Como escrever uma política de cookies: guia passo a passo + modelo

O banner de cookies é a parte que toda a gente vê, por isso é ele que recebe a maior parte da atenção. A política de cookies — o documento para o qual o banner remete — é normalmente improvisada em cinco minutos, copiando a de outro site. E, no entanto, a política é a primeira coisa que uma autoridade de proteção de dados abre durante uma inspeção. A boa notícia: escrever uma como deve ser não é difícil. Neste guia explicamos o que uma política de cookies deve conter, como construí-la passo a passo a partir de uma estrutura de modelo e como mantê-la atualizada sem a reescrever à mão todos os meses.

O que é uma política de cookies e porque precisa de uma

Uma política de cookies é uma página acessível ao público que informa os visitantes sobre quais os cookies e tecnologias semelhantes que o seu site armazena, para que servem, quanto tempo permanecem no browser e como o consentimento pode ser retirado.

A obrigação não decorre de uma única disposição, mas da combinação de três diplomas legais:

• RGPD (artigos 12.º e 13.º) — se os cookies tratam dados pessoais (e os reguladores tratam identificadores como _ga ou _fbp como dados pessoais), deve informar sobre o tratamento de forma transparente.
• Implementações nacionais da ePrivacy — em toda a UE, armazenar cookies exige consentimento opt-in, com exceção dos estritamente necessários. O consentimento só é válido quando é informado — e é a política que fornece essa informação.
• A Diretiva ePrivacy — a base europeia sobre a qual assentam as regras nacionais.

Na prática, tudo se resume a uma coisa: sem política de cookies não há consentimento válido. Um banner de cookies que remete para uma página vazia ou inexistente recolhe consentimentos que não sobreviveriam a uma inspeção.

Política de cookies vs. política de privacidade

Dois documentos que até proprietários de sites experientes confundem:

• A política de privacidade cobre todo o tratamento de dados pessoais — encomendas, newsletters, faturação, reclamações, videovigilância.
• A política de cookies trata exclusivamente de cookies e tecnologias semelhantes: localStorage, pixels de rastreamento, SDKs de terceiros.

Pode fundi-las num único documento, mas desaconselhamos. Os cookies mudam com muito mais frequência do que o resto do seu tratamento — cada nova ferramenta de marketing traz os seus. Uma página autónoma é mais fácil de manter atualizada, e o banner de cookies pode apontar diretamente para ela em vez de remeter para a página dez de um romance sobre privacidade.

O que uma política de cookies deve conter

Uma checklist dos elementos obrigatórios que não podem faltar em nenhum documento final:

• Quem é o responsável pelo tratamento — nome da empresa, número de registo e dados de contacto.
• O que são cookies — duas ou três frases em linguagem simples.
• Que cookies o site realmente utiliza — uma tabela com o nome do cookie, fornecedor, finalidade, validade e categoria. Este é o núcleo de todo o documento e a parte que falta com mais frequência.
• Categorias de cookies — necessários, preferências, analíticos, marketing — e para que serve cada uma.
• Base jurídica — os cookies estritamente necessários funcionam sem consentimento; todos os outros exigem-no.
• Terceiros e transferências para fora da UE — Google, Meta, Hotjar e companhia, incluindo informação sobre transferências de dados para países terceiros.
• Como retirar o consentimento — um procedimento concreto, idealmente um link ou botão que reabra o banner de cookies.
• Como gerir cookies no browser — links para as páginas de ajuda do Chrome, Firefox, Safari e Edge.
• Data da última atualização — sem ela, ninguém (nem sequer quem o escreveu) consegue saber se o documento ainda corresponde à realidade.

Como escrever uma política de cookies passo a passo

Passo 1: Descubra que cookies o seu site realmente utiliza

O erro mais comum é escrever a política de memória, com base no que julga que corre no site. A realidade costuma ser diferente — um programador adicionou o Hotjar em tempos, o plugin de avaliações trouxe o seu próprio rastreamento e o vídeo do YouTube incorporado também define cookies. Abra o site numa janela anónima com as DevTools (separador Application, secção Cookies), ou poupe-se ao trabalho com um scanner automático de cookies. Cobrimos todo o processo em Auditoria de cookies: como descobrir que cookies utiliza.

Passo 2: Organize os cookies em categorias

O padrão são quatro categorias: necessários (login, carrinho, armazenamento do próprio consentimento), preferências (idioma, moeda), analíticos (Google Analytics, Matomo) e marketing (Google Ads, Meta Pixel). Importante: o seu banner de cookies deve usar as mesmas categorias. Se o banner oferece três categorias e a política descreve quatro, o consentimento não corresponde à documentação.

Passo 3: Construa a tabela de cookies

Para cada cookie, indique cinco coisas: nome, fornecedor, finalidade, validade e categoria. Um exemplo de linha: cookie _ga, fornecedor Google Analytics, finalidade distinguir visitantes para estatísticas de tráfego, validade 2 anos, categoria analíticos. Parece tedioso — e à mão é mesmo, sobretudo com trinta cookies no site. É por isso que o Consentio gera esta parte automaticamente a partir dos resultados do scan.

Passo 4: Descreva como retirar o consentimento

O artigo 7.º, n.º 3, do RGPD diz que retirar o consentimento deve ser tão fácil como dá-lo. Na prática, a política precisa de uma frase como "Pode alterar as suas definições de cookies a qualquer momento clicando no botão Definições de cookies" — e esse botão tem de existir mesmo, tipicamente no rodapé do site.

Passo 5: Ligue a política ao banner de cookies

O banner remete para a política, a política remete para as definições do banner. O ciclo fecha-se e os visitantes conseguem chegar onde precisam a partir de qualquer um dos lados. O aspeto que o próprio banner deve ter é abordado em Banner de cookies: como configurá-lo corretamente segundo o RGPD.

Uma estrutura de modelo para a sua política de cookies

Se está a começar de uma página em branco, este esquema cobre tudo o que importa:

1. Quem somos — identificação do responsável pelo tratamento e dados de contacto
2. O que são cookies e porque os utilizamos
3. Que categorias de cookies distinguimos
4. Tabela de cookies específicos (nome, fornecedor, finalidade, validade, categoria)
5. Quem mais tem acesso aos cookies (terceiros, transferências para fora da UE)
6. Como dar e retirar o consentimento
7. Como bloquear ou eliminar cookies no browser
8. Data da última atualização

Os erros mais comuns nas políticas de cookies

1. Um documento copiado de outro site. Descreve cookies que não tem e não diz nada sobre os que tem. Durante uma inspeção, fica pior do que não ter documento nenhum — prova que não tem qualquer visão geral do seu próprio tratamento.
2. Falta a tabela de cookies específicos. Um genérico "utilizamos cookies analíticos e de marketing" não cumpre o requisito de transparência. Os reguladores querem ver cookies concretos com validades.
3. A política e o banner não coincidem. O banner menciona categorias ou ferramentas diferentes das do documento. Tipicamente depois de o marketing ter adicionado um novo pixel sem que ninguém atualizasse a política.
4. Um link morto a partir do banner. O site foi redesenhado, a página da política mudou de URL e o link do banner passou a dar um 404. Consentimento recolhido sem informação acessível é inválido.
5. O documento foi escrito uma vez e ficou um ano sem ser tocado. Um site médio adiciona ou altera cookies várias vezes por ano — com cada nova ferramenta, plugin ou campanha.

Como manter a política atualizada sem trabalho manual

Uma política de cookies não é um documento que se escreve uma vez. É documentação viva do seu site — e as atualizações manuais são exatamente o tipo de trabalho que fica sempre esquecido.

Foi por isso que criámos o gerador de política de cookies do Consentio, que monta o documento automaticamente a partir de scans regulares do seu site: a tabela de cookies, as categorias, as validades e os terceiros preenchem-se sozinhos e regeneram-se a cada alteração. Só tem de colocar o link no banner e no rodapé. Em conjunto com o scanner e o banner de cookies, toda a configuração demora poucos minutos — o plano gratuito chega perfeitamente. E se quiser ter a certeza de que tudo o resto também está coberto, percorra a nossa checklist de conformidade RGPD para cookies.