Banner de cookies é obrigatório? O que a LGPD realmente exige — e por que o plugin que você instalou provavelmente não cumpre

Última verificação: 7 de setembro de 2026. Todo dispositivo legal citado aqui foi lido no texto integral da LGPD no Planalto, e toda recomendação de banner sai do guia orientativo da ANPD, com link e citação literal. Onde não existe fonte primária — e há um ponto assim neste assunto — o texto diz que não existe.

O que a LGPD diz (e o que ela não diz) sobre cookies

Comece pelo fato que quase nenhum texto sobre o assunto menciona: abra a Lei 13.709/2018 e procure a palavra “cookie”. Ela não está lá. Zero ocorrências no texto integral — conferido em 07/09/2026. Quem afirma “a LGPD exige banner de cookies” está resumindo demais uma coisa que é mais interessante do que o resumo.

O que a lei exige é outra coisa, e é mais ampla. Para tratar dado pessoal você precisa de uma das hipóteses do art. 7º — dez ao todo, sendo o inciso I o consentimento e o inciso IX o legítimo interesse, este último válido “quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular”. Cookie de rastreamento identifica ou torna identificável quem navega. Logo, é tratamento de dado pessoal e precisa de uma dessas hipóteses. É por essa porta que a lei entra no assunto.

Se a base escolhida for o consentimento, o art. 5º, XII define o que ele precisa ser: “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Três adjetivos e uma condição — e cada um deles derruba uma prática comum:

• livre — não vale condicionar o acesso ao site ao aceite integral;
• informada — a pessoa precisa saber o que está aceitando antes de aceitar;
• inequívoca — continuar navegando não é consentimento, e caixa pré-marcada também não é;
• para uma finalidade determinada — “aceito tudo” não descreve finalidade nenhuma.

O art. 8º fecha o cerco com três parágrafos que decidem a maior parte das discussões práticas. O §2º: “Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei” — ou seja, não basta ter pedido, é preciso conseguir provar o que foi pedido, quando e para quê. O §4º: “O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas”. E o §5º: “O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado” — se o seu site não tem como a pessoa mudar de ideia depois, falta uma peça.

O art. 9º trata da informação: o titular tem direito ao acesso facilitado às informações sobre finalidade específica, forma e duração do tratamento, identificação e contato do controlador, uso compartilhado e seus próprios direitos. O §1º desse artigo é o que transforma texto ruim em problema jurídico: o consentimento é nulo se as informações forem enganosas, abusivas ou não tiverem sido apresentadas previamente com transparência. E o art. 6º costura tudo com os princípios — finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Quem preenche o silêncio da lei sobre cookies especificamente é a ANPD, no guia orientativo Cookies e proteção de dados pessoais, versão 1.0, publicado em outubro de 2022. Vale a ressalva de método: é um guia orientativo, não uma norma, resolução ou regulamento. Mas é a régua que o próprio regulador publicou — e é dela que sai o resto deste artigo.

O erro que sai caro: o banner “batonzinho”

Existem dois objetos com a mesma aparência e efeitos jurídicos opostos.

O primeiro é o banner informativo: aquela tarja com “usamos cookies para melhorar sua experiência” e um botão “OK”. Quando ela aparece, o Analytics já carregou, o pixel já disparou e o mapa de calor já está gravando. O botão não liga nem desliga nada — ele apenas some com a tarja. É o que costumo chamar de batonzinho: um enfeite passado por cima de um problema que continua exatamente onde estava.

O segundo é o banner com consentimento real: os scripts não essenciais ficam bloqueados até o aceite, a escolha é registrada com data e escopo (para o ônus da prova do art. 8º, §2º) e existe um caminho para revogar depois (art. 8º, §5º).

Se a recusa não muda nada no comportamento do site, o banner não é conformidade — é encenação. E, pior, é uma encenação que produz prova contra você: ao exibir a tarja, você documentou que sabia da obrigação, e ao continuar rastreando quem recusou, documentou que não a cumpriu. O banner de enfeite é o único item da lista que piora a sua situação em relação a não ter nada.

Aqui entra a régua oficial, e é ela que fecha o argumento. O guia da ANPD descreve exatamente esse cenário na lista de práticas a evitar. Com estas palavras:

“Apresentar cookies não necessários ativados por padrão, exigindo a desativação manual pelo titular”;

“Utilizar um único botão no banner de primeiro nível, sem opção de gerenciamento no caso de utilizar a hipótese legal do consentimento (‘concordo’, ‘aceito’, ‘ciente’ etc.)”;

“Dificultar a visualização ou compreensão dos botões de rejeitar cookies ou de configurar cookies, e conferir maior destaque apenas ao botão de aceite”.

Do lado das boas práticas, o mesmo guia pede: “Disponibilizar botão que permita rejeitar todos os cookies não necessários, de fácil visualização, nos banners de primeiro e segundo nível” e “Desativar cookies baseados no consentimento por padrão”. Repare que os três erros da lista acima descrevem, item por item, o banner padrão de fábrica que a maioria dos sites brasileiros está exibindo agora.

O guia traz ainda um exemplo concreto do banner certo — o caso de uma escola que corrigiu o seu. A correção foi oferecer três botões com o mesmo destaque — “aceitar todos os cookies”, “rejeitar todos os cookies” e “gerenciar cookies” — e deixar os cookies baseados no consentimento desativados por padrão. É um desenho simples, e é a diferença entre cumprir e parecer que cumpre.

Uma nota de honestidade, porque ela importa: não localizamos, em fonte primária, nenhuma sanção da ANPD aplicada especificamente por banner de cookies até esta data. O que este artigo descreve é risco e descumprimento de deveres que estão na lei, não uma multa automática que cai sobre quem tem banner ruim. Quem promete o contrário está vendendo susto.

Cookie essencial x cookie de rastreamento: o que pode carregar antes do aceite

Toda a operação depende dessa separação, porque ela decide o que pode rodar antes de qualquer clique.

Essenciais são os cookies sem os quais o site não funciona: sessão de login, item no carrinho, token contra falsificação de requisição, preferência de idioma, balanceamento de carga. Eles carregam antes do banner porque, sem eles, não há site para consentir.

Não essenciais é todo o resto, e a lista é maior do que a maioria imagina: analytics, pixel de anúncio, mapa de calor e gravação de sessão, chat de terceiro, teste A/B, e — o item que quase ninguém lembra — vídeo, mapa e widget de terceiro embutidos na página. Um mapa incorporado ou um player de terceiro dispara cookie de terceiro no instante em que a página carrega, muito antes de alguém rolar até ele. Fonte externa carregada de um CDN de terceiro entra na mesma conversa.

A ANPD é explícita sobre um erro simétrico, que é pedir consentimento demais: “não é apropriado utilizar a hipótese legal do consentimento nas hipóteses de cookies estritamente necessários”. Faz sentido — se recusar significa não conseguir usar o site, não havia escolha real, e chamar aquilo de consentimento é ficção. O banner que pede aceite “para tudo, inclusive o essencial” erra dos dois lados: trata como opcional o que não é e, ao embolar tudo, torna genérica uma autorização que o art. 8º, §4º exige que seja específica.

E há a nuance que separa o texto informado do texto genérico. Medição de audiência não é automaticamente igual a publicidade. O guia registra que o uso de cookies “para fins de medição de audiência (cookies analíticos ou de medição) pode ser amparada na hipótese legal do legítimo interesse em determinados contextos, observados, em qualquer hipótese, os requisitos previstos na LGPD” — e delimita quando: “quando o tratamento se limitar à finalidade específica de identificação de padrões e tendências, com base em dados agregados e sem a combinação com outros mecanismos de rastreamento ou sem a formação de perfis de usuários”.

O outro lado da mesma passagem: “o legítimo interesse dificilmente será a hipótese legal mais apropriada nas hipóteses em que os dados coletados por meio de cookies são utilizados para fins de publicidade” — em especial quando há cookie de terceiro, formação de perfil comportamental e rastreamento do usuário por páginas distintas; nesses casos, diz o guia, “o consentimento pode ser considerado uma hipótese legal mais apropriada”. As duas frases andam juntas, e o próprio documento manda avaliar o caso concreto. Traduzindo para a prática: a mesma tag de analytics muda de categoria conforme o que você faz com o dado. Se ela alimenta um público de remarketing, ela é publicidade — não importa o nome do produto.

WordPress: por que o plugin instalado costuma ser só a cortina

Esta é a parte que a maioria dos textos sobre cookies não escreve, porque exige olhar o site por dentro em vez de listar plugins.

O padrão que se repete: o plugin de cookies entrega muito bem o banner — a tarja, os botões, o texto configurável. Mas o bloqueio prévio de scripts, que é a parte que faz o consentimento existir juridicamente, costuma depender de configuração adicional, de uma varredura que precisa ser rodada e revisada, ou de recurso disponível só na versão paga. Instalar e ativar não basta. O resultado é um site “com banner e sem consentimento”.

E, mesmo com o plugin bem configurado, o rastreamento escapa por caminhos previsíveis. Vale conferir um por um:

• Analytics ou GTM colado direto no tema — a tag no header.php (ou no functions.php via wp_head) não passa pelo plugin de consentimento: ela é impressa no HTML antes de qualquer decisão do visitante.
• Plugin de “inserir código no cabeçalho” — os plugins genéricos de header/footer scripts injetam a tag por conta própria, fora do controle do plugin de cookies.
• Pixel do Meta em plugin próprio — o plugin oficial de integração com anúncios carrega o pixel no seu próprio ciclo; o plugin de consentimento não sabe que ele existe.
• Tema com recurso externo — fonte carregada de CDN de terceiro, ícone remoto, vídeo ou mapa embutido no construtor de página. Cada um é uma requisição a outro domínio no carregamento.
• Plugin de chat / atendimento — o widget abre conexão e grava identificador assim que a página monta.
• Plugin de cache — o mais traiçoeiro, porque ele desfaz o que você acabou de arrumar: a página é servida a partir do HTML gravado em disco, com os scripts já embutidos na versão em cache. Você corrige a configuração, testa logado (sem cache) e vê tudo certo; o visitante anônimo recebe a página antiga, com os rastreadores dentro. Depois de qualquer ajuste de consentimento, limpe o cache e teste em aba anônima.

Por isso este artigo não recomenda plugin por nome. A pergunta útil não é “qual plugin?”, e sim o que ele precisa fazer: bloquear scripts não essenciais antes do aceite; oferecer rejeitar com o mesmo destaque do aceitar; ter segundo nível com categorias e finalidades; deixar tudo desmarcado por padrão; registrar a escolha de forma auditável; permitir revogação simples; e conviver com o seu cache. Um plugin que faz isso serve. O nome dele é detalhe — o que decide é a configuração e o teste.

O teste de 30 segundos que responde a pergunta

Não é preciso acreditar em ninguém, inclusive em mim. Dá para verificar agora:

1. Abra uma janela anônima (Ctrl+Shift+N no Chrome, Ctrl+Shift+P no Firefox) — é o que garante que você não está vendo o resultado de um consentimento antigo.
2. Entre no seu site e, quando o banner aparecer, recuse tudo. Se não houver botão de recusar, anote: esse já é o primeiro achado.
3. Abra o DevTools com F12 e vá em Application (no Firefox, Armazenamento) → Cookies → o seu domínio.
4. Recarregue a página e leia a lista. Procure por: _ga e _ga_<ID> (Google Analytics 4), _gid (Analytics), _gcl_au (Google Ads), _fbp e _fbc (pixel do Meta), _hj* (mapa de calor), _clck/_clsk (gravação de sessão).
5. Vá na aba Network, marque “Preserve log”, recarregue e filtre por google-analytics, googletagmanager, connect.facebook.net e doubleclick.

A leitura do resultado é direta. Nenhum desses cookies e nenhuma dessas requisições depois da recusa: o bloqueio prévio está funcionando. Cookie de sessão do próprio domínio apenas: é o esperado, são os essenciais. Qualquer um dos rastreadores acima presente: o seu banner é informativo, e a recusa do visitante não fez nada — que é exatamente a situação que este artigo trata.

Faça o teste também em uma página interna e no mobile, não só na home: é comum a home estar limpa e um post antigo, com vídeo ou mapa embutido no corpo, disparar cookie de terceiro sozinho.

Cookie wall: posso obrigar a aceitar para navegar?

É a pergunta que aparece do outro lado do balcão — e, ao contrário do que se costuma dizer, ela não está em aberto. A ANPD tem posição escrita:

“não é compatível com a LGPD a obtenção ‘forçada’ do consentimento, isto é, de forma condicionada ao aceite integral das condições de uso de cookies, sem o fornecimento de opções efetivas ao titular.”

E o guia continua, na frase seguinte — que precisa ser lida junto, sob pena de virar overclaim:

“a regularidade do consentimento deve ser verificada de acordo com o contexto e as peculiaridades de cada caso concreto, considerando-se, em particular, se é fornecida ao titular uma alternativa real e satisfatória.”

Ou seja: o que a ANPD reprova é o consentimento forçado — a porta que só abre com aceite integral e sem opção efetiva —, e a avaliação é feita caso a caso, olhando se existe alternativa real e satisfatória para quem não quer aceitar. Não é o mesmo que declarar toda barreira de cookies vedada no Brasil, e este artigo não vai dizer isso. A conclusão prática, essa sim, é firme: se a sua tela de cookies só tem o caminho do “aceitar”, você está no cenário que o regulador aponta como incompatível.

Um alerta de origem, porque metade do que circula em português sobre cookie wall vem da Europa: o RGPD e a LGPD têm lógica parecida, mas não são o mesmo regime. Decisão de autoridade europeia não é fundamento no Brasil, e regra de lá não se aplica aqui por analogia. Quando alguém citar uma decisão para justificar o que fazer no seu site, verifique de qual jurisdição ela é.

Recusou e mesmo assim recebeu sua campanha: é assim que a denúncia começa

Vale entender o mecanismo, porque ele é o que transforma um detalhe técnico em risco concreto.

A pessoa clicou em “não aceito”. Dias depois, recebe um anúncio seu perfeitamente segmentado, ou um e-mail que só faz sentido se alguém soubesse por onde ela navegou. Ela percebe a incoerência — e a incoerência é autoexplicativa, não exige que ela entenda de tecnologia. Quem recusou e foi rastreado assim mesmo tem canal para reclamar: primeiro com você, pelos direitos do art. 9º; depois, com o regulador.

Repare em como a peça se encaixa: o mesmo banner que deveria protegê-lo é o que dá à pessoa a linguagem para reclamar. Sem banner, ela não teria como saber que recusou. Com um banner que não bloqueia nada, ela recusou e tem registro disso. É por isso que o batonzinho é pior que a ausência.

Quanto ao volume: não vamos publicar estimativa de quantas denúncias partem de usuários, porque não achamos essa estatística em fonte primária. O que importa aqui é o mecanismo, e ele independe de número.

Checklist de 8 itens antes de dizer que o site está conforme

Cada item é verificável em minutos, e cada um responde a um ponto específico da lei ou do guia:

1. O banner bloqueia scripts não essenciais antes do aceite? É o teste da seção anterior. Sem isso, os outros sete itens não salvam.
2. Existe botão de “rejeitar todos os não necessários” com o mesmo destaque do aceitar? A ANPD lista como boa prática o botão de rejeitar “de fácil visualização”, e como prática a evitar dar “maior destaque apenas ao botão de aceite”.
3. Há banner de segundo nível, com as categorias e as finalidades? Consentimento por finalidade — e não um sim global — é o que o art. 8º, §4º cobra.
4. Os cookies baseados no consentimento estão desativados por padrão? Literal do guia: “Desativar cookies baseados no consentimento por padrão”. Caixa pré-marcada não é manifestação inequívoca.
5. A escolha é registrada com data e escopo? É o ônus da prova do art. 8º, §2º. Se você não consegue mostrar o que foi consentido e quando, para efeito prático não houve consentimento.
6. Dá para revogar depois, por meio gratuito e facilitado? Art. 8º, §5º. Na prática: um link no rodapé que reabre as preferências resolve.
7. Existem política de privacidade e de cookies em português, com URL própria e linkadas no banner? O guia lista “apresentar informações sobre a política de cookies apenas em idioma estrangeiro” entre as práticas a evitar — política só em inglês, ou hospedada em outro domínio, não cumpre.
8. A lista de cookies é a sua, e os scripts de terceiros estão mapeados? A lista genérica que veio no plugin descreve o site de outra pessoa. Rode a varredura, confira contra o que o DevTools mostra e mantenha o contato do encarregado (DPO) publicado.

Se a resposta ao item 1 for “não”, comece por ele. Os outros sete são melhorias em cima de uma base que existe; o item 1 é a base.

O vídeo que deu origem a este artigo

Este texto nasceu de um trecho de “LGPD na Hospedagem de Vídeo: Hospedar Fora do Brasil Pode Quebrar Seu Curso com Multa Milionária”, episódio do podcast Café & Tech publicado no canal da JMV Technology em 18 de junho de 2026 (1h09min40s), com Josimar Machado e Mário Sérgio. O episódio é amplo — trata de LGPD, hospedagem fora do Brasil e dados de aluno; o assunto deste artigo é um recorte de pouco mais de um minuto. Para ir direto ao ponto, o trecho começa em 45min49s.

“Se cair na fiscalização, você roda” é força de expressão de quem está conversando ao vivo — e este artigo não afirma que existe sanção automática por banner de enfeite, porque não há caso verificado. O que se sustenta é a parte técnica da observação, e ela se sustenta inteira: o botão de enfeite é comum, é fácil de detectar e não cumpre o que a lei pede.

Ver também

Conformidade de site raramente vem sozinha. Se o assunto é o que a lei cobra de quem publica na internet, o vizinho direto deste texto é o que fazer quando copiam o conteúdo do seu site — outras obrigações legais de quem tem site, do lado de quem é lesado. E, no plano da reputação, como proteger a marca no ambiente das redes sociais trata do entorno em que o seu conteúdo aparece.

Há ainda o capítulo que este artigo não cobre de propósito: o que muda quando o fornecedor do serviço é gringo — servidor, player ou plataforma fora do Brasil, com dado de brasileiro passando por lá. Esse recorte está em hospedagem de vídeo gringa sem CNPJ: o risco jurídico, no blog da JMV Stream.

Uma última observação, e é sobre esta casa: os itens deste checklist valem para qualquer site, inclusive os nossos. Se você encontrar aqui um dos problemas que o texto descreve, escreva para a gente — o teste de 30 segundos funciona nos dois sentidos.