Uma página de cadastro com verificação de identidade carrega mais armazenamento no navegador do que parece: o cookie de sessão que mantém a pessoa logada, o identificador do passo em que ela parou, o token que protege o formulário, o script de medição do funil, o pixel de anúncio que o marketing pediu. Para a Lei Geral de Proteção de Dados (LGPD), cada um desses itens trata dado pessoal se identifica ou torna identificável a pessoa. A resposta curta, pelo guia de cookies da Agência Nacional de Proteção de Dados (ANPD): o que é estritamente necessário para prestar o serviço pedido não roda sob consentimento, e pode se apoiar no legítimo interesse; o que serve a outro interesse do controlador, como anúncio e perfil, pede consentimento, e o banner nasce com esses cookies desligados.
Em resumo
- Necessário, para a ANPD, é o cookie usado "para que o site ou aplicação realize funções básicas e opere corretamente", restrito ao serviço que o titular pediu.
- Para o estritamente necessário, o guia diz que o consentimento "não é apropriado" e que o legítimo interesse "poderá ser" a base.
- Medição de audiência pode caber no legítimo interesse com dado agregado e sem perfil; publicidade "dificilmente" cabe.
- No banner, os cookies baseados em consentimento ficam desativados por padrão, e recusar é tão fácil quanto aceitar.
O que o guia chama de necessário
O guia orientativo de cookies da ANPD, de outubro de 2022, separa os cookies pela necessidade. Os necessários "são aqueles utilizados para que o site ou aplicação realize funções básicas e opere corretamente", e o guia fecha a categoria com uma restrição importante: ela "se restringe ao essencial para prestar o serviço solicitado pelo titular, não contemplando finalidades não essenciais, que atendam a outros interesses do controlador".
Os não necessários são o resto, e o guia dá exemplos: os "utilizados para rastrear comportamentos, medir o desempenho da página ou serviço, além de exibir anúncios ou outros conteúdos incorporados". A distinção, diz o próprio texto, "é especialmente relevante para a definição da hipótese legal".
A base legal de cada tipo
O ponto que decide a implementação é que o consentimento não serve para tudo. Para o que é estritamente necessário, o guia diz que "não é apropriado utilizar a hipótese legal do consentimento", porque a coleta é essencial ao serviço e a pessoa não tem escolha real. Nesses casos, "o legítimo interesse poderá ser a hipótese legal apropriada", como apoio às atividades do controlador e prestação de serviço que beneficia o titular (art. 10, I e II, da LGPD), sempre avaliado no caso concreto.
Para a medição, o guia abre uma porta estreita: "A utilização de cookies para fins de medição de audiência (cookies analíticos ou de medição) pode ser amparada na hipótese legal do legítimo interesse em determinados contextos", quando limitada a padrões e tendências, "com base em dados agregados e sem a combinação com outros mecanismos de rastreamento ou sem a formação de perfis de usuários". Para publicidade, a porta fecha: "o legítimo interesse dificilmente será a hipótese legal mais apropriada nas hipóteses em que os dados coletados por meio de cookies são utilizados para fins de publicidade".
O que roda numa página de cadastro, item a item
A tabela aplica o guia aos armazenamentos que um fluxo de cadastro e verificação pode carregar. É a leitura da casa: a classificação depende do que cada item faz de verdade no seu produto, e o teste de balanceamento do legítimo interesse continua sendo seu.
| Item no navegador | Para que serve | Categoria pelo guia | Base indicada |
|---|---|---|---|
| Cookie de sessão do cadastro | Manter a pessoa no fluxo entre passos | Necessário | Legítimo interesse |
| Token contra falsificação de requisição | Proteger o envio do formulário | Necessário | Legítimo interesse |
| Preferência de idioma ou de acessibilidade escolhida | Lembrar a escolha da pessoa | Necessário, se a pessoa pediu | Legítimo interesse |
| Sinal antifraude do aparelho no passo de verificação | Prevenir fraude no cadastro | Ligado à segurança do serviço; avaliar caso a caso | Legítimo interesse, com teste de balanceamento (o art. 11, II, "g", só vale para dado sensível) |
| Medição do funil com dado agregado | Ver onde o cadastro trava | Não necessário | Legítimo interesse possível, sem perfil e sem cruzar |
| Pixel de anúncio e remarketing | Mostrar anúncio depois | Não necessário | Consentimento |
A linha do sinal antifraude é a mais delicada, e o tema tem artigo próprio em device fingerprinting e LGPD. O que o navegador entrega de verdade está em sinais de dispositivo sem SDK.
O comportamento do banner
O guia descreve dois níveis de banner. No primeiro, as opções de aceitar, rejeitar e gerenciar. No segundo, as categorias com descrição e consentimento por finalidade, e uma regra que decide a implementação: "Desativar cookies baseados no consentimento por padrão". O código que carrega o pixel de anúncio, portanto, só roda depois do clique em aceitar, nunca antes.
O guia também lista o que evitar, e três itens tocam o cadastro diretamente: usar um único botão de "concordo" quando a base é o consentimento; dar destaque só ao aceite; e vincular o consentimento "ao aceite integral das condições de uso de cookies, sem o fornecimento de opções efetivas ao titular". O desenho geral da tela de consentimento está em padrões enganosos no consentimento.
Atenção
Na leitura da casa, o banner não deve abrir por cima do passo de selfie ou de documento: ele disputa a atenção com a captura e com o botão do passo. Mostre o banner antes de o fluxo de verificação começar.
O que nunca fica no navegador
Uma regra de segurança completa a de proteção de dados. O padrão de verificação de segurança de aplicações da OWASP, o ASVS 5.0, pede, no requisito 14.3.3, que os dados guardados no armazenamento do navegador (localStorage, sessionStorage, IndexedDB ou cookies) não contenham dado sensível, com a exceção dos tokens de sessão. Num fluxo de verificação, isso exclui a imagem do documento, a selfie e o resultado da análise. Na UNIFOKAL, o widget roda na página do integrador, e a documentação do widget diz o que a página precisa permitir para a câmera funcionar.
Fontes citadas
- Autoridade Nacional de Proteção de Dados, Guia orientativo Cookies e proteção de dados pessoais, versão 1.0, outubro de 2022, seções de categorias, hipóteses legais e banners, em gov.br/anpd
- Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais, arts. 7º, 8º, 10 e 11, texto compilado no Planalto
- OWASP, Application Security Verification Standard 5.0.0, capítulo V14, requisito 14.3.3, no repositório oficial