Autoridade Nacional de Proteção de Dados publica guia com orientações sobre “Cookies e Proteção de Dados Pessoais”

Em 18 de outubro de 2022, a Autoridade Nacional de Proteção de Dados (“ANPD”) publicou um guia orientativo sobre “Cookies e proteção de dados pessoais” (“Guia”). O material objetiva estabelecer um cenário geral sobre essa tecnologia, incluindo os principais conceitos e classificações de cookies, bem como orientar os agentes de tratamento (controladores e operadores) sobre as boas práticas e os requisitos que devem ser observados para conformidade com a Lei Geral de Proteção de Dados (Lei Federal nº 13.709/2018 – “LGPD”).

No Guia, os cookies são definidos como “arquivos instalados no dispositivo de um usuário que permitem a coleta de determinadas informações, inclusive de dados pessoais em algumas situações, visando ao atendimento de finalidades diversas”, tais como garantir que os sites funcionem de maneira adequada e segura, identificar usuários, apresentar anúncios personalizados ou medir a eficácia de uma página eletrônica. As principais categorias de cookies também são apresentadas, de forma não exaustiva, de acordo com os seguintes critérios:

• Entidade responsável pela gestão:

(i) cookies próprios ou primários; ou (ii) cookies de terceiros;

• Necessidade: (i) cookies necessários; ou (ii) cookies não necessários;
• Finalidade: (i) cookies analíticos ou de desempenho; (ii) cookies de funcionalidade; ou (iii) cookies de publicidade;
• Período de retenção das informações:

(i) cookies de sessão ou temporários; ou (ii) cookies persistentes.

Nesse sentido, o Guia esclarece que é possível que um mesmo cookie se enquadre em mais de uma dessas categorias listadas.

Em relação aos requisitos da LGPD aplicáveis ao tratamento de dados pessoais obtidos por meio de cookies ou de outras tecnologias de rastreamento online, destaca-se a importância de serem observados os princípios da finalidade, necessidade, adequação, livre acesso e transparência, além dos direitos dos titulares, mediante a disponibilização de mecanismo para o “gerenciamento de cookies”. Por meio dessa ferramenta, é possível divulgar informações sobre a utilização dos cookies (por exemplo, as formas de exclusão ou desabilitação), bem como possibilitar que permissões anteriormente concedidas sejam revogadas, permitindo, assim, que os titulares de dados entendam e possam controlar diretamente o uso de seus dados pessoais.

Uma das principais dúvidas esclarecidas no Guia aos agentes de tratamento de dados é sobre as bases legais aplicáveis ao uso de cookies. Nesse contexto, a ANPD entende que o consentimento e o legítimo interesse são as hipóteses legais mais comuns e relevantes em relação aos cookies, embora ressalte que as demais bases legais previstas na LGPD também podem ser eventualmente utilizadas para embasar o tratamento de dados, a depender da finalidade e do contexto das atividades de processamento.

Assim, é mais adequado se basear no consentimento do titular – que deverá ser livre, informado, inequívoco –, a depender do caso, quando os dados pessoais forem coletados por “cookies não essenciais” (i.e., que estão relacionados com funcionalidades não essenciais para a realização adequada dos serviços ou do funcionamento do site) para exibição de anúncios, por exemplo. No entanto, é importante notar que a base legal adequada para cookies não essenciais será definida de acordo com a finalidade e o contexto das atividades de processamento, de modo que o consentimento não é a única hipótese legal aplicável.

Por outro lado, nos casos em que são utilizados “cookies essenciais”, a ANPD recomenda que o tratamento de dados ocorra com base no legítimo interesse, pois pode ser considerado como forma de apoio e promoção das atividades do controlador e de prestação de serviços em benefício do titular dos dados.

Ademais, para conformidade com os princípios da LGPD, também é recomendada a elaboração de uma Política de Cookies, ou documento equivalente, na qual é disponibilizada ao titular informações detalhadas, claras, precisas e facilmente acessíveis sobre o tratamento de seus dados por meio de cookies, incluindo, mas não se limitando a, as finalidades de processamento, período de retenção, se há compartilhamento com terceiros, dentre outros pontos previstos no art. 9º da LGPD.

A ANPD ressalta, ainda, que os “banners de cookies” são uma ferramenta relevante para informar os usuários de forma resumida, simples e direta sobre a utilização de cookies, bem como para permitir que o titular tenha maior controle sobre seus dados. Nesse sentido, o Guia fornece exemplos visuais, orientações a serem seguidas, além de práticas não recomendadas, tais como tornar o botão “opt-out” mais difícil de visualizar do que o “opt-in“, não disponibilizar a opção de recusar os cookies não essenciais ou não fornecer a Política de Cookie em português.

Por fim, é importante destacar que a observância das orientações da ANPD fornecidas no Guia não isenta os agentes de tratamento do cumprimento dos demais requisitos da LGPD e tampouco de adotar as providências necessárias para resguardar os direitos dos titulares de dados.

Em caso de dúvidas sobre o assunto acima, por favor, não hesitem em nos contatar.

Atenciosamente.

 

Principal Contato:

Paula Mena Barreto
Sócia
E: paula.menabarreto@cmalaw.com