Um guia prático de Compreendendo os cookies do navegador

Quase toda discussão de consentimento trava por falta do básico, então vale começar compreendendo os cookies do navegador antes de decidir o que exibir num aviso.

Um cookie de navegador é um pequeno pedaço de texto que um site solicita que seu navegador armazene. Em solicitações posteriores, o navegador poderá enviar esse cookie de volta ao domínio relevante. Esse mecanismo simples torna possíveis sessões de login, carrinhos de compras, preferências de idioma, análises e rastreamento de publicidade.

Os cookies não são automaticamente ruins. Um cookie de sessão segura pode mantê-lo conectado. Um cookie de preferência pode lembrar o modo escuro. O problema da privacidade começa quando os cookies se tornam identificadores persistentes usados ​​para observar pessoas ao longo do tempo, páginas, dispositivos ou sites.

Cookies primários versus cookies de terceiros

Um cookie primário é definido pelo site que você está visitando. Se você visitar example.com e example.com definir um cookie, ele será primário. Cookies primários são comumente usados ​​para sessões, preferências, prevenção de fraudes e análises.

Um cookie de terceiros é definido por um domínio diferente incorporado na página, como uma rede de publicidade, widget social ou provedor de análise terceirizado. Os cookies de terceiros historicamente permitiam o rastreamento entre sites porque o mesmo domínio externo poderia reconhecer o navegador em muitos sites.

O comportamento do navegador mudou. A prevenção de rastreamento WebKit do Safari explica que o acesso a cookies de terceiros é fortemente restrito e que algum armazenamento gravável por script pode ser limitado, incluindo um limite de 7 dias em determinados contextos ITP. A Proteção Total de Cookies do Firefox isola cookies por site e é habilitada no padrão Enhanced Tracking Protection para muitos usuários, de acordo com a documentação do Firefox da Mozilla. O Chrome mudou de rumo em 2025 e disse que manteria sua abordagem atual de escolha de cookies de terceiros em vez de lançar um novo prompt independente, de acordo com a atualização do Privacy Sandbox do Google.

O ponto prático: os cookies de terceiros não são mais uma base estável para medição, e os cookies primários estão sob mais escrutínio quando usados ​​para rastreamento.

Como os navegadores tratam os cookies de terceiros

Safari (WebKit)A prevenção de rastreamento restringe o acesso a cookies de terceiros, com um limite de 7 dias em certos contextos de ITP

FirefoxO Total Cookie Protection isola cookies por site e vem ativado por padrão na Proteção Aprimorada contra Rastreamento padrão

ChromeEm 2025, manteve sua abordagem atual de escolha de cookies de terceiros em vez de lançar um novo aviso independente

Cookies de sessão, persistentes e seguros

Os cookies de sessão expiram quando a sessão do navegador termina. Eles são usados ​​para estado de login ou estado de fluxo de trabalho temporário.

Os cookies persistentes permanecem até à sua data de expiração ou até que o utilizador os apague. Eles podem durar minutos, dias, meses ou anos. Cookies persistentes de longa duração são mais sensíveis à privacidade porque facilitam o reconhecimento dos navegadores recorrentes.

Cookies seguros são enviados apenas pelo HTTPS. Os cookies HttpOnly não podem ser lidos por JavaScript, o que ajuda a proteger os cookies de sessão contra determinados ataques. SameSite controla se os cookies são enviados em contextos entre sites. Esses atributos são controles de segurança, não uma autorização de privacidade.

Cookies essenciais versus cookies não essenciais

A questão jurídica geralmente é o propósito. Na Europa, o Artigo 5(3) da Diretiva Privacidade Eletrônica exige consentimento antes de armazenar ou acessar informações no dispositivo de um usuário, a menos que o armazenamento seja estritamente necessário para um serviço solicitado pelo usuário. Reguladores como o ICO da UK resumem isso da seguinte forma: cookies não estritamente necessários precisam de um meio apropriado de consentimento, enquanto cookies estritamente necessários não. Consulte a orientação pública da OIC sobre cookies.

Cookies típicos estritamente necessários:

• Cookies de sessão de login.
• Biscoitos de carrinho de compras.
• Cookies de segurança para prevenção de fraudes.
• Cookies de balanceamento de carga.
• Cookies de preferência do usuário que suportam uma configuração solicitada.

Cookies não essenciais típicos:

• Cookies analíticos.
• Cookies publicitários.
• A/B testando cookies para otimização de negócios.
• Cookies de rastreamento de redes sociais.
• Cookies de personalização entre sites.

Alguns países permitem isenções restritas de consentimento para medição de audiência quando condições estritas são atendidas. A CNIL, por exemplo, descreve a medição de audiência isenta de consentimento como limitada a estatísticas para o editor, sem rastreamento entre sites ou reutilização para outros fins, em suas orientações sobre soluções de medição de audiência. Isso não é o mesmo que dizer que todos os cookies analíticos são essenciais.

Cookies e dados pessoais

Um valor de cookie pode ser aleatório e ainda ser um dado pessoal se destacar um navegador ou puder ser vinculado a outras informações. De acordo com GDPR, os identificadores online podem ser dados pessoais quando se referem a uma pessoa identificada ou identificável. É por isso que a análise exclusiva IDs, a publicidade IDs e o usuário pseudônimo IDs merecem tratamento cuidadoso.

Não coloque nomes, e-mails, números de telefone, conta IDs, detalhes de saúde ou respostas de formulários em cookies, a menos que você tenha um motivo e um design de segurança muito específicos. Mesmo assim, evite-o sempre que possível.

Cookies em Análise da Web

A análise da web tradicional usa cookies para distinguir usuários e sessões. O Google diz que as tags JavaScript GA4 usam cookies primários, como _ga, para distinguir usuários e sessões em sua documentação de cookies GA4. Esse design pode dar suporte a relatórios familiares, mas também traz questões de consentimento, retenção, fornecedores e produtos cruzados.

A análise sem cookies segue um caminho diferente: conta visualizações de páginas, referenciadores, campanhas, países, dispositivos e eventos sem armazenar um identificador de navegador. A desvantagem é menos detalhes da jornada no nível do usuário, mas o benefício é uma conformidade mais simples, menos lacunas nos banners de consentimento e menos risco de transformar medições básicas em vigilância.

Análise baseada em cookies versus análise sem cookies

Baseada em cookies (ex. GA4)

• Usa cookies próprios como _ga para distinguir usuários e sessões
• Permite relatórios conhecidos em nível de usuário
• Levanta questões de consentimento, retenção e fornecedores

Sem cookies

• Conta visualizações de página, referências, campanhas, países, dispositivos e eventos
• Não armazena identificador de navegador
• Traz conformidade mais simples e menos falhas no banner de consentimento

Uma simples auditoria de cookies

Para cada cookie, registre:

Campo	O que capturar
Nome	O nome do cookie conforme mostrado nas ferramentas de desenvolvimento do navegador
Domínio	Domínio próprio ou de terceiros
Finalidade	Sessão, preferência, análises, anúncios, segurança
Duração	Apenas sessão ou expiração exata
Tipo de dados	ID aleatório, valor de preferência, token, dados de campanha
Fornecedor	Sistema interno ou fornecedor terceirizado
Categoria de consentimento	Estritamente necessário, preferências, análises, marketing

Em seguida, remova o que você não precisa. Reduza a retenção sempre que possível. Bloqueie cookies não essenciais até consentimento, quando necessário. Se o único motivo do seu banner for a análise, considere substituir a análise baseada em cookies por uma configuração que prioriza a privacidade.

Perguntas para iniciantes que as equipes costumam perder

Um banner de cookie não é o mesmo que uma política de privacidade. O banner coleta uma escolha antes que o armazenamento opcional aconteça; a política explica o processamento mais amplo. Você pode precisar de ambos.

Um script sem cookies não é automaticamente isento de consentimento. Se ele ler o armazenamento do navegador, criar uma impressão digital ou enviar um identificador exclusivo do dispositivo, ainda poderá se enquadrar nas regras de privacidade eletrônica.

A exclusão de cookies não exclui os registros do servidor já criados. Se uma ferramenta de análise recebeu eventos antes da exclusão, esses eventos poderão permanecer no sistema do fornecedor até que as regras de retenção ou exclusão sejam aplicadas.

Lista de verificação de auditoria de cookies

Audite cada página antes de qualquer escolha de consentimento e novamente após a rejeição. Inspecione chamadas de rede, cookies, armazenamento local e de sessão, pixels, gatilhos do gerenciador de tags e eventos do lado do servidor. Se análises ou publicidade opcionais ainda forem disparadas antes de uma escolha válida, o banner será cosmético. Se uma ferramenta reivindicar isenção de análise, documente a configuração exata e certifique-se de que a configuração seja limitada, focada no editor e livre de reutilização de publicidade.

Perguntas Frequentes

Qual é a diferença entre um cookie próprio e um cookie de terceiros?

Um cookie próprio é definido pelo site que você está visitando, do tipo usado para sessões, preferências, prevenção de fraude e análise. Um cookie de terceiros vem de um domínio diferente incorporado na página, como uma rede de anúncios ou um widget social, e antes permitia que esse domínio externo reconhecesse o navegador em muitos sites.

Por que os cookies de terceiros são menos úteis para rastreamento hoje?

A prevenção de rastreamento do WebKit no Safari restringe o acesso a cookies de terceiros e limita certo armazenamento acessível por script a 7 dias em alguns contextos de ITP. O Total Cookie Protection do Firefox isola cookies por site e roda por padrão na Proteção Aprimorada contra Rastreamento padrão. O Chrome disse em 2025 que manteria sua abordagem atual de escolha de cookies de terceiros em vez de adicionar um novo aviso independente, então os cookies de terceiros deixaram de ser uma base estável para medição.

Qual é a diferença entre um cookie de sessão e um cookie persistente?

Um cookie de sessão expira quando a sessão do navegador termina e costuma servir para o estado de login ou dados temporários de fluxo de trabalho. Um cookie persistente permanece até sua data de expiração ou até ser apagado, de minutos a anos, e quanto mais tempo dura, mais fácil fica reconhecer um navegador que retorna.

Os atributos Secure e HttpOnly contam como consentimento?

Secure limita um cookie ao HTTPS, HttpOnly impede que o JavaScript o leia, e SameSite controla o envio em contextos entre sites, mas são controles de segurança, não uma licença de privacidade. Um cookie pode cumprir todas essas configurações e ainda assim precisar de consentimento segundo as regras de ePrivacy.

Quais cookies contam como estritamente necessários segundo a Diretiva ePrivacy?

O artigo 5(3) da Diretiva ePrivacy permite armazenamento sem consentimento quando é estritamente necessário para um serviço solicitado pelo usuário. O artigo cita como exemplos típicos os cookies de sessão de login, os cookies de carrinho de compras, os cookies de segurança para prevenção de fraude, os cookies de balanceamento de carga e os cookies de preferência que apoiam uma configuração solicitada.

Os cookies de análise estão sempre isentos de consentimento?

Os cookies de análise costumam estar na lista dos não essenciais e precisam de consentimento segundo o artigo 5(3) e a orientação do ICO. A CNIL descreve uma exceção estreita para medição de audiência, limitada a estatísticas apenas para o editor, sem rastreamento entre sites nem reaproveitamento, mas somente sob condições estritas. Essa exceção vale para uma configuração específica, não para os cookies de análise como categoria.

Um valor de cookie aleatório pode contar como dado pessoal segundo o RGPD?

Sim, se identifica um navegador de forma única ou pode ser vinculado a outras informações, um valor de cookie aleatório pode se qualificar como dado pessoal segundo o RGPD. É por isso que IDs de análise únicos, IDs de publicidade e IDs de usuário pseudônimos precisam de tratamento cuidadoso mesmo sem um nome associado.

O que nunca deveria ser guardado em um cookie?

O artigo recomenda não colocar nomes, e-mails, números de telefone, IDs de conta, dados de saúde ou respostas de formulário em cookies. Esses dados só devem entrar em um cookie quando houver um motivo muito específico e um design de segurança adequado, e mesmo assim é melhor evitar sempre que possível.

Qual é o equilíbrio entre análise baseada em cookies e análise sem cookies?

A análise baseada em cookies, como o uso que o GA4 faz de cookies próprios como o _ga, distingue usuários e sessões e permite relatórios conhecidos, mas levanta questões de consentimento, retenção, fornecedores e produtos cruzados. A análise sem cookies conta visualizações de página, referências, campanhas, países, dispositivos e eventos sem guardar um identificador de navegador, trocando o detalhe em nível de usuário por uma conformidade mais simples e menos falhas no banner de consentimento.

Apagar um cookie remove os dados já enviados a um fornecedor de análise?

Não, apagar um cookie não remove os registros do lado do servidor já criados a partir dele. Se uma ferramenta de análise recebeu eventos antes da exclusão, esses eventos podem permanecer no sistema do fornecedor até que as regras de retenção ou exclusão se apliquem.