Proposta europeia sobre consentimento de cookies: o que muda

Pontos-chave

• O Conselho propõe a recusa com um único clique (ou equivalente) e um intervalo de, pelo menos, quatro meses antes de solicitar novamente o consentimento para o mesmo fim após uma recusa. [2]
• As exceções propostas para a medição de audiências têm condições específicas; não isentam todas as ferramentas de análise ou publicidade. [2]
• A Data Protection Commission (DPC) da Irlanda continua a afirmar que os cookies analíticos requerem consentimento. As empresas devem testar a conformidade atual e não implementar uma proposta precocemente. [3][4]

O que diz realmente a proposta dos quatro meses

O mandato do Conselho, publicado com o anúncio atualizado em 22 de outubro, permitiria aos utilizadores recusar um pedido de consentimento de forma fácil e inteligível através de um botão de clique único ou meio equivalente. Em caso de recusa, o fornecedor não deve solicitar novamente para o mesmo fim durante, pelo menos, quatro meses. Nos casos em que o consentimento é dado, este não deve ser solicitado novamente para esse fim durante o período em que possa ser legalmente invocado. [2]

Os detalhes são importantes. Esta não é uma data de validade universal de quatro meses para todos os cookies. Também não significa que um website possa ignorar uma alteração posterior de preferência. Aborda pedidos repetidos para o mesmo fim. O mandato contempla ainda um período posterior de implementação nacional; ninguém deve descrever o anúncio de outubro como uma mudança imediata na lei irlandesa. [2]

Um cookie é um pequeno fragmento de informação armazenado num dispositivo. Alguns suportam funções que uma pessoa efetivamente solicitou; outros ajudam a medir a atividade ou a direcionar publicidade. Classificá-los a todos como "essenciais" apenas por serem úteis para um negócio não torna essa classificação correta. [4]

Uma mão segura um telemóvel ao lado de uma chávena de café; o ecrã está ilegível. Ilustração editorial gerada por IA; não é uma fotografia de um evento nomeado ou de um participante de investigação.

A medição não é uma isenção generalizada

O rascunho contém diferentes disposições de medição. Uma disposição de medição de audiências exige que os dados sejam pseudonimizados após a recolha, limita a reutilização e o rastreio fora do serviço medido ou do conteúdo mediático, e restringe a partilha de dados pessoais. A pseudonimização não é o mesmo que a anonimização irreversível. Descrever a proposta europeia sobre consentimento de cookies na sua totalidade como uma isenção para "análises anónimas" ignoraria condições importantes. [2]

Outra disposição diz respeito à medição de publicidade contextual: publicidade selecionada a partir do conteúdo imediato ou de uma única consulta de pesquisa, em vez de um perfil de atividade passada ou futura. As suas condições restringem a criação de perfis e outras utilizações. Uma empresa não pode simplesmente renomear a publicidade comportamental como "contextual" e assumir que esta se enquadra na proposta. [2]

A distinção prática reside entre perguntar qual o desempenho de uma página específica e montar um quadro contínuo da atividade de uma pessoa identificável. O facto de uma ferramenta específica cumprir uma futura exceção dependerá do que ela realmente faz, e não do texto na sua página de vendas. Estas disposições continuam a ser propostas, não uma aprovação de conformidade pronta a usar para um produto de software.

O que as empresas irlandesas devem fazer agora

A orientação atual da DPC responde "sim" à questão de saber se os cookies analíticos precisam de consentimento, inclusive na sua discussão sobre análises de primeira parte (first-party). Identifica exceções estreitas para funções estritamente necessárias solicitadas pelo utilizador e para a transmissão de uma comunicação. Afirma que os cookies de publicidade direcionada e de rastreio de conversão não estão isentos. [3][4]

A DPC alerta também que caixas pré-selecionadas ou botões de alternância não produzem um consentimento válido. Um link genérico para a explicação de cookies de terceiros não substitui a explicação do próprio operador sobre a sua utilização. As pessoas devem poder retirar ou alterar o consentimento, e a retirada deve ser tão fácil quanto a concessão. [4][5]

É por isso que mudar um botão não é suficiente. Um banner de consentimento é a interface; os scripts que correm por trás determinam se a escolha do visitante é respeitada. Uma empresa deve saber quais as ferramentas que carregam antes de uma decisão, quais carregam após a recusa e o que para após a retirada.

Três colegas discutem um computador portátil num espaço de trabalho luminoso. Ilustração editorial gerada por IA; não é uma fotografia de um evento nomeado ou de um participante de investigação.

Uma auditoria prática sem esperar por nova legislação

Tomemos como exemplo ilustrativo uma padaria em Dublim que utilize um widget de reserva, um contador de tráfego e um píxel publicitário. O proprietário deve pedir ao programador para documentar a finalidade de cada ferramenta, os destinatários dos dados, a retenção e o comportamento do consentimento. Não se deve assumir que a função de reserva e o píxel de marketing necessitam de tratamento idêntico. Este é um exemplo hipotético, não uma auditoria a uma empresa nomeada.

Depois, teste o site como um novo visitante que recusa o rastreio opcional. Repita no telemóvel e após retirar um acordo anterior. Verifique se a política descreve as ferramentas reais e se a recusa não se torna silenciosamente em consentimento noutro local da interface. Mantenha um registo do teste e obtenha aconselhamento qualificado para casos incertos. [4][5]

Para criadores e empresas mais pequenas, menos pedidos intrusivos poderiam ser úteis. Mas medir o sucesso apenas pelo número de pessoas que carregam em "aceitar" recompensa o resultado errado. O melhor teste é saber se as pessoas compreendem a escolha e se o site a honra.

Um lojista conversa com um cliente num balcão. Ilustração editorial gerada por IA; não é uma fotografia de um evento nomeado ou de um participante de investigação.

Escolhas mais simples ainda exigem responsabilidade

A ênfase do Safegram (uma rede social focada na privacidade e mercado verificado) na privacidade e no controlo do utilizador é relevante para este princípio: uma promessa de privacidade deve ser julgada pela experiência de alguém que diz não, e não apenas por um título. Este é um padrão de design a aplicar também ao Safegram, não uma alegação de que a sua tecnologia foi auditada independentemente ou que nunca utiliza uma ferramenta específica.

O Conselho afirma que as negociações com o Parlamento Europeu são o passo seguinte. Leitores de outros locais não devem tratar a proposta da UE ou as orientações do regulador irlandês como uma alteração automática à lei do Reino Unido, EUA, Brasil ou outra legislação nacional. Mesmo dentro da Europa, uma implementação específica deve ser verificada face às regras aplicáveis e ao eventual texto final. [1]

A próxima ação útil está disponível agora: teste uma recusa real e uma retirada no seu website. Para informações sobre o Safegram, visite safegram.com (https://safegram.com/). Esta é uma análise editorial geral, não um aconselhamento jurídico individual ou um certificado de conformidade.

Perguntas frequentes

A UE aboliu os banners de cookies em outubro de 2026?

Não. O Conselho acordou uma posição de negociação, não uma lei final que abole os banners. As obrigações existentes continuam a aplicar-se. [1]

O que significa o período de quatro meses proposto?

Após recusar um pedido, uma pessoa não deve ser questionada novamente para o mesmo fim durante, pelo menos, quatro meses, segundo o texto do Conselho. Ainda não é uma nova regra irlandesa. [2]

Os sites irlandeses podem agora definir cookies analíticos sem consentimento?

Não devido a esta proposta. As orientações atuais da DPC indicam que os cookies analíticos requerem consentimento. As exceções propostas ainda não substituíram essas orientações. [3]

A informação pseudonimizada é anónima?

Não necessariamente. A substituição de identificadores não remove por si só a possibilidade de ligar a informação a uma pessoa. As condições de medição do rascunho não devem ser reduzidas à alegação de que todas as análises são anónimas. [2]

O que é a publicidade contextual?

Publicidade baseada no conteúdo que está a ser visualizado ou numa consulta específica, em vez de um perfil das atividades de uma pessoa. A exceção de medição proposta contém restrições adicionais. [2]

O que deve uma empresa mudar imediatamente?

Corrigir problemas atuais de conformidade: identificar rastreadores reais, remover consentimentos pré-selecionados inválidos, explicar as finalidades e fornecer uma via fácil de retirada. Não ative isenções propostas antes de estas se tornarem aplicáveis. [3][4][5]