LGPD em sites: cookies, consentimento e scripts de terceiros

A LGPD (Lei nº 13.709/2018) não usa a palavra "cookie", mas vale para qualquer cookie, pixel ou script que colete dado pessoal de quem visita o site. Na leitura da ANPD, cookies necessários ao funcionamento do site podem se apoiar no legítimo interesse; cookies de publicidade, perfis e rastreamento entre sites pedem consentimento; e medição de audiência só fica no legítimo interesse em condições restritas. Na prática, o site precisa de um banner com botão de rejeitar tão visível quanto o de aceitar, cookies não necessários desligados até a pessoa escolher, informação clara sobre finalidade, prazo e compartilhamento, um jeito simples de mudar de ideia depois e uma política acessível. Scripts de terceiros entram na conta, porque carregar um script de outro domínio já envia dados do visitante para esse domínio.

Este texto explica a lei e o guia da ANPD com base nas fontes listadas no fim, consultadas em 26 de outubro de 2026. Não é parecer jurídico: cada site tem finalidades e fornecedores próprios, e a análise do caso concreto cabe ao controlador e ao seu jurídico.

O que a LGPD diz, e o que não diz, sobre cookies

A LGPD não tem um artigo sobre cookies. Ela regula o tratamento de dado pessoal, que o art. 5º, I define como "informação relacionada a pessoa natural identificada ou identificável". Tratamento é quase qualquer operação com esse dado: coleta, armazenamento, uso, compartilhamento, eliminação (art. 5º, X).

Um cookie é um pequeno arquivo que o site grava no navegador do visitante e lê nas visitas seguintes. Nem todo cookie carrega dado pessoal, mas muitos carregam: um identificador único que acompanha a mesma pessoa entre páginas e visitas permite, combinado com outras informações, chegar a alguém identificável. O guia de cookies da ANPD (pp. 8 e 9) diz exatamente isso e lembra que a própria LGPD trata como dado pessoal os dados "utilizados para formação do perfil comportamental" de uma pessoa identificada (art. 12, § 2º).

Alguns termos da lei aparecem o tempo todo neste assunto (todos no art. 5º):

• Titular é a pessoa a quem os dados se referem, no caso o visitante do site.

• Controlador é quem toma as decisões sobre o tratamento. Em regra, a empresa dona do site.

• Operador é quem trata dados em nome do controlador, seguindo as instruções dele (art. 39).

• Encarregado é a pessoa indicada para ser o canal de comunicação entre o controlador, os titulares e a ANPD.

A ANPD, que aplica a lei, hoje se chama Agência Nacional de Proteção de Dados. O nome veio com a Lei nº 15.352, de 25 de fevereiro de 2026, que alterou o art. 55-A da LGPD. O guia de cookies é anterior e foi publicado quando o órgão ainda se chamava Autoridade Nacional de Proteção de Dados.

O guia da ANPD sobre cookies: data e peso

O documento oficial é o Guia Orientativo Cookies e Proteção de Dados Pessoais, versão 1.0, publicação digital de outubro de 2022. O arquivo no portal gov.br tem registro de 18 de outubro de 2022. Na consulta de 26 de outubro de 2026, a lista de materiais da ANPD continuava mostrando só essa versão.

O guia não é uma resolução. Nas considerações finais (p. 37), a ANPD diz que ele "deve ser entendido como um guia de boas práticas" e que pode ser atualizado. Isso não o torna irrelevante: boa parte das orientações é a aplicação direta de regras da lei, como a exigência de consentimento livre e inequívoco, e o guia mostra como a ANPD lê essas regras. O texto também diz que as orientações valem, de forma geral, para tecnologias de rastreamento parecidas com cookies, inclusive em celulares e tablets (p. 6).

Os tipos de cookie que o guia usa

O guia (pp. 9 a 12) classifica os cookies por quatro critérios, e um mesmo cookie pode cair em mais de uma categoria:

A divisão que mais pesa é entre necessário e não necessário, porque é ela que orienta a escolha da base legal.

Bases legais: consentimento ou legítimo interesse

O art. 7º da LGPD lista dez hipóteses que autorizam o tratamento, as chamadas bases legais. Para cookies, o guia da ANPD trata das duas mais comuns, consentimento e legítimo interesse, e avisa que outras podem servir em casos específicos (p. 17). Também diz que não existe "hierarquia ou preferência entre as hipóteses legais" (p. 20).

Consentimento

A lei define consentimento como "manifestação livre, informada e inequívoca" do titular para uma finalidade determinada (art. 5º, XII). O art. 8º acrescenta que "as autorizações genéricas para o tratamento de dados pessoais serão nulas" (§ 4º), que a revogação pode ser feita a qualquer momento "por procedimento gratuito e facilitado" (§ 5º) e que "Cabe ao controlador o ônus da prova" de que o consentimento é válido (§ 2º).

O guia (pp. 17 a 20) traduz isso para o banner de cookies:

• Livre quer dizer que a pessoa pode recusar sem consequência negativa. Condicionar o acesso ao aceite de todos os cookies, sem opção real, não é compatível com a LGPD, embora o guia diga que isso se avalia caso a caso.

• Informado quer dizer que a pessoa sabe a finalidade específica, o prazo de retenção e as demais informações do art. 9º antes de decidir.

• Inequívoco quer dizer uma ação clara e positiva. O guia diz que "não é recomendável a utilização de banners de cookies com opções de autorização pré-selecionadas" nem tratar a continuação da navegação como aceite.

• A revogação deve ser tão simples quanto foi dar o consentimento, e é boa prática registrar e documentar como o consentimento foi obtido.

Se os cookies coletarem dado sensível (saúde, religião, orientação sexual e outros do art. 5º, II), o consentimento precisa ser dado "de forma específica e destacada" (art. 11, I).

O guia também diz o contrário: consentimento não é a base adequada para cookies estritamente necessários, porque a pessoa não tem escolha real sobre algo sem o qual o site não funciona (p. 20).

Legítimo interesse

O legítimo interesse (art. 7º, IX) autoriza tratar dados não sensíveis para atender interesses legítimos do controlador ou de terceiro, exceto quando prevalecem os direitos e liberdades do titular. A lei limita o uso: "somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados" (art. 10, § 1º), o controlador precisa dar transparência ao tratamento (art. 10, § 2º) e o titular pode se opor se a lei não for cumprida (art. 18, § 2º). O art. 37 pede registro das operações, "especialmente quando baseado no legítimo interesse".

Antes de usar essa base, o controlador precisa avaliar se os direitos do titular prevalecem. A ANPD publicou em fevereiro de 2024 um guia sobre legítimo interesse com um modelo de teste de balanceamento em três fases: finalidade, necessidade, e balanceamento e salvaguardas.

Para cookies, o guia de 2022 aponta três situações (pp. 24 e 25):

• Cookies estritamente necessários: o legítimo interesse "poderá ser a hipótese legal apropriada", de forma geral.

• Medição de audiência: pode ficar no legítimo interesse "em determinados contextos", quando o tratamento se limita a identificar padrões com dados agregados, sem combinar com outros mecanismos de rastreamento e sem formar perfis.

• Publicidade: "o legítimo interesse dificilmente será a hipótese legal mais apropriada", principalmente com cookies de terceiros, perfis comportamentais e rastreamento entre sites. Aqui o guia aponta o consentimento.

Resumo por tipo de cookie

A tabela resume o guia, não substitui a análise. O próprio guia repete que cada situação concreta precisa ser avaliada.

O que o banner de cookies deve fazer, segundo a ANPD

O guia (pp. 30 a 33) apresenta estas orientações como boas práticas não exaustivas. Algumas decorrem direto da lei, como a recusa possível e o aceite não pré-marcado; outras são recomendações de desenho.

Primeiro nível (o aviso que aparece ao entrar)

• Ter um botão para rejeitar todos os cookies não necessários, fácil de ver, também no segundo nível.

• Ter um link de fácil acesso para a pessoa exercer seus direitos: saber como os dados são usados e por quanto tempo, pedir eliminação, se opor ou revogar o consentimento.

Segundo nível (a tela de preferências)

• Separar os cookies em categorias e descrever cada uma pelo uso e pela finalidade, em linguagem simples.

• Permitir consentimento separado para cada finalidade, quando couber.

• Deixar desativados por padrão os cookies baseados em consentimento.

• Explicar como bloquear cookies nas configurações do navegador e avisar se algum rastreador não puder ser bloqueado assim.

O guia faz uma ressalva sobre o navegador: gerenciar cookies por lá tem "função complementar" e não dispensa um mecanismo próprio do site para a pessoa gerenciar cookies e exercer direitos (p. 15).

O que evitar

• Um único botão ("concordo", "aceito", "ciente") sem opção de gerenciar, quando a base é o consentimento.

• Botão de rejeitar ou de configurar escondido ou difícil de entender, com destaque só para o aceite.

• Impedir ou dificultar a recusa de todos os cookies não necessários.

• Cookies não necessários já ligados, esperando a pessoa desligar um por um.

• Não ter segundo nível.

• Não oferecer um caminho direto para revogar o consentimento e se opor ao tratamento, além do bloqueio pelo navegador.

• Juntar finalidades diferentes numa opção só.

• Informações sobre cookies apenas em idioma estrangeiro.

• Uma lista tão detalhada que cansa e impede uma decisão clara.

• Condicionar o consentimento ao aceite integral de todos os cookies, sem opção efetiva.

Nos exemplos do guia, o banner considerado adequado tem três botões com o mesmo formato e destaque ("aceitar todos", "rejeitar todos", "gerenciar"), segundo nível por categoria e não necessários desligados por padrão. Mesmo assim, num dos exemplos (p. 22), a ANPD aponta que faltava o mecanismo simples de revogação para a página ficar compatível com a LGPD. Um link permanente no rodapé que reabre as preferências é uma forma de atender esse ponto.

Política de privacidade e política de cookies

O art. 9º da LGPD dá ao titular direito a informações apresentadas "de forma clara, adequada e ostensiva" sobre:

1. finalidade específica do tratamento;

2. forma e duração do tratamento;

3. identificação do controlador;

4. informações de contato do controlador;

5. "informações acerca do uso compartilhado de dados pelo controlador e a finalidade";

6. responsabilidades dos agentes que farão o tratamento;

7. direitos do titular, com menção explícita aos do art. 18.

Se o consentimento for pedido com informação enganosa ou abusiva, ou sem transparência prévia, ele é nulo (art. 9º, § 1º).

O guia (pp. 28 e 29) recomenda uma política de cookies e diz que ela pode ficar numa seção da política de privacidade, numa página separada ou dentro das camadas do próprio banner, desde que as informações essenciais estejam lá. Ele diferencia os dois instrumentos: o banner é o aviso resumido com os controles; a política é o texto detalhado. No exemplo 7, a ANPD observa que deixar as informações de cookies só na política de privacidade pode não bastar, porque nem todo mundo abre essa página. O tema da política de privacidade como um todo tem artigo próprio: o que a LGPD pede numa política de privacidade.

Dois itens merecem conferência na política de cookies:

• Prazo de retenção. Para o guia, "períodos de retenção indeterminados, excessivos ou desproporcionais" em relação à finalidade não são compatíveis com a LGPD (p. 17).

• Contato do encarregado. A identidade e o contato do encarregado devem ser divulgados publicamente, "preferencialmente no sítio eletrônico do controlador" (art. 41, § 1º). Agentes de tratamento de pequeno porte, como microempresas e startups, podem não indicar encarregado, mas precisam oferecer um canal de comunicação com o titular (Resolução CD/ANPD nº 2/2022, art. 11).

Scripts de terceiros também são compartilhamento de dados

Quando uma página carrega um script, pixel, fonte, vídeo ou widget de outro domínio, o navegador do visitante faz uma requisição a esse domínio. Essa requisição leva o endereço IP do visitante (sem ele a resposta não chega), costuma levar o endereço da página de origem no cabeçalho Referer (MDN) e leva os cookies que aquele domínio já tenha gravado no navegador. Tudo isso acontece antes de qualquer cookie novo ser criado. Por isso olhar só a lista de cookies não mostra todo o fluxo de dados de um site.

O comitê europeu de proteção de dados descreve o pixel de rastreamento como um recurso, geralmente uma imagem, cujo único propósito costuma ser fazer o navegador se comunicar com o dono do pixel (EDPB, Diretrizes 2/2023, item 47). A descrição técnica vale para qualquer país; a consequência jurídica no Brasil vem da LGPD.

O que a LGPD diz sobre isso:

• O titular tem direito a saber do uso compartilhado de dados e da finalidade (art. 9º, V) e a ser informado das entidades públicas e privadas com as quais o controlador compartilhou dados (art. 18, VII).

• Quem obteve consentimento e precisa compartilhar os dados com outros controladores deve obter consentimento específico para isso, salvo as dispensas previstas na lei (art. 7º, § 5º).

• O operador trata os dados segundo as instruções do controlador, e o controlador verifica se as instruções e as normas estão sendo seguidas (art. 39).

Se cada fornecedor de script é operador ou outro controlador depende de quem decide as finalidades. Um serviço que só processa dados para o site, sob instruções dele, tende a ser operador. Uma rede de anúncios que usa os dados também para os próprios fins decide finalidades e se aproxima de controlador. Essa é uma leitura das definições do art. 5º, VI e VII, não uma regra fechada; os contratos e a documentação de cada fornecedor precisam ser lidos. O artigo Pixels e scripts de terceiros: que dados saem do seu site detalha os casos mais comuns.

A consequência prática para o banner: recusar ou não responder precisa impedir o carregamento do script de terceiro, não só esconder o aviso. Se o pixel de anúncios carrega antes do clique, os dados já saíram, e o "desativado por padrão" que o guia pede não aconteceu.

Checklist prático

Os itens abaixo são recomendações montadas a partir da lei e do guia da ANPD. A referência de cada um está nas seções anteriores.

1. Fazer o inventário. Para cada página relevante, listar cookies, itens de armazenamento local (localStorage) e scripts de terceiros, com domínio, finalidade, prazo e quem recebe os dados. Plugins, temas e gerenciadores de tags também carregam scripts e entram na lista.

2. Classificar cada item em necessário ou não necessário e por finalidade.

3. Definir a base legal por finalidade. Se for legítimo interesse, fazer e guardar o teste de balanceamento.

4. Bloquear antes do aceite. Scripts não necessários só carregam depois do consentimento para a categoria deles.

5. Montar o primeiro nível com aceitar, rejeitar não necessários e gerenciar, todos com o mesmo destaque, e um link para os direitos do titular.

6. Montar o segundo nível com categorias descritas em linguagem simples, não necessários desligados e necessários marcados como sempre ativos.

7. Deixar um link permanente, no rodapé por exemplo, que reabra as preferências para revogar ou mudar a escolha.

8. Registrar o consentimento: o que foi aceito, quando e com qual versão do texto, porque a prova cabe ao controlador.

9. Publicar a política de cookies com finalidades, prazos, terceiros que recebem dados, direitos e contato do encarregado ou canal de atendimento, em português.

10. Reduzir prazos: preferir cookies de sessão quando bastarem e encurtar os persistentes.

11. Revisar a cada nova tag, plugin ou campanha. Mudou a finalidade, o consentimento antigo não cobre (guia, p. 18; LGPD, art. 9º, § 2º).

Diferenças em relação à regra europeia de cookies

Na União Europeia, a regra sobre cookies está no art. 5(3) da diretiva ePrivacy (2002/58/CE), não só no GDPR. Segundo as Diretrizes 2/2023 do EDPB (versão 2.0, adotada em 7 de outubro de 2024), essa regra protege qualquer "informação" guardada ou lida no aparelho do usuário, seja dado pessoal ou não (itens 6 a 12, que citam o Tribunal de Justiça da UE). As exceções ao consentimento, conforme o texto do artigo reproduzido nas diretrizes, são o armazenamento ou acesso usado só para transmitir a comunicação e o estritamente necessário para prestar um serviço que o usuário pediu expressamente.

No Brasil não existe regra separada sobre gravar informação no aparelho. A LGPD só entra quando há dado pessoal, e as bases legais são as do art. 7º, incluindo o legítimo interesse, que o guia da ANPD admite para necessários e, em condições restritas, para medição de audiência.

Duas consequências práticas. Se no site tudo o que não é estritamente necessário espera consentimento, a questão da base legal fica coberta também no Brasil; o desenho do banner ainda precisa ser conferido contra a lista da ANPD. O caminho inverso não vale: medir audiência com base em legítimo interesse, como o guia admite em certos contextos, não se transporta automaticamente para visitantes europeus. O EDPB diz que as exceções ao consentimento se analisam caso a caso, conforme a transposição de cada país e as orientações das autoridades nacionais (item 4).

Quando algo disso não se aplica

• Site pessoal sem fins econômicos. A LGPD não se aplica ao tratamento feito por pessoa natural "para fins exclusivamente particulares e não econômicos" (art. 4º, I). Um blog pessoal com anúncios ou venda de produtos já tem fim econômico.

• Fins exclusivamente jornalísticos, artísticos ou acadêmicos (art. 4º, II). A exclusão se refere à finalidade do tratamento. Cookies de publicidade ou de analytics num site de notícias têm outra finalidade, então dificilmente ficam fora da lei. Isso é interpretação do texto legal, não uma regra expressa.

• Site estrangeiro. A lei vale independentemente do país da sede quando o tratamento ocorre no Brasil, quando a oferta é dirigida a pessoas no Brasil ou quando os dados são coletados no Brasil, o que inclui o titular que está no país no momento da coleta (art. 3º e § 1º).

• Dados de fato anonimizados não são dados pessoais (art. 12), salvo se a anonimização puder ser revertida com esforços razoáveis. Um identificador único persistente não é anonimização.

• Cookies necessários dispensam consentimento, mas não dispensam transparência nem o respeito aos direitos do titular (art. 7º, § 6º).

• Pequeno porte não é isenção. A Resolução CD/ANPD nº 2/2022 simplifica obrigações, como a do encarregado, mas a LGPD continua valendo.

• Setor público e sites voltados a crianças seguem regras adicionais (guia, pp. 20 e 24; LGPD, art. 14) que este texto não cobre.

O que a lei prevê de sanção

O art. 52 da LGPD lista as sanções administrativas que a ANPD pode aplicar, entre elas advertência, multa simples de até 2% do faturamento no Brasil no último exercício, "limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração", publicização da infração, bloqueio e eliminação dos dados. As sanções vêm depois de processo administrativo com direito de defesa e consideram critérios como gravidade, boa-fé, reincidência e cooperação (§ 1º). O titular também pode peticionar contra o controlador perante a ANPD (art. 18, § 1º). Este texto não cita casos concretos de cookies: nas fontes oficiais consultadas não apareceu decisão da ANPD sobre o tema.

Como verificar o seu site

Dá para fazer uma primeira checagem à mão. Abra o site numa janela anônima, sem clicar no banner, e veja no Chrome DevTools a lista de cookies gravados (painel Application) e as requisições a outros domínios (painel Network). Se aparecerem cookies de publicidade ou chamadas a redes de anúncios antes de qualquer escolha, a configuração não bloqueia o que deveria.

O verificador de cookies e LGPD do WebVyze, gratuito, faz essa leitura automaticamente: mostra os cookies gravados antes de qualquer clique, os rastreadores encontrados no HTML, se há ferramenta de consentimento e se existe link para a política de privacidade. A checagem grátis olha riscos de privacidade e acessibilidade da página inicial. Nos planos pagos, o WebVyze monitora os sites e mantém um inventário dos scripts de terceiros. As ferramentas mostram evidências; não deixam o site em conformidade e não substituem a análise jurídica.