Cookies e rastreamento

Explicando de forma simples

Cookie é um arquivinho que um site guarda no seu navegador para lembrar de alguma coisa entre uma página e outra.

Parte disso é indispensável. É o cookie que faz o site lembrar que você já fez login, que mantém o produto no carrinho enquanto você continua olhando a loja, que guarda o idioma escolhido. Sem eles, a internet seria uma sequência de telas amnésicas.

Outra parte serve a propósitos que não são os seus. São os cookies que acompanham o seu comportamento de site em site, medem o que você olhou e por quanto tempo, e alimentam a publicidade que depois te persegue — você pesquisa uma geladeira e passa duas semanas vendo geladeiras em todo lugar.

A ANPD separa exatamente assim: cookies necessários são os que fazem o site funcionar e se limitam ao essencial para prestar o serviço que você pediu; cookies não necessários são todos os outros — aqueles cuja desativação não impede o site de funcionar, incluindo os usados para rastrear comportamento, medir desempenho e exibir anúncios.

Essa divisão não é decorativa. É ela que define quando o site precisa da sua autorização.

Exemplo do dia a dia

Você entra num site de notícias e aparece a tarja de sempre. Um botão grande e colorido: “Aceitar todos”. E, do lado, em letra cinza e miúda, “Saiba mais”.

Não existe botão de recusar. Para dizer não, você teria de clicar em “Saiba mais”, abrir uma lista de dezenas de “parceiros” e desligar um por um — todos já marcados.

A maioria das pessoas clica em “Aceitar todos”. Não por concordar: por cansaço. E é exatamente para isso que a tela foi desenhada.

O ponto que quase ninguém sabe é que esse desenho é justamente o que a ANPD desaconselha. Dar destaque só ao botão de aceite, dificultar a rejeição de todos os cookies não necessários e apresentar cookies não necessários já ativados por padrão estão, os três, na lista de práticas que a agência recomenda não adotar.

Primeiro, desfazendo uma confusão

Nenhuma lei brasileira obriga aquele aviso de cookies a aparecer. Não existe uma “lei do banner”.

O que existe é a LGPD, que exige duas coisas de quem usa seus dados: ter uma base legal e ser transparente. O banner é só o jeito que o mercado encontrou de cumprir isso na prática — e, sendo um meio e não um fim, ele pode estar bem-feito ou malfeito.

Para os cookies necessários, o site não depende do seu “sim”: eles existem para entregar o serviço que você pediu. Para os não necessários — rastreamento, publicidade, medição — é aí que entra a autorização, e é aí que a maioria dos sites escorrega.

Quando a base escolhida é o consentimento, a LGPD exige que ele seja livre, informado e inequívoco. A ANPD tira disso três consequências bem concretas:

• Não vale consentimento forçado. Condicionar o uso do site ao aceite integral dos cookies, sem oferecer opções efetivas, é incompatível com a LGPD.
• Não vale caixinha pré-marcada. Banner com opções de autorização já selecionadas não produz consentimento válido.
• Não vale “continuar navegando significa aceitar”. Consentimento tácito, deduzido do seu silêncio ou da sua rolagem de página, não é consentimento.

E a recomendação central da agência cabe numa linha: deve haver um botão para rejeitar todos os cookies não necessários, de fácil visualização, tanto na primeira tarja quanto na tela de detalhes.

As dez práticas que a ANPD desaconselha

Dá para julgar uma tarja de cookies em poucos segundos. O guia traz uma seção chamada “O que evitar na elaboração de banners de cookies”, com dez práticas desaconselhadas. Em linguagem do dia a dia:

1. Um único botão no primeiro aviso — “concordo”, “aceito”, “ciente” — sem opção de gerenciamento, quando a base usada é o consentimento.
2. Botão de recusar ou de configurar escondido: difícil de ver ou de entender, com destaque apenas para o de aceite.
3. Recusar todos os não necessários é impossível ou trabalhoso.
4. Cookies não necessários já ativados por padrão, exigindo que você desmarque manualmente.
5. Não existe a segunda tela com os detalhes.
6. Não há mecanismo direto, simplificado e próprio para você revogar o consentimento e se opor ao tratamento — além das configurações de bloqueio do navegador.
7. Gerenciar é difícil — por exemplo, não oferecer opções específicas para cookies com finalidades distintas.
8. A política de cookies só aparece em idioma estrangeiro.
9. Lista de cookies detalhada demais, com informação em excesso, o que cansa e impede uma manifestação de vontade clara.
10. Usar consentimento e vinculá-lo ao aceite integral das condições de uso, sem opções efetivas.

O guia também traz um exemplo ilustrativo — o de uma escola que recebeu reclamação de uma associação de pais — em que a página mostrava apenas um botão “entendi”, com a frase “ao clicar em ‘entendi’, você concorda com o armazenamento de cookies”. É apontado ali como falta de transparência. Vale dizer que é um exemplo do próprio guia, e não uma decisão da agência num caso real.

O que você pode fazer?

• Procure o “rejeitar” antes de clicar em qualquer coisa. Em muitos sites ele existe, só está discreto. Achando, um clique resolve o mesmo que dez.
• Só não achar não te obriga a aceitar. Feche a tarja, use o site, e configure o resto no navegador. Aceitar por cansaço é exatamente o comportamento que o desenho ruim busca.
• Ajuste o navegador uma vez e resolva para sempre. Nas configurações de privacidade dá para bloquear cookies de terceiros — os que não são do site que você está visitando e são a base do rastreamento entre sites. Bloquear esses raramente quebra alguma coisa.
• Limpe os cookies de vez em quando, ou use a janela anônima quando estiver pesquisando algo que não quer ver virando anúncio. A janela anônima não te torna invisível na internet: ela só evita que aquela navegação fique guardada no seu aparelho.
• Desligue a publicidade personalizada nas contas grandes. Boa parte do rastreamento não vem do site, e sim da sua conta em buscadores e redes sociais. Vale uma visita às configurações de anúncios de cada uma.
• Se o banner tiver vários desses sinais, você pode reclamar ao canal de privacidade do site e, sem solução, à ANPD, em gov.br/anpd. Lembre que o guia é orientativo: o que se cobra é o cumprimento da LGPD, não do guia em si.
• Conta de criança ou adolescente é caso à parte. Usar perfilamento para direcionar publicidade a esse público é proibido, e não é questão de configurar melhor — é o assunto de Crianças e adolescentes.

Resumo

Cookie é um arquivinho que o site guarda no seu navegador. Os necessários fazem o site funcionar e não dependem do seu “sim”; os não necessários — rastreamento, publicidade, medição — é que precisam de base legal, e é neles que mora a discussão. Nenhuma lei brasileira obriga o banner a existir: o banner é um meio de cumprir a LGPD, e pode estar malfeito. Quando o site escolhe o consentimento, ele tem de ser livre, informado e inequívoco — o que exclui aceite forçado, caixinha pré-marcada e “continuar navegando é aceitar”. A ANPD recomenda um botão de rejeitar todos os não necessários, de fácil visualização, e publicou dez práticas desaconselhadas — entre elas o botão único, o recusar escondido, a rejeição dificultada e os cookies não necessários ligados por padrão. Do seu lado, o ajuste que mais rende é bloquear cookies de terceiros no navegador, uma vez só.