Você pode ser multado por não ter um banner de cookies?

Todos os artigos

Sim. Na UE e no Reino Unido, os reguladores já aplicaram multas por cookies, e uma das falhas que sancionam é justamente não dizer aos visitantes o que você grava. Mas o banner não é o dever. O que gera exposição é armazenar cookies não isentos antes do consentimento, então um site que grava só os estritamente necessários tem muito menos a responder.

A regra é sobre os cookies, não sobre o banner

O banner é um mecanismo que as pessoas criaram para cumprir um dever. Ele não é o dever. O dever está nas regras de ePrivacy que regem o armazenamento no dispositivo do visitante, ou a leitura do que já está lá, seja o item armazenado um cookie, um valor de local storage ou uma impressão digital do navegador. O GDPR então define o padrão do consentimento: livre, específico, informado e tão fácil de retirar quanto de dar.

Essa divisão importa, porque mostra onde está a exposição. Ninguém inspeciona o seu site para ver se há um banner. O que gera risco é uma tag que armazenou algo antes de o visitante concordar.

A exceção é a parte que os textos alarmistas deixam de fora. Cookies estritamente necessários para um serviço que o visitante pediu explicitamente não precisam de consentimento: o cookie de sessão que mantém alguém logado, o carrinho, um token de segurança que bloqueia fraudes, o balanceamento de carga e o registro da própria escolha de cookies. Um site institucional que não grava mais nada não precisa de banner de consentimento, e dizer o contrário ao dono dele é vender medo.

Um dever continua valendo, e é justamente o que as pessoas confundem com o banner. Dizer aos visitantes o que você armazena e por quê é uma obrigação de transparência por si só, e ela não desaparece só porque nada do que você grava precisa de consentimento. Um aviso de cookies ou uma política de privacidade cumpre esse dever sem um diálogo que interrompa a navegação. Você deve uma explicação, não um bloqueio de consentimento.

O que realmente precisa de consentimento

Tudo cuja finalidade seja medição, publicidade ou personalização: a análise, por mais inofensiva que você a considere, pixels de publicidade e retargeting, vídeos incorporados e widgets sociais que gravam os próprios cookies ao carregar, testes A/B e gravação de sessões. Se o visitante não pediu e o site funciona sem isso, presuma que precisa de consentimento até conseguir mostrar o contrário.

O que levou os reguladores a agir de fato

Leia as decisões em vez das listas da internet e o quadro fica mais específico do que qualquer um dos lados da discussão sugere. No caso francês que o Conseil d'État acabou confirmando, três falhas distintas foram sancionadas: cookies instalados automaticamente na chegada sem consentimento, um procedimento de recusa defeituoso e a falta de informação clara e completa para os usuários. A terceira importa aqui, porque deixar de dizer às pessoas o que você grava é passível de sanção por si só. Um site sem banner e sem aviso não está apenas fora das regras de consentimento, ele também está falhando no dever de informar.

As campanhas mais amplas foram organizadas em torno de um princípio que vale conhecer: recusar cookies deve ser tão fácil quanto aceitá-los. Esses casos envolviam banners que existiam e tornavam a recusa mais difícil do que a aceitação, ou que gravavam os cookies mesmo depois de uma recusa. Ter um banner não é defesa se ele se comporta assim.

As multas enormes que circulam nessas listas foram para um punhado de plataformas globais com audiências gigantescas. Citá-las para o site de cinquenta páginas de uma empresa sugere uma comparação que o histórico de fiscalização não sustenta, e é por isso que não vamos fazer isso aqui.

Multa não é o único instrumento. Os reguladores também emitem ordens de adequação, que mandam uma organização corrigir um defeito dentro de um prazo, o que é bem diferente de acordar com uma penalidade. As regras também são nacionais: vários regimes punem separadamente a falta de informação, e as autoridades já aplicaram penalidades modestas, muito abaixo dos valores das manchetes, então "só os gigantes são multados" também não é uma leitura segura.

Veja onde você está em dez minutos

Vá ver o que o seu próprio site faz antes do consentimento.

1. Abra o site em uma janela anônima e não toque em nada

   Sem aceitar, sem recusar, sem fechar o banner. Esse é o estado de todo visitante na primeira visita, e é o estado que é avaliado.

2. Liste o que já está armazenado

   Nas ferramentas de desenvolvedor do navegador, leia os cookies, o local storage, o session storage e o IndexedDB da página. Tudo o que estiver presente neste ponto foi gravado sem consentimento, o que não é automaticamente uma falha: a sua ferramenta de consentimento precisa armazenar a própria escolha, e o seu servidor pode gravar legitimamente um cookie de sessão ou de segurança.

3. Separe cada item em duas pilhas

   Serve a algo que o visitante pediu explicitamente, ou mede, anuncia ou personaliza? A documentação do fornecedor normalmente diz para que serve um determinado cookie, e tudo o que você não conseguir identificar vai para a segunda pilha até prova em contrário. O seu próprio registro de consentimento e a sessão do servidor vão para a primeira.

4. A segunda pilha é a sua exposição real

   Não o banner. Esta lista. Corrigir isso significa bloquear essas tags até o consentimento, em vez de pôr um banner por cima e torcer.

5. Agora teste a recusa

   Recuse, recarregue e leia o armazenamento de novo. Se os mesmos itens voltarem, você tem o defeito que os reguladores de fato perseguem. O nosso passo a passo para testar um banner de cookies antes de colocá-lo no ar cobre a sequência completa.

O retrato honesto do risco

Para um site pequeno ou médio, a probabilidade de um regulador aparecer sem provocação é menor do que as listas da internet dão a entender, porque a atenção da fiscalização é finita e segue grandes audiências. Vale dizer isso com clareza, em vez de deixar as pessoas serem assustadas até fazer uma compra.

O que o discurso tranquilizador deixa de fora é que o tamanho não é um escudo. Uma reclamação de um único visitante irritado pode abrir uma investigação, por menor que você seja, e algumas autoridades já aplicaram penalidades modestas sobre cookies a empresas comuns, e não só a plataformas globais. Clientes maiores perguntam cada vez mais como o consentimento é tratado antes de assinar, e a falta de resposta trava o negócio. Em vários mercados, ações movidas por particulares, e não os reguladores, viraram a pressão mais ativa.

Então a pergunta útil não é "vou ser multado?". É que o consentimento é um pequeno cuidado de higiene com uma cauda de risco sem limite, e leva uma tarde para acertar. Para o mecanismo em vez da ansiedade, o que uma plataforma de gestão de consentimento realmente faz explica o bloqueio, e o Velo é a nossa forma de tornar a recusa tão barata de construir quanto a aceitação.