está em remarketing sem cookie de terceiros.
O que o guia recomenda observar no banner
As orientações da ANPD se dividem entre o banner de primeiro nível, que aparece na chegada, e o de segundo nível, aberto pelo botão de configuração:
- Botão para rejeitar todos os cookies não necessários, de fácil visualização, no primeiro e no segundo nível.
- Link de fácil acesso para o exercício de direitos, como saber mais sobre o uso dos dados e o período de retenção, pedir a eliminação, opor-se ao tratamento ou revogar o consentimento.
- Cookies classificados em categorias no segundo nível, descritas conforme seus usos e finalidades, em linguagem simples, clara e precisa.
- Consentimento por finalidade, de acordo com as categorias, quando couber.
- Cookies baseados em consentimento desativados por padrão.
- Informação sobre como bloquear cookies pelo navegador, com aviso quando algum cookie ou rastreador não puder ser desabilitado por esse caminho.
Sobre a política de cookies, o mesmo guia recomenda um documento que informe as finalidades específicas, por quanto tempo os dados ficam guardados e se são compartilhados com terceiros, e aceita três formatos, desde que as informações essenciais cheguem ao titular: uma seção da política de privacidade, uma página separada ou o próprio banner. As informações que a loja virtual é obrigada a exibir por outras normas estão em Decreto 7.962: o que a loja virtual deve exibir. O contrato de compra, que é outro texto, tem modelo em termos de uso para loja virtual.
O que o guia desaconselha
A lista de práticas desaconselhadas pela ANPD tem dez itens. Resumidos em redação do ConnectWeek:
- um único botão no primeiro nível (“concordo”, “aceito”, “ciente”), sem opção de gerenciar, quando a hipótese legal é o consentimento;
- botões de rejeitar ou de configurar difíceis de ver ou de entender, com destaque só para o de aceitar;
- não deixar o visitante rejeitar de uma vez os cookies não necessários, ou tornar isso difícil;
- cookies não necessários ativados por padrão, exigindo desativação manual;
- não oferecer banner de segundo nível;
- não oferecer mecanismo direto, simplificado e próprio para revogar o consentimento e para se opor ao tratamento, além das configurações do navegador;
- dificultar o gerenciamento, por exemplo sem opções separadas para cookies de finalidades distintas;
- apresentar a política de cookies apenas em idioma estrangeiro;
- lista de cookies tão detalhada que gera excesso de informação e fadiga;
- vincular o consentimento ao aceite integral das condições de uso de cookies, sem opções efetivas.
Em outro trecho, o guia afirma que, por incompatibilidade com a LGPD, não é recomendável usar opções de autorização pré-selecionadas nem consentimento tácito, como presumir que quem continua navegando aceitou. E analisa o caso de um banner com um único botão “Aceitar”: segundo o documento, ele não garante a manifestação clara do consentimento e deve ganhar a opção de rejeitar os cookies não necessários e a de gerenciar em segundo nível.
Modelo de texto para o banner
O modelo abaixo é uma sugestão do ConnectWeek, montada a partir das orientações do guia. Não é texto oficial nem substitui a avaliação de quem responde pela proteção de dados na empresa. Os colchetes indicam o que cada loja deve preencher com o que realmente usa.
Primeiro nível. “Usamos cookies necessários para a loja funcionar, como os que guardam o seu carrinho e o seu login. Com a sua autorização, usamos também cookies para [medir as visitas] e para [mostrar anúncios dos nossos produtos em outros sites]. Você pode aceitar todos, rejeitar os não necessários ou escolher por finalidade. Saiba mais na [Política de Cookies] e veja como exercer seus direitos em [canal de privacidade].”
Três botões, com o mesmo formato e o mesmo destaque: Aceitar todos, Rejeitar não necessários e Escolher cookies.
Segundo nível.
- Necessários (sempre ativos). “Mantêm o carrinho, o login e a segurança do pagamento. Sem eles a compra não se conclui.”
- Medição (desativado). “Mostram quais páginas são mais visitadas e onde ocorrem erros. Retenção: [prazo]. Fornecedor: [nome].”
- Publicidade (desativado). “Permitem mostrar anúncios dos nossos produtos em outros sites, com base no que você viu aqui. Retenção: [prazo]. Compartilhamento: [com quem].”
Botões: Salvar escolhas, Aceitar todos e Rejeitar não necessários. Abaixo, uma linha: “Você pode mudar de ideia a qualquer momento em [Preferências de cookies], no rodapé. Também é possível bloquear cookies nas configurações do navegador; isso pode afetar o funcionamento da loja. [Se algum cookie não puder ser bloqueado pelo navegador, informe aqui qual.]”
A medição aparece desativada no modelo por escolha conservadora do ConnectWeek. O guia admite o legítimo interesse para a medição de audiência em determinados contextos, mas a decisão depende de como a ferramenta usada trata os dados, e essa análise é da loja.
Como conferir o banner da sua loja em oito passos
- Abra a loja em janela anônima e, antes de clicar em qualquer botão, veja nas ferramentas de desenvolvedor do navegador quais cookies já foram gravados. Na avaliação do ConnectWeek, é o teste que mais revela: cookie de publicidade gravado antes do aceite contraria o “desativado por padrão” recomendado pelo guia.
- Procure o botão de rejeitar no primeiro nível e compare tamanho, cor e posição com o de aceitar.
- Clique em rejeitar e confira se os cookies de publicidade continuam ausentes, e também os de medição, se a loja pede consentimento para eles.
- Abra o segundo nível e veja se as categorias vêm desmarcadas, com finalidade descrita em português claro.
- Aceite uma categoria só e confira se apenas os cookies dela aparecem.
- Procure, no rodapé, o caminho para mudar a escolha. A LGPD pede procedimento gratuito e facilitado (artigo 8º, parágrafo 5º), e o guia fala em procedimento similar ao usado para obter o consentimento.
- Leia a política de cookies: finalidades, prazo de retenção e compartilhamento com terceiros.
- Guarde o registro das escolhas. Pela LGPD (artigo 8º, parágrafo 2º), o ônus de provar o consentimento é da loja, e o guia trata o registro e a documentação como boa prática.
O teste vale também para o que vem instalado por terceiros: plataforma, aplicativos e etiquetas de anúncio. A revisão de acessos e de scripts da loja está em segurança da loja virtual: checklist, e a leitura das origens de tráfego no GA4, em como separar no GA4 a visita que veio de IA.
O que acontece se a loja descumprir?
As sanções administrativas estão no artigo 52 da LGPD, igual no texto da Câmara, e são aplicáveis pela autoridade nacional. A lista começa pela advertência, com prazo para medidas corretivas, e inclui multa simples de até 2% do que a empresa privada, seu grupo ou conglomerado faturou no Brasil no último exercício, sem contar os tributos, com teto total de R$ 50 milhões por infração. O artigo descreve o teto; qual sanção cabe em cada caso depende do processo na ANPD, e este texto não antecipa esse resultado.
Para a loja pequena, na avaliação do ConnectWeek, a ordem de trabalho é a dos oito passos: descobrir o que o site grava, desligar o que não é necessário até o aceite e dar ao cliente o botão de recusar. O texto do banner vem depois, e descreve o que o site de fato faz.
Comece por aqui Novo no assunto? Leia primeiro o que é e-commerce, o texto-base desta cobertura.
Fonte: ANPD — Guia orientativo: Cookies e proteção de dados pessoais
Perguntas frequentes
Banner de cookies é obrigatório?
A LGPD não descreve o banner; ela exige que o consentimento seja livre, informado e inequívoco e que possa ser revogado por procedimento gratuito e facilitado. O formato do banner está no guia orientativo de cookies da ANPD, versão 1.0, de outubro de 2022, que se apresenta como guia de boas práticas.
Quais cookies precisam de consentimento?
Segundo o guia da ANPD, o consentimento é mais apropriado quando a coleta é feita por cookies não necessários, como os de publicidade. Para os estritamente necessários, o guia afirma que o consentimento não é apropriado. Para a medição de audiência, admite o legítimo interesse em determinados contextos, com dados agregados e sem formação de perfis.
Posso usar um banner só com o botão “Aceitar”?
O guia da ANPD desaconselha um único botão no primeiro nível quando a hipótese legal é o consentimento. Ao analisar um banner só com “Aceitar”, o documento afirma que ele não garante a manifestação clara do consentimento e deve ganhar a opção de rejeitar os cookies não necessários e a de gerenciar em segundo nível.
Continuar navegando vale como aceite de cookies?
O guia da ANPD afirma que, por incompatibilidade com a LGPD, não é recomendável adotar consentimento tácito, como presumir que quem continua a navegação consentiu, nem usar opções de autorização pré-selecionadas.
Qual é a multa por descumprir a LGPD?
O artigo 52 da LGPD prevê sanções administrativas aplicáveis pela autoridade nacional, a começar pela advertência. A multa simples é de até 2% do que a empresa privada, seu grupo ou conglomerado faturou no Brasil no último exercício, sem contar os tributos, com teto total de R$ 50 milhões por infração. A sanção de cada caso depende do processo na ANPD.
