A maioria dos banners de consentimento são criados uma única vez, por quem tinha o login da CMP naquela semana, e nunca mais são auditados. Isso causa dois tipos de problemas: expõe você a um órgão regulador que já publicou como deve ser um banner em conformidade e prejudica sua análise de dados. O Google estabelece um limite mínimo rígido: uma propriedade do GA4 só se torna elegível para modelagem comportamental se coletar dados. pelo menos 1,000 eventos por dia com analytics_storage='denied' por pelo menos 7 diasAlém disso, são 1,000 usuários que consentiram diariamente em 7 dos 28 dias anteriores. Abaixo disso, o tráfego recusado simplesmente desaparece.
Este é um guia de reconstrução para qualquer pessoa que seja responsável pelo banner: líder de crescimento, responsável pela análise de dados ou o desenvolvedor que o herdou. São seis etapas, em ordem, cada uma com um ponto de decisão, culminando em uma avaliação com 14 critérios para você comparar com o seu banner atual. Abrange sites que vendem para a UE, o Reino Unido e a Turquia.
Qual a função da faixa, em ambas as jurisdições?
Duas entidades de supervisão já definiram as regras de design, portanto não se trata de uma questão de gosto. O CEPD (Comitê Europeu para a Proteção de Dados) Relatório da Força-Tarefa de Banners de Cookies (17 de janeiro de 2023) e Diretrizes 03/2022 sobre padrões de design enganosos (v2.0, 14 de fevereiro de 2023) estabeleceu a linha de base da UE. A KVKK da Turquia publicou seu guia de cookies em 2022 e uma edição atualizada em meados de 2025.
| Exigência | UE/Reino Unido (ePrivacidade + RGPD) | Turquia (KVKK) |
|---|---|---|
| Recusa na primeira camada | A ausência de uma opção de rejeição em qualquer camada constitui uma infração. | "Rejeitar tudo" deve ter o mesmo peso visual que "aceitar tudo". |
| categorias pré-selecionadas | O silêncio e as caixas pré-selecionadas não constituem consentimento. | As categorias não essenciais são desativadas por padrão. |
| Análises sem consentimento | Não está isento na maioria das leituras dos Estados-Membros. | Fora das isenções, as áreas de análise e mensuração formam sua própria categoria. |
| paredes de biscoito | Caso a caso, padrão elevado. | Não é permitido condicionar o acesso ao conteúdo à aceitação de todos os cookies. |
| Saque | Deve ser tão fácil quanto dar consentimento | Configurações acessíveis em todas as páginas. |
O sinal de fiscalização é real. Em 1 de setembro de 2025, a CNIL (Comissão Nacional de Informática e Liberdades) Google foi multada em 325 milhões de euros., constatando que o consentimento "não foi dado livremente, pois era mais difícil recusar cookies vinculados à publicidade personalizada do que aceitá-los". A assimetria dos botões não é uma questão meramente estética.
Etapa 1 — Faça um inventário de todas as etiquetas e justifique cada uma que for essencial.
Abra o site em um perfil de navegador limpo, recuse tudo e anote o que ainda armazena cookies. Em seguida, aceite os cookies e anote a diferença. Uma linha para cada cookie ou chave de armazenamento: nome, quem os selecionou, finalidade, categoria e a frase que você diria a um órgão regulador.
O ponto de decisão é a essencialidade, e o ônus da prova é seu — a força-tarefa do CEPD reconheceu a dificuldade prática de avaliá-la, mas deixou claro que os controladores devem demonstrar a essencialidade daquilo que classificam como essencial. Autenticação de sessão, conteúdo do carrinho e tokens antifraude permanecem. Uma ferramenta de mapa de calor, uma biblioteca de testes e um pixel de marketing, não.
Exemplo prático: um checkout típico de e-commerce turco: o cookie de sessão, o token do carrinho e o token de proteção contra bots são essenciais; GA4, Metapixel, remarketing de anúncios, reprodução de sessão e o widget de chat exigem consentimento. Seis de oito — uma proporção que a maioria das equipes nunca registrou.
Etapa 2 — Corrigir a primeira camada, incluindo sua acessibilidade.
A primeira camada precisa de uma declaração clara de quem processa o quê e porquê, com opções de "aceitar tudo" e "rejeitar tudo" com o mesmo estilo, um caminho para configurações detalhadas e nada pré-selecionado. A igualdade de destaque é mais fácil de defender quando é mensurável.
- Ambos os botões principais têm o mesmo tamanho, peso e tratamento. Se um for um botão preenchido, o outro também será.
- O contraste do texto deve ser de pelo menos 4.5:1, e de 3:1 para as bordas dos botões e outros elementos da interface do usuário que não sejam texto, conforme especificado. WCAG2.2 Critérios 1.4.3 e 1.4.11. O grupo de trabalho sinalizou banners onde "o contraste entre o texto e o fundo do botão é tão mínimo que o texto fica ilegível".
- A opção "Rejeitar" precisa ser um botão físico. O grupo de trabalho rejeitou opções de recusa que consistiam em "um link atrás de um texto como 'recusar'", sem suporte visual suficiente.
- Teclado acessível em uma ordem lógica, sem armadilha de foco (WCAG 2.1.2). Nosso Ferramenta de auditoria WCAG Detecta as falhas de contraste e de ordem de foco.
Em seguida, compare seu texto com as seis famílias de padrões do CEPD: sobrecarga, omissão, agitação, obstrução, inconstância e falta de informação. "Agitação" refere-se ao design que "influencia a escolha que os usuários fariam, apelando para suas emoções ou usando estímulos visuais" — que é o que "Aceitar para a melhor experiência" faz.
Etapa 3 — Construir a segunda camada e o caminho de retirada.
A segunda camada consiste em opções de ativação/desativação por categoria, todas desativadas por padrão, cada uma com uma descrição de finalidade e um período de retenção, e cada uma pode ser salva independentemente.
A revogação do consentimento é onde as implementações falham. Deveria ser tão fácil quanto conceder o consentimento, e o guia KVKK prevê que as configurações sejam acessíveis em todas as páginas. Um link permanente no rodapé ou um pequeno controle flutuante funcionam; uma linha na política de privacidade, não. Teste revogando o consentimento em apenas dois cliques na página do produto.
Etapa 4 — Consentimento por fio para que uma recusa ainda seja mensurável.
Essa aprovação determina se a conformidade afetará seus dados analíticos. Do Google. modo de consentimento possui duas formas:
- Básico: As tags não são carregadas até que o usuário interaja. Nada é enviado antecipadamente, "nem mesmo o status de consentimento padrão". É a forma mais simples de defender o consentimento, e você perde todo o sinal de quem recusa.
- Avançado: As tags são carregadas com o consentimento definido como negado por padrão e enviam pings sem cookies. Você mantém um registro do tráfego recusado e se torna elegível para modelagem.
Avançado é o único caminho para modelagem comportamentalO que exige que "as tags sejam carregadas antes da exibição da caixa de diálogo de consentimento e que as tags do Google sejam carregadas em todos os casos, não apenas se o usuário consentir". Observe que a elegibilidade não é modelagem: o Google afirma que atender aos limites publicados "não garante a elegibilidade". Trate os números modelados como indicativos, nunca como a métrica decisiva de um experimento.
Ponto decisivo: se o tráfego combinado do EEE, Reino Unido e Turquia não for plausível para superar 1,000 eventos negados por dia, não baseie o plano de medição em modelagem. Use os dados de conversão do servidor e sua própria tabela de pedidos como fonte de dados confiável.
Passo 5 — Instrumentar o próprio banner
O banner é uma etapa do funil e quase ninguém o mede. Registre quatro eventos, sem dados pessoais, por meio de um mecanismo que não exige consentimento: banner exibido (o denominador); escolha feita, com qual escolha; segunda camada aberta; e nenhuma interação.
Segmente os quatro por país e dispositivo. A taxa de não interação em dispositivos móveis costuma ser a surpresa, e é a que você pode melhorar sem mexer na arquitetura de escolha: altura do banner, se ele cobre o CTA principal, se ele reaparece a cada mudança de rota.
Passe 6 — Teste apenas o que você tem permissão para testar.
Aceitável: altura do banner, posição, clareza do texto, nomenclatura da categoria, layout da segunda camada, se o banner bloqueia conteúdo. Não aceitável: assimetria do botão, caixas pré-selecionadas, caminhos de rejeição ocultos, etapas extras no processo de rejeição. Essas não são variantes perdedoras, são descobertas.
Desconfie também da citação padrão. A afirmação muito citada de que remover a opção de exclusão na primeira página "aumenta o consentimento em 22 a 23 pontos percentuais" vem de Nouwens e outros, CHI 2020, cuja coleta de dados abrangeu milhares de sites, mas cujo experimento causal foi executado com 40 participantesA direção é plausível; a magnitude não deve ser citada como referência, e a cifra de 8 a 20 pontos para controles granulares de primeira camada, apresentada no mesmo artigo, carrega a mesma ressalva. Os números de "taxa média de consentimento" dos fornecedores são ainda mais fracos: são bases de clientes autoselecionadas, não verificáveis de forma independente.
Avalie seu banner atual: 14 verificações
Um ponto para cada nota. Abaixo de 12, corrija isso antes de gastar dinheiro com provas.
| # | Verifique | Ultrapassar o limite |
|---|---|---|
| 1 | Rejeitar opção na primeira camada | Presente, como um botão |
| 2 | Aceitar/rejeitar paridade visual | Mesmo tamanho, peso e enchimento. |
| 3 | Contraste do texto do botão | ≥4.5: 1 |
| 4 | Contraste de interface de usuário não textual | ≥3: 1 |
| 5 | Categorias não essenciais pré-selecionadas | nenhum |
| 6 | Inventário de biscoitos documentado | Cada tecla tem uma função específica. |
| 7 | Justificativa de essencialidade por escrito | Uma frase por cookie essencial |
| 8 | Nenhuma tag é acionada antes de uma escolha. | Perfil limpo e verificado |
| 9 | Retirada de qualquer página | ≤2 cliques |
| 10 | Teclado funcional, sem armadilha de foco | Atende aos requisitos do WCAG 2.1.2 |
| 11 | Sem apelo emocional | Sem enquadramento de "melhor experiência" |
| 12 | Sem parede de biscoitos | Conteúdo acessível após recusa |
| 13 | Estado de consentimento registrado | Registro mantido por opção |
| 14 | Funil de banner instrumentado | Todos os quatro eventos disparando |
Onde isso falha
Este é um guia de interface e medição, não um parecer jurídico, e quatro aspectos estão fora do seu escopo.
A ePrivacy é uma diretiva, portanto a isenção para análise de dados é interpretada de forma diferente pelos Estados-Membros, e um projeto que atenda às exigências de uma autoridade pode não atender às de outra. A legislação também está em constante evolução: a proposta da Comissão sobre o Acordo Omnibus Digital, COM(2025) 837 final de 19 de novembro de 2025A proposta de emenda constitucional, que visa incorporar as regras de cookies ao RGPD e isentar a medição agregada de audiência própria, encontra-se em fase inicial no Parlamento, com um parecer do CESE datado de 18 de março de 2026 e sem votação em comissão ou posicionamento do Conselho publicado. Publicações anunciando trílogos e um cronograma definido precedem a versão final do documento. Projete considerando as regras atuais e mantenha o inventário em um formato que permita recategorizá-lo rapidamente.
Além disso, ignora aplicativos móveis, onde a AT&T e as superfícies de consentimento do Android têm seus próprios mecanismos, e pressupõe um único CMP — várias marcas em um único contêiner de tags precisam de um escopo de estado de consentimento por domínio. [SÃO NECESSÁRIA A DADOS INTERNOS: taxa de consentimento anonimizada antes/depois e taxa de não interação em dispositivos móveis a partir de uma reconstrução de banner da Switas, idealmente uma propriedade da UE e uma da Turquia, para substituir os benchmarks do fornecedor que este artigo deliberadamente se recusa a citar.]
Perguntas frequentes
Um botão "rejeitar tudo" diminui minha taxa de conversão?
Isso reduz sua taxa de consentimento, o que não é a mesma coisa. A conversão no site não é afetada pelo fato de alguém aceitar ou não os cookies de publicidade; o que muda é sua capacidade de atribuí-la nas plataformas de anúncios. Invista em uma atribuição pior, não em receita menor.
Posso considerar o Google Analytics como estritamente necessário?
Na Turquia, não — o guia atualizado da KVKK coloca a análise e a medição em uma categoria própria, fora das isenções para transmissão técnica e serviços expressamente solicitados. Na UE, a posição varia de acordo com o Estado-membro, mas a regra geral é que é necessário consentimento.
Modo de consentimento básico ou avançado?
A opção Avançada é recomendada, a menos que sua equipe jurídica tenha se oposto especificamente a pings sem cookies antes da escolha. A opção Básica é mais fácil de defender, mas custa toda a visibilidade do tráfego recusado, incluindo a elegibilidade para modelagem.
Quanto tempo devo esperar após uma recusa para poder perguntar novamente?
Não existe um número fixo nas normas atuais da UE ou da Turquia; o requisito é que as solicitações repetidas não configurem obstrução. A proposta do Digital Omnibus adicionaria um limite mínimo de seis meses por finalidade, mas ainda não é lei. Armazenar a recusa por seis meses e não solicitar novamente é uma política defensável atualmente.
Preciso de um banner separado para a Turquia?
Geralmente não é necessário um banner separado, mas você precisa de uma lógica de categoria específica para cada país e texto em turco com a mesma paridade de botões. As regras da KVKK são suficientemente próximas da linha de base do CEPD para que um banner bem elaborado sirva a ambos os casos, quando o texto e as categorias são localizados.
Uma parede de biscoitos é aceitável em alguma circunstância?
Considere o conteúdo como indisponível. O guia KVKK não permite condicionar o acesso ao conteúdo à aceitação de todos os cookies, e o padrão da UE é elevado. "Consentir ou pagar" em sites de notícias é uma questão à parte e controversa, não um modelo para comércio eletrônico.
Com que frequência isso deve ser reavaliado?
Verifique os 14 itens trimestralmente e imediatamente após qualquer alteração no gerenciador de tags ou integração de um novo fornecedor. A maioria das regressões ocorre com um novo pixel, não com uma reformulação do banner.
Marque seu próprio banner ou entregue-o para nós.
Execute as 14 verificações no seu banner ativo esta semana; leva menos de uma hora com um perfil de navegador limpo e um verificador de contraste. Se preferir que a interface, a camada de tags e os registros de consentimento sejam auditados em conjunto, com uma lista de correções priorizadas em vez de uma pontuação, Fale conosco sobre uma auditoria de acessibilidade e conformidade..
Fontes
- CEPD, Relatório da Força-Tarefa sobre o Banner de CookiesAdotado em 17 de janeiro de 2023
- CEPD, Diretrizes 03/2022 sobre padrões de design enganosos, v2.0 adotada em 14 de fevereiro de 2023
- KVKK, Çerez Uygulamaları Hakkında Rehber (edição atualizada, 2025)
- CNIL e Google multados em 325 milhões de euros1 setembro 2025
- Google, Visão geral do modo de consentimento
- Google, modelagem comportamental GA4 para modo de consentimento
- Google, política de consentimento do usuário da UE
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, Dark Patterns após o GDPR, CHI 2020
- Proposta de Regulamento Omnibus Digital do Parlamento Europeu para o Trem Legislativo, COM(2025) 837 final
