Sem juridiquês: o que a lei exige do seu site, o que a ANPD pode fazer, e como descobrir em um minuto — de graça — onde você está exposto. Read in English.
Para um site comercial típico, as exigências recorrentes são: uma base legal para cada finalidade de tratamento — analytics, anúncios, formulários e marketing precisam cada um da sua (Art. 7º), e para rastreamento não essencial essa base é, na prática, o consentimento; um aviso de privacidade em linguagem clara, dizendo o que é coletado, para quê, com quem é compartilhado e como exercer direitos (Art. 9º e 18); consentimento coletado antes de os rastreadores dispararem, não depois (Art. 8º — rastreador que dispara no carregamento da página coletou dados antes de qualquer aceite); um canal que funcione para os direitos do titular (Art. 18); segurança razoável, sendo HTTPS em todo o site o mínimo visível (Art. 6º, VII e Art. 46); e um encarregado ou ao menos um canal de contato de privacidade (Art. 41).
A LGPD não usa a expressão "banner de cookies" — o que ela exige é base legal válida antes do tratamento de dados pessoais. Na prática, para cookies e rastreadores não essenciais (analytics, anúncios, gravação de sessão), a base viável é o consentimento, e o Guia Orientativo de Cookies da ANPD (2022) descreve exatamente o padrão que você conhece: um banner que permite aceitar ou recusar cookies não essenciais antes de eles dispararem, com a recusa tão fácil quanto o aceite.
Dois erros são muito comuns: banner que aparece com os rastreadores já disparados no carregamento (o consentimento vira decoração) e site com analytics, pixel e session replay sem banner nenhum. Os dois são visíveis de fora — é exatamente isso que a análise gratuita verifica.
O cardápio de sanções (Art. 52) vai de advertência com prazo de correção, passando por multa diária e multa simples de até 2% do faturamento no Brasil (limitada a R$ 50 milhões por infração), até a publicização da infração e, no extremo, bloqueio ou proibição do tratamento. A fiscalização começou devagar — as primeiras multas vieram em 2023 — e vem crescendo desde então. Para a maioria das empresas, os riscos práticos de curto prazo são a ordem de correção, o custo de reputação de uma infração publicizada e o choque operacional de um bloqueio, mais do que o número da multa.
O encarregado (Art. 41) é quem responde pelos assuntos de dados pessoais perante os titulares e a ANPD. Em tese, todo controlador precisa de um; na prática, a Resolução CD/ANPD nº 2/2022 dispensa microempresas, empresas de pequeno porte e startups de nomear um encarregado — mas exige manter um canal de comunicação funcional para assuntos de privacidade. Passou do porte de pequena empresa, nomeie um e publique o contato no seu aviso de privacidade.
O Art. 18 garante ao titular: confirmação de que você trata os dados dele, acesso, correção, anonimização ou eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento — em regra de graça e dentro de prazos definidos. Na prática, a régua é simples: chega um pedido por email e alguém na sua empresa consegue de fato localizar, exportar, corrigir ou apagar os dados daquela pessoa. Se hoje ninguém conseguiria, essa lacuna importa mais do que qualquer banner.
Não são proibidos — o problema é como disparam. Rastreadores de terceiros coletam dados pessoais (identificadores, comportamento), então precisam de base legal, que na prática é consentimento prévio. Um site pode usar Analytics e Pixel desde que eles aguardem o aceite no banner para disparar. O padrão que gera achado em quase toda análise: os scripts carregam e disparam junto com a página, e o banner — quando existe — chega tarde demais.
Os sinais visíveis de fora podem ser checados em segundos, e é isso que a análise gratuita da VerifyBR faz: carrega seu site como um navegador de visitante e reporta quais rastreadores disparam antes de qualquer consentimento, se existe banner, se a política de privacidade está acessível, se cookies são definidos no primeiro acesso e se o HTTPS está em vigor — com nota de 0 a 100 e o artigo da LGPD por trás de cada achado. É grátis, leva cerca de um minuto e não pede cadastro.
Não — e é de propósito. Atuamos como avaliador, não como consultoria de adequação: a mesma lógica que diz que o auditor de SOC 2 não deve vender os controles que audita. A análise diz honestamente onde o seu site está e o que cada achado significa na lei; a correção é dos seus desenvolvedores ou do seu advogado de privacidade. É essa separação que faz a avaliação valer alguma coisa.
Descubra onde seu site está em um minuto. A análise gratuita da VerifyBR verifica rastreadores, consentimento, política de privacidade e HTTPS — com nota e o artigo da LGPD por trás de cada achado. Sem cadastro, sem compromisso.
Este guia é informação educativa, não parecer jurídico. Para decisões sobre as obrigações da sua empresa na LGPD, consulte um advogado. Atualizado em 14 de julho de 2026.