Escanear os cookies do site é a forma mais prática de saber o que ele coleta hoje, e reescanear é o que mantém essa resposta atual. O motivo é simples: o site muda mais rápido do que o aviso de cookies, e quase toda tag nova entra sem que o jurídico ou o encarregado fique sabendo. Sem uma varredura regular, o scanner de cookies que você usou no dia da instalação vira uma fotografia velha.

Neste artigo você vai ver como as tags entram no site sem ninguém decidir isso de propósito, o que a LGPD e a ANPD dizem sobre informação e prova de consentimento, com que frequência faz sentido escanear, e o que muda na prática para quem usa a AdOpt e para os visitantes do site. Para entender como o scanner funciona por dentro, o pilar do tema é o guia de como auditar o seu site.

O aviso de cookies é escrito num dia e lido durante meses. O site, no mesmo período, recebe campanhas, plugins, testes, novas páginas e novos fornecedores. Cada uma dessas mudanças pode trazer cookies novos, e nenhuma costuma passar pela revisão de quem cuida de privacidade.

Não é descuido de ninguém em particular. É a forma como sites funcionam: muita gente com acesso, muitas ferramentas conectadas e pouca visibilidade do conjunto. Os caminhos mais comuns de entrada de uma tag nova são os quatro a seguir.

Gerenciadores de tags, como o Google Tag Manager, concentram a publicação de tags num painel próprio. Isso é uma vantagem para o marketing e um desafio para a privacidade.

A documentação oficial do Gerenciador de tags explica que, ao publicar um contêiner, o Gerenciador aplica as mudanças no ambiente especificado, e que existe um histórico de publicação para ver quando as versões foram lançadas e quem as publicou. Também há um fluxo de aprovação, em que usuários com acesso de edição solicitam a aprovação da publicação. Tudo isso está na página Publicações, versões e aprovações da ajuda do Google.

O ponto é que a publicação de uma tag é uma decisão de quem tem esse acesso. Se o processo interno não inclui o time de privacidade, a tag entra no ar sem passar por ele. E o histórico de quem publicou o quê ajuda a investigar depois, mas não substitui a revisão antes.

Em sites feitos em plataformas como WordPress, VTEX ou Wix, cada plugin ou integração instalado pode trazer scripts próprios. Uma atualização de versão pode mudar o que o plugin carrega. Quem atualizou para corrigir um bug de segurança raramente está pensando em cookies.

Vale o mesmo para temas e apps de loja virtual. Um recurso de "produtos recomendados" ou de "avaliações" pode chamar serviços de terceiros que não estavam ali no mês passado. Se você opera loja virtual, o cuidado extra com o banner de cookies em e-commerce ajuda a entender esse cenário.

Vídeo, mapa, chat, formulário de terceiros, botão de compartilhar: tudo isso é conteúdo que vem de outro domínio e costuma trazer cookies próprios. A ANPD menciona esse mecanismo ao definir cookies de terceiros, que decorrem de funcionalidades de outros domínios incorporadas à página, como a exibição de anúncios.

O cuidado é que a incorporação pode acontecer em uma única página, dentro de um artigo de blog ou de uma landing page. Uma varredura que só passe pela página inicial não verá isso.

Campanha nova costuma trazer pixel novo. Agência nova costuma trazer ferramenta nova. Ao final da campanha, o pixel raramente é retirado. Com o tempo, o site acumula tags de fornecedores com quem o contrato já acabou, e o aviso continua listando, ou deixando de listar, o que ninguém mais revisa.

A lei não menciona escâner de tags nem estabelece frequência de varredura. O que ela cobra é resultado: informação correta para o titular e capacidade de provar o que foi feito. O escaneamento é o meio prático de chegar a esse resultado. Vale ver quais dispositivos, conferidos no texto oficial, se aplicam.

O art. 9º da LGPD garante ao titular acesso facilitado a informações sobre o tratamento, e lista entre elas a finalidade específica, a forma e a duração do tratamento e o uso compartilhado de dados. O § 1º do mesmo artigo vai além: quando o consentimento é requerido, ele é considerado nulo se as informações fornecidas tiverem conteúdo enganoso ou abusivo ou não tiverem sido apresentadas previamente com transparência, de forma clara e inequívoca.

Traduzindo para o dia a dia: se o aviso lista cinco tags e o site carrega doze, o aviso deixa de informar sete. Se alguma delas depende de consentimento, o titular decidiu sem a informação completa, e isso fragiliza a validade desse consentimento (art. 5º, XII, e art. 9º). Sem o escâner, é difícil saber que isso está acontecendo. O texto está no site do Planalto, na Lei Geral de Proteção de Dados.

O art. 8º, § 6º, trata da alteração de informações e diz que, se mudar alguma das previstas nos incisos I, II, III ou V do art. 9º (finalidade, forma e duração, identificação do controlador e uso compartilhado), o controlador deve informar o titular com destaque.

Nos casos em que o consentimento é exigido, o titular pode revogá-lo se discordar da alteração. E o art. 9º, § 2º, prevê algo parecido quando muda a finalidade de maneira incompatível com o consentimento original.

O Guia Orientativo de Cookies da ANPD, versão 1.0 de outubro de 2022, vai na mesma direção, e com palavras diretas: qualquer alteração das premissas adotadas para obter o consentimento compromete a hipótese legal adotada e exige novo consentimento ou outra hipótese legal.

A leitura prática é que uma tag nova, de um fornecedor novo e com finalidade nova, é exatamente esse tipo de mudança. O documento completo está no guia orientativo da ANPD, e um resumo dele está em ANPD e cookies.

O art. 8º, § 4º, dispõe que o consentimento deve se referir a finalidades determinadas e que as autorizações genéricas são nulas. Uma tag desconhecida, sem classificação, não tem finalidade determinada. Para o titular, ela é uma caixa-preta. Para você, é um risco.

Por isso o resultado do scan precisa virar categorias com critério, e não só uma lista longa. O artigo sobre como ler o resultado do scan mostra como fazer isso, e o de boas práticas na categorização de tags explica o porquê.

A LGPD, no art. 6º, X, coloca entre os princípios a responsabilização e a prestação de contas: demonstrar a adoção de medidas eficazes e capazes de comprovar o cumprimento da lei. O art. 8º, § 2º, é mais objetivo ainda: cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei.

O guia da ANPD reforça o ponto, dizendo que compete ao controlador comprovar que o consentimento foi obtido dentro dos parâmetros da lei, e que é boa prática registrar e documentar todos os requisitos necessários para essa comprovação. Um resultado de scan datado, com as decisões de classificação que o time tomou, é uma peça dessa documentação.

Não há regra oficial sobre quais evidências guardar. Como sugestão de boa prática, e não como exigência legal, vale manter para cada rodada de scan: a data, o que foi encontrado, o que foi decidido para cada tag nova ou desconhecida e quem decidiu. Se a sua ferramenta não guarda esse histórico, exporte ou faça uma captura do resultado e arquive.

A AdOpt documenta que gera um CookieID único, guardado no navegador, e que registra no Consent Log a data e a hora, as tags e os cookies aceitos ou recusados e as versões dos documentos vigentes. A prova do consentimento é esse registro, ligado ao visitante pelo CookieID, e não o identificador sozinho. O histórico dos seus scans e das suas decisões de classificação é outra camada, e convém confirmar na documentação como a sua ferramenta trata esse registro.

Imagine que alguém pergunte, dali a um ano, se uma determinada tag estava no site em uma data. Sem histórico, a resposta é "acho que sim". Com registros datados de scan e de publicação do aviso, a resposta é uma data e um documento. A diferença entre as duas respostas é a diferença entre opinião e evidência.

Não existe uma frequência oficial, e por isso o critério mais útil é um gatilho, não uma data. A regra é escanear sempre que algo capaz de mudar as tags do site acontecer, e mais uma vez de tempos em tempos, para pegar o que passou sem ninguém perceber. O intervalo abaixo é uma sugestão editorial nossa, sem base em norma.

Um scan único, no dia da instalação, dá a falsa sensação de trabalho concluído. Ele registra o estado daquele dia e nada mais. Se o site recebe mudança semanal, uma varredura trimestral pode ser pouco. Se o site é estável, pode ser suficiente. O que decide é o ritmo de mudança do seu site, e não um calendário genérico.

A AdOpt não documenta publicamente uma frequência automática de scans. Se isso importa para você, confira a documentação e converse com o suporte, e mantenha o gatilho manual como garantia. Os ciclos de escaneamento, publicação e conferência combinam com o que explicamos em como funciona um aviso de cookies.

O caso a seguir é hipotético, criado para ilustrar o raciocínio. Uma loja virtual instala o aviso de cookies em março, com o inventário completo daquele dia: analytics, um pixel de anúncios e a plataforma de e-commerce. O aviso lista tudo, e a política de cookies também.

Em setembro, a equipe de marketing publica, pelo gerenciador de tags, um pixel novo para a campanha de fim de ano, e o time de desenvolvimento atualiza o plugin de avaliações, que passa a carregar um serviço de terceiros. Nenhuma das duas mudanças passou pelo jurídico, e nenhuma delas está no aviso.

O visitante de outubro aceita o aviso achando que aceitou três tags. Na realidade, o site passa a carregar cinco, e duas delas têm finalidades que o aviso não descreve. Para essas duas, o consentimento não cobre o que o visitante não foi informado. Se houver questionamento, a loja terá um aviso desatualizado e nenhum registro de quando isso mudou.

Um scan depois da publicação do pixel mostra duas tags novas. Uma delas é reconhecida e cai numa categoria. A outra aparece como desconhecida. O time investiga, descobre o serviço de avaliações, classifica, atualiza o aviso e a política, e guarda o resultado. O visitante seguinte vê uma lista real. O intervalo entre a mudança e a correção é de dias, e não de meses.

Para quem usa a AdOpt, o escâner é a porta de entrada de todo o resto. O que a documentação oficial descreve é que o Escâner de Tags sugere automaticamente uma classificação para as tags encontradas nas URLs vinculadas ao aviso, em cinco categorias (Necessárias, Marketing/Propaganda, Estatística/Analytics, Performance e Funcionais), e que as tags que a ferramenta não reconhece aparecem como "Desconhecidas" para o gestor recategorizar. O recurso está disponível desde o plano gratuito.

A principal mudança é passar de "acho que o site usa isto" para "o resultado mostra isto". Com a lista real na mão, o gestor decide o que é necessário, o que precisa de consentimento e o que pode ser removido. E, com o histórico das decisões, consegue responder ao jurídico sem depender da memória de quem instalou cada coisa.

Um ponto fundamental: escanear não bloqueia nada por si só. O bloqueio das tags de terceiros é outra função, e a marcação de uma tag como ativa ou inativa apenas define o padrão do aviso no primeiro acesso. Sem bloqueio, o inventário é só um relatório. A diferença entre as duas camadas está no material sobre CMP e banner de cookies.

O visitante vê no aviso a listagem das tags e cookies de terceiros com as classificações definidas pelo gestor, e pode personalizar a escolha por categoria. Para ele, a qualidade dessa lista é a diferença entre um controle real e uma caixinha decorativa.

A tese que sustenta tudo isso é a da verificabilidade: o consentimento só vale se chega íntegro até a camada que ativa as tags. O scan é o primeiro elo dessa cadeia.

Um inventário errado contamina categorias, aviso e política, e nenhuma etapa posterior corrige o que a primeira deixou de ver. A lógica é parecida com a do Consent Mode do Google: o sinal de consentimento só é útil se ele refletir o que de fato acontece no site.

Escanear é fácil, e usar bem o resultado é o que dá trabalho. Estes são os deslizes que mais aparecem.

Um scan limpo não é um atestado de conformidade. É o retrato do que a ferramenta conseguiu ver naquela visita. Áreas logadas, fluxos que exigem ação e variações por país podem escapar, como mostra o pilar sobre como auditar o seu site. Complemente com uma conferência manual no navegador.

É tentador colocar tudo na categoria de necessários para não perder dado. O guia da ANPD define cookies necessários como aqueles essenciais ao funcionamento do site, restritos ao que é indispensável para prestar o serviço solicitado pelo titular, sem contemplar finalidades não essenciais que atendam a outros interesses do controlador. Pixel de anúncio dificilmente cabe nessa definição.

Uma tag desconhecida no resultado é uma tarefa em aberto, e não um item neutro. Enquanto ela não for recategorizada, o aviso não descreve a sua finalidade. Se ninguém sabe o que a tag faz, o princípio da necessidade, previsto no art. 6º, III, da LGPD, sugere perguntar se ela precisa estar ali.

O trabalho só chega ao visitante depois de publicado. Recategorizar e esquecer de salvar e publicar deixa o aviso como estava. Depois de publicar, confira no navegador se a mudança apareceu, pelo mesmo procedimento do pilar.

Uma rotina não precisa ser complicada. Precisa ter dono, gatilho e registro. Este é um modelo enxuto que você pode adaptar.

1. Defina quem é o responsável por rodar o scan e por revisar o resultado.
2. Inclua o time de marketing e o de tecnologia no aviso: toda publicação de tag nova deve gerar um scan.
3. Registre o resultado com data, e guarde as decisões de classificação.
4. Recategorize as tags desconhecidas e publique a atualização do aviso.
5. Atualize a política de cookies quando o inventário mudar. O guia da ANPD recomenda uma política de cookies com finalidades, prazos de retenção e compartilhamento com terceiros.
6. Marque a próxima rodada e o gatilho seguinte.

Se você chegou até aqui sem ver como o scanner funciona por dentro, o guia de como auditar o seu site com o navegador explica a mecânica e ensina a conferir o resultado. Quando o scan já estiver na tela, como ler o resultado do scan de cookies leva você da lista até a publicação.

Consentimento não é projeto com data de entrega, é rotina com manutenção. A AdOpt existe para tirar essa parte do colo do seu time.

Porque o site muda com frequência e o aviso de cookies não acompanha sozinho. Tags entram por gerenciadores de tags, plugins, conteúdo incorporado e campanhas, muitas vezes sem passar pelo time de privacidade. O scan é o que revela o que o site realmente coleta, e é a base para informar o visitante com exatidão, como pede a LGPD.

A lei não menciona escâner de tags nem fixa uma frequência de varredura. O que ela exige é informação clara ao titular, consentimento para finalidades determinadas e capacidade de provar que o consentimento foi obtido. O escaneamento é o meio prático de manter a informação correta, mas a obrigação legal está no resultado, e não na ferramenta.

Não há frequência oficial. O critério mais útil é o gatilho: escanear ao instalar o aviso, ao publicar tags no gerenciador, ao fazer ou encerrar campanhas e ao atualizar plugins ou temas. Como ponto de partida sem base em norma, uma rodada trimestral cobre o que passou sem perceber. Sites que mudam toda semana podem precisar de mais.

Depende do que ela muda. O art. 8º, § 6º, da LGPD exige que o titular seja informado, com destaque, quando mudam a finalidade, a forma ou duração do tratamento, o controlador ou o uso compartilhado. O guia da ANPD afirma que alterar as premissas do consentimento exige novo consentimento ou outra hipótese legal. Avalie o caso com o seu jurídico.

Pode rodar. A AdOpt tem o Escâner Agendado, em que você escolhe a frequência (manual, semanal, mensal, a cada 45 ou 60 dias) e define quem recebe o relatório de cada varredura. A disponibilidade e as frequências variam por plano. Mantenha também um scan manual sempre que houver mudança relevante no site.