Cookies em Portugal: Lei 41/2004, RGPD e o papel da CNPD

O que diz a lei sobre cookies em Portugal?

Em Portugal, os cookies são regulados pelo artigo 5.º da Lei n.º 41/2004: guardar informação no equipamento do utilizador, ou aceder à que lá está, só é permitido com consentimento prévio, dado com base em informação clara e completa, sobretudo sobre as finalidades. Ficam de fora apenas os cookies técnicos necessários para transmitir uma comunicação ou para prestar um serviço que o utilizador pediu expressamente. A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade que fiscaliza estas regras.

A Lei n.º 41/2004 transpõe a Diretiva europeia 2002/58/CE, conhecida como diretiva ePrivacy, e foi alterada pela Lei n.º 46/2012, que introduziu a regra atual do consentimento prévio. Para quem mede um site com o Google Analytics 4 (GA4), anuncia no Google Ads ou usa o píxel da Meta, a consequência prática é simples: estas ferramentas só devem usar cookies depois de o visitante aceitar. Este artigo não constitui aconselhamento jurídico.

Lei 41/2004, RGPD e Lei 58/2019: que norma regula o quê

A Lei n.º 41/2004 é a norma especial para o acesso ao equipamento: decide quando é preciso consentimento. O Regulamento Geral sobre a Proteção de Dados (RGPD) define como deve ser esse consentimento: livre, específico, informado e inequívoco, dado por um ato positivo claro. A Lei n.º 58/2019 assegura a execução do RGPD em Portugal. O artigo 5.º da Lei n.º 41/2004 ainda remete para a antiga Lei de Proteção de Dados Pessoais, mas hoje essa remissão lê-se à luz do RGPD.

A regra não se limita aos cookies clássicos. Abrange qualquer armazenamento ou acesso no equipamento terminal: local storage, identificadores guardados por scripts e píxeles de rastreamento que leem ou gravam informação. Um píxel de conversão, por isso, está sujeito à mesma exigência de consentimento que um cookie.

→ Banner de cookies com Consent Mode v2: em conformidade, sem licença mensal

Que cookies precisam de consentimento?

O artigo 5.º, n.º 2, prevê duas exceções: o armazenamento técnico cuja única finalidade é transmitir uma comunicação numa rede de comunicações eletrónicas e o estritamente necessário para fornecer um serviço da sociedade da informação pedido expressamente pelo utilizador. Na prática, isto inclui o carrinho de compras, a sessão iniciada, a segurança ou a memória da escolha feita no banner. Tudo o resto precisa de consentimento.

Se um cookie tiver várias finalidades e alguma delas não estiver abrangida pelas exceções, precisa de consentimento. Um cookie que guarda o carrinho e ao mesmo tempo serve para publicidade não pode, por isso, ser usado sem consentimento. Por isso é boa prática usar um cookie diferente para cada finalidade e descrever todos, incluindo os técnicos, na política de cookies.

Como deve ser o banner de cookies?

A lei portuguesa não descreve o aspeto do banner, mas o consentimento tem de cumprir o RGPD e as Diretrizes 05/2020 do Comité Europeu para a Proteção de Dados (CEPD) sobre o consentimento. Em janeiro de 2023, o grupo de trabalho do CEPD sobre banners de cookies publicou um relatório com as posições comuns a que chegaram as autoridades de proteção de dados participantes sobre as práticas mais frequentes. Daí resultam pontos práticos:

• Uma opção de recusa na primeira camada, tão visível e fácil como a de aceitação.
• Nenhuma caixa de seleção pré-marcada para cookies não necessários.
• Continuar a navegar não conta como consentimento.
• Informação clara sobre finalidades e terceiros, com ligação para a política de cookies.
• Um acesso permanente para alterar ou retirar o consentimento, por exemplo no rodapé.

O ponto mais esquecido é a retirada do consentimento. Segundo o RGPD, retirar deve ser tão fácil como dar. Quem aceitou com um clique deve conseguir mudar de ideias com poucos cliques, sem enviar um e-mail nem apagar cookies à mão.

→ Configuração correta do Google Consent Mode v2: sem aviso no Tag Assistant

Qual é o papel da CNPD?

A CNPD é a autoridade de controlo portuguesa para a proteção de dados. Na redação dada pela Lei n.º 46/2012, a Lei n.º 41/2004 atribui-lhe a instauração e instrução dos processos de contraordenação e a aplicação de coimas por violação do artigo 5.º. Os utilizadores podem apresentar queixa à CNPD quando um site usa cookies sem consentimento ou não permite recusá-los.

Além do risco de uma coima, uma configuração errada tem custos práticos. Se os dados do GA4 ou as conversões do Google Ads forem recolhidos sem consentimento válido, é preciso corrigir a configuração e explicar porque é que os números mudam de repente. Rever o banner e as etiquetas ao mesmo tempo evita esse trabalho duplicado.

O que significa para o Google Analytics, o Google Ads e a Meta

No Google Tag Manager, a lei traduz-se em três regras. Nenhuma etiqueta de análise ou publicidade é acionada antes da decisão do visitante. Se o visitante recusar, essas etiquetas continuam bloqueadas nas páginas seguintes. Se aceitar, carregam logo, sem esperar por um novo clique, para não perder a primeira página vista nem a conversão. O Google Consent Mode v2 ajuda nas etiquetas da Google, porque lhes comunica a decisão através de sinais como analytics_storage e ad_storage. As etiquetas da Meta, do LinkedIn ou do TikTok precisam de regras de consentimento próprias.

Exemplo: uma loja online em Braga

Uma loja de produtos regionais em Braga vende com WooCommerce e anuncia no Google Ads e na Meta. O banner tinha um botão «Aceitar» grande e um link discreto «Definições». Na verificação, a equipa encontrou dois problemas: não havia recusa na primeira camada e o píxel da Meta carregava antes de qualquer decisão, porque estava colado no tema. A solução foi acrescentar um botão «Recusar» igual ao de aceitação, passar o píxel para o Google Tag Manager com a condição de consentimento e testar três cenários: sem resposta, recusar e aceitar.

Para saber o que o seu site carrega em cada cenário, o check gratuito da Trackum (trackum.app/check) abre a página três vezes num navegador real, sem responder ao banner, a recusar e a aceitar, e mostra que etiquetas e cookies carregam em cada visita. É gratuito, sem registo, e demora cerca de dois minutos. Se houver falhas, a Trackum corrige-as no seu Google Tag Manager por 79 € (acresce IVA), com testes e um relatório curto.