Cookies são pequenos arquivos que operam em silêncio no seu site.

Mas o silêncio acabou.

A Montana Consumer Data Privacy Act (MCDPA, codificada em MCA 30-14-2801 et seq.) e as revisões trazidas pelo Senate Bill 297, em vigor desde 1º de outubro de 2025, deixam claro que qualquer tecnologia que colete, processe ou rastreie dados de residentes de Montana precisa de transparência, base legal e, na maioria dos casos, consentimento explícito.

Isso afeta diretamente a sua Política de Cookies.

Não estamos falando de um documento de rodapé que ninguém lê. Estamos falando da estrutura que define o que o seu site pode ou não pode fazer com os dados de quem o visita, e como você comunica isso com clareza.

Este artigo vai fundo nisso. O que a MTCDPA exige da sua Política de Cookies, como ela se alinha com o que a LGPD e o GDPR já estabeleceram, e o que não pode faltar no seu documento para que ele seja funcional, defensável e honesto.

A MCDPA é a lei estadual de proteção de dados pessoais de Montana. Ela foi aprovada e entrou em vigor inicialmente em outubro de 2024, com revisões significativas trazidas pelo SB 297, vigentes desde 1º de outubro de 2025.

A lei se aplica a empresas que conduzem negócios em Montana ou direcionam produtos e serviços a residentes do estado, e que controlam ou processam dados pessoais de 25.000 ou mais consumidores de Montana por ano. Se a empresa faz mais de 25% da receita com a venda de dados pessoais, o limite cai para 15.000 consumidores.

Isso é o mesmo raciocínio que a Lei Geral de Proteção de Dados aplica no Brasil: se você coleta e usa dados de pessoas, independente de onde sua empresa está sediada, a lei pode alcançar você.

Cookies que identificam usuários, rastreiam comportamento de navegação, alimentam pixels de publicidade ou analytics são, pela definição da MTCDPA, tratamento de dados pessoais. E isso exige transparência pública na forma de uma Política de Cookies.

Muita gente confunde os dois. E essa confusão custa caro na hora de estar em conformidade.

O aviso de cookies é o que aparece para o visitante quando ele acessa o site pela primeira vez. É o banner visual, a porta de entrada do consentimento. Ele precisa ser claro, direto, e oferecer escolhas reais.

A Política de Cookies é o documento detalhado. Ela explica o que opera por baixo do banner: quais rastreadores estão ativos, para que servem, por quanto tempo ficam, com quem os dados são compartilhados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política precisa estar acessível a partir do banner com um link simples e visível.

O SB 297 reforça essa exigência ao determinar que o aviso de privacidade seja postado online através de um hyperlink conspícuo usando a palavra "privacy" na página inicial do controlador. A Política de Cookies pode estar integrada a esse documento ou ser uma seção dedicada com link direto no banner de consentimento.

A lei não cria um documento chamado explicitamente "Política de Cookies", mas as obrigações de transparência do controlador formam o conteúdo exato que esse documento precisa ter.

Vamos ponto a ponto.

A MTCDPA exige que o controlador informe as categorias de dados pessoais processados e a finalidade do processamento.

Para cookies, isso se traduz em listar cada categoria de rastreador ativo no site e explicar com especificidade o que cada um faz.

Não adianta escrever "usamos cookies para melhorar sua experiência". Isso não é finalidade. Finalidade é: "utilizamos cookies de analytics para medir quais páginas têm maior taxa de saída e otimizar o conteúdo editorial" ou "utilizamos pixels de publicidade para construir audiências personalizadas com base no histórico de navegação do usuário."

Esse nível de especificidade é o mesmo que a LGPD exige no Art. 6º, I, e o que o Guia Orientativo de Cookies da ANPD confirma: finalidades genéricas não são aceitas.

A Política precisa organizar os cookies em categorias compreensíveis. As mais usadas no mercado são:

Cookies necessários: essenciais para o funcionamento do site. Autenticação de login, segurança, carrinho de compras. Não precisam de consentimento, mas precisam ser documentados.

Cookies de analytics: medem comportamento de navegação, páginas visitadas, origem do tráfego, tempo de permanência. Ferramentas como Google Analytics e Hotjar entram aqui. Precisam de consentimento.

Cookies de publicidade: alimentam pixels de anúncio, constroem perfis comportamentais, habilitam remarketing. Meta Pixel, Google Ads e ferramentas similares. Precisam de consentimento explícito.

Cookies funcionais: lembram preferências do usuário, como idioma, região ou configurações de acessibilidade. Podem precisar de consentimento dependendo da implementação.

Cookies de terceiros: disparados por serviços externos integrados ao site. Cada ferramenta de terceiro que opera no seu site provavelmente coloca cookies. A categorização de tags correta é o que permite documentar isso com precisão.

Se os dados coletados via cookies saem do seu domínio e vão para terceiros, isso precisa estar na Política.

O SB 297 estabelece que controladores que vendem dados pessoais a terceiros ou os processam para publicidade segmentada precisam divulgar isso de forma clara e conspícua, e fornecer um mecanismo acessível de opt-out.

Na prática: se o seu site tem um pixel de publicidade, você está compartilhando dados de comportamento de navegação com a plataforma de anúncios. Isso precisa estar declarado. Quais categorias de dados. Quais categorias de terceiros que os recebem. E se houver transferência internacional de dados, o país de destino.

A MTCDPA, assim como a LGPD e o GDPR, opera com o princípio da necessidade: os dados só podem ser mantidos pelo tempo necessário para cumprir a finalidade informada.

Para cookies, isso se traduz no período de expiração de cada categoria.

Cookies de sessão expiram quando o usuário fecha o navegador. Cookies persistentes ficam por um tempo definido, que pode variar de dias a anos. A Política precisa informar esses prazos por categoria.

O GDPR estabelece um limite de 12 meses para renovação do consentimento para cookies persistentes. A MTCDPA não define um prazo específico de expiração, mas o princípio da necessidade se aplica: se o cookie não é mais necessário para a finalidade que o justificou, ele precisa ser desativado.

O SB 297 é explícito: o mecanismo para revogar o consentimento precisa ser pelo menos tão fácil de usar quanto o mecanismo para dar o consentimento.

Isso significa que se o usuário aceitou cookies com um clique no banner, ele precisa conseguir revogar com a mesma facilidade. Um link acessível, um painel de preferências, um botão que abra novamente as opções de configuração.

A Política de Cookies precisa explicar como o usuário faz isso. Não apenas mencionar que o direito existe. O processo precisa estar descrito com clareza.

Esse princípio é compartilhado pela LGPD no Art. 8º, §5º: o consentimento pode ser revogado a qualquer momento, por procedimento gratuito e facilitado. E também pelo funcionamento do aviso de cookies que qualquer plataforma séria deve suportar.

Os consumidores de Montana têm direitos sobre seus dados. E a Política de Cookies é um dos lugares onde esses direitos precisam ser comunicados.

Entre os direitos garantidos pela MTCDPA estão: confirmar se os dados estão sendo processados e acessá-los, corrigir imprecisões, solicitar a exclusão, obter portabilidade, e fazer opt-out de publicidade segmentada e venda de dados.

A Política precisa indicar como o usuário exerce esses direitos. Qual canal usar. Qual o prazo de resposta (45 dias, conforme a lei). E como recorrer se o pedido for negado.

O mapeamento de dados interno é o que torna possível atender essas solicitações dentro do prazo. Sem saber onde os dados estão, não dá para respondê-las.

O SB 297 trouxe uma exigência específica: o aviso de privacidade precisa incluir a data em que foi atualizado pela última vez. Quando uma mudança material é feita no documento, o controlador precisa notificar os consumidores e dar uma oportunidade razoável para que retirem o consentimento.

Isso vale para a Política de Cookies integrada ao aviso ou como documento separado. A data de última atualização precisa estar visível.

Esse é um dos pontos mais práticos e mais ignorados pelas empresas que têm anúncios rodando.

A MTCDPA, assim como a CCPA e a TDPSA, garante ao consumidor o direito de opt-out do processamento dos seus dados para fins de publicidade segmentada. O SB 297 reforça que esse mecanismo precisa ser divulgado de forma clara e conspícua, não enterrado em um documento de difícil acesso.

Publicidade segmentada é, na prática, o que acontece quando um pixel de anúncio no seu site rastreia o comportamento do visitante ao longo do tempo e em diferentes sites para construir um perfil de interesse e exibir anúncios personalizados.

Se o seu site tem Meta Pixel, Google Ads, TikTok Pixel ou qualquer ferramenta similar, você está operando publicidade segmentada.

A sua Política de Cookies precisa:

Declarar que o site usa cookies para publicidade segmentada.

Informar quais plataformas recebem esses dados.

Oferecer um caminho claro para o opt-out.

O banner de cookies com controles granulares por categoria é a forma mais eficiente de implementar esse opt-out. Quando o usuário desativa a categoria de publicidade, as tags correspondentes são bloqueadas antes de disparar.

A MTCDPA define consentimento como uma ação afirmativa clara que signifique a concordância livre, específica, informada e inequívoca do consumidor.

O que não configura consentimento válido:

Aceitar termos gerais de uso que misturem tratamento de dados com outras informações não relacionadas.

Pré-checagem de caixas de cookies não necessários.

Continuação da navegação como sinal de aceite ("ao navegar neste site, você concorda").

Qualquer mecanismo que configure um dark pattern, ou seja, uma interface projetada para manipular a escolha do usuário.

Dark patterns são explicitamente vedados pela lei. Isso inclui: botão de "aceitar tudo" em destaque com o botão de "recusar" escondido ou com contraste propositalmente baixo, categorias de cookies não necessários ativadas por padrão, e janelas de consentimento que reaparecem repetidamente até o usuário aceitar.

Essas práticas violam tanto a MTCDPA quanto os princípios que a LGPD e o Guia Orientativo da ANPD estabelecem para banners de cookies.

A regra é simples: o usuário precisa escolher ativamente o que aceita. E precisa ter opções reais de escolha, não apenas a ilusão delas.

Essa é uma das dúvidas mais frequentes. E a resposta incomoda quem usa Google Analytics sem pensar duas vezes.

Sim, na maior parte dos casos.

Cookies de analytics coletam dados de comportamento de navegação que podem ser cruzados com outras informações para identificar um indivíduo. A MTCDPA define dados pessoais como qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Cookies analíticos frequentemente se enquadram nessa definição.

A única exceção seria o uso de ferramentas de analytics que operem de forma completamente anonimizada e agregada, sem capacidade de identificação individual e sem cruzamento com outros dados. Mas a maioria das ferramentas tradicionais, incluindo o Google Analytics em sua configuração padrão, não opera dessa forma.

Isso é consistente com o debate que já acontece na Europa: França e Áustria já declararam que o Google Analytics, na sua configuração padrão, não está em conformidade com o GDPR. E o Guia Orientativo de Cookies da ANPD também alerta sobre a capacidade de cookies analíticos de grandes provedores de identificar usuários por cruzamento de dados.

A saída mais segura: tratar cookies analíticos como não necessários no seu aviso de consentimento, bloquear antes do aceite, e documentar isso na Política de Cookies.

Tanto quanto saber o que precisa estar, é importante saber o que não pode estar.

Finalidades genéricas ou vagas. "Melhorar a experiência do usuário" sem especificação não é uma finalidade. A lei exige propósitos legítimos, específicos e informados. Isso vale para a MTCDPA, para a LGPD e para o GDPR.

Informações desatualizadas. Se o site passou a usar uma nova ferramenta de analytics ou adicionou um pixel de publicidade, a Política precisa ser atualizada. O SB 297 exige que mudanças materiais sejam comunicadas com a oportunidade de revogação do consentimento.

Mecanismos de opt-out inexistentes ou difíceis de achar. Se a Política diz que o usuário pode gerenciar suas preferências mas o link não funciona, está escondido ou leva a uma página genérica, isso configura uma promessa não cumprida.

Cookies não necessários ativados por padrão. O padrão correto é: necessários ativados, todos os outros desativados. O usuário escolhe o que quer ativar, não o que quer desativar. Qualquer configuração diferente disso é um dark pattern.

Ausência de data de atualização. O SB 297 tornou esse campo obrigatório no aviso de privacidade. A Política de Cookies integrada ou vinculada precisa refletir essa exigência.

As duas podem ser documentos separados ou a Política de Cookies pode ser uma seção dedicada dentro do aviso de privacidade mais amplo.

A MTCDPA exige que o aviso de privacidade do controlador seja publicado com um hyperlink conspícuo usando a palavra "privacy". A Política de Cookies precisa ser acessível a partir desse documento ou do próprio banner de cookies.

O que a lei não aceita é tratar os dois como silos desconectados. Todas as informações sobre coleta de dados via cookies precisam estar disponíveis para o consumidor de forma integrada e coerente.

Algumas empresas optam por manter tudo em um único documento mais completo. Outras preferem documentos separados, com links entre si. Ambas as abordagens funcionam, desde que nenhuma informação relevante fique de fora e tudo seja facilmente acessível.

Para entender melhor como estruturar esse documento, nosso guia sobre política de privacidade explora as melhores práticas do mercado.

Uma Política de Cookies incompleta, genérica ou desalinhada com a prática real do site é uma violação da MTCDPA.

O SB 297 estabelece uma penalidade civil máxima de US$ 7.500 por violação. O Procurador Geral do Estado tem autoridade exclusiva para investigar e ajuizar ações, além de poder buscar injunção e honorários advocatícios.

Antes de ajuizar, o Procurador Geral envia uma notificação com 30 dias para a empresa corrigir a violação. Se corrigir e documentar adequadamente, a ação pode não ser ajuizada.

Mas se a empresa não corrigir, ou se as mesmas violações se repetirem, as penalidades são aplicadas por violação. Se o site está operando sem Política de Cookies funcional para milhares de usuários de Montana, são potencialmente milhares de violações.

Ignorar não é estratégia. É risco calculado que raramente compensa.

Para quem já gerencia cookies e privacidade sob a LGPD ou o GDPR, a MTCDPA vai soar familiar em estrutura. As diferenças estão nos detalhes.

O GDPR é mais restritivo no consentimento: exige que cookies não necessários estejam desativados por padrão e que o consentimento seja granular por categoria antes de qualquer disparo. A MTCDPA tem essa lógica implícita nas proibições de dark patterns e na exigência de mecanismo de opt-out.

A LGPD opera com bases legais para o tratamento de dados. A MTCDPA não tem um sistema de bases legais explícito, mas o princípio da necessidade e da limitação de finalidade estão presentes nas obrigações do controlador.

O GDPR tem um prazo de renovação de consentimento de 12 meses. A MTCDPA não define um prazo específico de renovação, mas o SB 297 exige notificação quando há mudanças materiais no aviso de privacidade.

Para sites com audiência internacional que querem uma abordagem unificada, o comparativo entre as principais leis de privacidade do mundo ajuda a entender onde os requisitos se sobrepõem e onde é preciso adaptar.

Se o seu site recebe visitantes de Montana e você usa qualquer ferramenta que dispara rastreadores, você provavelmente precisa de uma Política de Cookies.

Isso inclui qualquer site com Google Analytics, Meta Pixel, Google Ads, HubSpot, Hotjar, Mixpanel, Zendesk Chat, ou qualquer outro serviço de terceiro que opere cookies no seu domínio.

O tamanho do negócio não é isenção automática. A MTCDPA isenta pequenas empresas conforme a definição da Small Business Administration federal, mas essa isenção tem limites. E para as que não se enquadram na isenção, não há tolerância para a ausência de transparência.

Agências digitais que gerenciam sites de clientes precisam incluir esse processo no escopo padrão de entrega. Adequação à privacidade já é diferencial competitivo. Em breve será requisito básico.

A AdOpt não é um banner. É a infraestrutura que faz a Política de Cookies sair do papel e funcionar na prática.

O escaneamento automático do site identifica todas as tecnologias de rastreamento ativas. Isso alimenta a categorização de tags e garante que a Política de Cookies reflita a realidade do que está rodando no seu domínio.

O aviso de consentimento configurado pela AdOpt bloqueia cookies não necessários antes do aceite, apresenta as categorias com descrições claras, e permite ao usuário escolher o que aceita com granularidade real.

O registro de cada consentimento é documentado com segurança jurídica. Se você precisar demonstrar conformidade, o log está disponível.

E quando a lei muda, como aconteceu com o SB 297 em outubro de 2025, a plataforma atualiza automaticamente para manter a conformidade sem que você precise reconfigurar do zero.

Mais de 60 mil sites já usam a AdOpt para operar dessa forma. Desde o plano gratuito até soluções para grandes operações.

Tá na AdOpt, tá bem.

Quer ver como a AdOpt pode deixar a Política de Cookies do seu site em conformidade com a MTCDPA e as demais legislações globais? Fale com a nossa equipe.

Listagem das categorias de cookies presentes no site, com descrição do que cada uma faz.

Finalidade específica para cada categoria, sem descrições vagas ou genéricas.

Informação sobre compartilhamento com terceiros, incluindo categorias de dados e categorias de parceiros que os recebem.

Período de retenção de cada categoria de cookie ou dos dados que eles carregam.

Base para uso de cookies não necessários, com indicação de que dependem de consentimento.

Mecanismo de opt-out para publicidade segmentada, divulgado de forma clara e conspícua conforme o SB 297.

Como revogar o consentimento, com link ou processo descrito e tão simples quanto o processo de aceite.

Como exercer os direitos previstos na MTCDPA, com canal de contato e prazo de resposta de 45 dias.

Cookies não necessários desativados por padrão no banner de consentimento.

Ausência de dark patterns na interface do banner e no fluxo de consentimento.

Data da última atualização do documento, conforme exigido pelo SB 297.

Link acessível no banner para a Política de Cookies ou aviso de privacidade completo.

Informação sobre cookies de crianças, com declaração de que dados de menores não são coletados intencionalmente ou como o consentimento parental é obtido.

Idioma acessível, sem juridiquês e compreensível para o consumidor comum.

1. A MTCDPA exige um documento chamado especificamente "Política de Cookies"?

Não pelo nome. A lei exige um aviso de privacidade acessível que cubra as práticas de coleta e tratamento de dados, incluindo cookies. A Política de Cookies pode ser um documento separado com link no banner e no aviso principal, ou uma seção dedicada dentro do aviso de privacidade mais amplo. O que importa é que as informações estejam lá, completas e acessíveis.

2. Meu site é brasileiro mas recebe visitantes de Montana. Preciso me adequar?

Se você atinge residentes de Montana com produtos ou serviços e processa dados deles em escala que supera os limites da lei, sim. A MTCDPA, assim como a LGPD, tem alcance extraterritorial baseado em onde estão os consumidores, não onde está a empresa.

3. Cookies de analytics precisam de consentimento em Montana?

Na maioria dos casos, sim. Cookies analíticos que podem identificar usuários por cruzamento de dados são considerados tratamento de dados pessoais sob a MTCDPA. A exceção seriam ferramentas que operem de forma genuinamente anonimizada e agregada, sem capacidade de identificação individual.

4. O que acontece se minha Política de Cookies estiver incompleta?

Configura violação da MTCDPA. O Procurador Geral envia notificação com 30 dias para correção. Se não corrigida, a penalidade pode chegar a US$ 7.500 por violação. Para sites com audiência significativa de Montana, o número de violações pode ser alto.

5. Preciso atualizar minha Política de Cookies quando adiciono uma nova ferramenta ao site?

Sim. Qualquer mudança material no tratamento de dados precisa ser refletida no aviso de privacidade, com notificação aos consumidores e oportunidade de revogação do consentimento, conforme o SB 297. O encarregado de dados ou responsável pela conformidade deve ter um processo para revisar e atualizar esses documentos sempre que novas ferramentas são integradas ao site.

Quem tem uma Política de Cookies funcional, honesta e alinhada com a lei não está apenas evitando multa. Está dizendo para o visitante: sabemos o que coletamos, para que usamos, e você pode controlar isso.

Pronto para colocar o seu site em conformidade com a MTCDPA e as demais leis de privacidade? Fale com a gente.