Uma fiscalização não precisa entrar na empresa. Basta abrir o site, observar o que é ativado antes do consentimento e guardar o rastro técnico em minutos. O banner pode parecer impecável enquanto o navegador já registra cookies, dados gravados no dispositivo e conexões com serviços externos. Assim, uma escolha apenas visual pode expor a empresa a um risco de multa que os responsáveis ainda desconhecem.
Essa contradição é o ponto crítico. O texto promete uma escolha enquanto ferramentas que medem audiência, criam perfis de marketing ou carregam vídeos externos, como Google Analytics, Meta Pixel e Hotjar, podem já estar ativas. Uma denúncia, diligência, revisão de fornecedor ou fiscalização pode começar por esse rastro público, sem acesso ao servidor ou a documentos internos.
Foi para tornar esse comportamento observável que desenvolvi o Teste de Cookies, uma ferramenta gratuita de utilidade pública, disponível em português do Brasil e de Portugal. No projeto, comparo o site antes da escolha, depois da rejeição e depois da aceitação. Em seguida, a ferramenta organiza o que encontrou numa tela de resultado, numa lista detalhada e num relatório em PDF.
Não uso o resultado para emitir certificado de conformidade nem para declarar uma infração. Mostro o que o site fez, no momento do teste, antes e depois das escolhas apresentadas ao usuário.
O banner diz uma coisa. O navegador pode fazer outra
Em primeiro lugar, é preciso comparar o que aparece na tela com o que o site realmente faz. O banner mostra textos e botões. Já o navegador registra cookies, dados gravados no próprio dispositivo e conexões com serviços externos. Por isso, uma captura de tela não basta.
O teste repete a visita em três situações: antes de qualquer escolha, depois da rejeição e depois da aceitação. Cada etapa começa numa nova sessão, sem escolhas anteriores. Assim, fica mais fácil perceber o que surgiu em cada momento.
Esse processo pode ser repetido por outras pessoas. Um pesquisador, encarregado de dados, engenheiro, perito ou responsável pelo site pode refazer o teste, comparar o PDF e investigar diferenças. Repetir o mesmo procedimento não elimina erros, mas ajuda a encontrá-los e corrigi-los.
| Momento do teste | O que a ferramenta faz | Pergunta principal | O que o resultado pode indicar |
|---|---|---|---|
| Antes de qualquer escolha | Abre a página numa nova sessão e não toca no banner. | Cookies, dados no navegador ou serviços externos já foram ativados? | Sinais anteriores à escolha precisam de revisão. |
| Depois da rejeição | Abre outra sessão e seleciona a opção de recusar, quando encontrada. | O site respeitou a recusa ou manteve recursos de análise e marketing? | A permanência desses recursos pode indicar uma falha. |
| Depois da aceitação | Abre outra sessão, aceita e registra o que foi ativado. | O que mudou após a autorização? | A comparação mostra o que depende da escolha do usuário. |
Como a ferramenta verifica o site
Na ferramenta, defini um procedimento simples: o usuário informa somente o endereço público da página. Endereços internos, páginas protegidas por senha e redes privadas ficam fora do teste. Em seguida, o sistema abre o endereço num navegador automatizado, procura o banner e tenta encontrar as opções de aceitar, rejeitar e gerenciar preferências.
Em cada etapa, o sistema registra os nomes e os domínios dos cookies, os dados gravados no navegador e as conexões feitas pela página. Depois, separa o que provavelmente serve ao funcionamento do site, à medição de audiência, ao marketing ou a uma finalidade ainda desconhecida. Quando a finalidade não está clara, mantenho o item na lista para revisão humana; a ferramenta não o trata automaticamente como infração.
Ao final, o usuário recebe uma leitura resumida na tela e um PDF mais completo. Os testes recentes podem ser recuperados no mesmo navegador. Além disso, o relatório pode ser gerado novamente a partir do resultado salvo.
Desenhei o relatório para mostrar nomes, domínios e o comportamento observado sem revelar o conteúdo dos cookies, senhas, dados de acesso ou conteúdo privado. Desse modo, a ferramenta produz informação útil sem recolher mais do que o necessário.
Uma verificação automatizada é mais útil quando mostra o que observou, como observou e onde pode estar errada.
— Wenderson Wanzeller
Por que este projeto tem interesse acadêmico e público
Ao desenvolver o projeto, transformei uma pergunta vaga, “o banner funciona?”, numa sequência que pode ser observada, repetida e documentada. Essa abordagem combina engenharia informática, análise de risco e proteção de dados, sem esconder as limitações da ferramenta.
Projetos públicos europeus seguem uma abordagem semelhante. O European Data Protection Supervisor, por exemplo, mantém o Website Evidence Collector, uma ferramenta que registra cookies, dados salvos no navegador e conexões com outros serviços. Pesquisas científicas também separam aquilo que a tecnologia consegue verificar daquilo que exige interpretação humana e jurídica.
Mantenho o Teste de Cookies como um projeto independente, adaptado à linguagem acessível e às variantes brasileira e portuguesa. Ele pode apoiar aulas, estudos de caso, trabalhos de conclusão, verificações preliminares, revisão de fornecedores e controle interno. Não publico um ranking de empresas nem transformo um resultado isolado em acusação.
Como a ferramenta está em fase beta, procuro validadores. Pesquisadores, docentes, estudantes, encarregados de dados, engenheiros, advogados, peritos e equipes de desenvolvimento podem contribuir ao relatar alertas incorretos, banners não reconhecidos, classificações incompletas e diferenças entre execuções.
Banner de cookies LGPD: o que a orientação oficial exige observar
No Brasil, alguns cookies permitem identificar ou acompanhar uma pessoa e, nesses casos, podem envolver dados pessoais. Por isso, nem todo cookie exige consentimento, mas um aviso genérico também não autoriza qualquer coleta. A empresa precisa explicar a finalidade, limitar o uso ao necessário e adotar uma justificativa prevista na LGPD.
O Guia de Cookies da ANPD recomenda, entre outras práticas, uma opção visível para rejeitar cookies não necessários e a desativação inicial dos cookies que dependem de consentimento. Além disso, uma recomendação dirigida ao Portal Gov.br considerou problemático um banner que oferecia somente a opção de aceitar.
Cookies realmente necessários podem permanecer ativos quando sustentam segurança, sessão, transmissão de dados, preferência de idioma ou o próprio registro da recusa. Contudo, essa exceção não pode servir para tratar medição de audiência, publicidade, acompanhamento de campanhas ou gravação da navegação como funções indispensáveis.
Em Portugal e na União Europeia, as regras vêm de mais de uma norma. A Lei n.º 41/2004, ligada à Diretiva ePrivacy, trata do armazenamento e do acesso a informações no dispositivo. O RGPD também se aplica quando há tratamento de dados pessoais. Essa diferença melhora a precisão sem reduzir a importância da escolha do usuário.
Multas no Brasil e coimas na Europa mostram que o problema saiu do rodapé
No Brasil, a LGPD prevê, conforme o caso e a apuração da autoridade, multa simples de até 2% do faturamento da pessoa jurídica no país, limitada a R$ 50 milhões por infração. Isso não significa que qualquer cookie gere automaticamente a penalidade máxima. Significa que um controle tratado como detalhe de marketing pode chegar à agenda financeira e de gestão da empresa.
SHEIN, 150 milhões de euros. Em 2025, a autoridade francesa CNIL aplicou à empresa uma multa por cookies colocados sem consentimento. O caso é especialmente relevante porque relaciona a sanção ao que o site fez na prática, e não apenas ao texto de uma política.
Google, 325 milhões de euros. A CNIL também sancionou a Google num caso que envolveu anúncios no Gmail e cookies publicitários colocados sem consentimento válido durante a criação de contas. Novamente, o ponto central foi a distância entre a escolha exigida e o que aconteceu de fato.
Esses casos não permitem concluir que toda falha terá o mesmo desfecho. Entretanto, mostram uma fiscalização que examina o navegador, os serviços externos e o momento em que o rastreamento começa. Uma denúncia, uma revisão de fornecedor ou uma diligência pode iniciar essa verificação sem acesso ao servidor da empresa.
Seis formas de um banner falhar
Na prática, um banner de cookies LGPD pode falhar de formas diferentes e produzir o mesmo efeito: o site mostra uma escolha, mas não a respeita.
Falta de banner. O site ativa recursos não necessários sem aviso ou possibilidade de escolha.
Botão de aceitar sem recusa equivalente. A opção de rejeitar fica ausente, escondida ou exige uma sequência desproporcional de cliques.
Navegação condicionada ao aceite. O usuário não consegue acessar nem um serviço mínimo sem autorizar um pacote que inclui medição de audiência ou marketing.
Rastreamento antes da escolha. Google Analytics, Meta Pixel, Hotjar, publicidade ou outros serviços externos entram em ação antes da decisão.
Rejeição apenas visual. O banner fecha, mas cookies, dados no navegador ou conexões não necessárias continuam ativos.
Revogação ineficaz. O usuário retira o consentimento, porém o site mantém o estado anterior ou volta a ativar recursos sem nova autorização.
Vídeos incorporados também merecem atenção. Um vídeo do YouTube inserido na página pode contactar servidores externos assim que a página abre. Em alguns casos, o espaço do vídeo precisa permanecer bloqueado até uma escolha ou um clique do usuário.
| Parte verificada | O que deve acontecer | Sinal de atenção |
|---|---|---|
| Primeira tela | Apresentar opções claras para aceitar, rejeitar e gerenciar. | Apenas aceitar recebe destaque ou rejeitar não aparece. |
| Antes da escolha | Manter inativos os recursos que dependem de autorização. | Ferramentas de audiência, publicidade ou Hotjar carregam imediatamente. |
| Depois da rejeição | Impedir novas coletas que dependem de autorização. | O banner fecha, mas cookies, dados no navegador ou serviços externos continuam ativos. |
| Vídeos externos | Esperar a escolha ou uma ação do usuário antes de carregar o serviço. | O vídeo conecta-se a servidores externos antes da decisão. |
| Revogação | Retirar a autorização e voltar a bloquear os recursos. | O botão existe, mas o comportamento do site não muda. |
Revogar o consentimento mostra se o site respeita a escolha
Consentimento não é autorização permanente. Por isso, o usuário precisa conseguir mudar de ideia com facilidade semelhante à encontrada para aceitar. Depois da revogação, o site deve atualizar a escolha e voltar a bloquear o que depende daquela autorização.
Neste site, a seção 5. Cookies e consentimento da Política de Privacidade oferece essa opção. O botão abaixo permite conferir o comportamento agora.
Revogar o consentimento neste site
O procedimento manual é simples. Aceite os cookies, carregue um conteúdo externo permitido, revogue o consentimento e atualize a página. Depois, verifique se os recursos que dependem de autorização voltaram ao estado bloqueado. A ferramenta compara as etapas principais, mas a revogação posterior também precisa ser conferida.
Como ler o resultado sem tirar conclusões precipitadas
Não apresento um resultado favorável como certificado de conformidade. O teste representa uma visita, numa página e num momento específicos. A ferramenta não conhece contratos, justificativas legais registradas, decisões internas, áreas que exigem login ou tratamentos realizados fora do navegador.
Também não apresento um sinal de risco como declaração de infração. O sinal identifica um comportamento que precisa de revisão. A equipe deve confirmar para que serve o recurso, se a categoria está correta e se as ferramentas que carregam códigos no site realmente obedecem à rejeição.
Cookies que parecem necessários são tratados separadamente. Segurança, sessão, distribuição de acesso entre servidores, idioma e registro da escolha podem justificar o armazenamento. Já os itens desconhecidos precisam de avaliação humana, porque o nome isolado raramente revela a finalidade.
Os resultados também podem mudar conforme o país de acesso, a campanha, o dispositivo, o estado do servidor, a plataforma que administra o banner e o conteúdo exibido naquele momento. Essa variação não invalida o teste. Pelo contrário, mostra por que o relatório registra data, endereço e condições observadas.
Um roteiro simples para testar o site
- Escolha as páginas. Inclua a página inicial, páginas de campanha, formulários, comércio eletrônico e páginas com vídeos ou ferramentas de marketing.
- Registre cada teste. Guarde o endereço, a data, o idioma, o resultado e o PDF.
- Compare os três momentos. Observe o site antes da escolha, depois da rejeição e depois da aceitação.
- Revise o que a ferramenta não reconheceu. Confirme a finalidade e o fornecedor antes de classificar o item.
- Encontre a origem do problema. Verifique a ferramenta que carrega códigos, as extensões do site, a plataforma do banner, o tema, os vídeos e os códigos de campanhas.
- Repita após a correção. Uma mudança só está concluída quando o comportamento observado também muda.
- Peça uma revisão profissional. Quando houver decisão jurídica, perícia ou risco relevante, complemente o teste com profissionais competentes.
O teste precisa ser repetido
Um banner pode funcionar hoje e falhar amanhã. Um novo código de análise, uma extensão do site, uma campanha, uma ferramenta de atendimento, um mapa ou um vídeo incorporado pode mudar o comportamento da página antes que a política de cookies seja revista.
Por isso, a verificação precisa fazer parte das mudanças do site. Equipes maduras repetem o teste depois de alterações relevantes, comparam relatórios e definem quem corrigirá cada problema. O objetivo não é colecionar selos; é manter coerência entre a escolha anunciada e o que o site realmente faz.
Para pesquisas, as repetições ao longo do tempo também ajudam a encontrar falhas que reaparecem e diferenças entre páginas. Quando o estudo comparar muitos sites, será necessário definir quais páginas entram na análise, aplicar a mesma regra e revisar a qualidade dos dados.
A contribuição pública mais importante não é dizer que um site está conforme. É tornar o comportamento observável, repetível e aberto à correção.
— Wenderson Wanzeller
Participe da validação do projeto
Mantenho o Teste de Cookies em melhoria contínua. Nesta fase, preciso mais de exemplos concretos do que de elogios genéricos. Páginas em que o banner não foi reconhecido, diferenças entre testes, alertas incorretos, serviços que ainda não aparecem na base e termos regionais ajudam a melhorar o método.
Disponibilizo a ferramenta gratuitamente para empresas, universidades, advogados, peritos, encarregados de dados, programadores e órgãos públicos utilizarem em avaliações iniciais e estudos. Use o resultado com responsabilidade, preserve o contexto e não transforme uma verificação automática em acusação pública.
Se este projeto puder apoiar uma disciplina, pesquisa, reportagem ou revisão profissional, teste uma página e envie-me o que encontrou.
Fontes oficiais e estudos usados no artigo
Reuni as fontes abaixo para sustentar as regras apresentadas, os casos citados e o método de verificação que adotei na ferramenta.
Referência rápida
Termos deste artigo
REFERÊNCIA RÁPIDA. Consulte estas definições sempre que encontrar um termo técnico no artigo.
- Cookie
- Pequeno registro que um site pode guardar no navegador para manter uma sessão, lembrar uma escolha, medir audiência ou apoiar publicidade.
- Banner de cookies
- Aviso que informa o uso de cookies e apresenta as opções disponíveis ao usuário.
- Cookie necessário
- Recurso indispensável à segurança, à transmissão de dados ou à entrega de um serviço solicitado pelo usuário.
- Cookie não necessário
- Recurso usado, por exemplo, para medir audiência, publicidade, personalização ou integração com serviços externos.
- Consentimento prévio
- Autorização livre, informada e clara obtida antes de ativar um recurso que depende dessa escolha.
- Revogação do consentimento
- Retirada de uma autorização dada anteriormente. Depois disso, o site deve voltar a bloquear o que dependia da escolha.
- Dados pessoais
- Informações relacionadas a uma pessoa identificada ou que possa ser identificada.
- URL pública
- Endereço de uma página acessível pela internet, sem senha ou acesso a uma rede privada.
- Armazenamento do navegador
- Espaço usado pelo site para guardar informações no dispositivo, mesmo quando elas não são cookies.
- Serviço externo ou terceiro
- Empresa, domínio ou sistema diferente do site visitado que recebe uma conexão ou participa do processamento.
- Rastreamento
- Acompanhamento da navegação ou das ações do usuário, geralmente para análise, personalização ou publicidade.
- Navegador automatizado
- Programa que abre e percorre páginas seguindo passos definidos, para que o mesmo teste possa ser repetido.
- Sessão do navegador
- Período de uso em que o navegador mantém informações relacionadas àquela visita.
- Verificação automatizada
- Teste executado por um sistema que observa sinais do navegador. Ele ajuda na análise, mas não substitui a revisão humana.
- Falso positivo
- Alerta emitido pela ferramenta que, após análise do contexto, não corresponde ao problema indicado.
- LGPD
- Lei Geral de Proteção de Dados Pessoais, principal norma brasileira sobre o tratamento de dados pessoais.
- RGPD e ePrivacy
- O RGPD protege dados pessoais na União Europeia. As regras ePrivacy tratam, entre outros pontos, do armazenamento e do acesso a informações no dispositivo.
- Autoridades citadas
- ANPD é a autoridade brasileira. CNPD é a autoridade portuguesa. CNIL é a autoridade francesa. EDPB e EDPS são organismos europeus de proteção de dados.
- Website Evidence Collector
- Ferramenta pública europeia criada para recolher provas técnicas sobre cookies e conexões de um site.
- Google Analytics, Meta Pixel e Hotjar
- Serviços usados para medir audiência, acompanhar campanhas ou observar a forma como as pessoas utilizam uma página.
- Relatório em PDF
- Documento digital que preserva o resultado para leitura, arquivo e comparação posterior.
- Domínio
- Nome que identifica um site ou serviço na internet, como exemplo.com.
- Conformidade
- Situação em que uma prática atende às regras legais, técnicas e internas aplicáveis.
- Diligência e fiscalização
- Diligência é uma verificação feita antes de uma decisão, contrato ou investimento. Fiscalização é o exame realizado por uma autoridade competente.
- Perícia e parecer de engenharia informática
- Análises profissionais mais profundas, com método, contexto e responsabilidade técnica. São diferentes de um teste automático inicial.
- Pessoa jurídica ou pessoa coletiva
- Organização reconhecida pela lei, como uma empresa, associação ou fundação.
- Tratamento de dados pessoais
- Qualquer operação com dados pessoais, como recolher, guardar, consultar, partilhar ou eliminar.
- Faturamento ou volume de negócios
- Total das receitas obtidas pela organização num período. O termo “volume de negócios” é mais comum em Portugal.
Comentários convidados
Leituras de especialistas
Especialistas e amigos são bem-vindos para acrescentar leituras autenticadas e publicadas após curadoria editorial.