Criar um banner de cookies em conformidade: princípios e armadilhas a evitar
Um banner de cookies em conformidade deve recolher o consentimento prévio do visitante antes de qualquer instalação de cookie não essencial, oferecer uma recusa tão acessível quanto a aceitação, e permitir retirar o consentimento a qualquer momento. Os cookies estritamente necessários ao funcionamento do site (carrinho de compras, autenticação) ficam isentos desta obrigação de consentimento, mas devem, ainda assim, ser mencionados.
O verdadeiro problema: banners que contornam o consentimento
A maioria dos banners de cookies encontrados na web não respeita realmente estas recomendações. O caso mais frequente: um botão "Aceitar" bem visível, e uma recusa escondida atrás de um link discreto, um segundo clique, ou um texto cinzento pouco legível. Esta assimetria constitui uma falha identificada e sancionada por diversas vezes pela CNIL, incluindo em sites de grande notoriedade. Um site mais pequeno não está a salvo de uma denúncia ou de uma fiscalização sobre este ponto, tanto mais que a infração é visível de imediato para qualquer visitante.
Os princípios estabelecidos pela CNIL
O regime aplicável aos cookies assenta na diretiva ePrivacy, transposta para o direito francês e complementada pelas recomendações da CNIL. Os pontos estruturantes:
- Consentimento prévio: os cookies não essenciais só devem ser instalados após um consentimento explícito, nunca antes.
- Consentimento livre e específico: o visitante deve poder escolher categoria a categoria (por exemplo, aceitar a medição de audiência mas recusar a publicidade), e não apenas uma opção de tudo ou nada.
- Recusa tão simples quanto a aceitação: as duas opções devem ser apresentadas ao mesmo nível visual, sem percursos diferenciados.
- Informação clara: a finalidade de cada categoria de cookies deve ser explicada em linguagem compreensível, e não apenas listada por um nome técnico.
- Prova do consentimento: o site deve poder demonstrar, em caso de fiscalização, que o consentimento foi efetivamente recolhido nas condições previstas.
O que não exige consentimento
Alguns cookies estão isentos da obrigação de consentimento prévio, por serem considerados estritamente necessários ao funcionamento esperado do serviço:
| Categoria | Exemplo | Consentimento exigido |
|---|---|---|
| Funcionamento técnico | Carrinho de compras, sessão de autenticação | Não |
| Preferências declaradas | Idioma escolhido pelo utilizador | Não, se estritamente limitado a esse uso |
| Medição de audiência isenta | Estatísticas anonimizadas segundo critérios da CNIL | Não, sob condições técnicas precisas |
| Medição de audiência padrão | Ferramentas de análise com identificadores persistentes | Sim |
| Publicidade e redes sociais | Botões de partilha, pixels publicitários | Sim |
| Personalização de conteúdo de terceiros | Recomendações baseadas no perfil | Sim |
Construir um banner em conformidade, passo a passo
- Bloquear os cookies não essenciais por padrão, antes de qualquer interação do visitante com o banner.
- Apresentar duas opções de nível igual: aceitar tudo, recusar tudo, com acesso simples a uma escolha detalhada por categoria.
- Explicar cada finalidade numa frase compreensível, sem jargão técnico.
- Não pré-marcar as caixas de consentimento: cada categoria sujeita a consentimento deve estar desmarcada por padrão.
- Prever um acesso permanente para alterar a escolha posteriormente, geralmente através de um link discreto mas acessível no rodapé.
- Guardar uma prova do consentimento, com a data e o conteúdo exato, durante o período de validade estabelecido.
As soluções técnicas disponíveis
Na maioria dos CMS e ferramentas modernas de criação de sites, a gestão dos cookies passa por uma plataforma de gestão do consentimento (CMP), integrada ou através de um módulo de terceiros. Estas ferramentas permitem geralmente bloquear os scripts de terceiros antes do consentimento, gerir a granularidade por categoria e conservar uma prova datada. Optar por um módulo reconhecido continua a ser preferível a um desenvolvimento artesanal, que frequentemente omite o bloqueio efetivo dos scripts antes do consentimento, o ponto mais frequentemente esquecido.
O que reter
- Os cookies não essenciais devem permanecer bloqueados enquanto o consentimento não tiver sido dado, e não apenas apresentados como "pendentes".
- A recusa deve ser tão fácil de aceder quanto a aceitação, ao mesmo nível visual.
- O consentimento deve poder ser dado categoria a categoria, e não apenas em bloco.
- Alguns cookies de medição de audiência estritamente configurados escapam à obrigação de consentimento, sob condições técnicas precisas fixadas pela CNIL.
- O consentimento tem uma validade limitada e deve ser solicitado novamente após esse prazo.
- Uma prova do consentimento deve poder ser apresentada em caso de fiscalização.
Perguntas frequentes
É possível continuar a navegar no site sem responder ao banner? Sim, a navegação continua possível, mas os cookies não essenciais permanecem inativos enquanto não for dado um consentimento explícito.
É preciso pedir o consentimento novamente em cada visita? Não, pode ser mantido por um período limitado, geralmente seis meses segundo as recomendações da CNIL, e depois solicitado novamente.
Os cookies de medição de audiência exigem sempre consentimento? Não sistematicamente, se estiverem configurados segundo os critérios de isenção fixados pela CNIL (sem rastreamento individual entre sites). Fora dessa configuração, o consentimento continua a ser exigido.
Um banner com apenas um botão "Aceitar" é legal? Não, esta prática é explicitamente sancionada pela CNIL. A recusa deve ser proposta com a mesma facilidade que a aceitação.
Em resumo
Um banner de cookies em conformidade assenta num princípio simples mas frequentemente contornado: a recusa deve ser tão acessível quanto a aceitação, e nada deve ser instalado antes de um consentimento explícito. Este quadro geral reflete as recomendações públicas da CNIL; para uma conformidade precisa do seu site, continua a ser recomendável uma auditoria dedicada ou o parecer de um profissional do direito. Os sites entregues pela VeryAppi integram uma gestão de cookies que respeita estes princípios desde o momento em que entram online.
Perguntas frequentes
›É possível continuar a navegar no site sem responder ao banner?
Enquanto o visitante não tiver dado o seu consentimento, os cookies não essenciais não devem ser instalados. A navegação continua possível sem responder, mas nesse caso os rastreadores sujeitos a consentimento permanecem inativos até uma escolha explícita.
݃ preciso pedir o consentimento novamente em cada visita?
Não, o consentimento pode ser mantido por um período limitado (a CNIL recomenda geralmente no máximo seis meses), findo o qual deve ser solicitado de novo. A recusa também deve ser memorizada durante esse período, para não incomodar o visitante que já recusou.
›Os cookies de medição de audiência exigem sempre consentimento?
Não sistematicamente. Está prevista uma isenção para as ferramentas de medição de audiência configuradas de forma a não permitir o rastreamento individual do visitante de um site para outro, segundo critérios técnicos precisos. Fora dessa configuração isenta, o consentimento prévio continua a ser exigido.
›Um banner com apenas um botão 'Aceitar' é legal?
Não, esta prática é explicitamente sancionada pela CNIL há vários anos. A recusa deve ser proposta ao mesmo nível e com a mesma facilidade que a aceitação, sem etapas adicionais nem percursos dissuasivos.