Em 1º de setembro de 2025, a CNIL (autoridade francesa de proteção de dados) multou o Google em 325 milhões de euros e a SHEIN em 150 milhões de euros por um problema específico de consentimento de cookies: os banners registravam o clique em "recusar tudo", mas os scripts de rastreamento continuavam rodando (CNIL, comunicado oficial de 1º de setembro de 2025). Nenhuma das duas empresas deixou de exibir um banner. O problema era que o banner mentia sobre o que acontecia depois do clique.
Se sua equipe está revisando o banner de cookies do site pensando em atender visitantes no Brasil e em Portugal ao mesmo tempo, o primeiro erro comum é tratar os dois países como se tivessem a mesma base legal. Não têm. Portugal é Estado-membro da União Europeia e está diretamente vinculado ao Regulamento Geral de Proteção de Dados (GDPR/RGPD) e à Diretiva ePrivacy. O Brasil segue a Lei Geral de Proteção de Dados (LGPD), que não tem um equivalente direto à Diretiva ePrivacy e trata cookies como qualquer outro tratamento de dados pessoais, exigindo apenas uma das bases legais já previstas no artigo 7º da lei. As boas práticas de design de banner, esta você aplica igual nos dois mercados. A base jurídica por trás delas, não.
Principais Conclusões
- A Diretiva ePrivacy (2002/58/CE), artigo 5(3), é a norma que efetivamente cria a obrigação de consentimento prévio para cookies não essenciais na UE: o GDPR entra depois, para definir o que conta como consentimento válido. Em Portugal, essa diretiva foi transposta pela Lei n.º 41/2004, alterada pela Lei n.º 46/2012, fiscalizada pela CNPD.
- O Brasil não tem uma lei equivalente à Diretiva ePrivacy. O próprio guia da ANPD sobre cookies (2022) reconhece explicitamente essa lacuna e orienta que o consentimento (art. 7º, I da LGPD) é a base mais adequada para cookies não essenciais, enquanto cookies estritamente necessários se apoiam no legítimo interesse (art. 7º, IX).
- Em setembro de 2025, a CNIL aplicou 325 milhões de euros ao Google e 150 milhões à SHEIN por cookies que continuavam ativos mesmo após o usuário clicar em "recusar". Já a autoridade sueca (IMY) notificou formalmente três empresas em abril de 2025 por esconder o botão de recusa atrás de múltiplos cliques.
- Um estudo publicado na CHI 2025 (ACM), que analisou 254.148 sites em 31 países da UE/EEE e no Reino Unido, encontrou que 67% exibem algum banner, mas apenas 15% atendem aos requisitos mínimos do GDPR, na maioria dos casos por não oferecerem opção de recusa equivalente à de aceite (Nouwens et al., 2025).
- No Brasil, o Código de Defesa do Consumidor (Lei n.º 8.078/1990) oferece uma segunda camada de risco: práticas de design que induzem o consumidor a aceitar cookies sem entender o que está aceitando podem ser tratadas como prática comercial abusiva pelo art. 6º do CDC, independentemente do que a LGPD já exige.
O Que É Consentimento de Cookies (E Por Que a Definição Muda Conforme a Lei)
Consentimento de cookies é a permissão que um visitante dá, antes que cookies não essenciais sejam gravados no dispositivo dele, para que o site (ou terceiros, como redes de anúncios) armazenem e leiam essas informações. A palavra "antes" faz todo o trabalho nessa definição: um banner que só aparece, mas não bloqueia os scripts até haver uma decisão, não está coletando consentimento. Está apenas informando, depois do fato consumado, que a coleta já aconteceu.
Isso já é explicado com mais profundidade em nosso guia sobre o que é consentimento de cookies, então aqui vamos direto ao que muda de acordo com a jurisdição.
Na União Europeia, e por extensão direta em Portugal, a definição de consentimento válido vem do artigo 4(11) e do artigo 7º do GDPR: deve ser livre, específico, informado e inequívoco, manifestado por uma ação afirmativa clara. Não existe consentimento implícito por continuar navegando, e caixas pré-marcadas são nulas por definição.
No Brasil, a LGPD define consentimento no artigo 5º, inciso XII, com linguagem semelhante (manifestação livre, informada e inequívoca), mas a lei brasileira não elege o consentimento como a única base possível para o tratamento de dados via cookies. Isso é uma diferença estrutural real, não apenas de redação: a LGPD permite que outras bases do art. 7º, sobretudo o legítimo interesse, sustentem cookies estritamente necessários e alguns cookies analíticos, desde que a empresa documente esse enquadramento e não o use para justificar cookies de publicidade.
A Base Legal Diverge por Jurisdição
União Europeia e Portugal: ePrivacy Primeiro, GDPR Depois
A obrigação de pedir consentimento antes de gravar um cookie não vem originalmente do GDPR. Vem do artigo 5(3) da Diretiva ePrivacy (2002/58/CE), que trata do armazenamento de informação ou do acesso a informação já armazenada no equipamento terminal do usuário: cookies, mas também outras tecnologias "similares", como fingerprinting de dispositivo, conforme as Diretrizes 2/2023 do Comitê Europeu para a Proteção de Dados (EDPB) sobre o escopo técnico do artigo 5(3), publicadas em novembro de 2023. O GDPR entra em cena para definir o que conta como consentimento válido quando o artigo 5(3) exige consentimento como base.
Em Portugal, essa diretiva foi transposta pela Lei n.º 41/2004, de 18 de agosto (Lei das Comunicações Eletrónicas), alterada pela Lei n.º 46/2012. A CNPD (Comissão Nacional de Proteção de Dados) fiscaliza o cumprimento, com penalidades que vão de 5.000 a 20 milhões de euros (ou 4% do faturamento, para empresas grandes), de 2.000 a 2 milhões de euros para PMEs, e de 1.000 a 500 mil euros para pessoas físicas. Como Portugal é Estado-membro da UE, essa estrutura ePrivacy-mais-GDPR se aplica diretamente, sem necessidade de qualquer adequação adicional, diferente do que ocorre com empresas fora do bloco.
Brasil: LGPD Sem Equivalente à ePrivacy
O Brasil não tem uma diretiva de comunicações eletrônicas específica para cookies. O guia orientativo publicado pela ANPD em 2022 é direto sobre isso: reconhece que "o Brasil não possui previsão legal equivalente" à exigência europeia de consentimento específico para tecnologias de rastreamento. Isso significa que, no Brasil, cookies são tratados simplesmente como uma forma de tratamento de dados pessoais entre outras, regida pelas bases legais gerais do artigo 7º da LGPD, não por uma norma setorial dedicada.
Na prática, o próprio guia da ANPD recomenda o consentimento (art. 7º, I) como base apropriada para cookies não essenciais, e reserva o legítimo interesse (art. 7º, IX) para cookies estritamente necessários e para cookies analíticos usados para medir audiência, desde que a empresa consiga demonstrar que esse interesse não se sobrepõe aos direitos do titular. Para cookies de publicidade, a orientação da ANPD pende para consentimento, e não legítimo interesse: um ponto que o próprio guia reconhece como controverso internamente. Isso já detalhamos com mais profundidade no nosso guia completo de conformidade com a LGPD, que também cobre o histórico de fiscalização da ANPD fora do contexto específico de cookies.
Brasil: Uma Segunda Camada, o Código de Defesa do Consumidor
Diferente de Portugal, onde o risco de um banner mal desenhado é essencialmente um risco de proteção de dados, no Brasil existe uma segunda camada de exposição que muitas equipes de conformidade esquecem: o Código de Defesa do Consumidor (Lei n.º 8.078/1990). O art. 6º do CDC garante ao consumidor o direito à informação adequada e clara sobre produtos e serviços, e trata métodos comerciais coercitivos ou desleais como práticas abusivas. Um banner de cookies que usa dark patterns (botão de "aceitar" em destaque e "recusar" escondido em três cliques, por exemplo) pode ser questionado tanto pela ANPD (como violação da LGPD) quanto pela SENACON ou pelos PROCONs estaduais (como prática abusiva sob o CDC), mesmo sem que exista, até o momento, uma norma brasileira específica sobre design de banners de cookies equivalente às diretrizes técnicas da EDPB ou da CNIL. Uma análise publicada na ConJur em março de 2026 chega a apontar que o Brasil está "atrasado" em relação à Europa justamente na regulamentação específica de dark patterns no comércio eletrônico, o que deixa a interpretação apoiada, por ora, nos princípios gerais do CDC em vez de regras técnicas detalhadas.
Essa camada adicional não substitui a LGPD nem depende dela: ela corre em paralelo. Uma empresa que opera nos dois mercados deve tratar o CDC como um motivo a mais (não o único) para evitar design manipulativo no Brasil, mesmo onde a LGPD, isoladamente, poderia parecer satisfeita com uma base de legítimo interesse.
Comparação: Cookies na UE/Portugal vs. no Brasil
| Critério | UE / Portugal (GDPR + ePrivacy) | Brasil (LGPD) |
|---|---|---|
| Norma que cria a obrigação de consentimento prévio | Diretiva ePrivacy, art. 5(3), transposta em Portugal pela Lei 41/2004 | Nenhuma norma setorial equivalente; aplicam-se as bases gerais do art. 7º da LGPD |
| Base legal para cookies não essenciais | Consentimento (GDPR art. 4(11) e 7º), quase sempre obrigatório | Consentimento recomendado pela ANPD (art. 7º, I), mas não a única base prevista em lei |
| Base legal para cookies estritamente necessários | Dispensa de consentimento por necessidade técnica (art. 5(3) ePrivacy) | Legítimo interesse (art. 7º, IX), segundo o guia da ANPD |
| Autoridade fiscalizadora | CNPD (Portugal), além da CNIL e outras DPAs nacionais na UE | ANPD |
| Camada adicional de risco no design do banner | Diretrizes técnicas da EDPB e ações da CNIL sobre dark patterns | CDC (Lei 8.078/1990), fiscalizado por SENACON e PROCONs, sem norma técnica específica ainda |
| Faixa de penalidade (exemplo nacional) | Portugal: EUR 1.000 a EUR 20 milhões ou 4% do faturamento (CNPD) | LGPD: até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração |
Perceba que a linha "camada adicional" não é uma equivalência. Não estamos dizendo que o CDC brasileiro é "a ePrivacy Directive do Brasil": não é, e forçar essa comparação seria impreciso. O CDC ataca o mesmo sintoma (banners manipulativos) a partir de um fundamento jurídico completamente diferente (direito do consumidor, não proteção de dados), e sem o detalhamento técnico que a EDPB já publicou para o contexto europeu.
Como Desenhar Banners Que os Usuários Realmente Entendem
O ponto de partida do design de um banner de cookies é a paridade visual entre aceitar e recusar. Isso significa: mesmo tamanho de botão, mesma cor de destaque (ou ausência de destaque em ambos), mesma quantidade de cliques para completar qualquer uma das duas ações. Um estudo de longo prazo com dados de plataformas de gerenciamento de consentimento na UE mostra que oferecer um botão de recusa com um clique reduz a taxa de aceitação para algo entre 50% e 60%; escondê-lo atrás de mais de um clique eleva a aceitação para cerca de 90%. A diferença inteira é fricção de interface, não mudança real de preferência do usuário.
Categorização "necessário vs. não essencial": esse é um ponto onde vale destacar que a prática vem especificamente da orientação europeia, não de um padrão universal. A categorização de cookies como "estritamente necessários", "funcionais", "analíticos" e "de marketing/publicidade" é uma convenção consolidada nas diretrizes de proteção de dados da UE (incluindo orientações da CNPD e de outras DPAs) para simplificar a decisão do usuário. A LGPD não exige essa taxonomia específica em quatro categorias: o guia da ANPD fala em termos de bases legais (consentimento vs. legítimo interesse), não de categorias de interface. Na prática, adotar a categorização europeia como boa prática de design funciona bem nos dois mercados, porque simplifica a decisão do usuário de qualquer forma, mas é importante não apresentá-la como se fosse uma exigência textual da LGPD, pois não é.
Já a acessibilidade do banner (contraste de cores, navegação por teclado, compatibilidade com leitores de tela, conforme o WCAG 2.2) e o suporte a padrões técnicos de publicidade como o IAB TCF 2.3 (que passa a ser exigido de editores, CMPs e fornecedores de ad tech a partir de 28 de fevereiro de 2026, após decisões judiciais na Bélgica e no Tribunal de Justiça da União Europeia sobre a responsabilidade conjunta da IAB Europe pela TC String) são boas práticas gerais, que valem tanto para conformidade com a LGPD quanto com o GDPR, e não são específicas de uma jurisdição.
Um banner bem desenhado para uma audiência que transita entre Brasil e Portugal também precisa considerar idioma e moeda de referência para valores de multa citados em conteúdo de apoio (real vs. euro), além de, claro, oferecer a interface em português nas duas variantes quando o público for majoritariamente lusófono, algo que plataformas de consentimento com suporte a mais de 70 idiomas pré-traduzidos já resolvem sem exigir tradução manual por site.
Bloqueio Técnico: A Base da Conformidade Prática
Nenhuma política de consentimento por escrito sobrevive a uma auditoria se os cookies continuarem sendo gravados antes da decisão do usuário. É exatamente esse o problema técnico que levou a CNIL a multar Google e SHEIN em 325 milhões e 150 milhões de euros, respectivamente: o mecanismo de bloqueio no back-end não refletia a escolha registrada no banner.
Bloqueio prévio significa que nenhum script de rastreamento não essencial (pixels de anúncio, tags de analytics de terceiros, widgets de redes sociais) é executado até que o usuário tome uma decisão explícita. Isso normalmente é implementado com uma camada de gerenciamento de tags que intercepta o carregamento de scripts e só os libera depois do evento de consentimento, categoria por categoria. É diferente de simplesmente esconder o banner com CSS enquanto os scripts já rodam em segundo plano, uma falha comum que auditorias técnicas continuam encontrando em 2026, mesmo em sites que exibem um banner aparentemente compliant.
Isso vale igualmente para GDPR e LGPD: nenhuma das duas leis aceita "informar depois" como substituto de "bloquear antes" quando a base legal escolhida for consentimento. A diferença, de novo, está em quais cookies precisam desse bloqueio: na UE, praticamente qualquer cookie não estritamente necessário; no Brasil, qualquer cookie para o qual a empresa tenha escolhido consentimento como base (o que a ANPD recomenda para cookies de publicidade e a maioria dos não essenciais).
Gerenciamento de Preferências e Retirada do Consentimento
Consentimento de cookies não é uma transação única: é uma relação contínua que o usuário pode revisar a qualquer momento. Tanto o GDPR (art. 7º, § 3º) quanto a LGPD (art. 8º, § 5º) exigem que retirar o consentimento seja tão fácil quanto concedê-lo. Na prática, isso significa um link de "preferências de cookies" persistente e visível, normalmente no rodapé do site, que reabre o mesmo painel de categorias do banner original, sem exigir contato com suporte ou preenchimento de formulário.
Quando o usuário retira o consentimento, os scripts das categorias desativadas precisam parar de rodar imediatamente em todas as sessões ativas, não apenas na próxima visita. Isso exige sincronização entre o front-end (o painel de preferências) e a camada de bloqueio técnico descrita acima: os dois precisam falar a mesma "linguagem" de categorias de cookies. Um sistema de consentimento universal que centraliza formulários, newsletters, chatbots e o próprio banner em um único painel de preferências evita que essa sincronização vire um projeto de engenharia sob medida a cada nova ferramenta de marketing adicionada ao site.
Otimização de Taxas de Consentimento Sem Design Manipulativo
Existe uma linha ética real entre melhorar a experiência do usuário e manipular a escolha dele, e cruzá-la tem ficado consideravelmente mais caro em 2025 e 2026. Em abril de 2025, a Autoridade Sueca de Proteção à Privacidade (IMY) notificou formalmente três empresas, ATG, Aller Media e Warner Music Sweden, por banners que destacavam visualmente o botão "aceitar tudo" enquanto escondiam a recusa atrás de múltiplos cliques ou usavam caixas pré-marcadas para cookies não essenciais. Nenhuma das notificações resultou de um banner ausente; todas resultaram de um banner presente, mas desenhado para empurrar o usuário para uma decisão.
O mesmo padrão apareceu na decisão da CNIL contra a American Express Carte France, em novembro de 2025, multada em 1,5 milhão de euros por cookies publicitários colocados antes de qualquer escolha do usuário, mantidos mesmo após recusa explícita, e continuando a ser lidos depois da retirada do consentimento.
Táticas legítimas de otimização (testar textos mais claros no botão, simplificar a hierarquia visual das categorias de cookies, reduzir o número de cliques necessários para qualquer uma das duas decisões igualmente) não são dark patterns. Táticas que reduzem cliques apenas para "aceitar", ou que usam cor e tamanho para tornar uma opção visualmente mais atraente que a outra, são. O teste prático: se você não aplicaria a mesma mudança de design ao botão de recusar, não deveria aplicá-la ao de aceitar.
Boas Práticas de Banner: Padrões Recomendados vs. Padrões de Risco
| Elemento do banner | Padrão recomendado | Padrão de risco (dark pattern) |
|---|---|---|
| Botões de aceitar e recusar | Mesmo tamanho, mesma cor de destaque, mesma posição hierárquica | "Aceitar tudo" em botão colorido e destacado; "recusar" como link de texto discreto |
| Número de cliques para recusar | Igual ao número de cliques para aceitar (idealmente, um clique para ambos) | Aceitar em um clique; recusar exige navegar por um submenu de preferências |
| Cookies não essenciais antes da decisão | Bloqueados até o usuário decidir (prior blocking) | Carregados no fundo da página independentemente da escolha exibida |
| Categorias de cookies | Pré-marcadas apenas as estritamente necessárias; demais desmarcadas por padrão | Caixas de marketing/analytics pré-marcadas, exigindo ação do usuário para desativar |
| Retirada de consentimento | Link persistente de preferências, efeito imediato em todas as sessões | Sem mecanismo visível de retirada, ou retirada que não interrompe o rastreamento já em curso |
| Linguagem do texto | Categorias descritas em termos claros do que fazem (ex.: "medir visitas ao site") | Termos vagos como "melhorar sua experiência" sem explicar o rastreamento real |
Manutenção da Conformidade à Medida que as Regras Evoluem
Orientação sobre consentimento de cookies muda com frequência maior do que a maioria das equipes de compliance revisa seus banners. Só nos últimos três anos: o EDPB publicou, em novembro de 2023, as Diretrizes 2/2023 esclarecendo que o artigo 5(3) da ePrivacy cobre tecnologias de rastreamento além de cookies tradicionais, como fingerprinting; a CNIL escalou a fiscalização de dark patterns a partir de 2024 e culminou nas multas de 325 milhões (Google) e 150 milhões de euros (SHEIN) em setembro de 2025; e o IAB Europe precisa fazer todos os editores, CMPs e fornecedores de ad tech migrarem para o TCF 2.3 até 28 de fevereiro de 2026, depois de decisões judiciais que responsabilizaram a entidade como controladora conjunta da string de consentimento.
No Brasil, a ANPD segue revisando sua própria orientação sobre cookies desde o guia de 2022, e a agência passou por uma mudança institucional relevante ao se tornar uma autarquia especial em regime autônomo. Isso não significa que a lacuna sobre uma norma ePrivacy-equivalente vá se fechar no curto prazo. Mas significa que a fiscalização de práticas de consentimento em geral, incluindo cookies, tende a ganhar mais capacidade de execução, não menos.
Uma auditoria trimestral do banner (cliques necessários para cada ação, sincronização entre painel de preferências e bloqueio técnico, e revisão da categorização de cookies à luz de qualquer nova orientação da ANPD, da CNPD ou do EDPB) é mais barata do que corrigir depois de uma notificação formal ou multa.
Perguntas Frequentes
O consentimento de cookies exigido pela LGPD é igual ao exigido pelo GDPR?
Não exatamente. As definições de consentimento válido (livre, informado, inequívoco) são semelhantes nas duas leis, mas a LGPD não cria uma obrigação setorial específica para cookies como a Diretiva ePrivacy faz na UE. Ela aplica as bases gerais do artigo 7º, e a ANPD apenas recomenda o consentimento como a mais adequada para cookies não essenciais, sem torná-lo a única base legalmente aceitável.
Um site brasileiro pode usar legítimo interesse em vez de consentimento para cookies de publicidade?
O guia orientativo da ANPD desaconselha essa prática. A autoridade considera o consentimento mais adequado do que o legítimo interesse especificamente para cookies de publicidade, reservando o legítimo interesse para cookies estritamente necessários e para medição de audiência (analytics), quando devidamente documentado.
O que muda para uma empresa portuguesa que também atende usuários no Brasil?
A empresa passa a responder a duas autoridades com fundamentos jurídicos diferentes: a CNPD, com base na Lei 41/2004 e no GDPR, para usuários dentro da UE; e a ANPD, com base na LGPD, para usuários no Brasil. As boas práticas de design de banner (paridade visual, bloqueio prévio, retirada fácil) atendem às duas simultaneamente, mas a documentação da base legal escolhida para cada categoria de cookie precisa refletir o regime aplicável a cada público.
Dark patterns em banners de cookies são ilegais no Brasil mesmo sem uma lei específica sobre o tema?
Podem ser questionados por duas vias distintas: como violação da LGPD (consentimento que não é livre nem inequívoco não é consentimento válido) e, separadamente, como prática comercial abusiva sob o art. 6º do Código de Defesa do Consumidor, fiscalizada pela SENACON e pelos PROCONs. Não existe, até o momento, uma norma técnica brasileira detalhada sobre design de banners equivalente às diretrizes da EDPB.
Por que os reguladores europeus continuam multando empresas que já exibem um banner de cookies?
Porque, cada vez mais, a fiscalização testa o que acontece tecnicamente depois do clique, não apenas a aparência do banner. As multas de 325 milhões de euros ao Google e 150 milhões à SHEIN em setembro de 2025, ambas da CNIL, foram por cookies que continuavam ativos após o usuário clicar em "recusar": um problema de implementação técnica, não de design visual do banner.
Uma empresa pequena, sem operação na Europa, precisa se preocupar com a Diretiva ePrivacy?
Só se tiver visitantes localizados na UE/EEE acessando o site, independentemente de onde a empresa esteja sediada. É o mesmo critério de aplicação territorial que já detalhamos em relação ao GDPR como um todo, aqui restrito à obrigação de consentimento prévio do artigo 5(3), ligada ao equipamento terminal do usuário, não à localização da empresa. Uma empresa brasileira sem tráfego europeu relevante responde primariamente à LGPD e, complementarmente, ao CDC.
Colocar em prática essa combinação de bloqueio técnico automático, categorização clara de cookies e retirada de consentimento com efeito imediato deixa de ser um projeto interno de desenvolvimento quando a plataforma de consentimento já resolve as duas pontas: banner com paridade visual comprovada e blocking real de scripts, sem exigir uma reescrita a cada nova regra da ANPD, da CNPD ou do EDPB. A solução de Cookies & Consentimento da Secure Privacy combina banners totalmente personalizáveis, bloqueio automático de cookies antes da decisão do usuário, registro de consentimento sempre pronto para auditoria e suporte a mais de 55 leis de privacidade, incluindo GDPR e LGPD lado a lado. Agende uma demonstração para ver como isso funciona no seu próprio domínio.
