A ePrivacy é uma diretiva — cada Estado-Membro implementa-a através da sua própria lei. Aqui está uma visão geral dos principais mercados europeus e do que realmente se aplica em cada um.
Um regulamento (RGPD) aplica-se de forma idêntica em toda a UE. Uma diretiva (ePrivacy) não — tem de ser transposta.
O direito da UE tem dois instrumentos principais. Um regulamento aplica-se diretamente em todos os Estados-Membros — é por isso que o RGPD é idêntico em todo o lado. Uma diretiva estabelece um objetivo, mas deixa os meios a cargo de cada Estado-Membro. A ePrivacy é uma diretiva de 2002, pelo que cada Estado-Membro teve de a transpor para a sua própria legislação nacional.
Na prática, isto significa que as regras essenciais sobre cookies são as mesmas em todo o lado (é preciso consentimento, existe a exceção dos estritamente necessários, há direito à retirada), mas os detalhes variam — quem fiscaliza, quais são as coimas, que exceções especiais existem. Aqui está uma visão geral dos seis maiores mercados da UE.
Que lei específica se aplica em cada país e quem a faz cumprir.
Lei n.º 127/2005, § 89
A Lei das Comunicações Eletrónicas, § 89(3), transpõe o Artigo 5.º(3) da Diretiva ePrivacy. Exige consentimento prévio e demonstrável para todos os cookies, exceto os estritamente necessários. Alterada em 2022.
Entidade reguladora: Gabinete de Proteção de Dados Pessoais (ÚOOÚ)
TDDDG (anteriormente TTDSG)
Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, em vigor desde dezembro de 2021 (originalmente TTDSG, renomeada em maio de 2024). Uma das mais rigorosas — coimas até 300 000 euros por cada infração individual.
Entidade reguladora: Autoridades federais e estaduais de proteção de dados (BfDI + Länder)
Lei 78-17 + diretrizes da CNIL
A Lei de Proteção de Dados (1978, com alterações) mais as diretrizes vinculativas da CNIL de 2020 e 2021. A CNIL é conhecida pela sua aplicação agressiva — Google, Amazon e Facebook já receberam todos coimas na ordem das dezenas de milhões de euros.
Entidade reguladora: Commission Nationale de l'Informatique et des Libertés (CNIL)
LSSI-CE, Art. 22.2
A Ley de Servicios de la Sociedad de la Información, Artigo 22.2, transpõe as regras sobre cookies. Complementada pelas orientações vinculativas da AEPD de 2023, que esclarecem como deve ser o mecanismo de consentimento.
Entidade reguladora: Agencia Española de Protección de Datos (AEPD)
Codice Privacy + Garante 2021
O Código italiano de Proteção de Dados mais as diretrizes vinculativas do Garante (junho de 2021). A autoridade italiana é uma das mais ativas — publica orientações regularmente e aplica coimas a sites com banners de cookies não conformes.
Entidade reguladora: Garante per la protezione dei dati personali
Telecommunicatiewet, Art. 11.7a
A Lei das Telecomunicações, Artigo 11.7a, transpõe a ePrivacy. A autoridade neerlandesa Autoriteit Persoonsgegevens emite orientações claras e audita ativamente os sites — em especial nos setores da saúde e das finanças.
Entidade reguladora: Autoriteit Persoonsgegevens (AP)
A estrutura de base é idêntica em toda a parte. Os detalhes — quem, com que rapidez e quanto — é que diferem.
Sim. Se o seu site tiver como público-alvo utilizadores de um determinado país (por exemplo, conteúdo localizado, um domínio .de, ou envios para esse país), a lei local aplica-se. Na prática, isto significa cumprir a regulamentação relevante mais rigorosa — o que automaticamente o cobre em todos os outros lugares.
O nosso banner de cookies está configurado para cumprir os padrões mais rigorosos da UE (normalmente CNIL/França + Garante/Itália). Isto satisfaz automaticamente as leis mais brandas de outros países. Oferecemos definições específicas por jurisdição sempre que necessário.
O Reino Unido tem o seu próprio UK GDPR e o PECR (Privacy and Electronic Communications Regulations), que são funcionalmente idênticos à ePrivacy da UE. A entidade reguladora é a ICO. O Consentio também suporta sites do Reino Unido — normalmente sem necessidade de configuração especial.
Para utilizadores da UE, aplicam-se a ePrivacy e as leis nacionais. Para os EUA, aplica-se frequentemente o CCPA/CPRA (Califórnia). Para outros países, aplicam-se as regras locais. O Consentio deteta a localização do visitante e aplica o comportamento adequado — banner opt-in para a UE, modo opt-out para os EUA.
