LGPD en Brasil: cookies, consentimiento y scripts de terceros

La LGPD (Lei Geral de Proteção de Dados, la ley de protección de datos de Brasil, Ley nº 13.709/2018) no usa la palabra "cookie", pero se aplica a cualquier cookie, píxel o script que recoja datos personales de quien visita un sitio sujeto a la ley brasileña. Según la lectura de la ANPD, el regulador brasileño, las cookies necesarias para el funcionamiento del sitio pueden apoyarse en el interés legítimo; las cookies de publicidad, perfiles y rastreo entre sitios piden consentimiento; y la medición de audiencia solo se queda en el interés legítimo en condiciones restringidas. En la práctica, el sitio necesita un banner con un botón de rechazar tan visible como el de aceptar, las cookies no necesarias desactivadas hasta que la persona elija, información clara sobre finalidad, plazo y uso compartido, una forma sencilla de cambiar de opinión después y una política accesible. Los scripts de terceros también cuentan, porque cargar un script de otro dominio ya envía datos del visitante a ese dominio.

Este texto explica la ley brasileña y la guía de la ANPD a partir de las fuentes listadas al final, consultadas el 26 de octubre de 2026. Las citas de la ley y de las guías son traducciones del portugués. No es asesoramiento jurídico: cada sitio tiene sus propias finalidades y proveedores, y el análisis del caso concreto corresponde al controlador y a su equipo jurídico.

Lo que la LGPD dice, y lo que no dice, sobre las cookies

La LGPD no tiene un artículo sobre cookies. Regula el tratamiento de datos personales, que el art. 5º, I define como "información relacionada con una persona natural identificada o identificable". Tratamiento es casi cualquier operación con ese dato: recogida, almacenamiento, uso, uso compartido, eliminación (art. 5º, X).

Una cookie es un pequeño archivo que el sitio guarda en el navegador del visitante y lee en las visitas siguientes. No toda cookie contiene datos personales, pero muchas sí: un identificador único que sigue a la misma persona entre páginas y visitas permite, combinado con otra información, llegar a alguien identificable. La guía de cookies de la ANPD (pp. 8 y 9) dice exactamente eso y recuerda que la propia LGPD trata como datos personales los datos "utilizados para la formación del perfil de comportamiento" de una persona identificada (art. 12, § 2º).

Algunos términos de la ley aparecen todo el tiempo en este tema (todos en el art. 5º):

• Titular es la persona a la que se refieren los datos, en este caso el visitante del sitio.

• Controlador es quien toma las decisiones sobre el tratamiento. Por regla general, la empresa dueña del sitio.

• Operador es quien trata datos en nombre del controlador, siguiendo sus instrucciones (art. 39).

• El encarregado es la persona designada para ser el canal de comunicación entre el controlador, los titulares y la ANPD.

La ANPD, que aplica la ley, hoy se llama Agência Nacional de Proteção de Dados (Agencia Nacional de Protección de Datos). El nombre llegó con la Ley nº 15.352, de 25 de febrero de 2026, que modificó el art. 55-A de la LGPD. La guía de cookies es anterior y se publicó cuando el organismo todavía se llamaba Autoridade Nacional de Proteção de Dados (Autoridad Nacional de Protección de Datos).

La guía de la ANPD sobre cookies: fecha y peso

El documento oficial es el Guia Orientativo Cookies e Proteção de Dados Pessoais (guía orientativa sobre cookies y protección de datos personales), versión 1.0, publicación digital de octubre de 2022. El archivo en el portal gov.br tiene registro del 18 de octubre de 2022. En la consulta del 26 de octubre de 2026, la lista de materiales de la ANPD seguía mostrando solo esa versión.

La guía no es una resolución. En las consideraciones finales (p. 37), la ANPD dice que "debe entenderse como una guía de buenas prácticas" y que puede actualizarse. Eso no la vuelve irrelevante: buena parte de las orientaciones son la aplicación directa de reglas de la ley, como la exigencia de un consentimiento libre e inequívoco, y la guía muestra cómo lee la ANPD esas reglas. El texto también dice que las orientaciones valen, de forma general, para tecnologías de rastreo parecidas a las cookies, también en móviles y tabletas (p. 6).

Los tipos de cookie que usa la guía

La guía (pp. 9 a 12) clasifica las cookies según cuatro criterios, y una misma cookie puede caer en más de una categoría:

La división que más pesa es la de necesaria y no necesaria, porque es la que orienta la elección de la base legal.

Bases legales: consentimiento o interés legítimo

El art. 7º de la LGPD enumera diez supuestos que autorizan el tratamiento, las llamadas bases legales. Para las cookies, la guía de la ANPD trata las dos más comunes, consentimiento e interés legítimo, y advierte que otras pueden servir en casos concretos (p. 17). También dice que no existe "jerarquía ni preferencia entre los supuestos legales" (p. 20).

Consentimiento

La ley define el consentimiento como una "manifestación libre, informada e inequívoca" del titular para una finalidad determinada (art. 5º, XII). El art. 8º añade que "las autorizaciones genéricas para el tratamiento de datos personales serán nulas" (§ 4º), que la revocación puede hacerse en cualquier momento "mediante un procedimiento gratuito y sencillo" (§ 5º) y que "corresponde al controlador la carga de la prueba" de que el consentimiento es válido (§ 2º).

La guía (pp. 17 a 20) traslada eso al banner de cookies:

• Libre quiere decir que la persona puede rechazar sin consecuencias negativas. Condicionar el acceso a la aceptación de todas las cookies, sin una opción real, no es compatible con la LGPD, aunque la guía dice que eso se evalúa caso por caso.

• Informado quiere decir que la persona conoce la finalidad específica, el plazo de retención y el resto de la información del art. 9º antes de decidir.

• Inequívoco quiere decir una acción clara y positiva. La guía dice que "no es recomendable el uso de banners de cookies con opciones de autorización preseleccionadas" ni tratar el hecho de seguir navegando como aceptación.

• La revocación debe ser tan sencilla como fue dar el consentimiento, y es buena práctica registrar y documentar cómo se obtuvo el consentimiento.

Si las cookies recogen datos sensibles (salud, religión, orientación sexual y otros del art. 5º, II), el consentimiento tiene que darse "de forma específica y destacada" (art. 11, I).

La guía también dice lo contrario: el consentimiento no es la base adecuada para las cookies estrictamente necesarias, porque la persona no tiene una elección real sobre algo sin lo cual el sitio no funciona (p. 20).

Interés legítimo

El interés legítimo (art. 7º, IX) autoriza tratar datos no sensibles para atender intereses legítimos del controlador o de un tercero, salvo cuando prevalecen los derechos y libertades del titular. La ley limita su uso: "solo podrán tratarse los datos personales estrictamente necesarios para la finalidad pretendida" (art. 10, § 1º), el controlador tiene que dar transparencia al tratamiento (art. 10, § 2º) y el titular puede oponerse si no se cumple la ley (art. 18, § 2º). El art. 37 pide un registro de las operaciones, "especialmente cuando se basen en el interés legítimo".

Antes de usar esta base, el controlador tiene que evaluar si prevalecen los derechos del titular. En febrero de 2024 la ANPD publicó una guía sobre el interés legítimo con un modelo de prueba de ponderación en tres fases: finalidad, necesidad, y ponderación y salvaguardas.

Para las cookies, la guía de 2022 señala tres situaciones (pp. 24 y 25):

• Cookies estrictamente necesarias: el interés legítimo "podrá ser el supuesto legal apropiado", de forma general.

• Medición de audiencia: puede quedarse en el interés legítimo "en determinados contextos", cuando el tratamiento se limita a identificar patrones con datos agregados, sin combinarlos con otros mecanismos de rastreo y sin crear perfiles.

• Publicidad: "difícilmente el interés legítimo será el supuesto legal más apropiado", sobre todo con cookies de terceros, perfiles de comportamiento y rastreo entre sitios. Aquí la guía apunta al consentimiento.

Resumen por tipo de cookie

La tabla resume la guía; no sustituye el análisis. La propia guía repite que cada situación concreta tiene que evaluarse.

Qué debe hacer el banner de cookies, según la ANPD

La guía (pp. 30 a 33) presenta estas orientaciones como buenas prácticas no exhaustivas. Algunas se derivan directamente de la ley, como la posibilidad de rechazar y la aceptación no premarcada; otras son recomendaciones de diseño.

Primer nivel (el aviso que aparece al entrar)

• Tener un botón para rechazar todas las cookies no necesarias, fácil de ver, también en el segundo nivel.

• Tener un enlace de fácil acceso para que la persona ejerza sus derechos: saber cómo se usan los datos y durante cuánto tiempo, pedir la eliminación, oponerse o revocar el consentimiento.

Segundo nivel (la pantalla de preferencias)

• Separar las cookies en categorías y describir cada una por su uso y su finalidad, en lenguaje sencillo.

• Permitir un consentimiento separado para cada finalidad, cuando corresponda.

• Dejar desactivadas por defecto las cookies basadas en el consentimiento.

• Explicar cómo bloquear las cookies en la configuración del navegador y avisar si algún rastreador no puede bloquearse así.

La guía hace una salvedad sobre el navegador: gestionar las cookies desde allí tiene una "función complementaria" y no exime al sitio de tener un mecanismo propio para que la persona gestione las cookies y ejerza sus derechos (p. 15).

Qué evitar

• Un único botón ("estoy de acuerdo", "acepto", "entendido") sin opción de gestionar, cuando la base es el consentimiento.

• Un botón de rechazar o de configurar escondido o difícil de entender, con destaque solo para la aceptación.

• Impedir o dificultar el rechazo de todas las cookies no necesarias.

• Cookies no necesarias ya activadas, a la espera de que la persona las desactive una por una.

• No tener segundo nivel.

• No ofrecer un camino directo para revocar el consentimiento y oponerse al tratamiento, además del bloqueo en el navegador.

• Juntar finalidades distintas en una sola opción.

• Información sobre cookies solo en un idioma extranjero.

• Una lista tan detallada que cansa e impide una decisión clara.

• Condicionar el consentimiento a la aceptación de todas las cookies, sin una opción efectiva.

En los ejemplos de la guía, el banner considerado adecuado tiene tres botones con el mismo formato y destaque ("aceptar todas", "rechazar todas", "gestionar"), un segundo nivel por categoría y las no necesarias desactivadas por defecto. Aun así, en uno de los ejemplos (p. 22), la ANPD señala que faltaba el mecanismo sencillo de revocación para que la página fuera compatible con la LGPD. Un enlace permanente en el pie de página que vuelva a abrir las preferencias es una forma de cumplir ese punto.

Política de privacidad y política de cookies

El art. 9º de la LGPD da al titular derecho a recibir información presentada "de forma clara, adecuada y ostensiva" sobre:

1. la finalidad específica del tratamiento;

2. la forma y la duración del tratamiento;

3. la identificación del controlador;

4. la información de contacto del controlador;

5. "la información sobre el uso compartido de datos por el controlador y su finalidad";

6. las responsabilidades de los agentes que harán el tratamiento;

7. los derechos del titular, con mención explícita de los del art. 18.

Si el consentimiento se pide con información engañosa o abusiva, o sin transparencia previa, es nulo (art. 9º, § 1º).

La guía (pp. 28 y 29) recomienda una política de cookies y dice que puede estar en una sección de la política de privacidad, en una página aparte o dentro de las capas del propio banner, siempre que contenga la información esencial. Distingue los dos instrumentos: el banner es el aviso resumido con los controles; la política es el texto detallado. En el ejemplo 7, la ANPD observa que dejar la información sobre cookies solo en la política de privacidad puede no bastar, porque no todo el mundo abre esa página. La política de privacidad en su conjunto tiene su propio artículo: qué pide la LGPD en una política de privacidad.

Dos puntos merecen revisión en la política de cookies:

• Plazo de retención. Para la guía, los "períodos de retención indeterminados, excesivos o desproporcionados" en relación con la finalidad no son compatibles con la LGPD (p. 17).

• Contacto del encarregado. La identidad y el contacto del encarregado deben divulgarse públicamente, "preferentemente en el sitio electrónico del controlador" (art. 41, § 1º). Los agentes de tratamiento de pequeño tamaño, como microempresas y startups, pueden no designar encarregado, pero tienen que ofrecer un canal de comunicación con el titular (Resolución CD/ANPD nº 2/2022, art. 11).

Los scripts de terceros también son uso compartido de datos

Cuando una página carga un script, píxel, fuente, vídeo o widget de otro dominio, el navegador del visitante hace una petición a ese dominio. Esa petición lleva la dirección IP del visitante (sin ella la respuesta no llega), suele llevar la dirección de la página de origen en la cabecera Referer (MDN) y lleva las cookies que ese dominio ya haya guardado en el navegador. Todo eso ocurre antes de que se cree ninguna cookie nueva. Por eso mirar solo la lista de cookies no muestra todo el flujo de datos de un sitio.

El Comité Europeo de Protección de Datos describe el píxel de seguimiento como un recurso, por lo general una imagen, cuyo único propósito suele ser hacer que el navegador se comunique con el dueño del píxel (EDPB, Directrices 2/2023, punto 47). La descripción técnica vale para cualquier país; la consecuencia jurídica en Brasil viene de la LGPD.

Lo que dice la LGPD sobre esto:

• El titular tiene derecho a conocer el uso compartido de datos y su finalidad (art. 9º, V) y a ser informado de las entidades públicas y privadas con las que el controlador compartió datos (art. 18, VII).

• Quien obtuvo el consentimiento y necesita compartir los datos con otros controladores debe obtener un consentimiento específico para eso, salvo las dispensas previstas en la ley (art. 7º, § 5º).

• El operador trata los datos según las instrucciones del controlador, y el controlador verifica que se cumplan las instrucciones y las normas (art. 39).

Que cada proveedor de scripts sea operador u otro controlador depende de quién decide las finalidades. Un servicio que solo procesa datos para el sitio, bajo sus instrucciones, tiende a ser operador. Una red publicitaria que usa los datos también para sus propios fines decide finalidades y se acerca a la figura de controlador. Es una lectura de las definiciones del art. 5º, VI y VII, no una regla cerrada; hay que leer los contratos y la documentación de cada proveedor. El artículo Píxeles y scripts de terceros: qué datos salen de tu sitio detalla los casos más comunes.

La consecuencia práctica para el banner: rechazar o no responder tiene que impedir la carga del script de terceros, no solo ocultar el aviso. Si el píxel publicitario se carga antes del clic, los datos ya salieron, y el "desactivado por defecto" que pide la guía no se cumplió.

Checklist práctico

Los puntos siguientes son recomendaciones elaboradas a partir de la ley y de la guía de la ANPD. La referencia de cada uno está en las secciones anteriores.

1. Hacer el inventario. Para cada página relevante, listar cookies, elementos de almacenamiento local (localStorage) y scripts de terceros, con dominio, finalidad, plazo y quién recibe los datos. Los plugins, los temas y los gestores de etiquetas también cargan scripts y entran en la lista.

2. Clasificar cada elemento como necesario o no necesario y por finalidad.

3. Definir la base legal por finalidad. Si es el interés legítimo, hacer y guardar la prueba de ponderación.

4. Bloquear antes de la aceptación. Los scripts no necesarios solo se cargan después del consentimiento para su categoría.

5. Montar el primer nivel con aceptar, rechazar las no necesarias y gestionar, todos con el mismo destaque, y un enlace a los derechos del titular.

6. Montar el segundo nivel con categorías descritas en lenguaje sencillo, las no necesarias desactivadas y las necesarias marcadas como siempre activas.

7. Dejar un enlace permanente, en el pie de página por ejemplo, que vuelva a abrir las preferencias para revocar o cambiar la elección.

8. Registrar el consentimiento: qué se aceptó, cuándo y con qué versión del texto, porque la prueba corresponde al controlador.

9. Publicar la política de cookies con finalidades, plazos, terceros que reciben datos, derechos y contacto del encarregado o canal de atención, en portugués.

10. Reducir plazos: preferir cookies de sesión cuando basten y acortar las persistentes.

11. Revisar con cada nueva etiqueta, plugin o campaña. Si cambia la finalidad, el consentimiento anterior no la cubre (guía, p. 18; LGPD, art. 9º, § 2º).

Diferencias con la regla europea de cookies

En la Unión Europea, la regla sobre cookies está en el art. 5(3) de la Directiva ePrivacy (2002/58/CE), no solo en el RGPD. Según las Directrices 2/2023 del EDPB (versión 2.0, adoptada el 7 de octubre de 2024), esa regla protege cualquier "información" almacenada o leída en el dispositivo del usuario, sea o no un dato personal (puntos 6 a 12, que citan al Tribunal de Justicia de la UE). Las excepciones al consentimiento, según el texto del artículo reproducido en las directrices, son el almacenamiento o acceso usado solo para transmitir la comunicación y el estrictamente necesario para prestar un servicio que el usuario pidió expresamente.

En Brasil no existe una regla aparte sobre guardar información en el dispositivo. La LGPD solo entra cuando hay datos personales, y las bases legales son las del art. 7º, incluido el interés legítimo, que la guía de la ANPD admite para las necesarias y, en condiciones restringidas, para la medición de audiencia.

Dos consecuencias prácticas. Si en el sitio todo lo que no es estrictamente necesario espera al consentimiento, la cuestión de la base legal queda cubierta también en Brasil; el diseño del banner aún tiene que contrastarse con la lista de la ANPD. El camino inverso no vale: medir la audiencia con base en el interés legítimo, como admite la guía en ciertos contextos, no se traslada automáticamente a los visitantes europeos. El EDPB dice que las excepciones al consentimiento se analizan caso por caso, según la transposición de cada país y las orientaciones de las autoridades nacionales (punto 4).

Cuándo algo de esto no se aplica

• Sitio personal sin fines económicos. La LGPD no se aplica al tratamiento hecho por una persona natural "con fines exclusivamente particulares y no económicos" (art. 4º, I). Un blog personal con anuncios o venta de productos ya tiene un fin económico.

• Fines exclusivamente periodísticos, artísticos o académicos (art. 4º, II). La exclusión se refiere a la finalidad del tratamiento. Las cookies de publicidad o de analytics en un sitio de noticias tienen otra finalidad, así que difícilmente quedan fuera de la ley. Es una interpretación del texto legal, no una regla expresa.

• Sitio extranjero. La ley se aplica con independencia del país de la sede cuando el tratamiento ocurre en Brasil, cuando la oferta se dirige a personas en Brasil o cuando los datos se recogen en Brasil, lo que incluye al titular que está en el país en el momento de la recogida (art. 3º y § 1º).

• Los datos realmente anonimizados no son datos personales (art. 12), salvo que la anonimización pueda revertirse con esfuerzos razonables. Un identificador único persistente no es anonimización.

• Las cookies necesarias no requieren consentimiento, pero sí transparencia y respeto a los derechos del titular (art. 7º, § 6º).

• El pequeño tamaño no es una exención. La Resolución CD/ANPD nº 2/2022 simplifica obligaciones, como la del encarregado, pero la LGPD sigue aplicándose.

• El sector público y los sitios dirigidos a niños siguen reglas adicionales (guía, pp. 20 y 24; LGPD, art. 14) que este texto no cubre.

Qué sanciones prevé la ley

El art. 52 de la LGPD enumera las sanciones administrativas que puede aplicar la ANPD, entre ellas advertencia, multa simple de hasta el 2% de la facturación en Brasil en el último ejercicio, "limitada, en total, a R$ 50.000.000,00 (cincuenta millones de reales) por infracción", publicidad de la infracción, bloqueo y eliminación de los datos. Las sanciones llegan después de un procedimiento administrativo con derecho de defensa y tienen en cuenta criterios como la gravedad, la buena fe, la reincidencia y la cooperación (§ 1º). El titular también puede presentar una petición contra el controlador ante la ANPD (art. 18, § 1º). Este texto no cita casos concretos de cookies: en las fuentes oficiales consultadas no apareció ninguna decisión de la ANPD sobre el tema.

Cómo revisar tu sitio

Puedes hacer una primera revisión a mano. Abre el sitio en una ventana de incógnito, sin hacer clic en el banner, y mira en Chrome DevTools la lista de cookies guardadas (panel Application) y las peticiones a otros dominios (panel Network). Si aparecen cookies de publicidad o llamadas a redes publicitarias antes de cualquier elección, la configuración no bloquea lo que debería.

El verificador de cookies de WebVyze, gratuito, hace esa lectura de forma automática: muestra las cookies guardadas antes de cualquier clic, los rastreadores encontrados en el HTML, si hay herramienta de consentimiento y si existe un enlace a la política de privacidad. La verificación gratuita revisa los riesgos de privacidad y accesibilidad de la página de inicio. En los planes de pago, WebVyze monitorea los sitios y mantiene un inventario de los scripts de terceros. Las herramientas muestran evidencias; no dejan el sitio en cumplimiento y no sustituyen el análisis jurídico.