Aviso de cookies na loja virtual: o que a LGPD exige

O aviso de cookies que só tem o botão “aceitar” tem apelido no mercado: aviso mortadela. Quem dirigia nos anos 1990 lembra da época em que o extintor virou item obrigatório no carro e tinha motorista que deixava uma mortadela no suporte para passar pela blitz. De longe, parecia que estava tudo certo. Na hora do fogo, não apagava nada.

A comparação é de João Bruno Soares, da AdOpt, convidado do quinto episódio da Jornada Black, a série de lives da iSET para preparar a loja para a Black Friday. Ela resume bem o problema de boa parte das lojas virtuais: há um aviso na tela, mas ele não pede consentimento de verdade, não bloqueia nada e não guarda prova de coisa alguma.

Este texto reúne o que foi mostrado na live: o que o aviso de cookies precisa ter, como testar o da sua loja em poucos minutos e por que fazer isso direito melhora a leitura das suas campanhas, em vez de piorar.

O que é um cookie e por que a LGPD se importa com ele

Um cookie é um pequeno arquivo de texto que o site grava no navegador do visitante. Ele guarda informações da visita para que sejam usadas depois, pelo próprio site ou por serviços de terceiros, como as plataformas de anúncio.

O exemplo mais simples está no carrinho. A pessoa coloca uma camiseta preta no carrinho, o telefone toca, ela fecha a aba. Quando volta, a camiseta continua lá. Quem guardou essa informação foi um cookie.

O nome vem da história de João e Maria, que deixavam migalhas pelo caminho para encontrar a volta. Em inglês, cookie crumbs. A navegação de cada pessoa também deixa migalhas, e são elas que permitem mostrar de novo, em outro site, o produto que alguém viu na sua loja. É a base do remarketing.

É exatamente por isso que a lei se preocupa. Nome, CPF e endereço identificam uma pessoa. Mas o rastro de navegação, quando cruzado com outros dados, também chega a ela. Para a LGPD, os dois estão no mesmo patamar: dado pessoal, que precisa de base legal para ser tratado. No caso dos cookies de marketing, essa base costuma ser o consentimento.

Necessários e todo o resto

Nem todo cookie depende de aceite. A divisão que importa para o lojista é esta:

• Necessários: sem eles a loja não funciona. O cookie que guarda o carrinho, o que lembra o CEP para o cálculo do frete, o que mantém o cliente logado. Carregam desde o primeiro acesso.
• Todo o resto: análise (Google Analytics, mapa de calor), marketing (pixel da Meta, tag do Google Ads, TikTok) e funcionais que não são indispensáveis. Só podem carregar depois que o visitante aceitar.

A tentação é classificar o pixel como necessário porque “sem ele a campanha não roda”. Não funciona assim. Na frase de João na live: não tem como colocar remarketing como essencial no e-commerce. O critério é se a loja funciona sem o cookie, não se o marketing funciona sem ele.

O teste dos três botões

Para saber se o aviso de cookies da sua loja está correto, olhe para ele como um visitante faria. O mínimo são três caminhos:

1. Aceitar todos os cookies.
2. Recusar os cookies que não são necessários.
3. Opções, que abre o chamado segundo nível do aviso, com as categorias separadas para a pessoa marcar uma a uma.

O guia orientativo de cookies da ANPD (2022) vai além de pedir que o botão de recusar exista. Ele lista como prática não recomendada dar destaque só ao botão de aceitar e dificultar a visualização do botão de recusar. Recusar precisa ser tão fácil de achar quanto aceitar, no mesmo nível, e não escondido dentro de “configurações”.

Algumas ferramentas mostram, dentro de cada categoria, a lista de cookies com nome, origem e validade. Quase ninguém lê esse nível de detalhe, e tudo bem: ele existe para quem precisar conferir. Na Europa, sob a GDPR, esse detalhamento é exigido, e quem vende para fora já fica coberto.

“Ao continuar navegando, você aceita” não vale

O texto mais comum nos avisos mortadela é alguma variação de “ao continuar navegando, você concorda com o uso de cookies”. Ele não resolve nada, por dois motivos.

O primeiro é a definição. A LGPD diz, no artigo 5º, que consentimento é uma manifestação livre, informada e inequívoca. Rolar a página não manifesta nada.

O segundo é a prova. O artigo 8º diz que cabe a quem coleta o dado provar que o consentimento foi obtido. Se um dia a sua loja precisar mostrar isso, a pergunta vai ser: quem aceitou, quando e o quê? Para responder, é preciso um clique e um registro desse clique, com data, hora e as categorias escolhidas. Uma ferramenta de consentimento guarda isso como um recibo. Um texto no rodapé, não.

Foi esse o ponto central da multa de R$ 153,7 milhões aplicada ao TikTok pela ANPD em agosto: a empresa não conseguiu demonstrar que cumpria o que dizia cumprir. Dizer que pede consentimento não basta. É preciso ter como mostrar.

Bloqueio prévio: o aviso tem de carregar antes do pixel

Um aviso com os três botões ainda pode ser decorativo. Basta que o pixel e o Google Analytics carreguem junto com a página, antes de qualquer clique. Nesse caso, a coleta já aconteceu quando a pessoa decide, e o aviso vira uma prova contra a própria loja.

O correto é o bloqueio prévio: no primeiro acesso, só carregam os cookies necessários. Os demais ficam travados até o aceite e só disparam para quem aceitou. Para isso, a tag do aviso de cookies precisa carregar antes das tags de marketing, o que muda até a ordem de instalação no site.

O teste leva dois minutos:

1. Abra a loja numa janela anônima, para começar sem cookies antigos.
2. Antes de tocar no aviso, aperte F12 e procure a área de armazenamento, em Aplicativo (Application) > Cookies, no Chrome.
3. Veja o que já está gravado. Se aparecerem cookies como _ga, _fbp ou _gcl_au, Google Analytics, pixel da Meta e Google Ads estão disparando antes da escolha.
4. Clique em recusar, recarregue e confira de novo. Os cookies de marketing não podem aparecer.

Recusar não é perder: é medir melhor

A objeção mais comum de quem trabalha com anúncios é que, com o botão de recusar à vista, muita gente vai recusar, e o pixel vai enxergar menos. É verdade que ele enxerga menos. A questão é o que ele enxergava antes.

João usou uma comparação do mundo físico. Uma loja que distribui panfletos gostaria que eles chegassem só a quem tem perfil de cliente, e não a qualquer um que passa na calçada. O aviso de cookies faz um pouco disso: separa quem aceitou receber marketing de quem não quer. A audiência de remarketing fica menor, mas formada por quem aceitou ser impactado, e menos poluída por robôs e visitas sem interesse.

O que fecha essa conta é o Google Consent Mode. É o recurso pelo qual a ferramenta de consentimento avisa o Google sobre a decisão de cada visitante. Segundo a documentação do Google Ads, quando o visitante recusa, as tags passam a enviar sinais sem cookies, e o Google usa modelagem para estimar as conversões que não consegue observar diretamente. Sem o Consent Mode, ele simplesmente não sabe o que aconteceu e deixa de contar essas vendas.

Por isso, ter o aviso não basta: ele precisa estar ligado ao Google. Na ferramenta de consentimento, confira se o Consent Mode está ativo, e no Google Ads, nas configurações da conta, veja se o status de consentimento aparece.

Os três testes de medição antes da Black Friday

Do quiz feito na live, três perguntas são as que mais pesam no resultado das campanhas.

1. Você já fez um pedido de teste com e sem aceite? Faça uma compra aceitando os cookies e confira se ela aparece no Gerenciador de Eventos da Meta e no GA4. Depois, outra recusando. Na segunda, o pedido existe na loja e não aparece na medição, e é assim que deve ser.

2. O aviso carrega em todas as páginas, inclusive a de pedido concluído? O cliente pode colocar um produto no carrinho hoje e voltar para comprar amanhã, numa nova sessão. Se o aviso e o consentimento não estiverem em todas as páginas, inclusive a de obrigado, a conversão final fica sem o sinal de consentimento.

3. Você compara os pedidos da loja com o que o anúncio mostra? Se o pixel registra 210 de 300 pedidos, a plataforma conclui que a campanha vai pior do que vai de fato, pode aprender errado e você continua pagando o mesmo pelo clique. Comparar semanalmente o número de pedidos do painel da loja com o das plataformas de anúncio é o jeito de perceber quando algo quebrou, antes de a Black Friday começar e de o problema ser atribuído à campanha errada.

Quem acessa de fora

O aviso de cookies não protege só visitantes brasileiros. A lei que vale é a do lugar de onde a pessoa acessa: um visitante da Itália deve ver o aviso no padrão europeu e no idioma dele. Na Califórnia, há um botão a mais, o de não vender os dados pessoais.

Para uma loja que só vende no Brasil isso parece detalhe, até o primeiro acesso vindo de campanha internacional ou de um cliente brasileiro que mora fora. As ferramentas de consentimento especializadas detectam a origem do visitante e ajustam o idioma e os botões sozinhas.

A fiscalização mudou de patamar

Até pouco tempo atrás, a ANPD era vista como uma autoridade mais orientadora do que fiscalizadora. Isso mudou. Em 2026, a Lei nº 15.352 transformou a ANPD em agência reguladora, com orçamento próprio, e a multa ao TikTok foi a primeira desse porte. A LGPD prevê multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e um mesmo caso pode somar várias infrações.

Há ainda um agravante que pouca gente percebe. A multa ao TikTok pesou porque envolvia dados de crianças e adolescentes. O ECA Digital (Lei nº 15.211, de 2025) ampliou as regras de proteção desse público no ambiente digital, e quem fiscaliza é a mesma ANPD. Se a sua loja vende algo que atrai menores de idade, como games, papelaria, moda jovem ou brinquedos, os dados desses visitantes pedem ainda mais cuidado.

Como aumentar a taxa de aceite sem esconder o recusar

Cumprir a regra e manter boa parte dos visitantes aceitando não são objetivos opostos. Na live, João trouxe duas recomendações tiradas da base da AdOpt, que ele descreveu como cerca de 60 mil sites:

• Use uma cor complementar à da marca. Se a loja é azul e branca, um aviso laranja ou roxo cria contraste sem destoar. Segundo a AdOpt, só a troca de cor aumenta o consentimento em quase 30%. Para achar a cor complementar, a roda de cores do Adobe Color é gratuita, e o post sobre cores do site e conversão explica a lógica.
• Prefira o aviso em balão, no canto, à barra no rodapé. A barra some de vista conforme a pessoa rola a página e passa a ser ignorada. O balão fica em destaque e é percebido como algo que pede uma resposta.

A sugestão é testar uma coisa de cada vez. Deixe uma cor rodando por um mês, troque no mês seguinte e compare a taxa de aceite no painel de estatísticas da ferramenta.

Na iSET: a integração com a AdOpt

A AdOpt é uma plataforma de gestão de consentimento, ou CMP, e é parceira comercial da iSET. Ela cuida do aviso, do bloqueio prévio, do registro de cada consentimento, do envio do sinal ao Google Consent Mode e da adaptação do aviso a mais de 40 legislações.

Na plataforma, a ativação leva poucos minutos:

1. Na página inicial do painel da loja, no card AdOpt: banner de cookies e LGPD em ordem, clique em Ativar agora. O mesmo app está em Integrações > Aplicativos.

2. Informe o e-mail do responsável, que será o dono da conta na AdOpt.
3. Informe o endereço da política de privacidade da loja. O campo é opcional no painel, mas não pule: é a política que torna o consentimento informado, e ela aparece como link dentro do aviso. Se ainda não tem uma, ela faz parte do checklist de quem abre uma loja virtual.
4. Escolha a cor principal dos botões, a cor de fundo e a cor do texto, de preferência com a cor complementar à da marca nos botões.
5. Clique em Instalar. A conta na AdOpt é criada automaticamente e o aviso entra no ar.

A partir daí, a AdOpt varre a loja, encontra os cookies em uso e já os pré-classifica nas categorias. Cabe ao lojista só conferir. A integração com a iSET também já carrega o aviso antes das tags de marketing, então a ordem de disparo vem correta. Os ajustes avançados, como formato do aviso e estatísticas, ficam no painel da própria AdOpt, que pode ser repassado à agência ou a quem cuida do marketing.

Quem ativa pela iSET tem preço próprio, abaixo do cobrado na contratação direta:

Plano iSET	Plano equivalente na AdOpt	Pela iSET, por mês	Direto na AdOpt, por mês
iSET Inicial	Business	R$ 48	R$ 70
iSET Intermediário	Pro	R$ 120	R$ 168
iSET Full	Enterprise	R$ 240	sob consulta

Valores informados pela AdOpt em outubro de 2026. O preço direto é o do plano anual pago em reais.

Resolva antes da última semana

A Black Friday de 2026 cai em 27 de novembro. Ativar o aviso, conferir o bloqueio e fazer os pedidos de teste leva uma tarde. Ajustar o que os testes mostrarem, acompanhar as métricas por uma ou duas semanas e testar cores leva mais. Deixar isso para a semana da Black é trocar o tempo que deveria ir para preço, estoque e atendimento por configuração de tag.

O roteiro completo de como preparar a loja para a Black Friday tem o restante do calendário. Para os cookies, o resumo cabe em cinco itens:

1. Aviso com aceitar, recusar e opções, com o mesmo destaque para aceitar e recusar.
2. Nada de “ao continuar navegando”. Consentimento é clique, e o clique fica registrado.
3. Teste na janela anônima com F12: nenhum cookie de marketing antes do aceite.
4. Google Consent Mode ativo, e pedido de teste com e sem aceite conferido na Meta e no GA4.
5. Comparação semanal entre os pedidos da loja e os do painel de anúncios.

A live completa, com o quiz e a demonstração da instalação, está no canal da iSET, no episódio 5 da Jornada Black.

Fontes: Jornada Black 2026, episódio 5, “Consentimento e LGPD na Black”, com João Bruno Soares (AdOpt); Autoridade Nacional de Proteção de Dados (ANPD), Guia Orientativo Cookies e Proteção de Dados Pessoais (2022); Lei nº 13.709/2018 (LGPD), arts. 5º, 8º e 52; Lei nº 15.211/2025 (ECA Digital); Google Ads, Sobre o modo de consentimento; tabela de preços da AdOpt (outubro de 2026).