Talvez um dos pontos que mais tem gerado ansiedade para as empresas no processo de conformidade à legislação protetiva de dados seja o da necessidade ou não de inserir banner de cookies no site. Cookies são pequenos arquivos de texto, colocados em um computador ou outro dispositivo, utilizados para identificar o usuário, o dispositivo utilizado e para coletar informações no site, como aquelas de navegação.
O movimento que já era visto antes da entrada em vigor da Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018) – e que se intensificou desde 18 de setembro de 2020 – mostra a proliferação de banners que copiam modelos usados internacionalmente, muitas vezes importados sem fazer as ponderações necessárias ou adaptação ao contexto brasileiro. O próprio site recém criado da Autoridade Nacional de Proteção de Dados (ANPD) traz um banner.
Mas será que existe mesmo a obrigatoriedade no Brasil de utilizar esse tipo de aviso no site?
Pode-se dizer que existem dois tipos de banners de cookies: Cookies Consent e Cookies Notice. O primeiro consiste em painel de gerenciamento de cookies, por meio do qual os usuários podem escolher (com exceção daqueles essenciais) se aceitam os cookies e de quais tipos. Ele é o modelo por excelência usado na Europa, em razão da necessidade de consentimento para cookies – não pela General Data Protection Regulation (GDPR), mas sim pela e-Privacy Directive.
Já o segundo – muito difundido em países como os Estados Unidos, que não estabelecem o consentimento como base legal para cookies, mas prevêem deveres de transparência e informação dos titulares – consiste em aviso sobre a utilização da ferramenta no site, tipos de cookies e outras informações relevantes que precisam ser esclarecidas.
No entanto, considerando a legislação brasileira, nem a LGPD nem outros instrumentos legais e regulatórios, como o Marco Civil da Internet (Lei nº 12.965/2014) e seu decreto regulamentador (Decreto nº 8.771/2016), tratam especificamente de cookies. E, portanto, não há regras específicas sobre limites de coleta e tratamento de dados pessoais por meio ou a partir dessa tecnologia, nem sobre como deve ocorrer a informação dos titulares a respeito do seu uso.
Assim, colocando em outras palavras, não há obrigação legal de que seja inserido banner de cookies nos sites brasileiros. O que existe é a necessidade de que as empresas respeitem os fundamentos e princípios da lei.
Nesse sentido, o artigo 2º da LGPD traz como fundamento da proteção de dados pessoais a autodeterminação informativa e o direito ao livre desenvolvimento da pessoa natural. Por sua vez, o artigo 6º estabelece os princípios da finalidade, da adequação e da necessidade, bem como o princípio da transparência.
Em conjunto, tais princípios levam à conclusão de que o usuário titular de dados pessoais deve ser informado de forma clara, precisa e facilmente acessível sobre as finalidades de tratamento, que, por sua vez, precisam ser legítimas, específicas, adequadas e utilizarem a menor quantidade possível de dados. É importante perceber, contudo, que isso pode ser muito bem atendido por meio da própria Política de Privacidade do site, sendo desnecessário – na maioria dos casos – o uso de banners.
Ainda assim, muitas empresas preferem fazer uso dessa modalidade de aviso, talvez por ainda não termos uma regulamentação específica pela ANPD. Nesse caso, não há um impedimento, mas seria interessante considerar ao menos duas questões relevantes: será que esse banner não está atrapalhando a experiência do usuário? E será que é realmente viável a gestão dos cookies de forma coerente com o que está no aviso, como por exemplo, descarregá-los na página apenas depois do consentimento?
Fazer essas ponderações é importante, pois, se o benchmark está sendo Europa, as experiências mais maduras vindas de lá também precisam ser consideradas. E, apenas no final do ano passado, a Commission Nationale de l’Informatique et des Libertés (CNIL) – autoridade francesa de proteção de dados – já multou três grandes grupos com relação ao uso ou informação indevida sobre cookies: Carrefour, Google e Amazon.
O que fica claro, de um modo geral, é que a adequação à LGPD e a demais regulamentações sobre proteção de dados pessoais não pode depender da adoção impensada de modelos prontos. Cada empresa precisa pensar nas particularidades do seu negócio e implementar soluções apropriadas ao seu contexto.
Por isso, caso sua empresa precise de orientação para se adequar à LGPD, o Assis e Mendes (www.assisemendes.com.br) conta com equipe especializada em Privacidade e Proteção de Dados, engajada em buscar a melhor solução para o seu negócio.
Letícia Crivelin