Política de cookies: o que a lei portuguesa pede ao seu site

O que diz a lei portuguesa sobre cookies

«Política de cookies» é pesquisada 140 vezes por mês em Portugal, quase sempre por quem tem um site e quer saber o que tem de publicar. A base é a Lei n.º 41/2004, que regula a privacidade nas comunicações eletrónicas. O artigo 5.º, na redação dada pela Lei n.º 46/2012, diz que o armazenamento de informações no equipamento terminal do utilizador, e o acesso às que lá estão, só são permitidos «se estes tiverem dado o seu consentimento prévio, com base em informações claras e completas», nomeadamente quanto aos objetivos do tratamento.

A lei não fala de «cookies» pelo nome: fala de qualquer informação guardada ou lida no computador ou no telemóvel do visitante. Cookies, pixels de seguimento, armazenamento local do navegador, tudo entra.

O mesmo artigo prevê duas exceções, que correspondem aos chamados cookies estritamente necessários:

• o armazenamento ou acesso que tenha como única finalidade transmitir uma comunicação através de uma rede de comunicações eletrónicas;
• o armazenamento ou acesso estritamente necessário ao fornecedor para fornecer um serviço da sociedade de informação solicitado expressamente pelo assinante ou utilizador: o carrinho de compras, a sessão de quem fez login, a memória da escolha feita no próprio banner.

Tudo o resto precisa de consentimento prévio: publicidade, remarketing, perfis, a maior parte das ferramentas de terceiros e, em Portugal, também as estatísticas de audiência, como se vê a seguir.

O que diz a CNPD

A Comissão Nacional de Proteção de Dados (CNPD) é quem fiscaliza: o artigo 15.º da lei atribui-lhe os processos de contraordenação por violação do artigo 5.º. Na nota informativa sobre cookies de junho de 2021, a CNPD lembra que as organizações que detêm os sites são responsáveis por todos os cookies que permitem que sejam colocados no equipamento terminal do utilizador, incluindo os de terceiros que deixam entrar, e que o consentimento é obrigatório quando se impõe, «como é o caso de cookies para fins de analítica». Na mesma nota, constata que há graves deficiências na forma como as obrigações legais estão a ser aplicadas nesta matéria.

A CNPD anunciou nessa nota uma diretriz própria sobre cookies. No relatório de atividades de 2023, explica que a aprovação da Diretriz sobre cookies ficou por concretizar, à espera do trabalho do Comité Europeu para a Proteção de Dados (CEPD). Na lista de diretrizes publicada no site da CNPD, consultada a 04/11/2026, nenhuma é sobre cookies.

Na prática, as regras do banner vêm portanto das orientações europeias, que a própria CNPD indica no seu site e que estão traduzidas em português: as Diretrizes 05/2020 do CEPD sobre o consentimento e o relatório do grupo de trabalho europeu sobre banners de cookies.

O banner de cookies: o que tem de mostrar

O ponto de partida, lembrado pelo grupo de trabalho do CEPD sobre banners: por defeito, nenhum cookie que exija consentimento pode ser instalado sem ele, e o consentimento tem de ser uma ação positiva do visitante. Ao chegar ao site, o visitante só recebe os cookies estritamente necessários; os outros esperam pela resposta dele no banner.

Para que esse consentimento seja informado, o CEPD considera que o visitante tem de conhecer pelo menos a identidade do responsável pelo tratamento, a finalidade de cada uma das operações de tratamento, que (tipo de) dados serão recolhidos e utilizados, existência do direito de retirar o consentimento. No banner, isso traduz-se em:

• quem é o responsável pelo site (o nome da empresa, não só da ferramenta de banner);
• para que servem os cookies, por finalidade: estatísticas, publicidade, conteúdos de redes sociais, vídeos incorporados;
• um botão para aceitar e um botão para recusar, ao mesmo nível: segundo o relatório do grupo de trabalho europeu, a grande maioria das autoridades considera que um banner sem opção de recusar ao lado do botão de consentimento não cumpre os requisitos de um consentimento válido;
• a possibilidade de escolher finalidade a finalidade, porque os titulares dos dados devem poder escolher quais são as finalidades que aceitam;
• um link para a política de cookies completa;
• a indicação de que pode mudar de ideias mais tarde, e onde.

Há práticas comuns que não valem como consentimento. Fazer scroll: para o CEPD, os atos como o deslocamento ou o deslizar numa página web ou uma atividade semelhante do utilizador não satisfazem, em caso algum, o requisito de um ato positivo claro. Caixas já marcadas: «A utilização de opções pré-assinaladas de adesão é inválida nos termos do RGPD». O «aceita ou não entra» (cookie wall): no exemplo do CEPD de um site bloqueado até clicar em «Aceitar os cookies», uma vez que o titular dos dados não dispõe de uma escolha verdadeira, o seu consentimento não é dado livremente.

O desenho também conta. O grupo de trabalho europeu não impõe cores, mas considera manifestamente enganador um botão de recusa cujo texto quase ninguém consegue ler por falta de contraste. Se «Aceitar» é um botão grande e colorido e «Recusar» é um link cinzento escondido no fundo, o problema está à vista.

O que escrever na política de cookies

O banner resume, a política de cookies explica. Pode ser uma página própria ou uma secção da política de privacidade, desde que se chegue lá com um clique a partir do banner e do rodapé. Uma estrutura que responde ao que a lei e o CEPD pedem:

1. 1
   Quem é o responsável: nome da empresa, contacto, e o contacto do encarregado de proteção de dados se tiver um.
2. 2
   Que cookies e rastreadores o site usa, agrupados por finalidade: estritamente necessários, estatísticas, publicidade, conteúdos de terceiros.
3. 3
   Para cada um: para que serve, quem o coloca (o seu site ou um terceiro, identificado pelo nome) e que tipo de dados recolhe. Indicar também a duração de cada cookie ajuda o visitante a perceber o que aceita.
4. 4
   Quais precisam de consentimento e quais não, com a razão: as duas exceções do artigo 5.º.
5. 5
   Como retirar o consentimento: o CEPD lembra que o consentimento deve ser tão fácil de retirar quanto de dar pelo titular dos dados, a qualquer momento, e que o titular de dados deve conseguir retirar o consentimento na mesma interface eletrónica. Um link «Definições de cookies» no rodapé de todas as páginas resolve.
6. 6
   A data da última atualização.

Que coimas se arriscam

O artigo 14.º da Lei n.º 41/2004 classifica como contraordenação «a inobservância das condições de armazenamento e acesso à informação previstas no artigo 5.º». A coima vai de 5000 € a 5 000 000 € para uma pessoa coletiva e de 1500 € a 25 000 € para uma pessoa singular. A negligência e a tentativa são puníveis, sendo os limites mínimos e máximos da coima reduzidos a metade.

Mesmo os mínimos pesam numa pequena empresa. E pagar não dispensa de corrigir: a CNPD ou o ICP-ANACOM, nas respetivas áreas de competência, podem ordenar ao infrator que cumpra o dever ou ordem em causa.

Verificar o seu banner sozinho

Um controlo que pode fazer sozinho com o navegador, sem ferramentas pagas:

1. 1
   Abra o site numa janela anónima e, antes de tocar no banner, veja os cookies instalados (ferramentas de programador do navegador, separador «Aplicação» ou «Armazenamento»). Só devem lá estar os estritamente necessários.
2. 2
   Clique em «Recusar». Recarregue a página e navegue: os cookies de estatística e de publicidade não podem aparecer, e o banner não deve voltar a cada página.
3. 3
   Compare os botões: «Recusar» está no primeiro ecrã do banner, tão visível e tão legível como «Aceitar»?
4. 4
   Procure no rodapé, em qualquer página, o link para a política de cookies e o link para mudar as definições.
5. 5
   Abra a política de cookies e compare a lista de terceiros com o que o site carrega realmente: estatísticas, pixel de publicidade, vídeo do YouTube, mapa, chat.

A nossa opinião

O risco mais comum não é faltar a política de cookies, é ter um banner que diz uma coisa enquanto o site faz outra: estatísticas e pixels que disparam antes do clique, por trás de um texto impecável tirado de um gerador. Começaríamos por fazer o inventário do que o site carrega de facto e por tirar o que ninguém consulta; só depois se escreve a política. Num site institucional pequeno, prescindir do que exige consentimento é muitas vezes o caminho mais simples. Numa loja online com publicidade e remarketing, vale a pena uma plataforma de gestão do consentimento bem configurada e a revisão por um profissional de proteção de dados.

A redação de FindMyCompany