O que deve abranger uma verificação de conformidade de websites na UE

«O nosso website está conforme?» parece uma única pergunta. Na UE são pelo menos seis, regidas por atos jurídicos diferentes, com entidades de fiscalização diferentes: as autoridades de proteção de dados para cookies e avisos de privacidade, os organismos de defesa do consumidor para a informação das lojas e as autoridades de fiscalização do mercado para a acessibilidade. Uma boa verificação de conformidade, quer a faça por si, quer adquira um scanner, deve abranger todas elas e indicar-lhe de que regra decorre cada constatação.

1. Cookies, armazenamento e consentimento

O artigo 5.º, n.º 3, da Diretiva ePrivacy exige consentimento antes de se armazenar informação no dispositivo de um visitante, ou de se aceder a ela, salvo se for estritamente necessário para o serviço expressamente pedido pelo visitante. A regra abrange os cookies, mas também o armazenamento local, os píxeis e as técnicas de fingerprinting. O padrão de consentimento é o do RGPD: livre, específico, informado e inequívoco (artigos 4.º, ponto 11, e 7.º do RGPD).

Uma verificação deve, por isso:

• carregar o site num navegador limpo sem qualquer interação e registar todos os cookies, entradas de armazenamento e pedidos de rede que surjam antes de qualquer escolha;
• repetir a visita depois de clicar em «Rejeitar» e confirmar que os rastreadores não essenciais se mantêm desligados;
• verificar que rejeitar é tão fácil como aceitar, que nenhuma opção está pré-selecionada e que o consentimento pode ser retirado tão facilmente como foi dado (artigo 7.º, n.º 3, do RGPD);
• comparar o que o banner e a lista de cookies afirmam com o que é efetivamente carregado.

O nosso guia específico, Consentimento de cookies: o que exigem as regras ePrivacy, entra nos pormenores.

2. Pedidos a terceiros e transferências de dados

Cada tipo de letra, vídeo, mapa, widget de chat ou etiqueta de análise incorporado envia o endereço IP e os dados do navegador do visitante para outra empresa. Nos termos do RGPD, trata-se de uma transmissão de dados pessoais que necessita de uma base jurídica (artigo 6.º) e, se o destinatário estiver fora do EEE, de um mecanismo de transferência ao abrigo do Capítulo V. O Tribunal de Justiça declarou no acórdão Fashion ID (C-40/17) que o operador de um site que incorpora um plugin de terceiros pode ser responsável conjunto pela recolha e transmissão dos dados dos visitantes.

Um scanner deve listar cada anfitrião de terceiros que a página contacta, quando o contacta (antes ou depois do consentimento) e, idealmente, onde o destinatário está estabelecido. Alojar tipos de letra e scripts no próprio servidor é a correção mais simples para muitas constatações.

3. O aviso de privacidade

Os artigos 13.º e 14.º do RGPD enumeram o que deve ser comunicado aos visitantes: quem é o responsável pelo tratamento e como contactá-lo (e o encarregado da proteção de dados, se tiver sido designado), as finalidades e bases jurídicas de cada atividade de tratamento, os destinatários, as transferências para fora do EEE, os prazos de conservação, os direitos dos titulares dos dados, o direito de apresentar reclamação a uma autoridade de controlo e se é utilizada decisão automatizada. O artigo 12.º acrescenta que a informação deve ser concisa, transparente e de fácil acesso.

As ferramentas automatizadas podem confirmar que existe um aviso, que está ligado a partir de todas as páginas e que menciona os elementos exigidos. Saber se o conteúdo corresponde ao que o site realmente faz é a parte mais importante, e a parte que um scanner só consegue aproximar comparando o aviso com os rastreadores que encontrou.

4. Identificação do prestador («informação legal»)

O artigo 5.º da Diretiva Comércio Eletrónico obriga qualquer serviço da sociedade da informação a tornar determinados dados «acessíveis de forma fácil, direta e permanente»: o nome do prestador, o endereço geográfico, os contactos, incluindo um endereço de correio eletrónico, a inscrição e o número no registo comercial, o número de identificação para efeitos de IVA e, se for o caso, a autoridade de supervisão ou as regras profissionais aplicáveis. Vários Estados-Membros aplicam esta regra sob a forma de uma página própria de informação legal (o § 5 DDG na Alemanha, o § 5 ECG na Áustria, a Lei n.º 22/2004 Coll. na Eslováquia).

Uma verificação deve confirmar que a página existe, que está acessível a um ou dois cliques de qualquer página e que contém cada elemento. Mais pormenores: Informação legal e deveres de informação do direito do consumidor para lojas online na UE.

5. Informação do direito do consumidor para lojas

Se o site vende a consumidores, a Diretiva Direitos dos Consumidores acrescenta a informação pré-contratual (artigo 6.º), a redação do botão de encomenda (artigo 8.º, n.º 2) e o direito de livre resolução de 14 dias (artigo 9.º). Desde a Diretiva Omnibus 2019/2161, as lojas têm também de explicar como é determinada a classificação dos produtos, indicar se e como verificam as avaliações dos consumidores e mostrar o preço anterior quando anunciam uma redução (Diretiva Indicação de Preços, artigo 6.º-A).

6. Acessibilidade

Desde 28 de junho de 2025, o Ato Europeu da Acessibilidade aplica-se ao comércio eletrónico dirigido a consumidores e a vários outros serviços. Na prática, isto significa cumprir os requisitos web da norma EN 301 549, que remete para as WCAG 2.1 nível AA. Os testes automatizados detetam com fiabilidade a falta de texto alternativo, o contraste insuficiente, campos de formulário sem rótulo e a falta de atributos de idioma; a utilização por teclado e o percurso com leitor de ecrã continuam a exigir testes manuais. Veja Acessibilidade (EAA 2025) para websites.

Uma lista de verificação numa página

O que nenhum scanner consegue ver

Os registos das atividades de tratamento (artigo 30.º do RGPD), os contratos com subcontratantes (artigo 28.º), as avaliações de impacto sobre a proteção de dados (artigo 35.º), o rastreamento do lado do servidor e o que acontece em áreas com sessão iniciada são invisíveis para um crawler. Uma análise é o melhor primeiro passo e um excelente teste de regressão; não é uma auditoria completa. O nosso guia O que os scanners automatizados de conformidade conseguem e não conseguem verificar explica onde passa a fronteira.