Cookie与同意：网站应如何处理访客的个人数据

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

通过Cookie追踪用户，属于对个人数据的处理，须遵守《巴西通用个人数据保护法》（LGPD）的要求。网站要合规运营，就必须在安装非必要Cookie之前取得有效的同意，保证数据处理目的的透明度，并为访客提供切实可行的拒绝机制。

Cookie属于个人数据：法律上的界定

Cookie是写入用户浏览器的小型文本文件，用来记录偏好设置、登录会话、浏览行为等信息。当Cookie与可识别的个人相关联时，就构成第13.709/2018号法律第5条第I项意义上的个人数据，适用该法规定的整套保护制度。

在法律层面，关键的区别在于严格必要的Cookie与非必要Cookie。前者保障网站的技术运行，例如身份验证和会话安全，无需征得同意，因为这类处理可以依据履行合同或经过妥善记录的正当利益这一法律依据进行。其余的Cookie，例如分析类Cookie、行为广告类Cookie和个性化Cookie，只有在取得访客事先作出的、自由的、知情的、明确的同意之后，才能安装。

《巴西互联网民事框架法》（第12.965/2014号法律）早已将尊重隐私确立为巴西使用互联网的基础。LGPD进一步强化了这一要求：每一项处理操作都须有明确的法律依据，即便只是由嵌入页面的第三方脚本读取Cookie，也不例外。

有效的同意：法律不容打折的要求

LGPD第8条规定，同意必须以自由、知情、明确的方式作出。落实到Cookie上，这意味着横幅或偏好设置面板不得使用预先勾选的选项框，也不得把拒绝选项藏在二级菜单里，或者以对比度很低的方式显示。接受的便利程度与拒绝的便利程度应当相当，否则所取得的同意无效。

笼统的同意，即只需一次点击就接受所有类别的Cookie、不区分处理目的，违反了LGPD第6条第I项所规定的目的原则所要求的细分程度。访客应当可以只接受分析类Cookie，而不必同时授权广告追踪类Cookie。按类别分开选择，正是所收集数据与所声明目的之间适当性原则在实践中的体现。

一个占满屏幕、只提供“全部接受”按钮的横幅，算不上征求同意：它是一种数字胁迫，LGPD不予容许。

另一项常被忽视的要求是同意的留存记录。控制者必须能够证明同意是依法有效取得的，包括记录日期、当时有效的Cookie政策版本，以及用户所接受的类别。没有这些记录，一旦发生行政或民事争议，不利的推定将落在网站一方。

控制者的义务与不合规的风险

网站负责人应当制定并公布一份清晰的Cookie政策，用通俗易懂的语言撰写，并在数据收集目的发生变化时随时更新。该政策须说明使用了哪些Cookie、各自的用途、保存期限，以及在适用时，哪些第三方将接收追踪所产生的数据，包括广告平台和外部统计工具。

撤回同意应当与给予同意一样简便。LGPD第8条第5款规定得很明确：数据主体可随时通过明示的意思表示撤回同意，且不会因此遭受任何不利。有些网站只允许用户通过浏览器的高级设置来清除Cookie，却不提供专门的管理面板，这并不符合上述要求，控制者因此要承担责任。

违反Cookie同意规则的处罚，轻则是附整改期限的警告，重则是按法人上一会计年度营业额的最高2%处以罚款，且每项违法行为的罚款上限为五千万雷亚尔，依据为LGPD第52条。除了国家数据保护局（Autoridade Nacional de Proteção de Dados）的行政处罚之外，受到损害的数据主体还可以依据同一部法律第42条，在民事层面请求损害赔偿，这大大增加了控制者面临的法律风险。

常见问题

无论规模大小，所有网站都必须显示Cookie横幅吗？

这项义务源于使用了处理个人数据的Cookie，而不取决于网站的规模或营业额。一个个人博客，只要嵌入了流量分析平台的代码，就已经在处理访客的个人数据，必须在安装这些Cookie之前征求同意。只要处理涉及第三方的数据，LGPD并未对微型企业或自然人作出豁免，即使访客数量很少也是如此。

访客给出Cookie同意之后，还可以撤回吗？

可以，这是LGPD第8条第5款结合第18条第IX项所保障的一项权利。网站应当提供便于使用的撤回机制，例如在任何页面都能进入的Cookie偏好设置面板。撤回之后，控制者应当停止基于该同意的数据处理，并在技术可行的范围内删除已经收集的数据，但法律规定的保存期限（如有）仍应遵守。

无视Cookie同意规则的网站，会面临哪些法律后果？

违规可能招致ANPD（巴西国家数据保护局）作出的行政处罚，包括警告、公布违法行为、封存相关数据，以及按年营业额最高2%的比例处以罚款，且每项违法行为的罚款上限为五千万雷亚尔。在民事层面，数据主体只要证明不当处理造成了实际损害，就可以依据LGPD第42条要求赔偿，无论行政程序的结果如何。此外，如果违法行为涉及大量用户，消费者保护组织或检察院（Ministério Público）还可能提起集体诉讼。

— 17/05/2026, 13h00min

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.