Como verificar os cookies do site do restaurante: aceitar, rejeitar e retirar o consentimento (guia da AEPD de 2023)

Para gerir os cookies do site de um restaurante, é preciso verificar a finalidade, a interface e o comportamento efetivo: os clientes conseguem aceitar ou rejeitar com a mesma facilidade? Quais componentes deixam de funcionar após a escolha? E como podem retirar o consentimento mais tarde? O simples fechamento do banner é apenas uma mudança visível e não substitui essas verificações.

Em 2023-7-11, a AEPD publicou um comunicado sobre a atualização de suas orientações: as opções de aceitar e rejeitar cookies devem ter o mesmo destaque; cookies técnicos necessários para que o usuário escolha ativamente um idioma, e que não sejam usados para outros fins, podem dispensar o consentimento. A atualização deveria ser implementada até 2024-1-11. Este artigo analisa orientações já existentes e não trata a data do comunicado como a data de entrada em vigor de uma nova lei.

Identifique a finalidade e o responsável por cada componente

Percorra o caminho da página inicial até o menu, as reservas e o pagamento, identificando as páginas próprias e os serviços externos. O nome de um componente de mapa, vídeo, reservas ou marketing não revela todas as suas funções. Peça ao fornecedor do site que explique se ele recebe informações sobre o dispositivo, por que precisa delas e quem é responsável pela configuração e pelas atualizações posteriores.

• Componente e fornecedor: registre os serviços realmente ativados, não apenas os que constam na lista de instalação.
• Finalidade específica: descreva separadamente usos como atender a uma solicitação do cliente, guardar preferências, fazer análises ou veicular publicidade. Se um componente tiver várias finalidades, registre cada uma delas.
• Condições de carregamento: esclareça quando as informações são solicitadas ou armazenadas e quais comportamentos devem cessar após a rejeição.
• Responsabilidade pela manutenção: indique quem pode ser contatado e quem fará uma nova verificação se a finalidade ou a configuração mudar.

O usuário escolher um idioma não é o mesmo que o site inferir suas preferências

A condição para dispensar o consentimento mencionada no comunicado de 2023 é que o próprio usuário escolha uma preferência, como o idioma, e que o cookie técnico correspondente não seja usado para outros fins. O site não pode aplicar automaticamente a mesma conclusão quando determina as preferências por conta própria, com base nas informações obtidas. O remarketing publicitário também não pode ser classificado genericamente como função necessária só porque compartilha um componente com o menu.

Cabe a um profissional qualificado em privacidade avaliar as isenções específicas e os requisitos de consentimento, considerando a utilização concreta. Não classifique todas as ferramentas de análise como necessárias, nem determine que todas exigem consentimento. Se um componente de rastreamento realmente não tiver finalidade nem responsável pela manutenção, avalie primeiro se deve ser removido.

Verifique separadamente a interface e o comportamento após a escolha

• Primeira visita: em celulares e computadores, confira se as opções de aceitar, rejeitar e configurar são claras, se algo as encobre e se rejeitar exige mais etapas.
• Após a rejeição: peça ao suporte técnico que explique, em um ambiente de navegador controlado, quais solicitações e operações de armazenamento deixam de ocorrer. Uma captura de tela do banner fechado não é suficiente.
• Escolhas por finalidade: confira cada finalidade e sua relação com o carregamento efetivo, e confirme que as opções da interface realmente controlam o comportamento correspondente.
• Alteração da escolha e retirada do consentimento: explique como os clientes podem voltar às configurações e como o comportamento efetivo muda após a alteração. Não deixe uma opção que não permita salvar as mudanças.

As opções de aceitar e rejeitar devem ser igualmente claras em todos os idiomas, e cabe ao cliente decidir qual escolher. Se o menu ou as reservas apresentarem problemas após a rejeição de publicidade, peça ao responsável pela manutenção que investigue a causa; não esconda a falha obrigando o cliente a aceitar tudo novamente. Consulte um profissional sobre eventuais condições especiais do serviço.

Atualize as verificações quando houver mudanças de fornecedor

Após trocar o serviço de reservas, mapas ou publicidade, as informações e as opções existentes podem deixar de corresponder à realidade. A pessoa responsável deve pedir ao fornecedor que atualize a lista de componentes, suas finalidades e os resultados das escolhas, identificando comportamentos ainda não esclarecidos e quem ficará responsável por verificá-los. Guarde internamente os registros necessários para as verificações, sem solicitar dados de navegação do dispositivo dos clientes que não sejam pertinentes ao problema.

A gestão de cookies não abrange todas as responsabilidades relacionadas aos dados de contato para reservas, aos dados de associados e às informações de pagamento. Essas finalidades devem ser verificadas separadamente. Os funcionários prestam esclarecimentos ou ajudam com os pedidos; as dúvidas jurídicas devem ser encaminhadas ao responsável adequado. Não afirme que instalar uma ferramenta garante conformidade permanente.