1. Princípios da finalidade, necessidade e adequação (Art. 6, I, II e III)

A coleta de dados pessoais mediante o uso de cookies deve ser limitada ao mínimo necessário para a realização de finalidades legítimas, explícitas e específicas, observada a impossibilidade de tratamento posterior de forma incompatível com essas finalidades. Nesse sentido, a finalidade que justifica a utilização de determinada categoria de cookies deve ser específica e informada ao titular, e a coleta de dados deve ser compatível com tal finalidade. Por exemplo, caso o responsável pela página eletrônica informe ao titular que utiliza cookies apenas para medição de audiência, não poderá utilizar as informações coletadas para fins distintos e não compatíveis com essa finalidade, tais como para a formação de perfis e a exibição de anúncios. Da mesma forma, não poderá coletar outros dados pessoais não relacionados ou não compatíveis com essa finalidade. Por isso, não se admite a indicação de finalidades genéricas, tal como ocorre com a solicitação de aceite de termos e condições gerais, sem a indicação das finalidades específicas de uso dos cookies. Além disso, o princípio da necessidade determina que o tratamento deve abranger apenas os “dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”. Esse princípio desaconselha o próprio tratamento de dados pessoais quando a finalidade que se almeja pode ser atingida por outros meios menos gravosos ao titular de dados.

2. Princípios do livre acesso e da transparência (Art. 6, IV e VI)

Impõem ao agente de tratamento a obrigação de fornecer aos titulares informações claras, precisas e facilmente acessíveis sobre a forma do tratamento, o período de retenção e as finalidades específicas que justificam a coleta de seus dados por meio de cookies. Também é importante que sejam fornecidas informações sobre o eventual compartilhamento de dados com terceiros e sobre os direitos assegurados ao titular, entre outros aspectos indicados no Art. 9º da LGPD.

Uma boa prática é a indicação ao titular sobre como gerenciar preferências de cookies em seu próprio navegador ou aparelho. Assim, por exemplo, pode ser objeto de explicação a forma pela qual os cookies podem ser excluídos ou, ainda, como desabilitar cookies de terceiros. Importante ressaltar que o gerenciamento de cookies pelo navegador possui uma função complementar, que não afasta a necessidade de disponibilização ao titular de um mecanismo direto e próprio para o gerenciamento de cookies e para o exercício de seus direitos, sempre acompanhado da indicação das informações correspondentes. Quanto à forma de apresentação, essas informações podem ser indicadas, por exemplo, em banners, apresentados após o acesso a uma página na internet; e, de forma mais detalhada, em políticas ou avisos de privacidade, que contenham informações sobre a política de cookies utilizada pelo agente de tratamento, conforme as recomendações apresentadas neste Guia.

3. Direitos do titular

No contexto da utilização de cookies, são especialmente relevantes o direito de acesso, de eliminação de dados, de revogação do consentimento e de oposição ao tratamento, sempre mediante procedimento gratuito e facilitado, conforme previsto no Art. 18 da LGPD.

Para o atendimento a essa determinação legal, é recomendável a disponibilização ao titular de mecanismo para o “gerenciamento
de cookies”, por meio do qual seja possível, por exemplo, rever permissões anteriormente concedidas, como na hipótese de revogação de consentimento relacionado ao uso de cookies para fins de marketing, quando essa for a base legal utilizada.

4. Término do tratamento e eliminação dos dados pessoais

A LGPD prevê, como regra geral, que os dados pessoais devem ser eliminados após o término do tratamento, o que pode ocorrer, por exemplo, quando a finalidade for alcançada ou a eliminação for legitimamente solicitada pelo titular. Dessa forma, o armazenamento de informações pessoais após o término do tratamento somente é admitido em hipóteses excepcionais, tal como para fins de cumprimento de obrigação legal, entre outras hipóteses previstas no Art. 16 da LGPD. Daí decorre que o período de retenção de cookies deve ser compatível com as finalidades do tratamento, limitando-se ao estritamente necessário para se alcançar essa finalidade. Por isso, períodos de retenção indeterminados, excessivos ou desproporcionais em relação às finalidades do tratamento não são compatíveis com a LGPD.