A barra de cookies (cookie banner) é a parte de um site que informa o visitante sobre cookies e tecnologias semelhantes e lhe permite conceder, recusar ou ajustar o consentimento para o seu armazenamento por categoria. Na República Checa é exigida pelo artigo 89.º, n.º 3, da Lei n.º 127/2005 Col. sobre comunicações eletrónicas, que a 1 de janeiro de 2022 substituiu o anterior regime de opt-out pelo opt-in: os cookies não essenciais só podem ser guardados após consentimento demonstrável. O que é um consentimento válido define-o o RGPD no artigo 4.º, n.º 11, e as condições para o obter constam do artigo 7.º. A base europeia é a Diretiva 2002/58/CE (ePrivacy), artigo 5.º, n.º 3. Na República Checa a supervisão cabe ao Gabinete de Proteção de Dados Pessoais (ÚOOÚ), que pode aplicar coimas tanto ao abrigo do RGPD como da lei das comunicações eletrónicas. Em Portugal, os mesmos princípios são aplicados pela CNPD com base no artigo 5.º da Lei n.º 41/2004. A barra de cookies não é, portanto, uma formalidade nem um elemento de design, mas a ferramenta com que um site obtém e documenta a base legal para análise, marketing e personalização.
A barra de cookies é obrigatória?
Sim, sempre que um site guarda ou lê cookies que não sejam estritamente necessários. A única exceção são os cookies indispensáveis a um serviço expressamente pedido pelo utilizador: login, conteúdo do carrinho, escolha do idioma ou tokens de segurança. Assim que instala o Google Analytics, o Meta Pixel, o retargeting Sklik, o Hotjar ou um vídeo do YouTube incorporado, precisa de uma barra. Isto aplica-se a sites empresariais, lojas online, blogues e sites de associações. O decisivo não é a dimensão do site nem o seu caráter comercial, mas as tecnologias que utiliza.
O que deve conter uma barra de cookies?
- Um botão Recusar igualmente visível logo na primeira camada, com o mesmo tamanho e contraste que Aceitar.
- Nenhuma categoria pré-selecionada: análise e marketing estão desativados por defeito.
- Bloqueio de scripts antes do consentimento: os códigos de medição e publicidade não podem correr até o utilizador decidir.
- Uma descrição compreensível das finalidades por categoria (necessários, funcionais, analíticos, marketing) e informação sobre quem trata os dados.
- Uma ligação à política de cookies com a lista dos cookies concretos, a sua duração e os destinatários.
- A possibilidade de alterar ou retirar a escolha a qualquer momento, normalmente através de um ícone ou de uma ligação no rodapé.
- Um registo do consentimento: data e hora, versão do texto e âmbito, para que o responsável cumpra o ónus da prova do artigo 7.º, n.º 1, do RGPD.
Que erros sanciona a ÚOOÚ?
As falhas mais frequentes que as autoridades de controlo da UE continuam a encontrar são caixas pré-selecionadas, barras sem botão de recusa, scripts disparados antes de qualquer clique e consentimento «ao continuar a navegar». No acórdão Planet49 (C-673/17) de 2019, o Tribunal de Justiça da UE declarou sem ambiguidade que uma caixa pré-selecionada não é consentimento válido, por não constituir uma manifestação ativa de vontade. O Comité Europeu para a Proteção de Dados acrescentou, nas Orientações 05/2020 sobre o consentimento, que um cookie wall (acesso ao conteúdo condicionado ao consentimento) não é consentimento livre e que fazer scroll ou fechar a barra não pode ser tratado como aceitação. A ÚOOÚ apoia-se nestas interpretações nas inspeções a sites checos; sanciona sobretudo cookies analíticos e de marketing instalados sem consentimento e barras que escondem a recusa numa segunda camada.
Como implementar uma barra de cookies?
O processo tem quatro passos. Primeiro descubra que cookies o site realmente guarda, idealmente com uma análise automática. Depois classifique-os por categoria e garanta que os scripts não essenciais só carregam após o consentimento, nas ferramentas Google através do Consent Mode v2. O terceiro passo é a própria barra, com botões equivalentes e ligação à política. Por fim, guarde os registos de consentimento e ofereça a possibilidade de alterar a escolha. Tratamos a parte legal em detalhe no guia de RGPD, pode construir a barra no gerador de banner de cookies, o guia de configuração acompanha-o passo a passo e o termo consentimento tem entrada própria.
Fontes
- Regulamento (UE) 2016/679 (RGPD), artigo 4.º, n.º 11, e artigo 7.º
- Diretiva 2002/58/CE (ePrivacy), artigo 5.º, n.º 3
- Lei n.º 127/2005 Col. sobre comunicações eletrónicas, artigo 89.º, n.º 3
- TJUE, acórdão Planet49, C-673/17
- CEPD, Orientações 05/2020 sobre o consentimento ao abrigo do Regulamento 2016/679
- Gabinete de Proteção de Dados Pessoais (ÚOOÚ)