Cookies, integrações e consentimento

Módulo 7: Privacidade e regras · Tempo de leitura: 11 minutos

Objetivo de aprendizagem: Depois desta lição, saberá explicar quando precisa de consentimento para cookies e código de medição, configurar o aviso de cookies do seu site AI Builder, ligar serviços de medição de forma a que só sejam carregados após o consentimento e verificar no seu browser que nada é medido antes da escolha de um visitante.

Conceitos chave: cookie, equipamento terminal, consentimento, cookies necessários, cookies analíticos limitados, cookies de rastreamento, aviso de cookies, integração, ID de medição, código próprio, Definições de cookies

Esta lição explica as regras tal como se aplicam a 10 de novembro de 2026. Não constitui aconselhamento jurídico. Se tiver dúvidas sobre a sua situação, consulte um jurista ou a sua associação setorial.

O que diz a regra

Um cookie é um pequeno ficheiro que um website coloca no browser do visitante. A regra aplica-se também a outro armazenamento no browser, a píxeis e a scripts que reconhecem um dispositivo.

Na UE, a base encontra-se na Diretiva ePrivacy (2002/58/CE), artigo 5.º, n.º 3: guardar informação no dispositivo de um utilizador, ou ler informação a partir dele, só é permitido se esse utilizador tiver recebido informação clara e completa e tiver dado o seu consentimento. Existe uma exceção para o que é tecnicamente necessário para efetuar a comunicação, ou estritamente necessário para o serviço que o próprio visitante pede.

Cada país da UE transpôs esta regra para a sua própria lei. Em Portugal, é a Lei n.º 41/2004; nos Países Baixos, é o artigo 11.7a da lei neerlandesa das telecomunicações. Os Países Baixos acrescentaram uma exceção: também não é necessário consentimento para cookies que recolhem informação sobre a qualidade ou a eficácia do site, desde que tenham nenhum ou reduzido impacto na privacidade. A autoridade neerlandesa de proteção de dados, a Autoriteit Persoonsgegevens (AP), chama-lhes cookies analíticos limitados: contar visitantes e páginas populares, sem seguir os visitantes de site em site nem criar perfis. Se uma exceção deste tipo é possível depende da forma como cada país aplica a regra dos cookies; a escolha segura é pedir consentimento ou medir sem cookies. Para a sua situação, consulte a Comissão Nacional de Proteção de Dados (CNPD), https://www.cnpd.pt/. Tenha em atenção dois aspetos:

• Mesmo sem obrigação de consentimento, trata muitas vezes dados pessoais (um endereço IP). Nesse caso aplica-se o RGPD: precisa de um fundamento jurídico e deve mencioná-lo na sua política de privacidade (lição 7.1).
• As regras variam de país para país e alguns são mais rigorosos; se tiver muitos visitantes de outros países, verifique o que diz a autoridade de controlo desses países.

Os cookies de rastreamento e tudo o que segue visitantes, cria perfis ou é usado para publicidade exigem sempre consentimento prévio. Esse consentimento tem de ser livre e específico: não fazer nada ou continuar a navegar não é consentimento. A AP neerlandesa dá quatro regras práticas para um aviso claro: diga para que usa os cookies, torne recusar tão fácil como aceitar, torne igualmente fácil alterar a escolha mais tarde e mantenha separados o consentimento e a oposição.

Como o AI Builder trata do assunto

O construtor divide tudo o que funciona no seu site e vem de outras entidades em quatro tipos, com a explicação que os seus visitantes também veem:

Se funcionar algo que não seja Necessários, o construtor ativa o aviso de cookies automaticamente. Nas definições verá então O aviso de cookies está ligado automaticamente, com os serviços que o exigem, e o interruptor não pode ser desligado enquanto esses serviços estiverem ativos. Tudo o que não é Necessários só é carregado quando o visitante dá consentimento para esse tipo:

• Uma integração (como o Google Analytics) está na página como um script que não é executado. Só após o consentimento para Estatísticas é que o site o ativa.
• Um widget (mapa, agenda de marcações, vídeo) mostra primeiro uma caixa com "Este elemento vem do Google Maps e só é carregado se permitir Funcionais." e um botão Permitir e mostrar. Um vídeo do YouTube usa a variante sem cookies até ser reproduzido; também esse aguarda o consentimento.
• Se um visitante retirar o consentimento, o site apaga os cookies conhecidos desse tipo. Se mais tarde for acrescentado um serviço, o aviso volta a perguntar.

No fundo de cada página aparece então o botão Definições de cookies, com o qual o visitante pode alterar a sua escolha a qualquer momento.

Definições > Cookies e consentimento

No topo vê o estado: que serviços estão ativos e em que tipo. Abaixo configura:

• Mostrar aviso de cookies: ligado ou desligado. Se nada de outras entidades estiver ativo, o construtor indica "Sem cookies de outras entidades" e o aviso não é obrigatório.
• Apresentação: Barra em baixo ou Cartão no canto inferior direito. Vê o aviso de imediato na pré-visualização.
• O visitante pode escolher por tipo: ligado, dá ao visitante, além de Aceitar tudo e Apenas necessários, também Escolher o que permite. Desligado, mostra apenas os dois botões. Se usar serviços de vários tipos (um mapa e o Google Analytics), ligue esta opção: a AP neerlandesa, por exemplo, exige uma escolha por finalidade.
• Texto do aviso: vazio corresponde ao texto padrão. Se escrever um texto próprio, indique realmente para que usa os cookies.
• Botão aceitar e Botão recusar: os textos dos botões. Mantenha o botão de recusa claro. "Apenas necessários" ou "Rejeitar" está correto; "Mais tarde" ou "Talvez" não, porque o visitante não sabe o que está a escolher.
• Página de privacidade: a página para onde aponta a ligação Mais sobre privacidade (lição 7.1).

Uma armadilha no aspeto: no aviso, o botão de aceitar tem o estilo de um botão principal e o botão de recusar um estilo mais discreto. Verifique no telemóvel e no computador se o botão de recusar é igualmente fácil de ver e de tocar. Se achar que não, coloque um texto claro no botão.

Definições > Integrações

Em Integrações preenche apenas o número ou o código que recebe do serviço; o construtor acrescenta o resto. A lista está dividida em três grupos: Estatísticas, Sem cookies e Marketing e publicidade.

Pode também ligar o LinkedIn Insight Tag, o Hotjar e o Microsoft Clarity. Depois de Ligar, o construtor mostra "Este serviço coloca cookies, por isso o aviso de cookies está agora ativado." No endereço gratuito funcionam o Google Analytics 4, o Google Ads, o pixel da Meta, o LinkedIn, o Clarity e o Plausible; o Google Tag Manager, o Hotjar e o código próprio só estão disponíveis num site com pacote.

Porque está o Plausible em Necessários? O Plausible mede sem cookies e sem guardar nada no dispositivo, por isso a regra dos cookies não se aplica e o construtor carrega-o sem aviso. O RGPD continua a aplicar-se: mencione-o na sua política de privacidade. O construtor trata sempre o Google Analytics 4 como Estatísticas com consentimento, mesmo que este encurte o endereço IP. É a escolha segura: se o Analytics pode funcionar sem consentimento depende de muitas definições.

Três armadilhas:

1. Colar código de medição no chat ou num widget. O construtor encaminha-o então para Definições, Integrações: só aí o aviso tem conhecimento dele.
2. Marcar código próprio como necessário. Em Integrações encontra, no fundo, Código próprio. Aí o aviso bloqueia scripts de serviços conhecidos. Com o interruptor Este código é necessário, o código é carregado de imediato, mesmo sem consentimento. Escolha esta opção apenas para código de que o seu site precisa e que não segue ninguém. Se o construtor indicar endereços que não reconhece, não o marque como necessário.
3. O Tag Manager como caixa fechada. O construtor só carrega o contentor após o consentimento para Marketing, mas não vê o que está lá dentro. É responsável por cada tag que lá se encontra.

Testar por si

Verifique depois de cada nova integração e atualize também a sua política de privacidade (lição 7.1):

1. Abra o seu site real (não a pré-visualização no construtor) numa janela privada.
2. Abra as ferramentas de programador do seu browser (muitas vezes F12) e escolha o separador Rede. Recarregue a página.
3. Procure pedidos a serviços como google-analytics.com, googletagmanager.com ou facebook.net. Antes da sua escolha não pode aparecer nada.
4. Clique em Aceitar tudo e volte a verificar: agora aparecem.
5. Clique em baixo em Definições de cookies, escolha Apenas necessários e verifique no separador com o armazenamento e os cookies do seu site (no Chrome Application, no Firefox Armazenamento) se os cookies _ga desapareceram.

Resumo

• A Diretiva ePrivacy (em Portugal: Lei n.º 41/2004; nos Países Baixos: artigo 11.7a da lei neerlandesa das telecomunicações) exige consentimento para cookies e técnicas semelhantes, exceto para o que é estritamente necessário; os Países Baixos excluem também os cookies analíticos limitados.
• Recusar tem de ser tão fácil como aceitar, e alterar a escolha mais tarde também.
• O AI Builder ativa o aviso automaticamente assim que algo exige consentimento e só carrega integrações, widgets e vídeos após o consentimento para o respetivo tipo.
• Introduza os serviços de medição em Definições > Integrações, não no chat nem num widget; marque código próprio como necessário apenas se não seguir ninguém.
• Depois de cada nova integração, teste numa janela privada com o separador Rede.

Questionário

Exercício

Exercício A7.2: Nenhum código de medição sem consentimento. Se quiser, ligue um serviço de medição em Definições > Integrações, volte a colocar o seu site online e introduza o endereço web do seu site AI Builder. O programa abre as suas páginas como um novo visitante que ainda não escolheu nada, sem cookies e sem executar JavaScript. Verifica se um script de medição ou de publicidade (como o Google Analytics, o Tag Manager, o Google Ads ou o pixel da Meta) é carregado de imediato em vez de aguardar o consentimento, se são colocados cookies desses serviços e se existe um aviso de cookies na página quando o seu site usa serviços de outras entidades. Se não usar serviços de outras entidades, ou apenas o Plausible, também está correto.

Para saber mais

• Regras práticas para avisos de cookies claros (fonte neerlandesa, Autoriteit Persoonsgegevens, em neerlandês): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/vuistregels-heldere-cookiebanners
• Cookies (fonte neerlandesa, Autoriteit Persoonsgegevens, em neerlandês): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Medir visitantes sem banner de cookies
• Lei neerlandesa das telecomunicações, artigo 11.7a (wetten.overheid.nl): https://wetten.overheid.nl/BWBR0009950/
• Curso gratuito Ser encontrado online 8.1: Medir com uma análise que respeita a privacidade