# Política de cookies e aviso de cookies: quando são obrigatórios e como fazer

> Quando a política e o aviso de cookies são obrigatórios pela LGPD, o que diz o guia da ANPD e como escrever a política e colocar o aviso.

Por [Thiago Thomaz](https://www.thiagothomaz.tech/sobre) · LGPD e privacidade · publicado em 16 de outubro de 2026

**Resposta curta:** se o seu site usa cookies que identificam o visitante, como os do Google Analytics ou de pixels de anúncio, ele precisa informar isso numa **política de cookies** (ou na política de privacidade) e, segundo o guia da ANPD, só ativar esses cookies depois que a pessoa aceitar, num **aviso de cookies** com opção de recusar. Se o site usa só cookies necessários para funcionar, basta informar na política, sem pedir aceite. Se não usa cookie nenhum, não precisa de aviso.

Quase todo site hoje abre com uma faixa pedindo para aceitar cookies. Daí vem a dúvida: **o meu site também precisa?** A resposta depende do que o site usa. Tem site que precisa de um aviso completo, com opção de aceitar e recusar, e tem site que não precisa de faixa nenhuma. O site que você está lendo, por exemplo, não tem aviso de cookies porque não usa cookies.

Neste artigo eu explico como decidir, o que escrever na política de cookies e como colocar o aviso do jeito certo. Não é parecer jurídico: a referência principal é o guia da ANPD citado abaixo, e casos específicos merecem conversa com um advogado.

## O que são cookies, em uma frase

Cookies são pequenos arquivos que o site guarda no navegador do visitante para lembrar de alguma coisa: que a pessoa fez login, que escolheu o idioma, ou, no caso das ferramentas de estatística e anúncio, quem é aquele visitante entre uma visita e outra.

## O que a LGPD fala sobre cookies?

A **LGPD** (Lei Geral de Proteção de Dados) não usa a palavra "cookie". Ela vale para qualquer tratamento de **dados pessoais**, e muitos cookies identificam o visitante ou o seu dispositivo. Por isso, em outubro de 2022, a ANPD (Autoridade Nacional de Proteção de Dados) publicou o [Guia orientativo: Cookies e proteção de dados pessoais](https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-cookies-e-protecao-de-dados-pessoais.pdf/@@display-file/file), que é a melhor referência que temos no Brasil.

O guia separa os cookies em dois grupos, e é essa separação que define se o site precisa de aviso.

### Cookies necessários

São os que o site precisa para funcionar: manter a pessoa logada, lembrar a escolha de idioma, segurança. Segundo o guia, o **consentimento não é a base legal adequada** para eles, justamente porque são essenciais. Você não precisa pedir "aceita?" para usá-los, mas precisa **informar** que eles existem, por exemplo na política de privacidade.

### Cookies não necessários

São os que o site funcionaria sem: estatísticas de visita (Google Analytics), pixels de anúncio (Meta, Google Ads), ferramentas de mapa de calor, vídeos e widgets de terceiros que rastreiam o visitante. Para esses, a orientação da ANPD vai no sentido de:

- **não vir ativados por padrão**: nada carrega antes de a pessoa aceitar;
- oferecer **aceitar e recusar** com o mesmo destaque, e opção de gerenciar;
- não usar **caixas já marcadas** nem "consentimento tácito" do tipo "ao continuar navegando, você aceita";
- permitir **mudar de ideia** de forma tão simples quanto aceitar;
- explicar na **política de cookies** a finalidade, por quanto tempo os dados ficam guardados e se são compartilhados com terceiros.

## Política e aviso de cookies são obrigatórios?

São duas coisas diferentes:

- **Política de cookies:** o texto, numa página do site, que explica quais cookies são usados, para quê, por quanto tempo e com quem os dados são compartilhados. Muitos sites incluem isso dentro da política de privacidade.
- **Aviso (ou banner) de cookies:** a faixa que aparece na tela para a pessoa aceitar ou recusar os cookies que dependem de consentimento.

O que define se cada um é necessário é o tipo de cookie que o site usa:

| O seu site usa… | Política de cookies | Aviso com aceitar e recusar |
|---|---|---|
| Nenhum cookie (site institucional simples, sem estatísticas) | Basta a política de privacidade dizer isso | Não precisa |
| Só cookies necessários (login, idioma, segurança) | Precisa informar quais são e para quê | Não precisa pedir consentimento |
| Google Analytics, Meta Pixel, Google Ads ou similares | Precisa | Sim: o ideal é só ativá-los depois do aceite |

Um detalhe que muita gente não percebe: **faixa que só avisa ("usamos cookies, ok") não resolve**. Se o Analytics já carregou antes do clique, o aviso não serviu para nada. O que importa é o script de estatística ou anúncio só rodar depois do aceite.

## O que escrever na política de cookies

A política de cookies deve ser escrita em linguagem simples e responder, para cada tipo de cookie, às perguntas que a LGPD exige em qualquer tratamento de dados (art. 9º):

- **quais cookies** o site usa, separados em necessários e não necessários (estatística, anúncios, vídeos de terceiros);
- **para que** cada um serve;
- **por quanto tempo** ficam guardados no navegador;
- **se são de terceiros** e com quem os dados são compartilhados (Google, Meta e outros);
- **como a pessoa pode recusar ou mudar a escolha**, inclusive pelo próprio navegador;
- **como falar com o responsável** pelo site sobre os dados.

Geradores automáticos ajudam a começar, mas confira se o texto descreve o que o seu site realmente usa: uma política genérica, que lista cookies que você não tem (ou esquece os que tem), não cumpre o papel.

## Como colocar o aviso de cookies no site

### No WordPress e em criadores de site

Use um plugin ou recurso de consentimento (no WordPress há opções como CookieYes e Complianz) e confira três coisas depois de instalar:

1. Abra o site numa janela anônima e veja se o Analytics ou o pixel **só carregam depois** de clicar em aceitar. No Chrome, a aba Rede (F12) mostra cada requisição.
2. O botão **Recusar** precisa estar tão visível quanto o Aceitar.
3. Precisa existir um jeito de reabrir as preferências, como um link no rodapé.

### Em um site feito em código

Se o seu site é feito à mão, dá para fazer um aviso simples sem biblioteca. A ideia é: o script de estatística só é inserido na página depois do "Aceitar", e a escolha fica guardada no navegador.

```html
<div id="aviso-cookies" role="region" aria-label="Aviso de cookies" hidden>
  <p>
    Usamos cookies de estatística para entender como o site é usado.
    Você pode aceitar ou recusar. <a href="/privacidade">Saiba mais</a>.
  </p>
  <button type="button" data-escolha="aceitar">Aceitar</button>
  <button type="button" data-escolha="recusar">Recusar</button>
</div>

<button type="button" id="preferencias-cookies">Preferências de cookies</button>

<script>
  const CHAVE = "consentimento-cookies";
  const aviso = document.getElementById("aviso-cookies");

  // O script de estatística só entra na página depois do "Aceitar"
  function carregarEstatisticas() {
    const script = document.createElement("script");
    script.async = true;
    script.src = "https://www.googletagmanager.com/gtag/js?id=G-XXXXXXXXXX";
    document.head.appendChild(script);
    window.dataLayer = window.dataLayer || [];
    window.gtag = function () { dataLayer.push(arguments); };
    gtag("js", new Date());
    gtag("config", "G-XXXXXXXXXX");
  }

  const escolha = localStorage.getItem(CHAVE);
  if (escolha === "aceitar") carregarEstatisticas();
  if (!escolha) aviso.hidden = false;

  aviso.addEventListener("click", (evento) => {
    const botao = evento.target.closest("button[data-escolha]");
    if (!botao) return;
    localStorage.setItem(CHAVE, botao.dataset.escolha);
    aviso.hidden = true;
    if (botao.dataset.escolha === "aceitar") carregarEstatisticas();
  });

  // Reabrir o aviso para mudar a escolha (vale a partir da próxima página carregada)
  document.getElementById("preferencias-cookies").addEventListener("click", () => {
    localStorage.removeItem(CHAVE);
    aviso.hidden = false;
  });
</script>
```

Troque `G-XXXXXXXXXX` pelo ID da sua propriedade do Google Analytics e estilize o aviso para combinar com o site. Dois limites desse exemplo, para você saber o que ele não faz:

- se a pessoa aceitar e depois recusar, os cookies que o Analytics já criou continuam no navegador até expirar;
- ele cobre um único tipo de cookie (estatística). Se o site tiver vários (anúncios, vídeos, chat), uma plataforma de consentimento, a chamada CMP, ou o **modo de consentimento** do Google ficam mais adequados.

## Sou obrigado a aceitar os cookies?

Do lado de quem visita, não. Segundo a orientação da ANPD, a pessoa deve poder recusar os cookies não necessários, e a recusa não pode ser dificultada (por exemplo, com o botão de recusar escondido). Os cookies necessários continuam funcionando, porque sem eles o site não funciona.

## O que acontece se eu recusar os cookies?

O site continua funcionando normalmente. O que deixa de rodar são as ferramentas que dependem do aceite: estatísticas de visita, pixels de anúncio e alguns conteúdos de terceiros, como vídeos incorporados. Em alguns sites, esses conteúdos aparecem com um aviso pedindo o aceite para serem exibidos.

## Precisa mesmo de cookies de estatística?

Antes de colocar o aviso, vale a pergunta. Se a ideia é só saber quantas pessoas visitam o site e quais páginas leem mais, existem ferramentas de estatística que **não usam cookies** nem identificam o visitante. O Cloudflare Web Analytics é uma delas. Com uma ferramenta assim, o site pode continuar sem aviso de cookies e com uma política de privacidade bem simples.

E, para saber como o site aparece no Google, o **Search Console** mostra pesquisas, cliques e posição sem colocar nada no navegador do visitante.

## Resumo

- Só cookies necessários, ou nenhum: não precisa de banner pedindo aceite, mas informe na política de privacidade.
- Estatística e anúncios: só ative depois do aceite, com botão de recusar do mesmo tamanho e um jeito de mudar a escolha.
- Aviso que só diz "usamos cookies" enquanto o Analytics já está rodando não cumpre o papel.
- Na dúvida, siga o guia da ANPD e converse com quem cuida da parte jurídica do seu negócio.

Se você quer revisar o que o seu site carrega e ajustar o aviso, posso ajudar: veja a página de [criação de sites](/criacao-de-sites).

Serviço relacionado: https://www.thiagothomaz.tech/criacao-de-sites

Dúvidas? [Fale pelo WhatsApp](https://wa.me/5521987059570?text=Ol%C3%A1%2C%20Thiago!%20Li%20o%20artigo%20sobre%20pol%C3%ADtica%20de%20cookies%20e%20queria%20ajuda%20para%20ajustar%20o%20meu%20site.).

---

- Contato: [WhatsApp +55 21 98705-9570](https://wa.me/5521987059570?text=Ol%C3%A1%2C%20Thiago!%20Vi%20seu%20site%20e%20gostaria%20de%20conversar%20sobre%20um%20projeto.)
- Mapa do site para agentes: [llms.txt](https://www.thiagothomaz.tech/llms.txt) · [sitemap.xml](https://www.thiagothomaz.tech/sitemap.xml)
- Páginas: [Início](https://www.thiagothomaz.tech/) · [Criação de sites](https://www.thiagothomaz.tech/criacao-de-sites) · [Sistemas web](https://www.thiagothomaz.tech/desenvolvimento-de-sistemas-web) · [Automação de processos](https://www.thiagothomaz.tech/automacao-de-processos) · [Sites para advogados](https://www.thiagothomaz.tech/site-para-advogados) · [Blog](https://www.thiagothomaz.tech/blog) · [Sobre](https://www.thiagothomaz.tech/sobre) · [Contato](https://www.thiagothomaz.tech/contato) · [Privacidade](https://www.thiagothomaz.tech/privacidade)