Abra o seu site numa janela anônima. Antes de clicar em qualquer coisa do banner de cookies, aperte F12, vá na aba Network e digite collect no filtro. Recarregue a página.
Se aparecer alguma requisição nessa lista antes de você aceitar, o seu Google Analytics já rodou. O banner apareceu, o visitante ainda não decidiu nada, e os dados dele já foram embora.
Leva dois minutos. Faça agora, porque o resto deste texto depende do que você encontrar.
O que quase todo mundo encontra
Encontra requisição. Na esmagadora maioria dos sites brasileiros, o banner de cookies é uma peça de decoração: ele informa, mas não controla nada. O script do Analytics está lá no <head>, carrega junto com a página, e o botão "Aceitar" só faz o banner sumir da tela.
É uma situação constrangedora e comum, porque quase sempre foi feita de boa-fé. Alguém pediu "põe um banner de cookies no site", alguém pôs, e ninguém nunca testou se ele faz o que promete.
Antes de entrar em pânico: nem todo rastreamento precisa de consentimento
Aqui é onde a maioria dos artigos sobre o assunto mente por simplificação, inclusive, provavelmente, o de quem te vendeu o banner.
O Guia Orientativo sobre Cookies da ANPD traz um exemplo, o de número 4, que trata exatamente de medição de audiência. Um centro cultural municipal quer estatísticas de visitação do próprio site. A conclusão da ANPD: isso pode se apoiar em legítimo interesse, e não exige consentimento.
Ou seja, encontrar rastreamento antes do aceite não é, por si só, uma irregularidade. Depende da base legal.
Mas leia as condições que a ANPD amarra a esse exemplo, porque elas são o coração da questão:
finalidade específica e exclusiva de medir a audiência da página;
coleta limitada ao estritamente necessário para isso;
dados agregados, com o objetivo de produzir estatísticas anônimas;
não compartilhados com terceiros;
não cruzados com outras bases para alcançar outras finalidades;
tudo explicado no banner e na política, com oposição disponível ao titular.
Por que o seu Google Analytics dificilmente se encaixa
Releia a quarta condição: não compartilhados com terceiros.
Google Analytics é compartilhamento com terceiro por definição. Os dados do seu visitante não ficam com você, eles vão para a infraestrutura do Google, que os processa, cruza com o próprio ecossistema e os usa para finalidades próprias. Some a isso a transferência internacional e, dependendo da configuração, os recursos de publicidade.
Uma autarquia contando visitas na própria casa é uma coisa. Mandar o comportamento do seu visitante para a maior empresa de publicidade do mundo é outra. O exemplo 4 não cobre a segunda.
A frase honesta, portanto, não é "seu banner está errado". É: o legítimo interesse cobre medição de audiência, só que provavelmente não cobre a sua, porque você usa Google Analytics.
E note o caminho de saída que isso abre: se a sua necessidade é genuinamente saber quantas pessoas visitaram qual página, existe analytics que roda na sua própria casa, sem mandar nada para terceiro. Aí o legítimo interesse fica bem mais defensável. É uma decisão de arquitetura, não de banner.
Se é consentimento, então o padrão é "desativado"
Escolhido o consentimento como base legal, a régua muda completamente. E ela não é interpretação nossa, está escrita no guia da ANPD, ao analisar um banner de exemplo:
"[...] em conformidade com o disposto na LGPD, os cookies baseados no consentimento estão desativados por padrão."
Desativados por padrão. Não "avisados por padrão". Não "listados na política por padrão". Desativados.
Tecnicamente, isso significa que o script não pode simplesmente estar lá. Ele precisa nascer inerte e só ser ligado depois do aceite. É por isso que um banner correto não é um pop-up com um botão, ele é um mecanismo que segura os scripts e os libera por categoria, quando e se o visitante permitir.
É a diferença entre uma porta e um aviso de porta.
O checklist da própria ANPD
A melhor parte do guia é uma seção chamada "O que evitar na elaboração de banners de cookies". É uma lista de práticas desaconselhadas, escrita pelo regulador. Confira o seu contra ela:
Botão único no primeiro nível, sem opção de gerenciamento ("concordo", "aceito", "ciente");
Esconder ou dificultar os botões de rejeitar e configurar, dando destaque só ao aceitar;
Impossibilitar ou dificultar a rejeição de todos os cookies não necessários;
Cookies não necessários ativados por padrão, exigindo desativação manual;
Não oferecer banner de segundo nível;
Não oferecer mecanismo direto e simples para revogar o consentimento ou se opor ao tratamento;
Dificultar o gerenciamento por finalidade;
Política de cookies apenas em idioma estrangeiro;
Lista de cookies granularizada em excesso, gerando fadiga e impedindo manifestação clara;
Vincular o consentimento ao aceite integral das condições, sem opções efetivas.
Repare que a maioria dos banners que você vê por aí falha em pelo menos três. O mais comum: só existe "Aceitar", e o "Rejeitar" não existe ou está escondido atrás de dois cliques.
O script que você não sabe que existe
Essa é a parte que a gente aprendeu na marra, instalando banner em site de cliente.
Fomos colocar o banner num site que, à primeira vista, não tinha nada demais. Ao olhar o código, encontramos um container de gerenciamento de tags de terceiro rodando ali, instalado anos antes por quem fez o site, e simplesmente esquecido.
Detalhe, o cliente não tinha acesso a ele. Entramos na conta do Google da própria empresa, fomos ao gerenciador de tags e a resposta foi que ela não administrava conta nenhuma. Ou seja, havia um script rodando no site da empresa, capaz de carregar outros scripts, e ninguém do lado dela sabia o que tinha lá dentro. Não por má-fé de ninguém, sites vão acumulando coisas, o fornecedor muda, a senha se perde, e aquilo continua carregando todo dia, silenciosamente.
Pense no que isso significa. Um container de tags é um script que carrega outros scripts. Ele pode estar disparando analytics, pixel de rede social, mapa de calor, chat e, do ponto de vista da LGPD, quem responde por esse tratamento é a empresa dona do site, não quem esqueceu o container lá.
Um banner só consegue segurar aquilo que ele sabe que existe. Por isso, antes de escolher qualquer ferramenta, o passo zero é o inventário: abra o código do seu site e descubra tudo o que ele carrega. Provavelmente vai ter surpresa. E se aparecer alguma coisa que você não controla, esse é o primeiro problema a resolver, antes do banner, não depois.
A pegadinha final: você consegue provar?
Suponha que você passou no teste. O banner segura os scripts, tem botão de rejeitar, tem segundo nível. Ótimo, e ainda falta a parte que quase ninguém pensa.
O artigo 8º, § 2º da LGPD é direto: "cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei". A lei não pergunta se você mostrou o banner. Ela manda você provar que a pessoa consentiu.
O guia da ANPD reforça: compete ao controlador comprovar que o consentimento foi obtido respeitando todos os parâmetros, e por isso "é uma boa prática o registro e a documentação".
Agora a pergunta desconfortável: onde está a sua prova?
A maioria absoluta dos banners grava a decisão no localStorage do navegador do visitante. Quer dizer, a sua única prova de consentimento está guardada no computador da outra parte, que pode limpar o navegador, trocar de máquina ou usar aba anônima. Se a ANPD ou um titular perguntar "prove que ele aceitou", a resposta é nenhuma.
Consentimento sem registro do seu lado não é consentimento. É uma lembrança.
Por que isso está ficando mais quente
A Resolução CD/ANPD nº 30, de 23 de dezembro de 2025, aprovou o Mapa de Temas Prioritários de fiscalização para o biênio 2026–2027. O primeiro tema é direitos dos titulares, com 40 atividades previstas.
Dentro dele, uma linha merece ser lida na íntegra:
"Realizar 5 atividades de fiscalização relacionadas ao uso secundário de dados pessoais para entrega de publicidade comercial direcionada, especialmente mediante técnicas de perfilamento."
Traduzindo: rastreamento. O cronograma da própria resolução coloca essas cinco ações no primeiro semestre de 2027, ou seja, ninguém vai bater na sua porta amanhã. Mas a autoridade fez algo raro: publicou, com antecedência e por escrito, onde vai olhar. Quem tem um ano e meio para se organizar e não se organiza não poderá alegar surpresa.
Vale notar também que o guia de cookies está na versão 1.0, de outubro de 2022 — não foi revisado desde então. A agenda regulatória da ANPD sinaliza que o tema deve ser aprofundado, com atenção a dark patterns: os desenhos que empurram o usuário para o "aceitar".
O que fazer com isso
Quatro perguntas, na ordem:
O que o seu site carrega? Antes de qualquer decisão, o inventário. Você não consegue controlar o que não sabe que está lá.
Qual é a sua base legal? Se você nunca decidiu isso conscientemente, esse é um problema anterior ao banner.
Se for consentimento, os scripts estão realmente desativados por padrão? O teste do começo deste texto responde em dois minutos.
Você tem registro do aceite do seu lado? Se a prova está só no navegador do visitante, você não tem prova.
Nenhuma das quatro exige advogado para ser respondida. Exigem alguém olhando com honestidade.
Como a truwe resolve
O banner de cookies da truwe nasce com os scripts inertes e só os ativa por categoria, depois do aceite, o desenho que a ANPD descreve. E cada decisão vira um registro no seu painel, do seu lado do balcão. É a diferença entre achar que tem consentimento e conseguir provar.
Aplicamos em nós mesmos: o banner deste site roda exatamente assim. Você pode fazer o teste da aba anônima aqui e conferir.
Se você não sabe por onde começar, o diagnóstico gratuito mostra em 15 minutos onde a sua empresa está exposta, cookies são só uma das frentes.