Quando falamos em "cookies", estamos na verdade usando um atalho linguístico. O cookie, em sentido estrito, é um pequeno arquivo armazenado no navegador de um visitante. Mas hoje em dia, é apenas um meio entre muitos outros para coletar dados.
Na realidade, muitas ferramentas podem rastrear a atividade de um visitante em um site:
scripts que enviam informações para serviços terceirizados (como Google ou Meta),
pequenos trechos de código que memorizam o comportamento de um visitante (como o idioma escolhido ou as páginas visitadas),
ou ainda técnicas mais invisíveis que permitem identificar um dispositivo sem armazenar nada.
👉 Em resumo, a palavra "cookies" é um termo genérico que engloba todos esses mecanismos. E são eles que devem ser submetidos ao consentimento quando a lei o exige.
Dois corpos de regras distintos se aplicam a eles:
As regras de acesso ao terminal — a diretiva ePrivacy na Europa, transposta por uma lei nacional em cada Estado-Membro. Elas regulam o ato de armazenar ou ler uma informação no dispositivo do visitante, independentemente da natureza dessa informação. São elas que determinam o que deve ser submetido ao consentimento.
As leis de proteção de dados pessoais — o RGPD na Europa, o UK GDPR no Reino Unido ou o CCPA na Califórnia. Elas regulam o tratamento de dados pessoais que pode resultar dessa coleta.
É por isso que um mecanismo pode exigir consentimento mesmo que não colete dados pessoais: é o acesso ao terminal que conta, não a natureza da informação. E esse acesso inclui a simples leitura de uma informação já presente no dispositivo — como fazem essas técnicas que identificam um dispositivo sem nada armazenar nele.
☝️ Nos próximos artigos desta série, usaremos principalmente os termos "serviços" ou "fornecedores" para designar esses rastreadores, a fim de melhor representar as diferentes formas de coleta de dados.