Ler o resultado de um scan de cookies é conferir, linha por linha, três coisas: se cada tag está na categoria certa, se as tags "Desconhecidas" foram investigadas e recategorizadas, e se o que você decidiu foi de fato publicado no aviso. O resultado não é um veredito da ferramenta. É uma proposta de classificação que precisa da sua revisão, porque só quem conhece o negócio sabe para que cada tag foi instalada.

Este guia é a parte prática do tema. Se você ainda não sabe o que um scan de cookies vê e deixa de ver, comece pelo pilar. Se a dúvida é o motivo de repetir o processo, o argumento está em por que escanear e reescanear os cookies do site. E para entender por que categorizar importa em si, o material de referência é o de boas práticas na categorização de tags, que este artigo complementa sem repetir.

Antes de mexer em qualquer categoria, vale alinhar o que está na tela. O resultado é uma lista de tags encontradas nas páginas varridas, cada uma com o que ela disparou e uma classificação sugerida. Nenhum produto é igual ao outro, e por isso conferir a documentação do seu é sempre o primeiro passo.

O que a AdOpt documenta oficialmente é que o Escâner de Tags sugere automaticamente uma classificação para as tags encontradas nas URLs vinculadas ao aviso, e a decisão final é do gestor. Quando ele reconhece a tag, ela cai numa das cinco categorias. Quando não reconhece, ela aparece como "Desconhecida". Nada além disso deve ser assumido: frequência, profundidade de páginas e cobertura de áreas logadas são pontos para confirmar na documentação.

A definição que usamos é direta: uma tag é o disparador de um ou mais cookies. Por isso, ao olhar o resultado, você pode encontrar uma tag e vários cookies associados a ela. A classificação vale para o conjunto, e não para cada cookie isolado. Se um dos cookies daquela tag tem finalidade diferente dos outros, vale a pena reavaliar.

A classificação automática economiza tempo, mas não conhece o seu negócio. Uma mesma tag pode servir a finalidades diferentes em empresas diferentes. Quem decide é o gestor do site, com apoio de quem conhece o uso real do dado. A AdOpt trabalha com esse princípio: a plataforma facilita, e a responsabilidade pela classificação é do controlador.

O resultado não diz se a tag está sendo bloqueada antes do consentimento. Isso depende de uma configuração à parte, o bloqueio de tags de terceiros. Também não diz, sozinho, qual é a base legal do tratamento. E não substitui a política de cookies, que precisa ser atualizada com base no que você decidir.

A AdOpt trabalha com cinco categorias: Necessárias, Marketing/Propaganda, Estatística/Analytics, Performance e Funcionais. O guia da ANPD organiza os cookies por critérios um pouco diferentes: necessidade, finalidade, entidade responsável e retenção. As duas visões conversam, e a tabela abaixo ajuda a traduzir uma na outra. Os exemplos são típicos, e não uma lista fechada.

O guia da ANPD define cookies necessários como aqueles usados para que o site realize funções básicas e opere corretamente, e afirma que a categoria se restringe ao essencial para prestar o serviço solicitado pelo titular, sem contemplar finalidades não essenciais que atendam a outros interesses do controlador. Já os cookies não necessários incluem, entre outros, os usados para rastrear comportamentos, medir o desempenho da página e exibir anúncios.

Essa distinção importa porque, segundo o próprio guia, ela é especialmente relevante para definir a hipótese legal que autoriza o uso de cookies, como o consentimento e o legítimo interesse. O documento completo está no Guia Orientativo de Cookies e Proteção de Dados Pessoais, versão 1.0 de outubro de 2022.

O erro mais comum na leitura do resultado é empurrar tags para a categoria de necessárias porque, se o visitante recusar, o dado some. O teste correto é o inverso: sem essa tag, o site deixa de funcionar ou deixa de prestar o serviço que a pessoa pediu? Se a resposta é "só perco a métrica", a tag não é necessária.

O guia da ANPD reconhece que um mesmo cookie pode ser incluído em mais de uma categoria. Na prática, o aviso pede uma escolha só por tag. Quando uma tag serve a mais de uma finalidade e uma delas não é necessária, o caminho mais prudente é classificar pela mais intrusiva, a que exige consentimento, e descrever as demais no texto do aviso e na política de cookies. Se o uso real muda, a classificação muda junto.

"Desconhecida" é a categoria que mais gera dúvida, e com razão. Ela não significa que a tag é perigosa, nem que é inofensiva. Significa apenas que o escâner não reconheceu aquela tag, e que agora a decisão é sua.

As razões variam. A tag pode ser de um fornecedor pequeno ou regional, que não está na base de conhecimento do escâner. Pode ser um script desenvolvido pela própria empresa. Pode ser uma versão nova de uma ferramenta conhecida, servida por um domínio diferente. Ou pode ser um resquício de uma campanha antiga, que ninguém removeu.

Nenhuma dessas causas dispensa você de classificar. Enquanto a tag está como "Desconhecida", o aviso não consegue descrever a finalidade dela ao visitante, e o consentimento fica menos informado do que deveria.

Um roteiro simples, do mais barato ao mais trabalhoso:

1. Anote o nome do cookie e o domínio que o definiu. Esses dois dados costumam apontar para o fornecedor.
2. Descubra em que página a tag dispara, e se isso acontece antes ou depois de qualquer ação do visitante.
3. Procure a documentação do fornecedor. Fornecedores sérios descrevem seus cookies e finalidades.
4. Se o site usa gerenciador de tags, consulte o histórico de publicações. No Google Tag Manager, por exemplo, há histórico de quando as versões foram lançadas e por quem, como descreve a página Publicações, versões e aprovações.
5. Pergunte ao marketing, à agência e ao time de tecnologia. Costuma haver alguém que lembra.
6. Decida a categoria pela finalidade real e registre o motivo.

Para inspecionar cookies e domínios no navegador, o procedimento com o DevTools está no pilar, no passo a passo de como auditar os cookies do seu site.

Se depois de investigar ninguém sabe explicar a tag, esse é um sinal importante. O princípio da necessidade, no art. 6º, III, da LGPD, fala em limitar o tratamento ao mínimo necessário para atingir as finalidades, com dados pertinentes, proporcionais e não excessivos. Uma tag sem dono e sem finalidade conhecida dificilmente cumpre isso.

A saída mais segura costuma ser tirar a tag do ar, ao menos em um ambiente de teste, e observar se algo quebra. Se nada quebrar, isso mostra que o site não depende dela, mas não que ela seja um resquício: ferramentas de análise e pixels também não quebram nada. Antes de remover, confirme quem instalou e para quê. O texto da lei está no site do Planalto, na Lei Geral de Proteção de Dados.

Com a investigação feita, chega o momento de registrar a decisão no painel. O caminho documentado pela AdOpt para recategorizar manualmente uma tag é curto: no menu de classificação da tag, você escolhe a categoria e depois salva e publica.

1. No resultado do escâner, localize as tags que estão como "Desconhecidas".
2. Para cada uma, abra o menu de classificação da tag.
3. Escolha a categoria: Necessárias, Marketing/Propaganda, Estatística/Analytics, Performance ou Funcionais.
4. Salve e publique. Só a publicação leva a mudança ao aviso que o visitante vê.
5. Confira no navegador se o aviso passou a mostrar a tag na categoria escolhida.

O passo 4 é o que mais se esquece. Recategorizar sem publicar deixa o aviso exatamente como estava, e o visitante continua vendo a versão antiga.

A configuração de tag ativa ou inativa define o padrão do aviso: se a tag vem ligada ou desligada no primeiro acesso do visitante. Isso não substitui o bloqueio das tags de terceiros, que é outra função e pode ser manual ou automática.

O guia da ANPD é claro sobre o padrão: entre as boas práticas do banner de segundo nível está desativar por padrão os cookies baseados em consentimento, e entre as práticas desaconselhadas está apresentar cookies não necessários ativados por padrão, exigindo desativação manual pelo titular. Vale conferir se as suas tags de marketing e estatística estão coerentes com isso.

Publicar não é o fim. Abra o site em uma janela anônima, aceite e recuse categorias e observe os cookies no painel Application do DevTools. O que você viu no aviso deve bater com o que o navegador registra. A documentação do Chrome descreve a tabela de cookies e suas colunas em cookies no Chrome DevTools.

Se algo não bater, o problema pode estar na classificação, na publicação ou no bloqueio. Os dois primeiros você corrige no painel. O terceiro pede a configuração do bloqueio, que aparece no material sobre CMP e banner de cookies.

Alguns itens do resultado não têm resposta óbvia. Estes são os quatro que mais aparecem.

A mesma ferramenta faz duas coisas. Muitas ferramentas medem e também anunciam, ou medem e também personalizam. O caminho é olhar como você configurou o uso: se o recurso de anúncios está desligado, a tag serve à medição. Se está ligado, a classificação como marketing tende a ser a mais fiel. Documente a configuração que sustenta a decisão.

Cookie de terceiros em categoria necessária. Um cookie de terceiros pode ser necessário, como o de um meio de pagamento que o visitante escolheu usar. O que não funciona é classificar como necessário um cookie de terceiros só porque ele está na página. A pergunta continua sendo a do serviço solicitado pelo titular.

Lista grande demais. Um site com dezenas de tags pode gerar um aviso longo e cansativo. O guia da ANPD lista, entre as práticas desaconselhadas, apresentar uma lista de cookies demasiadamente granularizada, o que gera excesso de informação, dificulta a compreensão e pode levar ao efeito de fadiga. A solução não é esconder tags, é organizar por categoria e usar descrições claras, deixando o detalhe na política de cookies.

Tag que só aparece em uma página. Uma tag presente numa única landing page continua sendo uma tag do site. Se ela aparece no resultado, precisa de categoria. Se não aparece e você sabe que existe, o scan não passou por ela, e vale rodar de novo incluindo aquela URL.

O resultado do scan alimenta mais do que o aviso. A política de cookies e a política de privacidade também precisam refletir o inventário. O guia da ANPD recomenda a elaboração de uma política de cookies com as finalidades específicas, o período de retenção e o compartilhamento com terceiros, entre outros aspectos do art. 9º da LGPD, e diferencia essa política do banner: o banner resume, e a política detalha.

Depois de recategorizar, revise se o texto da política ainda descreve corretamente cada categoria e as ferramentas dentro dela. Um aviso atualizado com uma política desatualizada cria uma contradição pública. Para lojas virtuais, o artigo sobre política de cookies para e-commerce mostra como estruturar o documento.

Guarde a data do scan, a lista de tags, as decisões e o motivo de cada uma. O art. 8º, § 2º, da LGPD atribui ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei, e o art. 6º, X, trata da prestação de contas.

Uma planilha simples, com data e responsável, já faz diferença. A regra de ouro do artigo de boas práticas continua valendo: alinhar uso real, processo, documentação e comunicação.

O caso a seguir é hipotético e serve só para mostrar o raciocínio. Uma loja virtual roda o escâner e recebe cinco linhas de resultado. Veja como cada uma poderia ser tratada.

As quatro primeiras linhas se resolvem em minutos: a classificação sugerida faz sentido e o gestor só confirma. A quinta é onde o trabalho está. O time olha o nome do cookie, descobre o domínio, procura o fornecedor e chega à conclusão de que se trata de uma ferramenta de mapa de calor instalada por uma agência que já não atende a loja.

A decisão, nesse caso, é retirar a ferramenta. Se a loja quisesse manter o recurso, a classificação correta seria estatística, com consentimento. O que não faria sentido é deixar a linha como "Desconhecida" e publicar o aviso assim, porque o visitante ficaria sem saber para que serve aquela tag.

A leitura do resultado é um trabalho de mais de uma pessoa. O marketing sabe para que cada ferramenta foi instalada. O time técnico sabe como ela é carregada e se dá para removê-la. O jurídico ou o encarregado avalia a finalidade e a base legal. Sozinho, cada um enxerga uma parte, e é o cruzamento das três visões que produz uma classificação defensável.

Quando o resultado do scan chegar, percorra esta lista antes de publicar qualquer coisa:

1. Todas as tags "Desconhecidas" foram investigadas e recategorizadas? Ter um responsável não basta: sem finalidade conhecida, a tag não pode ser descrita ao visitante.
2. Cada tag necessária passa no teste do serviço solicitado, e não no do dado que se perde?
3. Tags de marketing e de estatística estão desligadas por padrão no primeiro acesso?
4. O bloqueio de tags de terceiros está configurado, e não só a marcação de ativa ou inativa?
5. A política de cookies descreve as mesmas categorias que o aviso?
6. Existe registro datado do resultado e das decisões?
7. Depois de publicar, você conferiu o resultado no navegador?

Se você quer entender a mecânica do scanner e aprender a auditar o site com o navegador, o guia de como auditar o seu site é o ponto de partida. Para convencer o time de que o scan precisa virar rotina, por que escanear os cookies do site reúne os argumentos e a base legal.

Consentimento pode ser simples. Ler o resultado com calma, classificar com critério e publicar é a maior parte do trabalho, e a AdOpt existe para deixar esse caminho o mais curto possível.

Significa que o escâner não reconheceu aquela tag e, por isso, não conseguiu sugerir uma categoria. Não quer dizer que ela seja perigosa. Quer dizer que o gestor precisa investigar a finalidade e recategorizar manualmente em uma das cinco categorias: Necessárias, Marketing/Propaganda, Estatística/Analytics, Performance ou Funcionais.

O caminho documentado é abrir o menu de classificação da tag, escolher a categoria desejada e salvar e publicar. Só depois de publicada a mudança chega ao aviso que o visitante vê. Vale conferir no navegador, em janela anônima, se a tag aparece na categoria escolhida e se o comportamento dos cookies bate com a escolha.

Não é uma boa ideia. O guia da ANPD restringe a categoria de necessários ao essencial para prestar o serviço solicitado pelo titular, sem contemplar finalidades não essenciais do controlador. Ferramentas de anúncio e de medição costumam ficar fora dessa definição. Classificar por conveniência enfraquece a transparência do aviso.

Não. Ativa ou inativa é a configuração do padrão do aviso, isto é, se a tag vem ligada ou desligada no primeiro acesso. O bloqueio das tags de terceiros é outra função, manual ou automática, e precisa ser configurado à parte. Sem bloqueio, o inventário classificado ainda não impede o disparo antes da escolha.

Sim, é recomendável. O guia da ANPD sugere uma política de cookies com finalidades específicas, retenção e compartilhamento com terceiros, e o aviso serve de resumo dela. Se a classificação mudou e o texto da política continuou igual, os dois documentos passam a se contradizer. Revise o texto sempre que o inventário mudar.