Seu site
Você acessa um site e, segundos depois, surge o conhecido banner de cookies:
“Aceitar”
“Recusar”
“Gerenciar preferências”
A impressão transmitida é simples: até que uma escolha seja feita, determinadas formas de rastreamento permanecerão desativadas.
Na prática, nem sempre é isso que acontece.
Levantamentos técnicos realizados em sites brasileiros têm identificado situações nas quais mecanismos de coleta, analytics, publicidade ou rastreamento são acionados antes mesmo de o visitante interagir com o banner de consentimento.
Em uma análise divulgada pelo HOC Guard, aproximadamente 80% dos sites examinados apresentaram algum mecanismo de coleta ou rastreamento antes da interação do usuário com o banner.
O resultado merece atenção.
Mas também exige uma distinção importante: isso não significa automaticamente que 80% dos sites brasileiros estejam violando a LGPD. O percentual se refere à amostra analisada e, principalmente, a existência de uma requisição de rastreamento não é, isoladamente, suficiente para concluir pela existência de uma infração.
O verdadeiro problema está em outra pergunta:
o site está executando tratamentos que dependem do consentimento antes de o consentimento existir?
Um dos erros mais comuns na implementação de programas de privacidade é tratar o banner de cookies como se ele próprio fosse o mecanismo de conformidade.
Não é.
O banner é apenas uma interface apresentada ao usuário. Por trás dele deve existir uma arquitetura técnica capaz de controlar efetivamente quais tecnologias podem ser executadas em cada situação.
Um site pode apresentar uma interface aparentemente adequada, com opções para aceitar, rejeitar ou personalizar cookies, e ainda assim carregar imediatamente ferramentas como:
Se essas tecnologias dependem juridicamente do consentimento e são executadas antes da manifestação do titular, existe uma inconsistência entre aquilo que a interface promete e aquilo que o sistema efetivamente faz.
É o que podemos chamar de compliance visual sem enforcement técnico.
Outro erro frequente é afirmar que a LGPD exige consentimento para qualquer utilização de cookies.
Não exige.
A Lei Geral de Proteção de Dados prevê diferentes bases legais para o tratamento de dados pessoais. O consentimento é apenas uma delas.
O artigo 7º da LGPD prevê, entre outras hipóteses, tratamento baseado em consentimento, cumprimento de obrigação legal, execução de contrato e legítimo interesse.
Por isso, a análise de um cookie ou rastreador não deve começar simplesmente pela pergunta:
“O usuário aceitou?”
A análise correta é mais ampla:
Que dado está sendo tratado, para qual finalidade e sob qual base legal?
Cookies estritamente necessários para autenticação, segurança, funcionamento de uma sessão ou determinadas funcionalidades essenciais podem possuir tratamento jurídico diferente de tecnologias empregadas para publicidade comportamental, profiling ou determinadas modalidades de analytics.
A classificação técnica e jurídica precisa considerar a finalidade concreta do tratamento.
Quando determinado tratamento efetivamente depende do consentimento, existe uma consequência lógica fundamental:
o tratamento não pode começar antes da manifestação válida do titular.
A LGPD define consentimento como uma manifestação livre, informada e inequívoca, relacionada a uma finalidade determinada. Também atribui ao controlador o ônus de demonstrar que esse consentimento foi obtido de acordo com a lei.
A Autoridade Nacional de Proteção de Dados — ANPD — reforça essa interpretação em seu Guia Orientativo sobre Cookies e Proteção de Dados Pessoais.
A Autoridade desaconselha, por exemplo, opções previamente selecionadas e mecanismos de consentimento tácito, como presumir que o simples ato de continuar navegando representa autorização para tratamento. A ANPD também recomenda que a revogação do consentimento seja simples e gratuita e destaca a necessidade de registro e documentação da manifestação do titular.
Portanto, se determinado pixel de publicidade somente pode ser ativado após consentimento, a sequência tecnicamente esperada seria:
acesso ao site → apresentação das opções → manifestação do usuário → registro da escolha → ativação das tecnologias autorizadas.
Uma implementação problemática poderia seguir outra sequência:
acesso ao site → carregamento dos rastreadores → transmissão de dados → apresentação do banner → manifestação do usuário.
Nesse segundo cenário, a escolha ocorre depois que parte do tratamento já aconteceu.
Ao abrir uma página, o navegador pode realizar dezenas ou até centenas de requisições em poucos segundos.
Algumas são necessárias para carregar o próprio site. Outras podem estabelecer comunicação com terceiros.
Dependendo da implementação, essas requisições podem transmitir informações como:
Isoladamente ou em conjunto com outras informações, parte desses elementos pode permitir a identificação direta ou indireta de um indivíduo e, consequentemente, entrar no âmbito de aplicação da LGPD.
Por isso, uma auditoria de cookies não deveria observar apenas o que aparece armazenado na área de cookies do navegador.
É necessário analisar também as requisições de rede realizadas pela página.
Imagine um site que apresente duas opções claramente visíveis:
Aceitar todos
Recusar todos
Do ponto de vista da interface, parece existir liberdade de escolha.
Agora imagine que, independentemente da opção escolhida, os mesmos pixels publicitários continuem sendo carregados e enviando informações para terceiros.
Nesse caso, a questão deixa de ser puramente visual.
É necessário verificar se a preferência registrada pelo usuário efetivamente modifica o comportamento do sistema.
Uma implementação tecnicamente adequada deve conseguir responder perguntas como:
Essas perguntas transformam uma política abstrata em algo testável.
Em muitos sites, o banner de consentimento não controla diretamente cada ferramenta.
O fluxo costuma envolver um gerenciador de tags.
Ferramentas como Google Tag Manager permitem configurar dezenas de scripts a partir de um único ponto central. Isso facilita muito a administração do site, mas também cria risco de configuração incorreta.
Um novo pixel pode ser adicionado ao gerenciador e configurado para disparar no carregamento de todas as páginas.
Se não existir uma regra de consentimento adequada, esse script poderá ser executado antes da escolha do usuário, ainda que o site possua uma plataforma de gerenciamento de consentimento instalada.
Por isso, instalar uma CMP — Consent Management Platform — não resolve automaticamente o problema.
É necessário integrar a CMP aos mecanismos que realmente controlam os scripts.
Um ponto técnico frequentemente negligenciado é a diferença entre armazenar a escolha e aplicar a escolha.
Um sistema pode registrar:
marketing = false
e, ainda assim, continuar executando uma tag de publicidade porque o script responsável por ela não consulta essa informação antes de ser carregado.
Há, portanto, pelo menos duas funções distintas:
Consent management: registrar e administrar a preferência.
Consent enforcement: impedir ou permitir tecnicamente a execução de determinados tratamentos conforme essa preferência.
A conformidade depende das duas.
Auditorias simples podem deixar passar outro comportamento relevante.
Um script aparentemente inofensivo pode carregar um segundo script, que chama um terceiro domínio, que finalmente instala um identificador ou transmite dados.
Por isso, a análise não deve se limitar ao HTML inicial da página.
É necessário observar a cadeia real de execução no navegador.
Isso pode incluir:
Essa abordagem permite identificar comportamentos que não aparecem claramente no código-fonte inicial.
Outra discussão recorrente ocorre quando empresas utilizam o legítimo interesse como fundamento para determinadas atividades.
A LGPD prevê essa base legal, mas estabelece limites. O artigo 7º, IX, permite o tratamento quando necessário para atender aos interesses legítimos do controlador ou de terceiro, desde que não prevaleçam direitos e liberdades fundamentais do titular que exijam proteção dos dados pessoais.
Isso significa que simplesmente declarar “legítimo interesse” em uma política de privacidade não encerra a análise.
É necessário avaliar, entre outros fatores:
Quanto mais invasiva for a tecnologia de rastreamento, maior tende a ser a necessidade de uma avaliação cuidadosa.
Uma auditoria técnica básica pode comparar pelo menos três estados diferentes do site.
O navegador deve ser iniciado em ambiente limpo, sem cookies ou dados anteriores.
Registra-se tudo o que ocorre desde a primeira requisição até a apresentação do banner.
Esse teste responde:
o que o site executa antes da escolha?
O teste é repetido selecionando a opção de rejeição.
Depois são analisados:
O objetivo é responder:
a rejeição efetivamente altera o comportamento técnico?
Finalmente, realiza-se o mesmo procedimento após consentimento.
Comparando os três estados, torna-se possível identificar quais tecnologias dependem efetivamente da preferência escolhida.
Em uma implementação consistente, é esperado que exista diferença observável entre os estados de rejeição e aceitação quando há tratamentos baseados em consentimento.
Sites são sistemas dinâmicos.
Um banner pode funcionar corretamente no momento de sua implantação e deixar de funcionar meses depois.
Isso acontece porque o ambiente muda:
Por isso, conformidade de cookies não deveria ser tratada como uma atividade executada uma única vez.
Ela exige monitoramento e testes periódicos.
A principal lição desse debate é simples.
Uma política de privacidade pode estar perfeitamente redigida.
Um banner pode ter excelente design.
Uma plataforma de consentimento pode estar instalada corretamente.
Nada disso prova, por si só, que a preferência do usuário está sendo respeitada.
Em proteção de dados, é necessário observar o comportamento real do sistema.
Quando o tratamento depende de consentimento, o princípio deveria ser inequívoco:
sem consentimento, sem ativação.
E quando outra base legal for utilizada, essa decisão precisa estar juridicamente fundamentada, tecnicamente implementada e adequadamente documentada.
A maturidade de um programa de privacidade começa quando a organização deixa de perguntar apenas:
“Temos um banner de cookies?”
e passa a perguntar:
“Conseguimos provar que o nosso site realmente faz aquilo que o banner promete?”
Esse é o ponto em que privacidade deixa de ser apenas uma declaração jurídica e passa a fazer parte da arquitetura do sistema.
A popularização de smart glasses e outros dispositivos vestíveis equipados com câmeras, microfones e inteligência…
Casos recentes envolvendo Microsoft/Xandr, redes globais de publicidade e empresas brasileiras mostram uma mudança importante…
O domínio .br ultrapassou a marca de 6 milhões de endereços registrados, consolidando o Brasil…
O custo médio de uma violação de dados no Brasil atingiu R$ 7,44 milhões em…
Agência avança no monitoramento de sistemas de IA que utilizam dados pessoais e cria novo…
Estudo mostra forte contraste entre a maturidade do SEO tradicional e a capacidade dos sites…