Banner de Cookies HTML

Banner de cookies: exigência legal, não enfeite de UI

O banner de cookies é a parte visível de uma pilha de compliance muito mais profunda. Desde que o GDPR entrou em vigor na União Europeia (maio de 2018), qualquer site que grave cookies não essenciais em um usuário no EEE precisa coletar consentimento explícito, informado e livre antes de o primeiro byte ser escrito. O Brasil veio em seguida com a LGPD (vigência 2020, sanções desde agosto de 2021), e a Califórnia editou a CCPA/CPRA, dando aos residentes o direito de opt-out e o link "Do Not Sell or Share". O Reino Unido manteve sua versão (UK GDPR) após o Brexit, e regimes semelhantes existem em Quebec (Lei 25), Suíça (revFADP), África do Sul (POPIA) e vários estados americanos (VCDPA, CPA, CTDPA).

No Brasil, a ANPD pode emitir advertências, exigir publicação da infração e aplicar multas de até 2% do faturamento da empresa no país, limitadas a R$ 50 milhões por infração. A CNIL francesa já multou o Google em EUR 150 milhões e o Facebook em EUR 60 milhões justamente porque o botão "rejeitar tudo" exigia mais cliques que o "aceitar tudo" — exemplo manualesco de dark pattern, expressamente classificado como ilegal pelas diretrizes da ENISA e do EDPB.

O que um banner conforme precisa ter

• Descrição em linguagem clara do motivo do uso e das categorias ativas.
• Toggles granulares por categoria (preferências, estatísticas, marketing) com igual destaque entre Aceitar tudo, Rejeitar tudo e Personalizar.
• Link para política de privacidade e política de cookies listando cada fornecedor e prazo de retenção.
• Nenhuma caixa pré-marcada para cookies não essenciais (Recital 32 do GDPR — silêncio não é consentimento).
• Forma fácil de retirar o consentimento depois (ícone flutuante persistente ou link "Configurações de cookies" no rodapé).

Categorias de cookies

Na prática, agrupam-se os cookies em quatro grupos: estritamente necessários (sessão, CSRF, balanceamento — não exigem consentimento), preferências (idioma, tema), estatísticos (Google Analytics, Plausible, Mixpanel) e marketing (Facebook Pixel, TikTok Pixel, retargeting). Só a primeira categoria é dispensada de consentimento prévio sob a ePrivacy. Todo o resto precisa ser bloqueado até o usuário aceitar ativamente.

CMPs e bibliotecas

Sites grandes terceirizam o banner para uma Consent Management Platform: OneTrust, Cookiebot, TrustArc, Iubenda, Usercentrics. Em WordPress, é comum Borlabs Cookie ou Complianz. Entre as opções open-source, destacam-se CookieConsent (Orest Bida), klaro! e tarteaucitron.js. Em React, react-cookie-consent cobre a UI básica; combine com flag em localStorage e carregamento condicional dos scripts.

O futuro sem cookies

Safari e Firefox já bloqueiam cookies de terceiros por padrão; o Chrome está implantando o Privacy Sandbox para depreciá-los. Cookies de primeira parte e ferramentas de analytics privacy-friendly (Plausible, Fathom, Simple Analytics, Umami) coletam dados agregados no servidor sem identificadores persistentes — algumas dispensam banner, embora reguladores locais às vezes discordem (a CNIL aceitou o Plausible sem consentimento, mas a posição pode mudar).

Perguntas frequentes

Site brasileiro precisa atender ao GDPR? Só se você alcança usuários no EEE (oferece produto/serviço ou monitora comportamento). Para usuários no Brasil, a lei aplicável é a LGPD, e os princípios se sobrepõem bastante — mas as bases legais citadas e o regulador são distintos.

"Ao continuar navegando você aceita os cookies" ainda vale? Não. O consentimento implícito foi expressamente invalidado pelo TJUE no caso Planet49 (2019). É preciso uma ação afirmativa inequívoca — um clique em Aceitar.

Posso destacar "Aceitar" em verde gigante e "Rejeitar" em cinza pequeno? Não. A igualdade de destaque é obrigatória. Disparidade de estilo é dark pattern e já foi multada repetidamente pela CNIL e pelo Garante italiano.

Quanto tempo dura o consentimento? Não há prazo fixo, mas a CNIL recomenda repetir a pergunta após 6 a 13 meses. Armazene o timestamp e a configuração exata aceita para conseguir comprovar depois.