Consentimento de cookies: o que exigem as regras ePrivacy

Os banners de cookies são a parte mais visível do direito da privacidade da UE e a parte mais vezes mal feita. As regras provêm de dois instrumentos que funcionam em conjunto: a Diretiva ePrivacy 2002/58/CE determina quando é necessário consentimento, e o RGPD define o que conta como consentimento.

A regra numa frase

O artigo 5.º, n.º 3, da Diretiva ePrivacy, na redação alterada em 2009, só permite armazenar informação no dispositivo de um utilizador, ou aceder a informação já aí armazenada, se o utilizador tiver dado o seu consentimento depois de receber informação clara e completa, a menos que o armazenamento ou o acesso sirva exclusivamente para transmitir uma comunicação ou seja estritamente necessário para prestar um serviço expressamente pedido pelo utilizador.

Daqui resultam três consequências:

• É tecnologicamente neutra. Cookies, armazenamento local, píxeis de rastreamento, fingerprinting do dispositivo e técnicas semelhantes estão todos abrangidos. As Diretrizes 2/2023 do CEPD explicam a amplitude com que se interpretam «armazenamento» e «acesso».
• Não se limita a dados pessoais. No acórdão Planet49 (C-673/17), o Tribunal de Justiça confirmou que o artigo 5.º, n.º 3, se aplica quer a informação armazenada seja ou não um dado pessoal.
• O consentimento vem primeiro. Os scripts não essenciais não podem ser executados antes de o visitante decidir.

O que torna o consentimento válido

Como a Diretiva ePrivacy adota a definição de consentimento do direito da proteção de dados, aplica-se o padrão do RGPD (artigo 4.º, ponto 11, artigo 7.º e artigo 94.º, n.º 2, que remete as referências à antiga Diretiva 95/46/CE para o RGPD). O consentimento tem de ser:

1. Livre: recusar não pode conduzir a condições piores do que aceitar, para além do estritamente necessário. Os «cookie walls», que bloqueiam o acesso se o visitante não aceitar, são amplamente considerados pelos reguladores da UE incompatíveis com este requisito.
2. Específico: finalidades distintas (análise de audiências, publicidade, personalização) exigem escolhas distintas.
3. Informado: o visitante tem de saber quem recolhe o quê, para que finalidade e durante quanto tempo. O acórdão Planet49 declarou que a informação sobre a duração dos cookies e sobre a possibilidade de terceiros lhes acederem faz parte desta exigência.
4. Inequívoco: um ato positivo claro. O acórdão Planet49 excluiu as caixas pré-assinaladas; percorrer a página ou «continuar a navegar» também não é consentimento (Diretrizes 05/2020 do CEPD).

O RGPD acrescenta dois deveres operacionais: o responsável pelo tratamento tem de poder demonstrar o consentimento (artigo 7.º, n.º 1), e retirar o consentimento tem de ser tão fácil como dá-lo (artigo 7.º, n.º 3). Na prática, isto significa um registo guardado do consentimento e uma forma permanente de voltar a abrir o banner.

Conceção do banner: o que os reguladores contestaram

Em janeiro de 2023, o CEPD publicou o relatório do seu grupo de trabalho sobre banners de cookies, que resume as posições comuns das autoridades nacionais. As práticas que a maioria das autoridades considerou problemáticas incluem:

• a ausência de um botão «Rejeitar» na primeira camada quando aí existe um botão «Aceitar»;
• caixas de finalidades ou de fornecedores pré-assinaladas na segunda camada;
• uma ligação enganadora em vez de um botão para a opção de rejeição;
• cores e contraste de botões enganadores que fazem de «Aceitar» a única escolha evidente;
• invocar o «interesse legítimo» para um rastreamento que exige consentimento;
• classificar cookies não essenciais como «essenciais»;
• a inexistência de uma forma fácil de retirar o consentimento posteriormente.

A fiscalização nacional segue as mesmas linhas. A CNIL francesa, por exemplo, aplicou coimas à Google e ao Facebook no final de 2021 (anunciadas em janeiro de 2022) porque recusar os cookies exigia mais cliques do que aceitá-los.

O que está isento

A isenção do «estritamente necessário» é restrita e avalia-se na perspetiva do visitante: armazenamento sem o qual o serviço não consegue funcionar. Exemplos típicos são um cookie de carrinho de compras, um cookie de sessão após o início de sessão, um cookie de balanceamento de carga ou o cookie que memoriza a própria escolha de consentimento. A análise de audiências, os testes A/B, a publicidade e os píxeis de redes sociais não são, em regra, estritamente necessários, mesmo quando são próprios ou «anonimizados». Algumas autoridades nacionais aceitam uma medição de audiências configurada de forma restrita sem consentimento; verifique as regras do país a que se dirige antes de contar com isso.

Frameworks de consentimento e gestores de etiquetas

As plataformas de gestão de consentimento (CMP) e o IAB Transparency & Consent Framework normalizam a forma como as escolhas são transmitidas aos anunciantes. No acórdão IAB Europe (C-604/22), o Tribunal de Justiça declarou que a «TC String», que codifica as preferências de um utilizador, pode constituir um dado pessoal e que a organização que gere esse framework pode ser responsável conjunta pelo tratamento. Uma CMP é uma ferramenta, não uma garantia: uma CMP mal configurada continua a carregar rastreadores demasiado cedo. Do mesmo modo, os «modos de consentimento» do lado do navegador, que ajustam o comportamento das etiquetas, não substituem o consentimento; apenas alteram o que é enviado depois da decisão.

Como testar o seu próprio banner em dez minutos

1. Abra uma janela privada, abra as ferramentas de programador nos separadores Network e Application e carregue a página inicial. Não clique em nada.
2. Anote cada cookie, entrada de armazenamento e pedido a terceiros. Tudo o que vá além do estritamente necessário é uma constatação.
3. Clique em «Rejeitar». Navegue para mais duas páginas. Os pedidos não essenciais têm de se manter desligados.
4. Apague tudo, recarregue e clique em «Aceitar». Compare: a diferença é o que o seu banner controla realmente.
5. Procure o caminho de volta: uma ligação ou um ícone que volte a abrir o banner em todas as páginas.

Os scanners automatizados fazem exatamente isto em grande escala e repetem-no após cada nova versão; é aí que justificam o seu preço. Compare os serviços que avaliamos na página de comparação.