Se o site coleta dados pessoais, por formulário ou por cookies de análise e publicidade, ele precisa de política de privacidade. Se usa cookies que dependem de consentimento, precisa de um banner com botão de rejeitar tão visível quanto o de aceitar, e esses cookies começam desligados.
O que a LGPD exige do site de uma empresa?
A lei não fala em "banner". Ela fala em transparência e base legal. O art. 9º da Lei 13.709/2018 dá ao titular o direito de saber, de forma clara e ostensiva, a finalidade do tratamento, a forma e a duração, quem é o controlador, como contatá-lo e com quem os dados são compartilhados. É isso que a política de privacidade organiza.
Quando o tratamento depende de consentimento, o art. 5º, inciso XII, exige que ele seja livre, informado e inequívoco, e o art. 8º, § 5º, garante a revogação a qualquer momento, por procedimento gratuito e facilitado. Na prática: aceitar e desistir precisam ser igualmente fáceis.
A lei também pede um encarregado (art. 41), com contato publicado de preferência no site. Para micro e pequenas empresas há uma exceção: a Resolução CD/ANPD nº 2, de janeiro de 2022, dispensa o agente de pequeno porte de indicar encarregado (art. 11), desde que mantenha um canal de comunicação com o titular e não faça tratamento de alto risco (art. 3º).
O que o guia de cookies da ANPD recomenda?
O guia orientativo de cookies da ANPD, versão de outubro de 2022, se apresenta como boas práticas não exaustivas, mas deixa claro o que considera incompatível com a lei.
O banner tem dois níveis. No primeiro, o guia pede um botão para rejeitar todos os cookies não necessários, fácil de ver, e um link para o titular exercer seus direitos. No segundo, os cookies aparecem em categorias, com finalidade descrita em linguagem simples, consentimento por finalidade e os cookies baseados em consentimento desativados por padrão.
O guia também lista o que evitar:
- um único botão "aceito" ou "ciente", sem opção de gerenciar;
- botão de aceitar em destaque e o de rejeitar escondido;
- cookies não necessários já ativados, à espera de que a pessoa desligue;
- política de cookies só em idioma estrangeiro;
- lista tão detalhada que cansa e impede uma escolha clara.
Sobre o consentimento tácito, o texto é direto: presumir que continuar a navegação equivale a aceitar não é recomendável, por ser incompatível com a LGPD.
Qual cookie precisa de consentimento?
Depende da finalidade. A tabela resume como o guia da ANPD trata cada categoria.
| Tipo de cookie | Exemplo no site | Base legal que o guia aponta | Ligado antes da escolha? |
|---|---|---|---|
| Estritamente necessário | sessão de login, carrinho, registro da escolha do banner | legítimo interesse, em geral | sim |
| Medição de audiência | analytics com dados agregados, sem perfil | legítimo interesse em certos contextos, ou consentimento | depende da configuração |
| Publicidade e terceiros | pixel de anúncio, remarketing, rastreio entre sites | dificilmente legítimo interesse; na prática, consentimento | não |
Fonte: guia orientativo de cookies e proteção de dados pessoais da ANPD, outubro de 2022, consultado em outubro de 2026. Os exemplos da segunda coluna e a última coluna são leitura da Brave Cross.
A medição é o ponto que mais gera dúvida. O guia admite legítimo interesse para medir audiência quando o uso se limita a padrões e tendências com dados agregados, sem combinar com outros rastreadores nem formar perfil. Se o mesmo analytics alimenta remarketing, a conversa muda.
Como montar o banner sem perder a medição?
Para não zerar os dados, o Google oferece o consent mode. Segundo a documentação do consent mode, atualizada em julho de 2026, no modo básico as tags ficam bloqueadas até a pessoa interagir com o banner; no modo avançado, elas carregam com o padrão negado e enviam sinais sem cookies, que o Google usa para modelar conversões.
O guia de implementação do consent mode separa quatro autorizações: armazenamento de anúncio, armazenamento de análise, envio de dados de usuário para anúncios e personalização. Cada uma deve começar com um valor padrão definido por você. Isso importa porque, como explica a ajuda do Google Analytics sobre eventos principais, uma conversão do Google Ads pode ser criada a partir de um evento principal do GA4. Se o consentimento não chega, essa conversão passa a depender de modelagem.
Inventário
Liste todo script e cookie do site, inclusive os que o plugin ou o chat instalaram sozinhos.
Categorias
Separe em necessários, medição e publicidade, com uma frase de finalidade para cada.
Banner em dois níveis
Aceitar, rejeitar não necessários e gerenciar, com o mesmo destaque visual.
Padrão desligado
Comece com análise e anúncio negados no consent mode e só libere após a escolha.
Política e canal
Publique a política de privacidade e um contato para o titular pedir acesso ou exclusão.
Revogação
Deixe um link fixo no rodapé para reabrir o banner e mudar a escolha.
O banner também é desempenho. No site da Brave Cross, scripts de terceiros só carregam depois de uma interação ou de 4 segundos, para não disputar o primeiro carregamento com o conteúdo. A regra de consentimento decide se o script carrega; a de desempenho decide quando. Os efeitos disso no INP estão em Core Web Vitals em 2026, e um banner que cobre metade da tela é a pior primeira impressão possível, tese de A primeira dobra é o julgamento.
A ANPD está fiscalizando sites?
O foco anunciado não é o banner em si, mas o uso de dados para publicidade. Segundo reportagem do Teletime de janeiro de 2026, a ANPD prevê pelo menos 75 fiscalizações em 2026 e 2027 (temas da Resolução CD/ANPD nº 30/2025), e uma das prioridades é o uso secundário de dados pessoais para publicidade direcionada.
A sanção mais citada está no art. 52 da LGPD: multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. O mesmo artigo prevê advertência, publicização da infração e bloqueio dos dados, entre outras sanções.
Quem usa IA no atendimento tem outra camada de cuidado, tratada em agente de IA no WhatsApp: o que a Meta e a LGPD permitem. E quem gerou o site com IA deve revisar formulários e dados antes de publicar, como mostramos em site feito com IA ou estúdio.
Perguntas frequentes
Todo site precisa de banner de cookies?
Não. O banner é necessário quando o site usa cookies que dependem de consentimento, como pixels de anúncio e remarketing. Um site só com cookies estritamente necessários pode se apoiar no legítimo interesse, segundo o guia da ANPD de outubro de 2022, mas ainda precisa informar o uso de dados na política de privacidade.
Site institucional precisa de política de privacidade?
Precisa, se coleta qualquer dado pessoal: formulário de contato, botão que leva nome e telefone ao WhatsApp, analytics ou pixel. O art. 9º da LGPD garante ao titular informação clara sobre finalidade, forma, duração, controlador e compartilhamento, e a política de privacidade é o lugar onde o site entrega essas informações.
"Ao continuar navegando você aceita os cookies" vale?
Segundo o guia de cookies da ANPD, de outubro de 2022, não é recomendável. O texto diz que presumir o consentimento pela continuação da navegação é incompatível com a LGPD, porque o consentimento precisa ser uma manifestação clara e positiva. O mesmo vale para caixas já marcadas e para um único botão de "aceito".
O botão de rejeitar precisa ter o mesmo destaque do de aceitar?
O guia da ANPD recomenda um botão de rejeitar todos os cookies não necessários, fácil de ver, no primeiro e no segundo nível do banner, e desaconselha dar destaque só ao aceite. A LGPD, no art. 8º, também exige que revogar o consentimento seja gratuito e facilitado, então desistir não pode ser mais difícil que aceitar.
O Google Analytics precisa de consentimento?
Depende do uso. O guia da ANPD admite legítimo interesse para medição de audiência com dados agregados, sem perfil e sem combinação com outros rastreadores. Se o GA4 alimenta remarketing ou conversões de anúncio, o caminho seguro é o consentimento, com o consent mode do Google começando com análise e anúncio negados.
Pequena empresa precisa de encarregado de dados?
Não necessariamente. A Resolução CD/ANPD nº 2, de janeiro de 2022, no art. 11, dispensa o agente de tratamento de pequeno porte de indicar encarregado, mas exige que ele mantenha um canal de comunicação com o titular. A dispensa não vale para tratamento de alto risco (art. 3º).
Um site que respeita a escolha e continua medindo
O banner certo cabe em três botões e uma política escrita em português claro. Rejeitar tão fácil quanto aceitar, nada ligado antes da escolha, tags que esperam a resposta. Feito assim, ele protege a empresa e não sacrifica o dado que guia o investimento em anúncio.
Se você quer um site com medição e velocidade pensadas desde o início, conte sobre o seu projeto.