Se gere uma pequena empresa, o seu banner de cookies é muitas vezes a primeira coisa que um visitante vê. É também uma das primeiras coisas que olhamos quando auditamos um site. Qualquer pessoa o pode verificar em segundos, e as autoridades europeias de proteção de dados reviram banners em ações coordenadas.
A maioria dos problemas dos banners são escolhas de design, não enigmas jurídicos. Aqui estão os cinco erros que verificamos primeiro, o que diz a lei e como corrigir cada um.
Primeiro, as regras num minuto
Duas leis funcionam em conjunto aqui:
- Diretiva ePrivacy, artigo 5.º, n.º 3 exige consentimento antes de armazenar ou ler informações no dispositivo de um utilizador, como cookies, píxeis ou armazenamento local. A exceção é tudo o que for estritamente necessário para prestar um serviço que o utilizador pediu expressamente, ou necessário apenas para transmitir uma comunicação.
- RGPD define o que é um consentimento válido. O artigo 4.º, ponto 11, exige uma “manifestação de vontade livre, específica, informada e explícita”, dada “mediante declaração ou ato positivo inequívoco”. O artigo 7.º acrescenta condições, incluindo que deve poder provar o consentimento e que retirá-lo tem de ser tão fácil como dá-lo.
Erro 1: caixas pré-assinaladas ou consentimento “implícito”
Como se apresenta: interruptores de análise e marketing que já estão ligados, ou um banner que diz “Ao continuar a navegar, aceita os cookies.”
O que a lei exige: O considerando 32 do RGPD afirma claramente que “o silêncio, as opções pré-validadas ou a omissão não deverão, por conseguinte, constituir um consentimento”. O Tribunal de Justiça da UE confirmou-o para os cookies no processo Planet49 (C-673/17, acórdão de 1 de outubro de 2019): uma caixa pré-assinalada que o utilizador tem de desmarcar para recusar não dá um consentimento válido. O Tribunal decidiu ainda que isto se aplica quer as informações armazenadas no dispositivo sejam ou não dados pessoais, e que os utilizadores têm de ser informados sobre a duração dos cookies e sobre se terceiros lhes podem aceder.
As Diretrizes 05/2020 do Comité Europeu para a Proteção de Dados (CEPD) sobre o consentimento vão mais longe: continuar simplesmente a utilizar um site não é uma indicação de consentimento, e deslocar a página ou deslizar “em caso algum” satisfaz o requisito de um ato positivo claro.
Como corrigir:
- Defina todas as categorias não essenciais como desligadas por predefinição.
- Remova qualquer formulação do tipo “ao continuar a usar este site”.
- Ative as etiquetas não essenciais apenas depois de um clique claro em “Aceitar” ou numa categoria específica.
- No banner ou na política de cookies, indique a finalidade, a duração e os eventuais terceiros de cada categoria.
Erro 2: sem um “Rejeitar tudo” equivalente na primeira camada
Como se apresenta: um botão grande “Aceitar tudo” ao lado de “Definições” ou “Gerir preferências”. Para recusar, o visitante tem de abrir um segundo ecrã e desligar as opções uma a uma.
O que a lei exige: o consentimento tem de ser livre, e recusar não deve exigir mais esforço do que aceitar. No relatório do Grupo de Trabalho do CEPD sobre banners de cookies (adotado em 17 de janeiro de 2023), a grande maioria das autoridades considerou que não existir uma opção de rejeição na mesma camada da opção de aceitação viola o artigo 5.º, n.º 3, da Diretiva ePrivacy. Alguns reguladores nacionais, como a CNIL francesa, já tinham adotado esta posição nas suas próprias orientações e sanções.
Como corrigir:
- Coloque “Rejeitar tudo” (ou “Recusar não essenciais”) na primeira camada, ao lado de “Aceitar tudo”.
- Mantenha “Personalizar” como terceira opção, se quiser, mas nunca como único caminho para dizer não.
- Verifique no telemóvel, onde os botões são muitas vezes empilhados ou escondidos.
Erro 3: cookies definidos antes do consentimento
Como se apresenta: o banner parece perfeito, mas ao abrir as ferramentas de programador do navegador no primeiro carregamento, os cookies de análise, publicidade ou redes sociais já lá estão antes de alguém clicar.
O que a lei exige: o artigo 5.º, n.º 3, exige consentimento antes de armazenar ou aceder a informações no dispositivo, salvo se se aplicar a isenção para cookies estritamente necessários. Um banner que pede consentimento depois de os rastreadores já terem sido carregados é mera decoração. Nos termos do artigo 7.º, n.º 1, do RGPD, deve também poder demonstrar que o consentimento foi obtido.
Como corrigir:
- Carregue primeiro a sua ferramenta de consentimento e bloqueie todos os scripts não essenciais até ser dado o consentimento. A maioria das plataformas de gestão de consentimento permite-o, mas tem de ser configurado.
- Verifique também o conteúdo incorporado: vídeos do YouTube, mapas, widgets de chat e botões sociais definem muitas vezes cookies por conta própria.
- Teste você mesmo. Abra uma janela privada, carregue o site e veja os cookies e os pedidos de rede antes de clicar em qualquer coisa. Depois clique em “Rejeitar tudo” e verifique de novo.
- Guarde um registo das escolhas de consentimento (data e hora, versão do banner, escolhas feitas) para poder provar o consentimento se lhe for pedido.
Erro 4: padrões enganosos nas cores e no layout
Como se apresenta: um botão “Aceitar” brilhante e de alto contraste e uma ligação “Rejeitar” cinzento-claro. Ou uma opção de rejeição escrita em letra pequena dentro de um parágrafo. Ou um banner que fecha ao clicar no X e conta isso em silêncio como consentimento.
O que a lei exige: o relatório do Grupo de Trabalho aborda várias destas práticas. As autoridades concordaram que não podem impor uma cor ou um contraste padrão a todos os sites. Em vez disso, cada banner é avaliado caso a caso para ver se o seu design é manifestamente enganoso. O relatório enumera também práticas que podem invalidar o consentimento, incluindo uma opção de rejeição mostrada apenas como ligação dentro do texto e um design de botões enganoso. As Diretrizes 03/2022 do CEPD sobre padrões de design enganosos (escritas para plataformas de redes sociais, mas úteis para perceber como pensam os reguladores) descrevem táticas como “skipping”, “hindering” e “stirring”, que empurram os utilizadores para uma escolha.
Como corrigir:
- Dê a “Aceitar tudo” e “Rejeitar tudo” o mesmo tamanho, forma e peso visual.
- Use rótulos de botões simples. Evite truques como “Não, obrigado, não gosto de melhores conteúdos”.
- Não trate o fecho do banner como consentimento.
Erro 5: retirar o consentimento é mais difícil do que dá-lo
Como se apresenta: aceitar exige um clique na página inicial, mas mudar de ideias significa procurar uma ligação escondida no fundo da política de privacidade, ou enviar um e-mail à empresa.
O que a lei exige: o artigo 7.º, n.º 3, do RGPD é muito claro: “O consentimento deve ser tão fácil de retirar quanto de dar.” A pessoa tem também de ser informada deste direito antes de dar o consentimento. As diretrizes do CEPD sobre o consentimento acrescentam que, quando o consentimento é dado com um clique, um deslize ou uma tecla, as pessoas devem na prática poder retirá-lo com a mesma facilidade, através da mesma interface.
Como corrigir:
- Acrescente uma forma permanente e fácil de encontrar de reabrir as definições de cookies, como um pequeno ícone flutuante ou uma ligação clara “Definições de cookies” no rodapé de todas as páginas.
- Faça com que a retirada produza efeito de imediato: pare as etiquetas e apague ou expire os cookies não essenciais sempre que possível.
- Indique na primeira camada do banner que as pessoas podem alterar a sua escolha a qualquer momento, e onde.
Uma verificação rápida antes de dar como concluído
Quando auditamos um site, verificamos por esta ordem: estado predefinido, primeira camada, atividade antes de um clique, design dos botões e, por fim, a retirada. Pode fazer o mesmo numa janela de navegação privada.
Se preferir uma primeira vista rápida, experimente a auditoria com IA gratuita de 30 segundos da GDPRGard. Sem registo. E se quiser saber o que está em jogo, a nossa calculadora gratuita de risco de coima dá-lhe uma ideia aproximada da sua exposição.
Perguntas frequentes
Preciso de um banner de cookies se só uso cookies “essenciais”?
Os cookies estritamente necessários para um serviço pedido pelo utilizador (por exemplo, um carrinho de compras ou uma sessão de início de sessão) estão isentos de consentimento ao abrigo do artigo 5.º, n.º 3, da Diretiva ePrivacy. Os cookies de análise e de publicidade não são, em geral, considerados estritamente necessários.
“Aceitar” mais “Definições” é suficiente?
Em geral, não. Segundo o relatório do Grupo de Trabalho do CEPD sobre banners de cookies, a maioria das autoridades europeias considera que a primeira camada deve oferecer uma forma de recusar tão acessível como a de aceitar.
Posso usar um “muro de cookies” que bloqueia o site até as pessoas aceitarem?
As Diretrizes 05/2020 do CEPD indicam que condicionar o acesso a conteúdo à aceitação de cookies não produz um consentimento livre. As regras e orientações nacionais podem diferir nos pormenores, por isso consulte o regulador do seu país.
A regra do consentimento para cookies aplica-se mesmo que os cookies não contenham dados pessoais?
Sim. No processo Planet49, o Tribunal de Justiça decidiu que o requisito de consentimento do artigo 5.º, n.º 3, se aplica às informações armazenadas no dispositivo do utilizador, sejam ou não dados pessoais.
Com que frequência devo voltar a verificar o meu banner?
Verifique-o sempre que acrescentar uma nova ferramenta, plugin ou etiqueta de rastreio, e após atualizações da sua plataforma de consentimento. Verificações periódicas também ajudam.
Fontes
- GDPR, Regulation (EU) 2016/679, Articles 4(11), 7 and Recital 32, EUR-Lex
- ePrivacy Directive 2002/58/EC, Article 5(3), as amended by Directive 2009/136/EC, EUR-Lex
- CJEU, Case C-673/17, Planet49, Grand Chamber judgment of 1 October 2019, CURIA
- CJEU, Case C-673/17, Planet49, EUR-Lex
- EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 (adopted 4 May 2020)
- EDPB, Report of the work undertaken by the Cookie Banner Taskforce (adopted 17 January 2023)
- EDPB, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces (v2.0, 14 February 2023)
- CNIL: EDPB adopts final report of outcome of the cookie banner task force (18 January 2023)
Este artigo tem fins puramente informativos e não constitui aconselhamento jurídico. As regras nacionais que transpõem a Diretiva ePrivacy variam entre os Estados-Membros da UE, por isso consulte as orientações do seu regulador local ou fale com um profissional qualificado sobre a sua situação concreta.
Leia também:
- A minha pequena empresa é obrigada a cumprir o RGPD?
- Coima de 403 M€ à Google: os dados de localização da sua app são os próximos
- O CEPD acabou de padronizar como cada autoridade calcula a sua coima