Cookies e consentimento: regras para sites e lojas online

Cookie é arquivo gravado no navegador e, por si só, não é dado pessoal. O que a LGPD alcança é o tratamento que resulta dele: quando o identificador permite reconhecer o visitante, associar navegações, cruzar informação com base interna ou direcionar anúncio, existe tratamento de dado pessoal e existe base legal a definir. A discussão, portanto, não é sobre a tecnologia, é sobre o que a empresa faz com o que o cookie permite saber.

Lojas online têm uma particularidade: parte relevante dos cookies é operacional. Sessão de login, carrinho, cálculo de frete, prevenção a fraude e balanceamento de carga são funções que dependem de identificadores gravados no navegador. Para essas finalidades, a base legal mais coerente costuma ser execução de contrato ou cumprimento de obrigação legal, porque o tratamento é necessário para entregar o serviço que o visitante pediu ou para atender exigência regulatória.

O problema aparece quando a categorização é feita por conveniência. Classificar como necessário um cookie de remarketing porque ele ajuda a vender distorce a base legal e transforma a exceção em regra. A verificação prática é simples: se o cookie fosse desativado, o serviço deixaria de funcionar ou apenas a medição e a segmentação perderiam alcance? A resposta indica em qual grupo o cookie pertence de fato. A mesma lógica de escolher a base legal pela finalidade vale para captação de contato, tratada em base legal de dados de lead em prospecção.

A LGPD trata o consentimento como manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento para finalidade determinada. Alguns elementos ajudam a tornar esse conceito aplicável: o consentimento deve ser destacado das demais cláusulas, referir-se a finalidades específicas e ser revogável a qualquer momento, com procedimento gratuito e facilitado. O texto legal também exige que o ônus de provar que o consentimento foi obtido recaia sobre quem o coletou.

Livre significa que a recusa não pode custar o acesso ao serviço além do necessário. Se o visitante só consegue ler o conteúdo depois de aceitar rastreamento de publicidade, a escolha foi condicionada e a liberdade fica comprometida. Informada significa que o aviso precisa dizer o que será feito com o dado, com quem será compartilhado e por quanto tempo, em linguagem que o visitante consiga entender sem abrir três documentos. Específica significa escolha por finalidade, e não aceite único para tudo.

Revogável é o item que costuma ser esquecido na implementação. A revogação precisa ser tão simples quanto o aceite, com mecanismo permanente e efeito imediato sobre as categorias desativadas. Guardar a prova do consentimento sem oferecer caminho de retirada transforma um registro a favor da empresa em fragilidade: no momento da reclamação, o ponto não será apenas o que a pessoa aceitou, mas se ela conseguiria mudar de ideia.

A forma mais eficiente de organizar cookies em site ou loja é a tabela de categorias, com finalidade, base legal, prazo e quem instala. Essa tabela orienta três coisas ao mesmo tempo: o texto do aviso, o painel de preferências e o bloqueio técnico antes do consentimento. Sem ela, a implementação vira decisão de cada script, tomada por quem instala a ferramenta, sem critério comum entre as áreas.

A tabela abaixo resume as categorias usuais e o tratamento que cada uma costuma receber. Ela não substitui a análise do caso, mas organiza a conversa entre tecnologia, marketing e jurídico, que é onde a maior parte dos erros de configuração nasce.

A maior parte do risco em site comercial vem de terceiros. Tags de publicidade, pixels de rede social, ferramentas de mapa de calor e plataformas de teste A/B instalam identificadores próprios e podem compartilhar a informação com outras empresas, o que amplia a finalidade do tratamento além do que o visitante tinha em mente. Quando esses scripts carregam antes de qualquer escolha, a empresa coleta sob rastreamento sem base legal definida para aquela pessoa.

A prática mais consistente é bloquear o carregamento dos scripts não necessários até que haja consentimento para a categoria correspondente, e não apenas parar de gravar o cookie depois de ele já ter sido instalado. A diferença tem efeito prático: bloquear o carregamento impede o envio de dado para o terceiro; apagar depois de instalado significa que o dado já saiu. Gerenciadores de tags permitem configurar esse bloqueio, desde que a regra esteja definida e testada. Quando a personalização chega ao ponto de decidir o que cada visitante vê, o tema encosta no que o texto sobre decisão automatizada e revisão humana na LGPD discute.

Vale ainda manter inventário de scripts. Sites mudam com frequência: campanha nova, ferramenta de atendimento, teste de layout. Cada inclusão pode criar novo tratamento, e sem revisão periódica o inventário fica desatualizado em poucos meses. Conferir o que o site carrega, com ferramenta de inspeção, em intervalos definidos é mais confiável do que confiar na memória de quem participou da última alteração.

O registro do consentimento precisa responder a três perguntas: quem escolheu, o que foi exibido e quando. Guardar versão do aviso, data e hora, categorias aceitas e recusadas, identificador do navegador e endereço IP costuma ser suficiente para demonstrar a escolha. Esse conjunto também permite provar que o visitante recusou determinada categoria e que, apesar disso, o site respeitou a recusa, o que é tão relevante quanto demonstrar o aceite.

A política de privacidade e o aviso de cookies precisam contar a mesma história que o painel mostra. Descrever categorias que não existem na implementação, ou omitir terceiros que efetivamente recebem dados, produz incoerência facilmente verificável. A política costuma ser lida em conjunto com o comportamento do site, e a diferença entre eles é o tipo de achado que transforma uma explicação simples em problema formal.

Vale ainda descrever o prazo de retenção de cada categoria e o que acontece após a revogação: quais cookies são eliminados, quais deixam de ser instalados e como isso afeta a experiência de navegação. Informação sobre consequência da escolha reduz reclamação e demonstra que a empresa pensou no ciclo completo, e não apenas no momento em que o aviso aparece na tela. Como esse registro costuma ser pedido por titulares, vale alinhar o fluxo com o texto sobre direitos do titular e resposta a pedidos de dados.

Uma revisão útil começa pelo comportamento, não pelo texto. Abrir o site em navegador limpo, sem escolha registrada, e verificar com ferramenta de inspeção quais cookies são gravados antes de qualquer clique é o primeiro passo. Se aparecerem cookies de análise ou publicidade nesse estado, existe tratamento sem base legal definida, independentemente do que o banner diz. Esse teste simples revela a maior parte dos problemas reais.

Depois, verificar o fluxo de recusa. Recusar todas as categorias opcionais e conferir se os scripts correspondentes deixam de carregar nas visitas seguintes, inclusive nas páginas internas e no checkout, que costumam ser implementadas por equipes diferentes. Em seguida, testar a revogação: alterar a escolha no painel de preferências e confirmar que a mudança tem efeito imediato e que o registro foi atualizado.

Por último, conferir a documentação. A tabela de categorias reflete o que o site faz? A política de privacidade menciona os terceiros que realmente recebem dados? O registro guarda a versão do aviso exibido? Responder a essas três perguntas com data e responsável transforma a revisão em rotina. Sem esse ciclo, a conformidade de cookies envelhece junto com o site, e a próxima alteração de página reabre o problema.