Banner de Consentimento

Um banner de consentimento, também chamado de banner de cookies ou aviso de cookies, aparece na primeira visita do usuário. Normalmente é uma sobreposição, uma barra na parte inferior da página ou uma janela modal. O processamento não essencial só pode começar depois que o visitante interagir com o banner.

O banner é a parte visível de um dever mais amplo de proteção de dados. Por trás dele existe uma plataforma de gestão de consentimento ou um script próprio, que funciona em três etapas:

1. 1

   Informar primeiro

   O banner mostra quem vai definir as tecnologias, para quais finalidades e quais escolhas existem.

2. 2

   Bloquear até a escolha

   Cookies não essenciais, pixels e scripts continuam bloqueados até o visitante decidir.

3. 3

   Registrar e reapresentar

   A escolha é registrada com data, hora e versão do aviso. Um link no rodapé permite alterá-la depois.

Na União Europeia, a regra vem do Artigo 5(3) da Diretiva ePrivacy. Armazenar ou ler informações no dispositivo do usuário, o que cookies e rastreadores semelhantes fazem, exige consentimento. A exceção cobre apenas o armazenamento estritamente necessário para um serviço que o usuário solicitou, como o conteúdo do carrinho ou a sessão de login. Cookies de análise e de publicidade nunca se enquadram nela.

A GDPR define o padrão que o consentimento deve atender: livre, específico, informado e inequívoco, expresso por uma ação afirmativa clara. Quando dados sensíveis são tratados com base no consentimento, a GDPR exige que ele seja explícito. A ePrivacy decide quando o consentimento é necessário, e a GDPR decide o que conta como consentimento válido. As regras nacionais acrescentam detalhes, por isso a redação varia um pouco entre os Estados-membros. O princípio do opt-in vale na UE, no EEE e no Reino Unido.

Nem todo banner pede permissão do mesmo jeito. Dois modelos dominam, e um site internacional costuma usar os dois ao mesmo tempo. Pelas leis estaduais dos EUA, como a CCPA, um sinal de recusa enviado pelo navegador ou pelo dispositivo precisa ser respeitado.

Seja qual for o modelo, a escolha precisa ser comprovável, porque o ônus da prova cabe ao operador do site. Uma configuração em conformidade registra as informações abaixo para cada escolha, e manter esse registro faz parte da gestão de compliance:

• quando o consentimento foi dado ou recusado
• quais finalidades e fornecedores a escolha abrangia
• qual versão do aviso o visitante viu

Um banner pode estar na tela e ainda assim ser inválido. Autoridades de supervisão e tribunais já decidiram diversas vezes contra desenhos que tornam aceitar mais fácil do que recusar.

Os reguladores aplicam um teste simples: a simetria. Recusar precisa exigir um clique e ter o mesmo destaque que aceitar. Retirar o consentimento também deve ser tão fácil quanto dá-lo. Consentimento obtido por manipulação não é livre, e consentimento que não é livre não existe.

Na publicidade online, o método dominante de sinalização é o IAB Transparency and Consent Framework, normalmente abreviado como TCF. Uma plataforma de consentimento que o suporta codifica as escolhas do visitante, como as finalidades consentidas, os fornecedores permitidos e as objeções ao tratamento por legítimo interesse, em uma string padrão de consentimento. Os fornecedores de publicidade ao longo da cadeia podem ler essa string e devem respeitá-la.

O TCF é um framework da indústria, não uma lei. A adesão é contratual, e tanto o framework quanto os avisos construídos sobre ele já atraíram o escrutínio de reguladores. Seja qual for a ferramenta, a regra pesa mais: nenhum rastreamento não essencial antes de uma escolha válida e simétrica, e a formação de perfis comportamental para publicidade exige esse mesmo consentimento claro.

Leitura adicional: Use o sistema Anexet Ultimate DLP para atender ao RGPD.