Atualização: em fevereiro de 2025 a Comissão Europeia retirou a sua proposta de Regulamento ePrivacy. A retirada consta do anexo IV do programa de trabalho da Comissão para 2025, com a explicação de que não era previsível qualquer acordo. Para os cookies, isto significa que a Diretiva ePrivacy de 2002 e as suas transposições nacionais continuam em vigor, e que o RGPD continua a reger os dados pessoais recolhidos através de cookies. Mantivemos este artigo como registo do que a proposta teria mudado, porque as suas ideias principais (consentimento ao nível do navegador, isenção para a analítica própria, regras para os cookie walls) continuam a reaparecer nas orientações das autoridades e nas decisões dos tribunais.

A história: da diretiva a um regulamento que nunca chegou

A história da legislação ePrivacy na Europa começa muito antes do RGPD. Em 2002 a União Europeia adotou a Diretiva ePrivacy (Diretiva 2002/58/CE), também conhecida como diretiva relativa à privacidade e às comunicações eletrónicas. Estabeleceu regras para o tratamento de dados pessoais no setor das comunicações eletrónicas: confidencialidade das comunicações, dados de tráfego e de localização, identificação da linha chamadora e marketing não solicitado. Descrevemo-la em detalhe na nossa página sobre a Diretiva ePrivacy.

Em 2009 a diretiva foi alterada pela chamada Diretiva dos Cookies (Diretiva 2009/136/CE), que introduziu a obrigação de obter consentimento informado antes de armazenar ou ler informações no dispositivo do utilizador: o fundamento jurídico dos banners de cookies que vemos hoje. Por ser uma diretiva e não um regulamento, cada Estado-Membro transpô-la de forma diferente. Alguns adotaram regras estritas de opt-in, outros admitiram o consentimento implícito, e a aplicação variou de país para país.

Este mosaico criou confusão para as empresas transfronteiriças e uma proteção desigual dos consumidores. Em janeiro de 2017 a Comissão Europeia propôs substituir a diretiva por um regulamento diretamente aplicável em todos os Estados-Membros. O plano original era que se aplicasse a partir de 25 de maio de 2018, juntamente com o RGPD.

Isso não aconteceu. A proposta tornou-se um dos dossiês mais disputados da história da UE, com o lobbying da indústria publicitária, das empresas de telecomunicações e dos editores de um lado, e dos defensores da privacidade e das organizações de consumidores do outro. O Conselho acordou o seu mandato de negociação em fevereiro de 2021, mas os trílogos que se seguiram não produziram acordo. Em fevereiro de 2025 a Comissão retirou a proposta no seu programa de trabalho para 2025, invocando a ausência de acordo previsível e uma proposta desatualizada face à legislação mais recente.

Diretiva vs. regulamento: porque a distinção importava

A diferença entre uma diretiva e um regulamento da UE não é apenas burocrática:

  • Uma diretiva fixa objetivos que os Estados-Membros devem atingir, mas deixa a cada país a decisão sobre como os transpor. O resultado são 27 transposições nacionais, cada uma com as suas nuances, mecanismos de aplicação e sanções.
  • Um regulamento aplica-se diretamente em todos os Estados-Membros a partir da entrada em vigor. Não há fase de transposição e as regras são iguais em todo o lado.

Com a Diretiva ePrivacy, as regras sobre cookies continuam a diferir de país para país. Em França, a CNIL publicou orientações detalhadas e aplica ativamente o consentimento de cookies. Na Alemanha a aplicação é mais fragmentada devido à estrutura federal das autoridades. Na República Checa, a ÚOOÚ tem uma postura um pouco menos agressiva. O regulamento teria eliminado estas diferenças. Com a proposta retirada, elas mantêm-se, e a resposta prática para um site continua a ser o direito nacional dos países a que se dirige.

Em que difere o ePrivacy do RGPD

O RGPD e o ePrivacy são instrumentos complementares, não alternativos. Cobrem terrenos diferentes que se sobrepõem:

  • O RGPD é um regulamento geral que se aplica a todo o tratamento de dados pessoais, seja qual for o meio. O nosso guia RGPD cobre o essencial.
  • O ePrivacy é direito setorial (lex specialis) para as comunicações eletrónicas. Cobre a confidencialidade das comunicações e dos metadados, a utilização de cookies e tecnologias semelhantes, o marketing direto por e-mail e mensagens, e o tratamento de dados de tráfego e localização pelos operadores.

Na hierarquia do direito da UE, o ePrivacy prevalece sobre o RGPD nas matérias que regula especificamente. Isso é verdade hoje para a diretiva e tê-lo-ia sido para o regulamento: as regras sobre quando é necessário consentimento para colocar cookies vêm do ePrivacy, enquanto o RGPD rege o que acontece depois aos dados pessoais. O Tribunal de Justiça confirmou esta repartição no acórdão Planet49 (C-673/17).

O que o Regulamento ePrivacy teria mudado para os cookies

A proposta da Comissão e as posições do Conselho adotadas entre 2017 e 2021 dão uma imagem clara do que estava em cima da mesa:

1. Definições de consentimento ao nível do navegador

Uma das propostas mais significativas era a gestão do consentimento ao nível do navegador. Em vez de encontrar um banner em cada site, os utilizadores teriam definido uma vez as suas preferências no navegador, e os sites tê-las-iam lido e respeitado. O conceito, por vezes chamado Do Not Track 2.0 ou Advanced Data Protection Control, teria reduzido a fadiga dos banners e dado aos utilizadores um controlo persistente.

Os detalhes nunca foram fechados: que navegadores implementariam essas definições, que granularidade teriam as preferências (tudo ou nada ou finalidade a finalidade) e o que aconteceria com navegadores sem a função. Alguns textos tratavam as definições do navegador como consentimento válido; outros mantinham os banners dos sites como alternativa.

2. Cookie walls e modelos "pagar ou consentir"

As propostas abordavam a prática controversa dos cookie walls, em que um site bloqueia o acesso ao conteúdo até o utilizador aceitar todos os cookies. Ao abrigo do RGPD a sua legalidade é debatida, e algumas autoridades consideram-nos uma violação do requisito de consentimento livre. O regulamento poderia ter clarificado a situação ao permitir um acesso condicionado em circunstâncias específicas.

O modelo "pagar ou consentir", em que o utilizador escolhe entre aceitar cookies publicitários ou pagar uma subscrição, foi parcialmente aceite por algumas autoridades (a DSB austríaca e a CNIL francesa publicaram orientações segundo as quais pode ser admissível em certas condições). Do regulamento esperavam-se regras mais claras, provavelmente exigindo que a alternativa ao consentimento fosse razoável, não excessiva e claramente comunicada. Sem ele, autoridades e tribunais decidem caso a caso.

3. Isenções para a analítica própria (first-party)

A mudança mais bem-vinda para os operadores de sites teria sido uma isenção de consentimento para certas categorias de cookies. Segundo as propostas, os seguintes cookies não teriam exigido consentimento:

  • Cookies estritamente necessários a um serviço pedido pelo utilizador (já previsto na diretiva)
  • Cookies de analítica própria usados apenas para medir a audiência de um site, desde que os dados não sejam partilhados com terceiros nem usados para definição de perfis
  • Cookies que memorizam as preferências do utilizador (idioma, acessibilidade) durante uma sessão
  • Cookies usados para detetar e prevenir fraudes ou ameaças à segurança

A isenção para a analítica própria teria sido relevante. Ferramentas como o Matomo ou o Plausible em modo first-party poderiam ter funcionado sem consentimento; o Google Analytics provavelmente não se qualificaria, porque partilha dados com a Google. A isenção nunca chegou, pelo que os cookies analíticos continuam a exigir consentimento. Comparamos as alternativas no artigo analítica sem cookies.

4. Regras para tecnologias de rastreamento além dos cookies

O regulamento teria coberto explicitamente todas as formas de rastreamento, incluindo:

  • Fingerprinting do navegador
  • Píxeis de rastreamento e web beacons
  • Armazenamento local (localStorage, sessionStorage, IndexedDB)
  • Fingerprinting de dispositivos em aplicações móveis
  • Rastreamento ultrassónico entre dispositivos

Na prática, isto mudava menos do que parece. O artigo 5.º, n.º 3, da diretiva atual já fala de armazenar informações ou obter acesso a informações armazenadas no equipamento terminal do utilizador, e as autoridades aplicam-no hoje ao armazenamento local, aos píxeis e ao fingerprinting.

5. Aplicação direta e coimas

Tal como o RGPD, o regulamento teria estabelecido um mecanismo de aplicação direta com uma estrutura de coimas de dois níveis:

  • Nível inferior: até 10 milhões de euros ou 2% do volume de negócios anual mundial para infrações menos graves
  • Nível superior: até 20 milhões de euros ou 4% do volume de negócios anual mundial para as infrações mais graves, incluindo a falta de consentimento válido para cookies e tecnologias de rastreamento

Hoje as sanções por infrações relativas a cookies continuam a variar entre Estados-Membros. Quando estão em causa dados pessoais, as autoridades aplicam coimas ao abrigo do RGPD; caso contrário, apoiam-se na transposição nacional da diretiva, cujos máximos são muitas vezes modestos.

O que se aplica agora

  • A Diretiva ePrivacy 2002/58/CE, artigo 5.º, n.º 3, através do direito nacional: armazenar ou ler informações no dispositivo do utilizador exige consentimento, exceto quando estritamente necessário para um serviço pedido pelo utilizador.
  • O RGPD para os dados pessoais recolhidos através de cookies. O consentimento deve cumprir os artigos 4.º, n.º 11, e 7.º, tal como interpretados nas Orientações 05/2020 do CEPD.
  • O acórdão Planet49 do TJUE (C-673/17): uma caixa pré-assinalada não é consentimento, haja ou não dados pessoais envolvidos.
  • O Regulamento dos Mercados Digitais (DMA) para os controladores de acesso, ao qual a Google associou o seu requisito de Consent Mode v2.

O que isto significa para o seu site

  • Continue a cumprir as regras atuais. Nada foi aliviado: consentimento antes dos cookies não essenciais, recusar tão fácil como aceitar, uma política de cookies. A lista passo a passo está na nossa lista de verificação de cookies.
  • Audite todas as tecnologias de rastreamento, incluindo localStorage, píxeis e scripts de fingerprinting; a diretiva cobre-as todas. O scanner de cookies automático faz isso por si.
  • Reveja o marketing direto. As regras nacionais sobre e-mail marketing mantêm-se; garanta um consentimento claro e uma anulação de subscrição que funcione.
  • Considere uma analítica orientada para a privacidade. A isenção first-party nunca chegou, mas as ferramentas sem cookies não precisam de consentimento desde que nada armazenem no dispositivo.
  • Acompanhe o CEPD e a sua autoridade nacional. A regulação dos cookies avança agora por orientações e decisões, não por uma nova lei.

O Consentio mantém o seu banner alinhado com as regras que se aplicam hoje: RGPD, Diretiva ePrivacy e as suas transposições nacionais. Se as regras mudarem, refletimos isso no banner por si.

Fontes