Os cookies do seu site agora são um assunto jurídico: o que a Lei 21.719 exige de você a partir de dezembro
Ao longo de 2026, milhares de sites chilenos vão instalar um banner de cookies. Será a resposta mais visível à Lei 21.719, que entra em vigor em 1º de dezembro deste ano. E é aí que muitas empresas vão cometer o mesmo erro: achar que, com o banner, já estão em conformidade. Na D2B trabalhamos todos os dias com a infraestrutura de medição de marketing, tags, pixels e plataformas de analytics, e o que vemos na prática é claro: o banner é a ponta do iceberg. O que a lei exige é um sistema completo de gestão do consentimento, e a maioria das implementações que existem hoje no Chile não passaria (por enquanto) por uma fiscalização séria.
O consentimento é primeiro uma obrigação legal e depois uma decisão de UX
A Lei 21.719 exige que o consentimento seja livre, informado, específico e inequívoco. Cada uma dessas palavras tem consequências práticas sobre como se constrói a experiência de consentimento.
Livre significa que não se pode induzir ao engano: recusar tem que ser tão fácil quanto aceitar. Se um banner coloca um botão "Aceitar tudo" em cor destacada e esconde a recusa atrás de um link cinza que diz "configurar preferências", esse consentimento está viciado. As autoridades europeias já puniram exatamente essa prática: a CNIL francesa multou o Google e a Meta em valores milionários por tornar a recusa de cookies mais difícil do que a aceitação. A assimetria de botões é um dark pattern, e um consentimento obtido com dark patterns equivale, juridicamente, a não ter consentimento.
Específico significa consentimento por finalidade, e não um "aceito tudo" genérico. O usuário precisa poder dizer sim aos cookies de analytics e não aos cookies de publicidade. E as categorias não essenciais devem vir desmarcadas por padrão: uma caixa pré-marcada não é uma manifestação de vontade, é uma armadilha.
Inequívoco significa que continuar navegando não é consentir. O "se você continuar navegando, aceita nossos cookies", que ainda aparece em alguns sites, deixa de ter qualquer validade. E há uma quarta condição que quase ninguém menciona: o consentimento tem que poder ser revogado com a mesma facilidade com que foi dado. Se aceitar leva um clique, retirar o consentimento não pode exigir escrever um e-mail para a área jurídica.
As três camadas de um consentimento que realmente cumpre a lei.
Quando auditamos implementações, avaliamos três camadas. As três precisam funcionar; com duas de três, não há conformidade.
Camada 1: Captura. É o banner ou a plataforma de gestão de consentimento (CMP). Apresenta as informações, oferece opções simétricas e registra a decisão do usuário. É a camada visível.
Camada 2: Propagação técnica. É aqui que se decide se a conformidade é real ou “cosmética”. A decisão do usuário tem que chegar a cada tecnologia do site e ser obedecida: se alguém recusa os cookies de marketing ou de analytics, o pixel da Meta não pode disparar, a tag do Google Ads não pode gravar cookies, a plataforma de analytics não pode montar seu perfil. O erro mais comum é este: banner instalado, o usuário recusa e as tags disparam mesmo assim, ou pior, já tinham disparado antes de o banner sequer aparecer! Esse site tem um banner decorativo e uma infração ativa. Mecanismos como Google Consent Mode v2 e uma arquitetura correta no gerenciador de tags existem justamente para que o sinal de consentimento governe o comportamento de todo o stack de marketing ou martech.
Camada 3: Prova e gestão ao longo do tempo. O ônus da prova é da empresa. Diante de uma fiscalização da Agencia de Protección de Datos Personales, você precisa poder demonstrar quem consentiu, com o que consentiu, quando e por meio de qual interface. Isso exige um registro auditável de consentimentos, com versionamento: se você mudou o texto do banner ou acrescentou uma nova finalidade, precisa saber sob qual versão cada usuário consentiu. E essa camada se conecta a algo maior: o consentimento de cookies é apenas um dos direitos que a lei concede. Depois, uma pessoa pode pedir acesso, retificação, eliminação ou portabilidade dos seus dados, e o banner não resolve nada disso. Gerenciar todo o ciclo de vida do consentimento e dos direitos do titular é um problema estrutural, não de design web.
As perguntas que um CMO deveria fazer hoje
Se um usuário recusa os cookies, as tags de publicidade efetivamente param de disparar. Quem vai verificar isso tecnicamente quando a lei entrar em vigor; TI, Marketing, a agência?
O que acontece operacionalmente quando alguém revoga seu consentimento? Essa pessoa é excluída das audiências publicitárias?
Nosso banner resistiria ao padrão de simetria e ausência de dark patterns que os reguladores na Europa já aplicam?
Quanta venda ou quantos leads eu gero a partir de audiências que serão impactadas pelo consentimento? E qual poderá ser o impacto nas vendas?
Sabemos qual porcentagem dos nossos usuários está aceitando (opt-in) e o que isso significa para a nossa medição de marketing?
As duas últimas perguntas abrem a dimensão de negócio: na Europa, entre 30% e 55% dos usuários recusam os cookies não essenciais. Esse será o novo cenário da medição digital no Chile, e as empresas que entenderem isso primeiro, com estratégias robustas de first party data e medição adaptada, vão competir com um sinal melhor do que as que instalaram um banner só para cumprir tabela.
