Cookies e RGPD no site: o que a sua empresa tem de cumprir

Em Portugal, um site só pode instalar cookies que não sejam estritamente necessários (de estatística, publicidade ou redes sociais) depois de o visitante dar o seu consentimento, de forma livre, informada e através de uma ação clara, como clicar em «Aceitar». Recusar tem de ser tão fácil como aceitar, e o consentimento tem de poder ser retirado a qualquer momento. Formulários que recolhem dados pessoais precisam de informar para que servem e de ligar a uma política de privacidade.

Este guia resume as regras que se aplicam ao site de uma PME e os erros mais comuns que vemos. É informativo: em casos específicos, consulte um jurista ou o seu encarregado de proteção de dados.

As leis que se aplicam

Há dois textos principais a ter em conta:

• A Lei n.º 41/2004, que transpõe a diretiva europeia sobre privacidade nas comunicações eletrónicas. O seu artigo 5.º exige o consentimento prévio para guardar ou aceder a informação no equipamento do utilizador, o que inclui cookies e tecnologias semelhantes. Pode consultá-la no Diário da República.
• O Regulamento Geral sobre a Proteção de Dados (RGPD), que define o que é um consentimento válido e as regras para qualquer tratamento de dados pessoais, incluindo os que chegam por formulários. Texto oficial no EUR-Lex.

Em Portugal, a autoridade de controlo é a Comissão Nacional de Proteção de Dados (CNPD).

Que cookies precisam de consentimento

Cookies que não precisam

São isentos os cookies estritamente necessários para o funcionamento do serviço pedido pelo visitante, por exemplo:

• Manter o carrinho de compras numa loja online.
• Manter a sessão de um utilizador autenticado.
• Guardar a própria escolha de consentimento.
• Garantir a segurança e o equilíbrio de carga do servidor.

Cookies que precisam

Praticamente tudo o resto exige consentimento prévio:

• Estatística, como o Google Analytics.
• Publicidade e remarketing, como os pixéis da Meta ou do Google Ads.
• Conteúdos incorporados de terceiros que instalam cookies próprios, como alguns vídeos, mapas e botões de redes sociais.
• Ferramentas de comportamento, como mapas de calor ou gravações de sessões.

«Prévio» significa mesmo antes: estas ferramentas não podem carregar enquanto o visitante não aceitar.

Como deve ser um banner de cookies que cumpre

Um banner conforme tem estas características:

1. Botões «Aceitar» e «Rejeitar» com o mesmo destaque, no primeiro nível. Esconder a recusa atrás de «Definições» ou num link discreto não é aceitável.
2. Nenhuma caixa pré-selecionada. O Tribunal de Justiça da União Europeia já decidiu que caixas pré-assinaladas não constituem consentimento válido.
3. Escolha por finalidade: estatística, publicidade, conteúdos de terceiros.
4. Informação clara: que cookies, para quê, de quem e durante quanto tempo, numa política de cookies acessível.
5. Nada carrega antes da escolha, exceto o estritamente necessário.
6. Retirar o consentimento tão facilmente como se deu, por exemplo através de um link permanente no rodapé.
7. Continuar a navegar não é consentir. Fechar o banner ou fazer scroll não conta como aceitação.

E não se esqueça do impacto no desempenho: um banner mal implementado empurra o conteúdo e prejudica a experiência no telemóvel. Falamos disso no guia sobre Core Web Vitals.

Google Analytics, Google Ads e o modo de consentimento

Se usa ferramentas do Google para medir visitas ou campanhas, deve configurar o modo de consentimento (Consent Mode), que ajusta o comportamento das etiquetas consoante a escolha do visitante. Para quem faz publicidade com o Google e mede conversões de visitantes do Espaço Económico Europeu, o Google exige que o consentimento seja transmitido às suas ferramentas.

Na prática, isto significa que a ferramenta de gestão de consentimento, as etiquetas do Google e o site têm de estar configurados em conjunto. Quando está mal feito, perde dados de conversão e, com eles, a capacidade de otimizar campanhas. É um ponto que verificamos sempre nas contas de Google Ads que gerimos.

Formulários: contacto, orçamento e newsletter

Cada formulário que recolhe dados pessoais deve:

• Recolher só o necessário. Para um pedido de contacto, nome, email e mensagem chegam. Morada, data de nascimento ou número de contribuinte só se forem indispensáveis.
• Informar no próprio formulário para que servem os dados, de forma resumida, com ligação à política de privacidade.
• Separar finalidades. Responder a um pedido de orçamento e enviar uma newsletter são coisas diferentes. Para a newsletter, use uma caixa própria, não pré-assinalada.
• Estar protegido: ligação segura (HTTPS), proteção contra spam e acesso restrito às mensagens recebidas.

Para o email marketing há regras adicionais sobre consentimento e exceções para clientes. Explicamo-las no guia de email marketing para pequenas empresas.

A política de privacidade

O site deve ter uma política de privacidade acessível em todas as páginas, normalmente no rodapé, que explique pelo menos:

• Quem é o responsável pelo tratamento e como contactá-lo.
• Que dados recolhe, para que finalidades e com que fundamento legal.
• Durante quanto tempo os guarda.
• Com quem os partilha, incluindo fornecedores como o alojamento, o email ou as ferramentas de análise.
• Se há transferências para fora da União Europeia.
• Os direitos do titular (acesso, retificação, apagamento, oposição, portabilidade) e como exercê-los.
• O direito de apresentar reclamação à CNPD.

Copiar a política de outro site é um erro comum. Cada política tem de refletir o que o seu site faz de facto, com as ferramentas que usa.

Erros comuns que vemos

• Google Analytics ou pixéis de publicidade a carregar antes do consentimento.
• Banner só com «Aceitar» ou com «Rejeitar» escondido.
• Política de cookies desatualizada, que não menciona ferramentas instaladas depois.
• Vídeos incorporados que instalam cookies sem aviso.
• Formulários com caixa de newsletter já assinalada.
• Ausência de forma de alterar o consentimento depois da primeira escolha.

Lista de verificação rápida

• Faço uma lista de todas as ferramentas do site que usam cookies ou recolhem dados.
• Nenhuma ferramenta não essencial carrega antes do consentimento.
• O banner tem «Aceitar» e «Rejeitar» com igual destaque.
• Há um link permanente para alterar as preferências.
• A política de cookies e a de privacidade estão atualizadas.
• Cada formulário informa a finalidade e liga à política de privacidade.
• O modo de consentimento do Google está configurado, se uso ferramentas do Google.

Nos sites que desenvolvemos no serviço de criação de sites, as ferramentas de análise só carregam depois do consentimento, e os formulários incluem a informação e a ligação à política de privacidade. Em sites já existentes, o nosso serviço de manutenção e alojamento inclui a revisão destes pontos sempre que se acrescenta uma nova ferramenta.

Perguntas frequentes

Preciso de banner de cookies se só uso cookies necessários?

Não precisa de pedir consentimento para cookies estritamente necessários, mas deve informar sobre eles, normalmente na política de cookies ou de privacidade. Se não usa estatística, publicidade nem conteúdos de terceiros que instalem cookies, pode dispensar o banner de consentimento. Confirme, porém, que nenhum plugin ou vídeo incorporado instala cookies sem saber.

O Google Analytics precisa de consentimento?

Sim. O Google Analytics não é estritamente necessário para o funcionamento do site, por isso só pode carregar depois de o visitante aceitar cookies de estatística. Com o modo de consentimento do Google bem configurado, consegue respeitar essa escolha e continuar a obter alguma informação agregada sobre as visitas.

Posso usar um gerador gratuito de política de privacidade?

Pode servir de ponto de partida, mas raramente é suficiente. A política tem de descrever o que o seu site faz realmente: que dados recolhe, com que ferramentas, durante quanto tempo e com quem os partilha. Um texto genérico que não corresponde à realidade não cumpre o dever de informação do RGPD.

Quem é responsável se o site não cumprir?

A empresa dona do site, enquanto responsável pelo tratamento dos dados, mesmo que o site tenha sido feito ou seja mantido por terceiros. Por isso, vale a pena exigir ao seu fornecedor que as ferramentas de análise só carreguem com consentimento e que o tema seja revisto sempre que se instala algo novo.