01
O banner
Muitos sites mostram um banner de cookies com os botões «Aceitar» e «Rejeitar».
CONFORMIDADE DE COOKIES
O consentimento deve funcionar, não apenas aparecer.
Antes da escolha, ao aceitar, ao rejeitar e ao retirar.
01 / 08O banner
Um site pede autorização para usar cookies
O banner permite aceitar ou rejeitar. A questão é saber se o site respeita a escolha do visitante.
02 / 08Antes da escolha
O rastreio começa antes da resposta
O visitante ainda não clicou em nada e já há cookies de rastreio guardados no seu navegador.
03 / 08A rejeição
Rejeitar não muda nada
O visitante clica em «Rejeitar», o banner fecha-se e os cookies de rastreio continuam lá. O banner aparece, mas não funciona.
04 / 08A norma
O consentimento vem antes dos cookies
O artigo 5.º da Lei n.º 41/2004 exige o consentimento prévio e informado antes de usar cookies que não sejam necessários, e o RGPD determina que retirar o consentimento seja tão fácil como dá-lo.
05 / 08O teste
Três visitas limpas ao mesmo site
Abrimos o site em três sessões independentes, sem vestígios de visitas anteriores: uma para aceitar e depois retirar o consentimento, outra para rejeitar e outra para configurar.
06 / 08O inventário
Vigiamos o que aparece em cada passo
Antes da escolha, depois de cada ação e após recarregar a página, registamos os cookies, o armazenamento local e os pedidos de rede, e separamos os necessários dos de rastreio e dos que têm a finalidade por determinar.
07 / 08As evidências
Cada visita fica documentada
Guardamos capturas de ecrã, vídeo, registo de rede e cronologia de cada sessão, em ficheiros assinados que um terceiro pode verificar.
08 / 08O resultado
Constatações que se podem reproduzir
O relatório indica o que foi observado em cada passo, para que a sua equipa corrija o banner ou avalie um fornecedor. São evidências técnicas de uma visita concreta. Um terceiro pode verificá-las e repetir o teste; a sua qualificação jurídica cabe à autoridade competente, a um tribunal ou a um profissional.
O consentimento deve funcionar, não apenas aparecer.
Descrição de cada cena
- Um site pede autorização para usar cookies. Abre-se a página de um site qualquer e, na parte inferior, aparece o banner «Este site usa cookies» com dois botões do mesmo tamanho, «Aceitar» e «Rejeitar», unidos por um sinal de igual. À direita, uma bolacha trincada com um ponto de interrogação e a pergunta «A escolha é respeitada?».
- O rastreio começa antes da resposta. O banner continua aberto e o cursor não clicou em nenhum botão. À direita abre-se o painel «Cookies no navegador» e aparecem, um a um, três cookies: «ads_uid», «track_id» e «stats_id», cada um com a etiqueta vermelha «Rastreio». Três pontos vermelhos acendem-se na barra do navegador. Um contador vermelho indica «Antes da escolha» e «3 de rastreio», e uma linha do tempo situa «Rastreio em curso» antes de «Escolha pendente».
- Rejeitar não muda nada. O cursor clica em «Rejeitar» e o banner fecha-se. No painel «Cookies no navegador», os três cookies de rastreio permanecem, emoldurados a vermelho, e uma seta aponta para fora com a legenda «Pedidos a terceiros». Por baixo, dois cartões contrapostos, separados pelo sinal «diferente de»: «O que escolheu», com o botão «Rejeitar», e «O que acontece», com três cookies a vermelho.
- O consentimento vem antes dos cookies. Duas fichas: «Consentimento prévio», com a referência «Lei n.º 41/2004, art. 5.º», e «Retirar tão fácil como dar», com a referência «RGPD, art. 7.º». Por baixo, dois banners de exemplo: um com os botões «Aceitar» e «Rejeitar» do mesmo tamanho, com a nota «Opções iguais» e um visto; e outro com um botão «Aceitar» grande e um «Rejeitar» pequeno e pouco visível, com a nota «Rejeição escondida» e uma cruz.
- Três visitas limpas ao mesmo site. A página é carregada de novo com o seu banner e o farol da VigiaLabs projeta um feixe de luz sobre ela. À direita, três faixas, uma por sessão: «Aceitar e retirar», «Rejeitar» e «Configurar». Em cada uma, os pontos de controlo acendem-se um após o outro.
- Vigiamos o que aparece em cada passo. Uma linha de varrimento percorre a página sob a luz do farol. À direita preenche-se uma tabela com as colunas «Necessários», «Rastreio» e «Pendentes» e as linhas «Antes da escolha», «Após aceitar», «Após rejeitar» e «Após retirar». Cada linha mostra um cookie necessário e um pendente; há três de rastreio nas três primeiras linhas e nenhum após retirar. Os de rastreio de «Antes da escolha» e «Após rejeitar» ficam realçados a vermelho.
- Cada visita fica documentada. Umas marcas de canto enquadram a página e um flash assinala a captura. À direita abre-se uma pasta intitulada «Processo» com quatro evidências: «Captura», «Vídeo», «Registo de rede» e «Cronologia». Por baixo aparece o selo «Manifesto assinado», junto ao farol.
- Constatações que se podem reproduzir. Um documento intitulado «Relatório» mostra quatro linhas: «Antes da escolha», com uma cruz; «Após aceitar», com um visto; «Após rejeitar», com uma cruz; e «Após retirar», com um visto. Depois a página aparece corrigida: o cursor clica em «Rejeitar», o banner fecha-se, os pontos vermelhos da barra do navegador apagam-se e o painel «Cookies no navegador» conserva apenas «consent_choice», com a etiqueta «Necessário». O contador deixa de estar a vermelho e indica «Após rejeitar» e «0 de rastreio».
EM POUCAS PALAVRAS
Avisos de cookies que aparecem, mas não são respeitados.
Um banner permite rejeitar cookies, mas o site pode não respeitar a escolha. Revemos a informação e testamos o comportamento antes da decisão, após aceitar e após rejeitar, no âmbito do artigo 5.º da Lei n.º 41/2004 e do RGPD quando aplicável.
02
Antes da escolha
Em alguns, os cookies de rastreio são guardados antes de o visitante escolher.
03
A rejeição
Noutros, continuam lá mesmo que o visitante clique em «Rejeitar».
04
A norma
A lei exige a autorização do visitante antes de usar os cookies que não são necessários.
05
O teste
A VigiaLabs visita o site, testa cada botão e anota que cookies aparecem em cada passo.
06
As evidências
Guarda as provas em ficheiros assinados e entrega um relatório. Não é um certificado legal.
COMO SE VERIFICA
Quatro passos, da visita ao relatório.
Resultados reproduzíveis para ajudar as equipas técnicas e de privacidade a priorizar ajustes.
Momentos registados
- Antes da escolha
- Após aceitar
- Após rejeitar
- Após retirar
Evidências técnicas, não um certificado
São evidências técnicas de uma visita concreta. Um terceiro pode verificá-las e repetir o teste; a sua qualificação jurídica cabe à autoridade competente, a um tribunal ou a um profissional.
- 01
Três visitas limpas ao mesmo site
Abrimos o site em três sessões independentes, sem vestígios de visitas anteriores: uma para aceitar e depois retirar o consentimento, outra para rejeitar e outra para configurar.
- 02
Vigiamos o que aparece em cada passo
Antes da escolha, depois de cada ação e após recarregar a página, registamos os cookies, o armazenamento local e os pedidos de rede, e separamos os necessários dos de rastreio e dos que têm a finalidade por determinar.
- 03
Cada visita fica documentada
Guardamos capturas de ecrã, vídeo, registo de rede e cronologia de cada sessão, em ficheiros assinados que um terceiro pode verificar.
- 04
Constatações que se podem reproduzir
O relatório indica o que foi observado em cada passo, para que a sua equipa corrija o banner ou avalie um fornecedor.
Caso ilustrativoVL / CMP
O que escolheuEste site usa cookies
O que aconteceads_uidRastreiotrack_idRastreiostats_idRastreio
Cookies e RGPD
Ter uma CMP não garante a conformidade de cookies
Uma plataforma de gestão de consentimento (CMP) mostra o aviso de cookies, também chamado banner de cookies, e guarda a escolha do visitante. O respeito por essa escolha depende da forma como a plataforma está ligada a cada etiqueta, píxel e script do site.
Por isso, um site com CMP pode continuar a instalar cookies de rastreio antes de o visitante aceitar ou depois de rejeitar:
- 01etiquetas carregadas fora da CMP
- 02uma configuração predefinida que dá a autorização como concedida
- 03scripts de terceiros acrescentados depois da instalação
- 04cookies que não são eliminados quando o consentimento é retirado
O que ganhaA VigiaLabs não substitui uma CMP: verifica, em visitas separadas, se o site respeita a escolha do visitante. O relatório descreve o que foi observado; também não é um certificado de conformidade.
GLOSSÁRIO
Os termos e as fontes, à vista.
Cada caso é documentado com fontes e contexto. O âmbito é acordado por mercado; as referências desta página dizem respeito ao direito português.
- Cookie
- Pequeno ficheiro que um site guarda no navegador do visitante.
- Cookie de rastreio
- Cookie que serve para medir ou seguir a navegação, por exemplo para fins de publicidade.
- Cookie necessário
- Cookie indispensável para prestar o serviço que o visitante pede, como recordar a sua escolha no banner.
- Banner de cookies
- Mensagem que informa sobre os cookies e pede autorização para os usar.
- CMP
- Plataforma de gestão de consentimento: ferramenta que mostra o aviso de cookies e guarda a escolha do visitante.
- Sessão limpa
- Visita com um navegador sem cookies nem dados de visitas anteriores.
- Artigo 5.º da Lei n.º 41/2004
- Artigo da lei portuguesa sobre a privacidade nas comunicações eletrónicas que exige informar o visitante e obter o seu consentimento prévio antes de usar cookies que não sejam necessários.
- CNPD
- Comissão Nacional de Proteção de Dados, que fiscaliza o uso de cookies em Portugal.
- Manifesto assinado
- Lista dos ficheiros de um teste com a respetiva impressão digital e uma assinatura, para comprovar que não foram alterados.
PERGUNTAS FREQUENTES
Quem ignora o consentimento compete com vantagem.
Um site que continua a rastrear depois de uma rejeição mede e anuncia com dados que quem cumpre não tem. Verificá-lo e documentá-lo é o primeiro passo para competir em pé de igualdade.
Um concorrente instala cookies de rastreio sem consentimento. Como posso prová-lo?
Com um teste técnico que pode ser repetido. A VigiaLabs abre o site em três sessões limpas (aceitar e retirar, rejeitar e configurar) e regista os cookies, o armazenamento local e os pedidos de rede antes da escolha e depois de cada ação. O relatório indica o que foi observado em cada passo, com capturas de ecrã, vídeo e registo de rede em ficheiros assinados.
O que exige a lei dos cookies em Portugal?
O artigo 5.º da Lei n.º 41/2004 exige o consentimento prévio e informado antes de usar cookies que não sejam necessários, e o RGPD determina que retirar o consentimento seja tão fácil como dá-lo. A Comissão Nacional de Proteção de Dados (CNPD) fiscaliza o uso de cookies em Portugal e, numa nota informativa de 2021, indicou que os cookies para fins de analítica exigem consentimento.
O meu site já tem uma plataforma de gestão de consentimento (CMP). É preciso verificá-la?
Sim: ter uma CMP não garante a conformidade. A plataforma mostra o aviso de cookies e guarda a escolha do visitante, mas o respeito por essa escolha depende da forma como está ligada a cada etiqueta, píxel e script do site. Um site com CMP pode continuar a instalar cookies de rastreio antes de o visitante aceitar ou depois de rejeitar.
O serviço pode ser usado por uma associação de consumidores, um encarregado de proteção de dados ou uma equipa de privacidade?
Sim. Uma associação pode verificar os sites que os seus associados usam, como bancos, lojas ou serviços; um encarregado de proteção de dados ou uma equipa de privacidade, os da sua organização e os dos seus fornecedores. O método é o mesmo e o relatório descreve o que foi observado, para que quem de direito o avalie.
O relatório serve de prova perante a CNPD?
O relatório reúne evidências técnicas de uma visita concreta, que um terceiro pode verificar e cujo teste pode repetir. A sua qualificação jurídica cabe à autoridade competente, a um tribunal ou a um profissional: não é um certificado de conformidade nem uma decisão.
VAMOS OLHAR MAIS LONGE
Uma visão mais clara começa
com uma conversa.
Diga-nos o que pretende acompanhar. Juntos, definiremos um âmbito adequado ao seu negócio.
Vamos falar do seu projetocontact@vigialabs.ai
Uma conversa centrada nos seus objetivos, mercados e prioridades.