Cookies e rastreamento: o que o site pode acompanhar sobre o visitante

Cada visita a um site aciona uma engrenagem quase invisível de cookies, pixels e outros rastreadores que registram hábitos, localização e preferências de quem navega. A Lei Geral de Proteção de Dados definiu quais dessas ferramentas dependem de autorização prévia e quais podem operar sem pedir licença, e o desenho correto desse consentimento tornou-se questão central para empresas e cidadãos.

O que são cookies e ferramentas de monitoramento

Cookies são pequenos arquivos de texto que um site grava no navegador do visitante para reconhecê-lo em acessos seguintes. Eles guardam desde o idioma escolhido e os itens de um carrinho de compras até identificadores que acompanham o comportamento da pessoa ao longo de várias páginas. A tecnologia nasceu para tornar a navegação mais fluida, mas evoluiu para uma infraestrutura sofisticada de coleta de dados.

Nem todo rastreamento passa por cookies. Pixels de rastreamento, web beacons, impressões digitais de dispositivo (o chamado fingerprinting), armazenamento local do navegador e kits de desenvolvimento embutidos em aplicativos cumprem função parecida. Todos capturam sinais sobre quem acessa, de onde acessa e o que faz durante a visita, muitas vezes sem que o usuário perceba a extensão do registro.

Há uma distinção que organiza todo o debate jurídico: cookies próprios, criados pelo site que a pessoa visita, e cookies de terceiros, inseridos por empresas parceiras de publicidade e análise. Os primeiros costumam viabilizar o funcionamento da página. Os segundos alimentam redes de anúncios e perfis de comportamento que ultrapassam as fronteiras do site original.

As categorias que definem a necessidade de consentimento

A classificação mais aceita separa os cookies em quatro grupos conforme a finalidade. Os cookies estritamente necessários mantêm funções básicas, como autenticação de login, segurança da sessão e distribuição de carga entre servidores. Sem eles, o site simplesmente não opera, razão pela qual recebem tratamento jurídico distinto dos demais.

Os cookies de desempenho e análise medem audiência, identificam páginas mais visitadas e apontam falhas de navegação. Os cookies de funcionalidade lembram preferências, como região e idioma, para personalizar a experiência. Já os cookies de publicidade e marketing constroem perfis detalhados do usuário, direcionam anúncios e medem a eficácia de campanhas, frequentemente compartilhando dados com terceiros.

Essa taxonomia não é mero detalhe técnico. Ela determina a base legal aplicável e, por consequência, define se a empresa precisa ou não obter autorização antes de ativar cada categoria. Quanto mais o cookie se afasta da simples operação do site e se aproxima da exploração comercial de dados, maior a exigência de consentimento.

A Lei Geral de Proteção de Dados, em vigor desde 2020, forneceu o parâmetro para decidir cada caso. O texto não trata de cookies pelo nome, mas se aplica a eles sempre que houver tratamento de dados pessoais, conceito amplo que abrange qualquer informação capaz de identificar uma pessoa natural.

A transparência, contudo, permanece obrigatória: a empresa deve informar que esses cookies existem e para que servem.

Quando o consentimento é obrigatório segundo a LGPD

A lei admite dez bases legais para o tratamento de dados. Duas são decisivas no universo dos cookies: o consentimento do titular, previsto no artigo 7º, inciso I, e o legítimo interesse do controlador, previsto no artigo 7º, inciso IX. A escolha entre uma e outra não é livre; depende da finalidade concreta de cada cookie.

Cookies estritamente necessários dispensam consentimento porque se sustentam no legítimo interesse ou na execução do contrato firmado com o usuário. Sem eles, o serviço contratado não se realiza, o que torna desproporcional exigir autorização para algo indispensável. A transparência, contudo, permanece obrigatória: a empresa deve informar que esses cookies existem e para que servem.

Cookies de publicidade, marketing e compartilhamento com terceiros seguem lógica oposta. Como não são essenciais e envolvem exploração comercial dos dados, exigem o consentimento livre, informado e inequívoco previsto na lei, cuja forma de obtenção o artigo 8º detalha. O usuário precisa decidir de maneira consciente, sem pressão e sem que a recusa comprometa o acesso ao conteúdo.

Os cookies de análise ocupam uma zona intermediária. Quando limitados a métricas internas e agregadas, sem identificação individual nem compartilhamento externo, parte da doutrina admite o legítimo interesse. Se alimentam perfis ou ferramentas de terceiros, a exigência de consentimento retorna. A avaliação caso a caso, com registro do raciocínio, protege a empresa em eventual fiscalização.

Como montar um aviso de cookies transparente

O banner de cookies é o instrumento visível dessa política, e sua construção segue exigências claras. A primeira delas é a informação prévia: antes de instalar qualquer cookie não essencial, o site deve explicar quais dados coleta, com que finalidade e por quanto tempo os mantém. A linguagem precisa ser acessível, longe do juridiquês que esvazia o sentido do aviso.

O consentimento tem de ser granular. Não basta um botão único de aceitação total; o usuário deve poder autorizar categorias específicas e recusar outras. Caixas previamente marcadas são vedadas, porque o silêncio ou a inércia não configuram manifestação válida de vontade. Aceitar e recusar precisam ter o mesmo peso visual e a mesma facilidade de clique.

A autoridade nacional de proteção de dados publicou orientações reforçando esses pontos e condenando os chamados padrões enganosos de interface, que induzem a pessoa a aceitar sem refletir. Botões de recusa escondidos, cores que destacam apenas a aceitação e avisos que reaparecem a cada clique são práticas incompatíveis com a lei.

O aviso deve ainda garantir a revogação a qualquer tempo. Quem consentiu ontem pode mudar de ideia hoje, e o site precisa oferecer um caminho simples para retirar a autorização, tão acessível quanto foi concedê-la. Uma central de preferências permanente, vinculada à política de privacidade, atende a essa exigência.

Como o cidadão controla o que é coletado

Do lado de quem navega, a lei assegura um conjunto de direitos que dão poder real sobre os próprios dados. O titular pode confirmar a existência do tratamento, acessar as informações coletadas, corrigir dados incompletos e solicitar a eliminação daquilo que foi tratado com base no consentimento, conforme o artigo 18 da lei.

Na prática cotidiana, o controle começa no próprio navegador. É possível bloquear cookies de terceiros, apagar os arquivos já armazenados, ativar o modo de navegação privada e recorrer a extensões que barram rastreadores. Essas ferramentas não dependem da boa vontade do site e funcionam como primeira linha de defesa da privacidade.

O segundo movimento é usar as centrais de preferências oferecidas pelas próprias páginas. Ao recusar categorias não essenciais, o usuário reduz a formação de perfis publicitários sem perder o acesso ao conteúdo, já que os cookies necessários continuam ativos. Revisar essas escolhas periodicamente mantém o controle atualizado.

Quando o site ignora a recusa ou dificulta a revogação, o cidadão pode registrar reclamação perante a autoridade de proteção de dados. A fiscalização e as sanções administrativas previstas na lei existem justamente para equilibrar a relação entre quem coleta e quem é monitorado, transformando o direito no papel em prática efetiva.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.