Como ler este artigo
Cada regra vem com o artigo da lei de onde sai. Os artigos citados sem outra indicação são da LGPD (Lei 13.709/2018). As recomendações da ANPD vêm do Guia orientativo sobre cookies e proteção de dados pessoais, que é orientação, não lei.
Quando o cookie é dado pessoal
Dado pessoal é a informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). Quando um cookie guarda um identificador que permite reconhecer o usuário, sozinho ou cruzado com outras informações, o que ele coleta é dado pessoal, e a LGPD se aplica.
A base legal de cada tipo de cookie
Todo tratamento precisa de uma base legal do art. 7º. O consentimento é uma delas, não a única.
| Tipo de cookie | Para que serve | Base legal indicada no guia da ANPD |
|---|---|---|
| Estritamente necessário | fazer o site funcionar: sessão, carrinho, segurança | legítimo interesse, não o consentimento |
| Análise / medição | contar visitas e entender o uso do site | pode ser o legítimo interesse, conforme o caso |
| Funcionalidade | lembrar preferências, como idioma | consentimento |
| Publicidade | perfil para anúncios, inclusive de terceiros | consentimento |
O legítimo interesse exige finalidade legítima, respeito às expectativas do titular e transparência (art. 10).
Se a base é o consentimento
- tem de ser livre, informado e inequívoco, para finalidade determinada (art. 5º, XII);
- autorizações genéricas são nulas (art. 8º, § 4º);
- pode ser revogado a qualquer momento, por procedimento gratuito e facilitado (art. 8º, § 5º);
- quem prova que o consentimento foi obtido corretamente é o site (art. 8º, § 2º).
O banner, segundo o guia da ANPD
- botão de rejeitar os cookies não necessários com fácil visualização, no primeiro e no segundo nível do banner;
- sem destaque só para o aceite;
- quando a base é o consentimento, não usar um único botão sem opção de gerenciar;
- não condicionar o acesso ao aceite integral dos cookies, sem opções efetivas;
- permitir rever as escolhas depois;
- prazo de guarda do cookie compatível com a finalidade.
O que a política de cookies deve dizer
A política cumpre o dever de informação do art. 9º. Ela deve dizer, de forma clara:
- quais tipos de cookies o site usa e para quê;
- quais são próprios e quais são de terceiros, e com quem os dados são compartilhados;
- a base legal de cada grupo;
- por quanto tempo cada cookie fica guardado;
- como o usuário aceita, rejeita e muda as escolhas;
- quem é o controlador e como falar com o encarregado.
Uma política copiada de outro site descreve cookies que o seu site talvez nem use. O texto precisa corresponder ao que o site faz.
O que acontece se o site não se adequar
A ANPD pode aplicar as sanções do art. 52, de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Veja o que a lei exige em adequação à LGPD.
Como o escritório pode ajudar
Levantamos os cookies que o site usa de verdade, definimos a base legal de cada grupo e escrevemos a política e os textos do banner. Veja a página de adequação à LGPD.