Por que a isenção importa

Segundo a Diretiva ePrivacy (artigo 5(3)), armazenar ou ler informações no dispositivo de um usuário normalmente exige consentimento prévio. Há duas exceções, e a que os publishers mais usam é a do armazenamento estritamente necessário para prestar um serviço que o usuário solicitou explicitamente. Tudo o que não é coberto por essa isenção fica atrás do seu banner de consentimento.

Muitos sites ampliam essa isenção para cobrir análises, testes A/B, limitação de frequência de anúncios e personalização. Os reguladores têm rejeitado repetidamente essa interpretação, por isso vale a pena entender exatamente onde fica o limite.

O teste em duas partes

A isenção não trata do que é conveniente para você. Ela faz duas perguntas:

1. O usuário solicitou explicitamente o serviço? Carregar um artigo é uma solicitação. Adicionar um item ao carrinho é uma solicitação. Abrir um widget de chat que você impôs em todas as páginas não é.
2. O armazenamento é estritamente necessário para entregar exatamente esse serviço? Se o serviço continuaria funcionando, mesmo de forma menos conveniente, sem o cookie ou identificador, o armazenamento provavelmente não é estritamente necessário.

Observe que «necessário para o nosso modelo de negócio» não é o mesmo que «necessário para o serviço que o usuário pediu». A receita de publicidade mantém um site gratuito vivo, mas identificadores de segmentação de anúncios não são necessários para exibir um artigo.

Exemplos comumente aceitos

• Cookies de sessão e autenticação que mantêm um usuário conectado durante uma sessão.
• Cookies de carrinho de compras que lembram os itens enquanto o usuário finaliza a compra.
• Identificadores de balanceamento de carga que direcionam uma requisição ao servidor correto.
• Cookies de segurança usados para detectar tentativas de login malsucedidas repetidas ou se defender de requisições forjadas.
• O próprio registro de consentimento, porque lembrar a escolha do usuário é necessário para respeitá-la.
• Preferências de interface que o usuário definiu deliberadamente, como o idioma, quando são armazenadas para a sessão ou porque o usuário as escolheu.

Exemplos comumente classificados de forma errada

• Cookies de análise. Algumas autoridades permitem uma medição de audiência limitada e que preserva a privacidade sob condições estritas, mas as tags de análise padrão geralmente exigem consentimento. Consulte a orientação da autoridade aplicável ao seu público.
• Identificadores de publicidade e remarketing. Nunca são necessários para entregar o conteúdo em si.
• Botões de compartilhamento social e widgets incorporados que definem cookies de terceiros no carregamento da página.
• Testes A/B e personalização não solicitados pelo usuário.
• Limitação de frequência de anúncios. Melhora a experiência do usuário, mas não é essencial para entregar a página.

Duração e escopo ainda importam

Um cookie genuinamente essencial ainda pode se tornar problemático se durar mais ou coletar mais do que a função precisa. Um cookie de sessão que persiste por um ano, ou um cookie de segurança que também grava um perfil de marketing, perde sua proteção. Mantenha a vida útil curta e o conteúdo mínimo.

Documente seu raciocínio

Para cada cookie ou item de armazenamento que você classificar como estritamente necessário, anote três coisas: a função solicitada pelo usuário que ele sustenta, por que essa função deixaria de funcionar sem ele e sua duração. Uma tabela curta mantida junto ao seu inventário de cookies é suficiente. Ao revisar a lista, questione cada entrada: se o único argumento for «sempre fizemos assim», mova-a para trás do consentimento.

A isenção também se aplica a mais do que cookies. Armazenamento local, armazenamento de sessão, fingerprinting de dispositivo e identificadores de SDK em apps seguem a mesma lógica do artigo 5(3), então inclua-os na sua revisão.

Onde a FlexyConsent se encaixa

A FlexyConsent é uma CMP certificada pelo Google (CMP ID 317), certificada pela IAB Europe e pela IAB Canada, com um banner disponível em 57 idiomas. Uma CMP permite reter tags não essenciais até que o usuário escolha, enquanto seus itens realmente essenciais continuam carregando. Decidir a que categoria cada cookie pertence continua sendo uma decisão sua, então mantenha seu raciocínio documentado atualizado.

Principais conclusões

• A isenção cobre o armazenamento estritamente necessário para um serviço solicitado explicitamente pelo usuário, não o necessário para a sua receita.
• Cookies de sessão, carrinho, balanceamento de carga, segurança e registro de consentimento são os exemplos típicos que se qualificam.
• Análises, publicidade, widgets sociais e personalização geralmente exigem consentimento.
• Duração e conteúdo importam: mantenha os cookies essenciais de vida curta e mínimos.
• Aplique o mesmo teste ao armazenamento local, ao armazenamento de sessão e aos identificadores de apps.
• Documente o raciocínio de cada item que você classificar como estritamente necessário e revise-o regularmente.