Procura no Google e acha de tudo: “banner de cookie é obrigatório”, “não é obrigatório no Brasil”, “depende”. Os três estão meio certos, e é por isso que tanta gente faz errado. A LGPD não cita cookies em nenhum artigo. O que ela regula é o dado pessoal que alguns cookies coletam — e aí a coisa fica simples.
Por que “a LGPD não fala de cookies” confunde tanta gente
É verdade: a palavra “cookie” não aparece na lei. Daí muita gente conclui que pode sair instalando Google Analytics, pixel do Meta e mais cinco scripts sem avisar ninguém. O raciocínio fura porque cookie não essencial coleta dado pessoal — comportamento de navegação, identificadores, às vezes IP. E dado pessoal a LGPD regula, com cookie ou sem.
A única distinção que importa: necessário vs. o resto
Esquece as dez categorias de cookie por um segundo. Pra decidir o que fazer, separe em dois grupos:
Cookies estritamente necessários
São os que fazem o site funcionar: manter o login, lembrar o carrinho, balanceamento de carga, proteção contra fraude. Sem eles, o serviço quebra. Esses não dependem de consentimento — a base legal costuma ser execução do contrato ou legítimo interesse. Você até informa que eles existem, mas não precisa pedir permissão.
Todo o resto
Analytics, mapas de calor, remarketing, pixel de rede social, testes A/B com ferramenta de terceiro. Nada disso é necessário pro site funcionar — serve pra você medir e vender. Pra esses, a base legal em regra é consentimento, e é exatamente aí que o banner entra: pra coletar (e registrar) esse aceite.
Como fazer o banner certo
- Desligado por padrão. Os cookies não essenciais começam off. A pessoa liga, não desliga (privacy by default).
- Aceitar e recusar com o mesmo peso. Botão “Aceitar tudo” gigante verde e “Recusar” escondido em cinza é dark pattern — invalida o consentimento por não ser livre.
- Granular. Idealmente a pessoa escolhe por categoria (analytics sim, marketing não).
- Com link pra política. O banner explica o resumo; a política de privacidade (ou de cookies) explica o detalhe.
- Revogável. Tem que dar pra mudar de ideia depois, com a mesma facilidade com que aceitou.
Guarde a prova do consentimento
Consentimento que você não consegue provar é como se não existisse. Registre, pra cada aceite: quais categorias a pessoa aceitou, data e hora, e a versão do banner que estava no ar. Se você muda os scripts e nunca pediu de novo, o consentimento antigo não cobre o tratamento novo.
Resumindo
Banner de cookie não é obrigatório “porque a lei manda colocar banner”. Ele é a forma prática de você ter base legal pros cookies que coletam dado pessoal sem precisar deles pra funcionar. Se o seu site só tem cookie necessário, você nem precisa de banner — só de transparência. Se tem analytics e pixel, precisa de um banner que funcione de verdade.
Texto informativo, não substitui consultoria jurídica.