Consentimento de cookies é a autorização que a LGPD e o RGPD exigem antes de qualquer site ou aplicativo ativar cookies não essenciais, como os de analytics, publicidade ou redes sociais. No Brasil, a Autoridade Nacional de Proteção de Dados (ANPD) já deixou claro, em seu Guia Orientativo sobre Cookies e Proteção de Dados Pessoais, que essa autorização precisa ser uma manifestação de vontade real do usuário, não uma suposição de concordância criada pelo próprio site (ANPD, Guia Orientativo: Cookies e Proteção de Dados Pessoais).
Principais pontos
➤ A LGPD define consentimento, no art. 5º, XII, como "manifestação livre, informada e inequívoca" do titular, e o art. 8º, §4º torna nulas autorizações genéricas para o tratamento de dados (Planalto, Lei nº 13.709/2018).
➤ O guia da ANPD, de relatoria da diretora Miriam Wimmer, orienta que cookies não essenciais não podem vir habilitados por padrão e que os botões de aceitar, rejeitar e gerenciar devem ter o mesmo destaque visual (LEC, Guia Orientativo da ANPD).
➤ Multas por infração à LGPD podem chegar a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração (art. 52, LGPD).
➤ Na Europa, a CNIL francesa aplicou €200 milhões à Google e €150 milhões à Shein em setembro de 2025, e outros €42 milhões à Free e à Free Mobile em janeiro de 2026, todos por bandeiras de cookies com design que dificultava a rejeição (CNIL).
O Que É Consentimento de Cookies?
Consentimento de cookies é o mecanismo pelo qual um site obtém a aprovação explícita do visitante antes de instalar cookies e tecnologias de rastreamento que não sejam estritamente necessários ao funcionamento do serviço solicitado. Cookies indispensáveis, como os que mantêm um carrinho de compras ou uma sessão de login, geralmente se apoiam em outra base legal (execução de contrato ou legítimo interesse) e não dependem desse consentimento. Já cookies analíticos, de publicidade e de redes sociais coletam dados de navegação para finalidades que vão além do que o usuário pediu ao abrir a página, e é exatamente aí que a autorização explícita se torna obrigatória.
Essa distinção entre "necessário" e "não necessário" não é uma escolha de marketing do site. É o critério que a ANPD usa para decidir qual base legal se aplica: cookies de sessão dispensam consentimento, cookies de rastreamento comportamental não dispensam (LEC, Guia Orientativo da ANPD). Um banner que trata as duas categorias da mesma forma, pedindo um único "aceitar tudo" sem separar o que é essencial do que não é, já nasce fora de conformidade.
Consentimento de Cookies na LGPD e a Orientação da ANPD
A LGPD (Lei nº 13.709/2018) trata o consentimento como uma das dez bases legais do art. 7º, mas não como a única, e o art. 5º, XII a define como manifestação "livre, informada e inequívoca" pela qual o titular concorda com o tratamento para uma finalidade determinada. O art. 8º, §4º reforça isso na prática: autorizações genéricas, aquelas que cobrem "qualquer finalidade futura" em vez de propósitos específicos, são nulas de pleno direito (Planalto).
Como a LGPD não menciona cookies pelo nome, a ANPD publicou em outubro de 2022 o Guia Orientativo: Cookies e Proteção de Dados Pessoais para preencher essa lacuna interpretativa, atualizado em janeiro de 2025. O documento não tem força de norma vinculante, mas descreve como a autoridade brasileira entende a aplicação da lei ao ecossistema de cookies. Para Miriam Wimmer, diretora relatora do guia, o material busca consolidar "a cultura de proteção de dados pessoais no ambiente digital" entre empresas que ainda tratam o cookie banner como formalidade (LEC).
Três exigências do guia costumam pegar empresas desprevenidas:
Sem pré-marcação: categorias de cookies não essenciais não podem vir habilitadas por padrão. O titular precisa realizar uma ação afirmativa para ativá-las.
Botões equivalentes: os botões de aceitar, rejeitar e gerenciar preferências devem ter o mesmo tamanho e destaque, sem hierarquia visual que empurre o usuário para o "aceitar".
Revogação tão fácil quanto a concessão: o art. 8º, §5º da LGPD garante que o titular pode revogar o consentimento a qualquer momento, e o guia da ANPD espera um procedimento igualmente simples e gratuito para isso, não um caminho mais longo do que o de aceitar.
Uma plataforma de gestão de consentimento configurada corretamente automatiza justamente esses três pontos: categorização granular, botões simétricos por padrão e um painel de preferências que o próprio usuário consegue reabrir depois, sem abrir um chamado de suporte.
GDPR e ePrivacy: a Referência Internacional
Mesmo para um site que atende só o público brasileiro, entender o RGPD (GDPR) importa porque a maioria das plataformas de consentimento, inclusive as usadas no Brasil, foi desenhada em torno das regras europeias e depois adaptada à LGPD. O art. 4(11) do RGPD define consentimento como uma indicação "livre, específica, informada e inequívoca" da vontade do titular, manifestada por uma declaração ou ação afirmativa clara. A Diretiva ePrivacy (art. 5º, 3), por sua vez, é a norma que efetivamente exige consentimento prévio para armazenar ou acessar informações no dispositivo do usuário, o que inclui a maioria dos cookies de rastreamento.
O European Data Protection Board (EDPB) consolidou, em suas diretrizes sobre consentimento, quatro elementos que precisam estar presentes simultaneamente: livre, específico, informado e inequívoco. Faltando qualquer um deles, o consentimento inteiro é inválido, não apenas fragilizado. É essa mesma lógica, adaptada à redação da LGPD, que orienta a leitura da ANPD sobre cookies no Brasil: as duas leis convergem no princípio, mesmo divergindo no texto.
Métodos Válidos vs. Inválidos de Consentimento
Nem toda interação do usuário com um banner de cookies conta como consentimento. A diferença está em saber separar uma ação afirmativa real de uma inferência que o site está fazendo por conta própria.
O que conta como consentimento válido:
- Clicar em um botão claro de "aceitar" ou "rejeitar", com o mesmo peso visual entre as duas opções.
- Selecionar categorias específicas em um painel granular (analytics sim, publicidade não, por exemplo).
- Reabrir e ajustar essas escolhas depois, em um centro de preferências acessível a qualquer momento.
O que não conta, mesmo que pareça prático:
- Rolar a página ou continuar navegando. O EDPB e a ANPD rejeitam explicitamente esse tipo de "consentimento implícito" porque não há ação afirmativa direcionada ao pedido específico.
- Caixas pré-marcadas que o usuário precisaria desmarcar ativamente para recusar.
- Silêncio ou inatividade diante do banner.
- Um "aceitar tudo" genérico que não distingue entre finalidades, o que colide direto com a proibição de autorizações genéricas do art. 8º, §4º da LGPD.
A lógica por trás dessa lista é sempre a mesma: consentimento pressupõe uma escolha que o titular fez, não uma escolha que o site decidiu por ele e chamou de aceitação.
Dark Patterns: Violações Que Já Geraram Multas
"Dark pattern" é o termo usado para desenhos de interface que manipulam a decisão do usuário em vez de apenas apresentá-la. Em banners de cookies, os padrões mais comuns incluem um botão "aceitar" grande e colorido ao lado de um "rejeitar" pequeno, cinza ou escondido em um segundo clique; um "gerenciar preferências" que exige três ou quatro toques para chegar à opção de recusa; e paredes de consentimento que bloqueiam o acesso ao conteúdo até o visitante aceitar.
Esses padrões deixaram de ser apenas uma má prática de UX e passaram a gerar sanções concretas. Em setembro de 2025, a CNIL (autoridade francesa) multou a Google em €200 milhões e a Shein em €150 milhões por bandeiras de cookies cujo design tornava a rejeição mais difícil que a aceitação, e no caso da Shein, por continuar instalando cookies mesmo depois que o usuário clicava em "rejeitar tudo" (CNIL). Em janeiro de 2026, a mesma autoridade aplicou mais €27 milhões à Free Mobile e €15 milhões à Free pelo mesmo tipo de infração. A CNIL resume o teste que aplica em uma frase: rejeitar cookies precisa ser tão fácil quanto aceitá-los.
No Brasil, a ANPD ainda não publicou uma multa dessa magnitude especificamente sobre dark patterns em cookies, mas o guia orientativo já deixa a régua clara ao proibir pré-marcação e exigir botões equivalentes, e o teto legal de sanção (2% do faturamento, até R$ 50 milhões por infração, conforme o art. 52 da LGPD) é o mesmo teto que se aplicaria a qualquer outra violação da lei. Empresas que hoje usam um banner com hierarquia visual desigual não estão numa zona cinzenta; estão descumprindo uma orientação já publicada.
Comparando Plataformas de Gestão de Consentimento (CMPs)
Resolver isso manualmente, com um desenvolvedor mantendo o banner à mão, funciona por um tempo e quebra na primeira auditoria ou na primeira mudança de lei. É para isso que existem as plataformas de gestão de consentimento (CMPs), mas elas não são todas iguais.
| Critério | OneTrust | Cookiebot (Usercentrics) | Secure Privacy |
|---|---|---|---|
| Perfil ideal | Grandes empresas com equipe de compliance dedicada | Pequenos sites e blogs | Empresas de pequeno a grande porte que precisam de compliance completo sem custo enterprise |
| Piso de preço (2026) | A partir de ~US$ 10.000/ano nas renovações de março de 2026 | Gratuito até 50 subpáginas; planos pagos a partir de ~US$ 13/mês | Plano com teste gratuito de 30 dias, sem cartão de crédito |
| Varredura de cookies | Sim, com escaneamento automatizado | Sim, escaneamento automático é o carro-chefe | Sim, varredura automática diária com categorização e monitoramento de mudanças |
| Cobertura legal | Ampla, foco enterprise | GDPR/CCPA como foco principal | 55+ leis de privacidade, incluindo LGPD, GDPR e CCPA/CPRA |
| Idiomas do banner | Múltiplos, configuração mais trabalhosa | Múltiplos | Mais de 70 idiomas prontos |
A conclusão prática: OneTrust compensa quando a empresa já paga por uma suíte inteira de governança e o orçamento não é o fator decisivo. Cookiebot é uma porta de entrada razoável para um site pequeno com poucas categorias de cookies. Para quem precisa de cobertura jurídica ampla (LGPD e RGPD ao mesmo tempo, por exemplo) sem herdar o piso de preço de US$ 10.000 do OneTrust, a Solução de Cookies e Consentimento da Secure Privacy foi desenhada especificamente para essa faixa intermediária.
Boas Práticas de Implementação
Um banner de cookies tecnicamente presente não é o mesmo que um banner em conformidade. Quatro práticas separam os dois:
Opções granulares por categoria. Analytics, publicidade e redes sociais precisam de chaves independentes, não de um único interruptor "aceitar tudo". Isso não é apenas exigência legal, é o que permite ao usuário de fato controlar sua exposição.
Acessibilidade real. Navegação por teclado, leitura correta por leitores de tela e contraste de cor adequado (padrões WCAG) não são um extra de inclusão social; sem eles, uma parte dos visitantes não consegue exercer o direito de recusar, o que por si só compromete a validade do consentimento coletado.
Registro de auditoria. Guardar quem consentiu, quando, com qual versão do banner e para quais categorias é o que transforma "acreditamos que estamos em conformidade" em prova documentada caso a ANPD, um cliente ou uma auditoria pergunte. Um registro de consentimento imutável, com data e hora e contexto completo de cada escolha, resolve isso sem depender de planilhas internas.
Revogação de um clique. Se aceitar levou um clique, recusar ou revogar depois também deve levar um clique, não uma busca pelo rodapé do site seguida de três telas de configuração.
Empresas que já rodam esse processo em vários domínios ou línguas normalmente chegam a um ponto em que a varredura automática de cookies, os banners com editor visual e o suporte a mais de 70 idiomas deixam de ser conveniência e passam a ser a única forma de manter tudo atualizado sem um time dedicado só a isso.
Conclusão
Consentimento de cookies não é uma tela que aparece uma vez e é esquecida. É uma obrigação contínua sob a LGPD e, para empresas com operação internacional, também sob o RGPD e a Diretiva ePrivacy: cookies não essenciais exigem uma ação afirmativa e específica do usuário, essa ação precisa ser tão fácil de recusar quanto de aceitar, e a prova de que ela ocorreu precisa existir depois do fato. As multas de 2025 e 2026 na Europa, e o teto de sanção já em vigor no Brasil, mostram que reguladores dos dois lados do Atlântico deixaram de tratar isso como detalhe de rodapé.
Revisão de conteúdo recomendada a cada 12 meses ou a cada atualização relevante da ANPD ou do EDPB sobre o tema.
Uma dúvida recorrente depois de resolver o consentimento é como registrar e responder às solicitações dos titulares quando eles pedem para ver ou excluir seus dados, e vale a pena revisar isso antes de considerar a conformidade completa.
Perguntas Frequentes
O que é consentimento de cookies?
Consentimento de cookies é a autorização explícita que um site precisa obter do visitante antes de ativar cookies não essenciais, como os de analytics ou publicidade. Cookies estritamente necessários ao funcionamento do site, como os de login, normalmente não dependem dessa autorização.
Rolar a página conta como consentimento?
Não. Tanto o EDPB quanto a ANPD rejeitam rolagem, navegação continuada ou qualquer forma de consentimento implícito como prova de aprovação, porque nenhuma dessas ações demonstra uma escolha específica e afirmativa do usuário.
Quais são as penalidades por cookies fora de conformidade?
No Brasil, a LGPD prevê multas de até 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. Na Europa, a CNIL já aplicou multas de €200 milhões (Google) e €150 milhões (Shein) só em 2025 por bandeiras de cookies com dark patterns.
Uma caixa de cookies pré-marcada como "aceito" é válida?
Não segundo o guia orientativo da ANPD nem segundo as diretrizes do EDPB. Categorias não essenciais precisam vir desmarcadas por padrão; o titular é quem precisa marcá-las, não o site.
Uma CMP é obrigatória por lei?
Não. A lei exige o resultado (consentimento válido, granular e revogável, com prova documentada), não uma ferramenta específica. Na prática, manter esse resultado manualmente em vários idiomas, categorias e leis fica difícil de sustentar sem uma plataforma dedicada.
Manter tudo isso funcionando ao mesmo tempo, banners simétricos, categorização correta, registro de prova e revogação fácil, é exatamente o que a Solução de Cookies e Consentimento da Secure Privacy automatiza: varredura automática dos cookies do site, banners personalizáveis em mais de 70 idiomas, bloqueio de cookies não essenciais até o consentimento e um registro de consentimento à prova de auditoria. Agende uma demonstração para ver como funciona no seu site.