Padrão enganoso, o que o mercado chama de dark pattern, é o desenho de interface que empurra a pessoa para uma escolha que ela não faria se a tela fosse neutra: o botão de aceitar grande e colorido ao lado de um "recusar" em cinza, a caixa que já vem marcada, a recusa enterrada em três telas. Em cadastro e verificação de identidade, o problema aparece onde o produto pede consentimento para algo que não é obrigatório. A resposta curta: pela Lei Geral de Proteção de Dados (LGPD), consentimento obtido assim é viciado, e o art. 9º, § 1º, diz que ele é nulo quando a informação ao titular é enganosa ou não clara. A ANPD descreve no guia de cookies o que evitar, e o comitê europeu de proteção de dados organizou os padrões em seis categorias que servem de vocabulário.
Em resumo
- Consentimento na LGPD é "manifestação livre, informada e inequívoca" (art. 5º, XII); o vício de consentimento é vedado (art. 8º, § 3º).
- O art. 9º, § 1º, torna nulo o consentimento obtido com informação enganosa, abusiva ou sem transparência prévia.
- O guia de cookies da ANPD lista práticas a evitar: botão de aceite em destaque, opção ativada por padrão, recusa difícil.
- O EDPB divide os padrões em seis categorias; o ECA Digital veda interface manipulada no art. 18, § 2º.
O que a lei pede do consentimento
O consentimento é uma das bases legais, e a LGPD o define pelo resultado: "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada" (art. 5º, XII). Cada adjetivo é um teste. Livre: havia opção real de recusar. Informada: a pessoa sabia o que aceitava. Inequívoca: houve um ato positivo, não um silêncio. O art. 8º acrescenta que cabe ao controlador provar que o consentimento foi obtido em conformidade (§ 2º) e que "é vedado o tratamento de dados pessoais mediante vício de consentimento" (§ 3º).
Na hipótese em que o consentimento é requerido, esse será considerado nulo caso as informações fornecidas ao titular tenham conteúdo enganoso ou abusivo ou não tenham sido apresentadas previamente com transparência, de forma clara e inequívoca.
Esse é o dispositivo que transforma desenho de tela em risco jurídico. Se a interface engana, o consentimento não existe, e o tratamento que dependia dele fica sem base.
O que a ANPD manda evitar
Na página de materiais educativos e publicações da Agência Nacional de Proteção de Dados (ANPD), lida em 17 de outubro de 2026, nenhum dos guias orientativos listados trata só de padrões enganosos. O guia de cookies, de outubro de 2022, traz uma lista de "o que evitar na elaboração de banners" que, na leitura da casa, vale para qualquer tela de consentimento. Entre os itens: "dificultar a visualização ou compreensão dos botões de rejeitar cookies ou de configurar cookies, e conferir maior destaque apenas ao botão de aceite"; "apresentar cookies não necessários ativados por padrão, exigindo a desativação manual pelo titular"; e "apresentar lista de cookies demasiadamente granularizada, gerando uma quantidade excessiva de informações, o que dificulta a compreensão e pode levar ao efeito de fadiga".
O mesmo guia fecha a porta do consentimento tácito: "não é recomendável a utilização de banners de cookies com opções de autorização pré-selecionadas ou a adoção de mecanismos de consentimento tácito, como a pressuposição de que, ao continuar a navegação em uma página, o titular forneceria consentimento". A aplicação específica ao banner está em cookies no fluxo de cadastro.
As seis categorias do EDPB, e onde cada uma fere a LGPD
O Comitê Europeu para a Proteção de Dados (EDPB) publicou em fevereiro de 2023 a versão 2.0 das diretrizes 03/2022 sobre padrões de design enganosos em redes sociais. O texto é do regulamento europeu e trata de redes sociais, então não é norma no Brasil. Serve como vocabulário, e o próprio EDPB avisa que a lista não é exaustiva ("not exhaustive"). A tabela cruza as categorias com o item da ANPD e o dispositivo da LGPD que cada uma atinge, na leitura da casa.
| Categoria do EDPB | O que é, na definição das diretrizes | Paralelo no guia da ANPD | Dispositivo da LGPD |
|---|---|---|---|
| Sobrecarga (Overloading) | Avalanche de pedidos, informações e opções para levar a compartilhar mais | Lista de cookies granular demais, efeito de fadiga | Art. 5º, XII (informada) |
| Pulo (Skipping) | Jornada desenhada para a pessoa esquecer ou não pensar na proteção de dados | Cookies não necessários ativos por padrão | Art. 8º, § 3º (vício) |
| Condução (Stirring) | Apelo à emoção ou empurrão visual | Destaque só para o botão de aceite | Art. 5º, XII (livre) |
| Obstrução (Obstructing) | Dificultar ou impedir que a pessoa se informe ou gerencie seus dados | Rejeição difícil; revogação sem mecanismo próprio | Art. 8º, § 5º (revogação facilitada) |
| Inconstância (Fickle) | Interface inconsistente que confunde controles e finalidade | Gerenciamento sem opção por finalidade | Art. 8º, § 4º (finalidade determinada) |
| No escuro (Left in the dark) | Esconder informação ou controle, ou deixar a pessoa sem saber como o dado é tratado | Política só em idioma estrangeiro | Art. 9º, § 1º (nulidade) |
Num fluxo de cadastro, a categoria que pede mais atenção, na leitura da casa, é a obstrução, que as diretrizes definem como "hindering or blocking users in their process of becoming informed or managing their data by making the action hard or impossible to achieve". Na LGPD, revogar não pode virar obstáculo: o art. 8º, § 5º, fala em "procedimento gratuito e facilitado".
Onde isso aparece num cadastro com verificação
A verificação em si, quando apoiada em obrigação legal ou em prevenção à fraude, não depende de consentimento, e por isso não tem "aceitar" a manipular. Os pontos de risco são os pedidos opcionais que viajam junto: autorizar uso do dado para ofertas, aceitar compartilhamento com parceiros, guardar a biometria para reautenticação futura, aceitar cookies de publicidade. Três desenhos merecem revisão:
- O pedido opcional embutido no botão "Continuar" do passo obrigatório. A pessoa precisa seguir para abrir a conta e aceita junto o que não precisava. Isso tira a liberdade.
- A caixa de "quero receber ofertas" já marcada. A ANPD desaconselha opção pré-selecionada, e o consentimento deixa de ser inequívoco.
- O "não, obrigado" escrito para envergonhar, do tipo "não quero proteger minha conta". É o apelo à emoção que o EDPB põe na categoria de condução.
Para cada pedido opcional, a pergunta de revisão é simples: se a pessoa recusar, ela consegue seguir com a mesma facilidade? Se não, o pedido não é livre. A escolha de quando usar consentimento e quando usar outra base está em consentimento ou obrigação legal.
Criança e adolescente: o ECA Digital entrou no desenho
Para serviço com acesso provável de criança e adolescente, a Lei 15.211/2025, o ECA Digital, em vigor desde 17 de março de 2026, trouxe regra expressa no capítulo de supervisão parental: "É vedado ao fornecedor projetar, modificar ou manipular interfaces com o objetivo ou efeito de comprometer a autonomia, a tomada de decisão ou a escolha do usuário, especialmente se resultar no enfraquecimento das ferramentas de supervisão parental ou das salvaguardas" (art. 18, § 2º). Na leitura da casa, como o texto alcança "objetivo ou efeito", a intenção não precisa ser provada. O tratamento do dado do menor no cadastro está em dado de criança e adolescente no cadastro.
Nota
Um teste prático antes de publicar a tela: mostre a interface a alguém de fora do projeto e pergunte o que acontece se clicar em cada botão. Se a resposta errar o que é opcional, a tela informa mal, e o art. 9º, § 1º, vale contra ela.
Fontes citadas
- Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais, arts. 5º, 8º e 9º, texto compilado no Planalto
- Autoridade Nacional de Proteção de Dados, Guia orientativo Cookies e proteção de dados pessoais, versão 1.0, outubro de 2022, seção "O que evitar na elaboração de banners de cookies", em gov.br/anpd
- Agência Nacional de Proteção de Dados, página Materiais educativos e publicações, lista dos guias orientativos, lida em 17 de outubro de 2026, em gov.br/anpd
- European Data Protection Board, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces, versão 2.0, adotada em 14 de fevereiro de 2023, em edpb.europa.eu
- Lei 15.211/2025, Estatuto Digital da Criança e do Adolescente, arts. 18, § 2º, e 41-A, no Planalto