Consentimento de cookies e formulários: guia LGPD para IES 2026

O que a LGPD exige do site da sua IES

O Brasil não tem uma lei específica sobre cookies equivalente à Diretiva ePrivacy europeia. O que existe é a Lei Geral de Proteção de Dados Pessoais (LGPD — Lei 13.709/2018), que regula todo e qualquer tratamento de dados pessoais — inclusive os dados coletados por cookies no site da sua faculdade ou universidade.

A ANPD (Autoridade Nacional de Proteção de Dados) publicou orientações progressivas sobre o tema, com destaque para a Resolução CD/ANPD nº 15/2024, que consolida diretrizes sobre notificação de incidentes e reforça as obrigações de transparência. A autoridade tem sinalizado que cookies que identificam ou possibilitam a identificação de um usuário são dados pessoais — e estão, portanto, sujeitos a todas as exigências da LGPD.

Para uma IES privada, as implicações práticas são diretas:

• Toda cookie que coleta um dado pessoal exige uma base legal documentada no registro de atividades de tratamento
• O artigo 8º exige que o consentimento seja livre, específico, informado e inequívoco — caixas pré-marcadas não valem
• O artigo 9º obriga que o titular seja informado, no momento da coleta, sobre a finalidade, o prazo de conservação e seus direitos
• O artigo 18º garante ao candidato o direito de revogar o consentimento a qualquer momento, de forma gratuita e facilitada

Na prática, isso significa que o banner de cookies no site da sua IES não é opcional quando você usa Google Analytics, Meta Pixel, cookies de remarketing ou qualquer outra ferramenta que identifique visitantes. Para entender o contexto mais amplo da proteção de dados no ensino superior, consulte nosso guia completo de proteção de dados para IES.

Quais cookies precisam de consentimento?

A regra é simples: cookies que tratam dados pessoais precisam de base legal. Na prática, isso divide os cookies em quatro categorias, com tratamentos diferentes sob a LGPD.

Alguns pontos merecem atenção especial para IES:

Google Analytics 4 com IP anonimizado: a ANPD ainda não emitiu posição definitiva sobre se o GA4 com anonimização completa exige consentimento. A postura mais segura — e a que protege sua instituição de futuras sanções — é solicitar consentimento para qualquer analytics que envie dados para servidores fora do Brasil.

Pixels de redes sociais: o Meta Pixel e o TikTok Pixel identificam visitantes e cruzam esses dados com perfis existentes nas plataformas. Sempre exigem consentimento prévio na LGPD. Muitas IES os instalam sem banner — isso é uma infração.

Cookies de vestibular e inscrição: os cookies necessários para manter a sessão durante o preenchimento de um formulário de inscrição no vestibular são estritamente técnicos. Não precisam de consentimento separado, mas devem constar na política de cookies.

Formulários de vestibular, contato e newsletters: regras de conformidade

Cada formulário no site da sua IES é um ponto de coleta de dados pessoais. A LGPD exige que cada um deles esteja adequado às bases legais corretas — e que o candidato receba informação clara antes de preencher.

Formulários de inscrição no vestibular

A base legal principal é a execução de medidas pré-contratuais (artigo 7º, V): o candidato está iniciando uma relação contratual com a IES. Isso cobre os dados necessários para processar a inscrição — nome, CPF, e-mail, histórico escolar, nota do ENEM, documentos de identificação.

O que não está coberto por essa base: comunicações de marketing para outros cursos, newsletter institucional, compartilhamento dos dados com parceiros educacionais. Para essas finalidades, você precisa de consentimento separado — e explícito.

Exemplo de texto adequado no formulário de inscrição:

"Seus dados serão utilizados exclusivamente para processar sua inscrição no processo seletivo. Para receber informações sobre outros cursos e eventos da [Nome da IES], marque a opção abaixo:"

☐ Aceito receber comunicações de marketing da [Nome da IES] (opcional)

Note que a caixa de marketing é opcional e desmarcada por padrão. Vincular o consentimento de marketing à inscrição invalida o consentimento.

Formulários de contato e pedidos de informação

A base legal aqui é o legítimo interesse (artigo 7º, IX) — um candidato que pede informações sobre um curso espera receber uma resposta. Contudo, o legítimo interesse não cobre o envio de newsletter ou contatos de acompanhamento além do escopo original da pergunta.

Mantenha os formulários de contato enxutos. O artigo 6º, III da LGPD impõe o princípio da minimização: colete apenas os dados estritamente necessários. Para um pedido de informação, nome e e-mail são suficientes. Data de nascimento, endereço e telefone precisam de justificativa documentada.

Newsletters e comunicações de marketing

Aqui o consentimento é incontornável. As exigências da LGPD para um consentimento válido de newsletter:

• Opt-in afirmativo: o candidato deve marcar ativamente a caixa — nunca pré-marcada
• Finalidade específica: "Desejo receber informações sobre cursos e eventos da [IES]" — não um texto genérico de "aceito os termos"
• Prova documentada: guarde a data, o horário e o IP do consentimento
• Descadastro fácil: link de cancelamento em todo e-mail, funcional em um clique

Como implementar um banner de cookies em conformidade com a LGPD

Um banner de cookies em conformidade com a LGPD para IES precisa atender a requisitos específicos. Veja o que ele deve conter:

1. Informação clara antes de qualquer ação do usuário

O banner deve aparecer na primeira visita, antes de qualquer cookie não essencial ser depositado. Soluções que depositam cookies e depois exibem o banner estão em desacordo com a LGPD.

2. Escolha real entre aceitar e recusar

O botão de recusa deve ter o mesmo destaque visual que o de aceite. Um banner com "Aceitar todos" em verde e "Configurar" em cinza pequeno não oferece escolha real — e a ANPD tem deixado claro que designs manipulativos (dark patterns) não constituem consentimento válido.

3. Granularidade por categoria

O candidato deve poder aceitar cookies analíticos e recusar cookies de publicidade — ou vice-versa. Um único botão "Aceitar todos ou nada" não atende ao requisito de consentimento específico do artigo 8º.

4. Possibilidade de revogar a qualquer momento

Inclua um link permanente na política de privacidade (e idealmente no rodapé) que permita ao visitante revisar e alterar suas preferências de cookies. Esse link deve ser acessível sem que o usuário precise recusar os cookies novamente.

5. Registro do consentimento

Guarde um log do consentimento: data, versão do banner, categorias aceitas. Você precisará desse registro se a ANPD solicitar comprovação de conformidade.

Soluções como Cookiebot, OneTrust ou implementações abertas do Klaro são compatíveis com a LGPD quando configuradas corretamente. O ponto crítico é a configuração — muitas IES instalam a ferramenta mas deixam cookies de marketing ativos por padrão, o que invalida o propósito.

Caso especial: chatbot com IA e dados de conversação

72% das interações do chatbot em sites de faculdades e universidades são perguntas FAQ padrão — cada uma delas um tratamento de dados pessoais regulado pela LGPD. (Fonte: classificação automática de 12.000 conversações Skolbot, 2025)

Um chatbot com IA em uma IES levanta questões específicas de consentimento que vão além dos cookies. Quando um candidato digita "qual é o valor da mensalidade do curso de Direito?", ele está compartilhando:

• O texto da mensagem (dado pessoal se associado a um identificador)
• O horário e a duração da conversa
• O curso de interesse
• Possivelmente o nome, e-mail ou telefone, se fornecidos no decorrer da conversa

A LGPD exige que o chatbot informe o candidato, antes do início da conversa, sobre:

• Que está interagindo com uma inteligência artificial
• Quais dados são coletados e para qual finalidade
• O prazo de conservação das conversas
• Como exercer os direitos de acesso, retificação e eliminação

Na prática, uma mensagem de boas-vindas adequada pode ser:

"Olá! Sou o assistente virtual da [IES]. Para te ajudar, posso registrar os dados que você compartilhar nesta conversa. Suas informações são tratadas conforme nossa [Política de Privacidade]. Posso começar?"

Se o chatbot utiliza cookies para reconhecer visitantes recorrentes ou personalizar respostas, esses cookies entram nas categorias "personalização" e exigem consentimento prévio no banner. O chatbot não deve carregar um histórico de conversas anteriores sem consentimento explícito do usuário para essa funcionalidade.

Para uma abordagem mais detalhada sobre como proteger os dados coletados em toda a jornada do candidato, veja nosso artigo sobre proteção de dados de candidatos. E para verificar se sua IES está em conformidade com todas as obrigações LGPD, utilize nosso checklist de auditoria LGPD.

FAQ

Nossa IES precisa de banner de cookies se só usa o Google Analytics?

Depende da configuração. O Google Analytics 4 coleta, por padrão, dados que identificam dispositivos e usuários — o que os classifica como dados pessoais sob a LGPD. Se você usa GA4 com anonimização completa de IP e sem envio de dados para fins de remarketing, há argumentos para enquadrar o tratamento como legítimo interesse. Mas a configuração padrão do GA4 — sem anonimização, com Google Signals ativado — exige consentimento. A postura mais segura, e a que evita questionamentos futuros da ANPD, é implementar um banner mesmo para analytics. Institutos com orçamento limitado podem usar o Matomo auto-hospedado em servidor nacional, que elimina a necessidade de consentimento para analytics básico.

Como obter consentimento válido nos formulários de inscrição no vestibular?

Separe radicalmente os dados necessários para a inscrição dos dados usados para marketing. A inscrição em si se baseia em execução de medidas pré-contratuais — o candidato não precisa consentir com marketing para se inscrever. O consentimento de marketing deve ser uma caixa separada, desmarcada por padrão, com texto claro sobre o que o candidato está aceitando. Guarde o log do consentimento (data, hora, IP, versão do formulário). Se usar SISU ou dados do ENEM fornecidos pelo MEC/INEP, lembre-se de que a base legal para esses dados é a obrigação legal — e que você não pode usar dados do ENEM para enviar marketing sem um novo consentimento específico.

Um candidato pode pedir a exclusão dos seus dados após o processo seletivo?

Sim, mas com limitações. O direito ao apagamento (artigo 18, VI da LGPD) se aplica aos dados tratados com base no consentimento. Para dados necessários ao cumprimento de obrigações legais — como registros de inscrição no vestibular exigidos por auditorias do MEC — a IES pode recusar a exclusão e deve informar ao candidato qual obrigação legal justifica a retenção. Na prática: dados de marketing são eliminados imediatamente; dados do processo seletivo podem ser retidos pelo prazo necessário para defesa em possíveis litígios (recomenda-se 1 a 2 anos após o resultado); conversas de chatbot sem identificador associado podem ser anonimizadas em vez de eliminadas. Documente a resposta por escrito, indicando o que foi eliminado e o que foi retido com a respectiva base legal.

Por quanto tempo podemos guardar dados de formulários de contato?

A LGPD não fixa prazos absolutos, mas exige que os dados sejam conservados apenas pelo tempo necessário à finalidade declarada. Para formulários de contato de candidatos que não se inscreveram: a boa prática setorial aponta para 12 meses após o último contato — tempo suficiente para abranger um ciclo de vestibular. Se o candidato interagiu novamente (abriu um e-mail, respondeu a uma mensagem), o prazo se renova a partir desse contato. Dados de formulários de candidatos que se inscreveram e não concluíram a matrícula: até 24 meses, para cobrir a possibilidade de retorno no semestre seguinte. Esses prazos devem estar documentados no seu registro de atividades de tratamento e comunicados ao candidato no momento da coleta. Um sistema de purga automática no CRM evita que dados fiquem acumulados além do prazo por esquecimento.

A conformidade com a LGPD no site da sua IES não é um projeto de uma única vez. Cada nova ferramenta de analytics, cada pixel de rede social instalado pelo time de marketing, cada atualização do chatbot pode criar novas obrigações de consentimento. O caminho mais sustentável é integrar a revisão de cookies e formulários à rotina de atualização do site — e não tratar a adequação como uma tarefa pontual.