Gestão de Cookies: Consentimento e Rastreadores no E-commerce

A regulamentação dos cookies não se resume ao RGPD. Baseia-se num texto distinto — a chamada diretiva «privacidade e comunicações eletrónicas», transposta para o direito francês — que impõe um consentimento prévio a qualquer leitura ou escrita de informação no terminal do utilizador, independentemente de essa informação constituir ou não um dado pessoal. É essa autonomia que explica a maioria das notificações de incumprimento: um rastreador não pessoal continua sujeito ao consentimento.

O que está coberto e o que não está

O âmbito é mais amplo do que a palavra «cookie» sugere. Estão em causa todos os processos de armazenamento ou de acesso a informações no terminal: cookies HTTP, armazenamento local, pixels invisíveis, identificadores de dispositivo, impressão digital do navegador.

Duas categorias escapam à obrigação de consentimento, e a sua interpretação é estrita:

• Os rastreadores estritamente necessários à prestação de um serviço expressamente solicitado pelo utilizador: carrinho de compras, identificador de sessão, memorização de uma escolha de idioma, balanceamento de carga.
• Os rastreadores cuja finalidade exclusiva é permitir ou facilitar uma comunicação eletrónica.

A medição de audiência situa-se numa zona particular: pode ser dispensada de consentimento em condições cumulativas estritas — finalidade limitada apenas à medição, sem cruzamento com outros tratamentos, sem transmissão a terceiros, prazo de conservação limitado. Uma solução de análise amplamente difundida, que cruza dados entre sites ou os transmite ao seu fornecedor, não preenche essas condições.

As regras da recolha

Três exigências estruturam o banner de consentimento, e cada uma já foi objeto de sanções.

O consentimento deve ser prévio. Nenhum rastreador não isento pode ser depositado antes da ação do utilizador. Um depósito no carregamento da página, antes de qualquer clique, constitui uma infração em si mesma — é o incumprimento mais frequentemente constatado.

Recusar deve ser tão simples como aceitar. Um banner que apresenta um botão «Aceitar tudo» bem visível e remete a recusa para um segundo nível de configuração não satisfaz esta exigência. As duas ações devem estar acessíveis ao mesmo nível e com o mesmo número de cliques.

O consentimento deve ser livre, específico, informado e inequívoco. Não pode resultar da continuação da navegação, do deslocamento da página, nem de uma caixa pré-marcada. Deve ser recolhido por finalidade, devendo o utilizador poder aceitar a medição de audiência sem aceitar a publicidade direcionada.

Acresce a revogação, que deve ser tão fácil como o consentimento inicial e acessível em qualquer momento, o que pressupõe um ponto de acesso permanente no site.

Prazos e conservação

Confundem-se frequentemente dois prazos distintos.

O prazo de vida dos rastreadores está limitado, na prática, a treze meses, sem prorrogação automática a cada nova visita. As informações recolhidas através destes rastreadores só são conservadas por um período limitado além disso.

O prazo de validade do consentimento é distinto: a escolha do utilizador, positiva ou negativa, deve ser conservada para não voltar a solicitá-la em cada visita. A prática recomendada é conservar essa escolha durante cerca de seis meses, não devendo uma recusa ser reavaliada com maior frequência do que uma aceitação.

O responsável deve, por fim, estar em condições de comprovar a recolha válida do consentimento. Esta prova pressupõe registar, para cada utilizador, a versão do banner apresentada, as finalidades expostas e a escolha manifestada. Sem esse registo, a afirmação «recolhemos o consentimento» não é demonstrável — a mesma lógica probatória que rege a aceitação das condições gerais.

As responsabilidades partilhadas

Um site que integra rastreadores de terceiros — central de publicidade, rede social, ferramenta de análise — não fica desonerado da sua responsabilidade. O editor que decide a implementação de um rastreador determina a sua finalidade e assume a sua responsabilidade, mesmo quando o rastreador pertence a um terceiro.

Duas consequências práticas. É indispensável um inventário atualizado dos rastreadores efetivamente depositados, e este verifica-se em condições reais e não com base na documentação dos prestadores: as etiquetas adicionadas por ferramentas de marketing frequentemente escapam ao inventário declarativo. E as relações com terceiros devem ser contratualizadas, identificando quem é o responsável pelo tratamento e quem é o subcontratante.

Sanções e fiscalizações

O incumprimento das regras sobre rastreadores está sujeito a um regime próprio: é sancionado com base no texto especial, o que permite à autoridade de controlo nacional agir diretamente, sem passar pelo mecanismo de cooperação europeu. É isso que explica a rapidez e o montante das decisões proferidas nesta matéria.

As fiscalizações incidem prioritariamente sobre três pontos verificáveis do exterior: o depósito de rastreadores antes do consentimento, a assimetria entre aceitar e recusar, e a persistência de rastreadores após uma recusa. Estes três pontos verificam-se em poucos minutos com as ferramentas de desenvolvimento de um navegador, o que torna a exposição permanente.

Cenários de utilização

Loja online com publicidade. Separar as finalidades — funcionamento, medição de audiência, publicidade — e permitir um consentimento distinto para cada uma. Os rastreadores do carrinho não dependem de consentimento, os do reencaminhamento publicitário dependem sempre. É um ponto estruturante do quadro legal de uma loja.

Site institucional com medição de audiência. Verificar se a configuração adotada preenche as condições de isenção. Em caso afirmativo, não é necessário nenhum banner para essa finalidade; caso contrário, o consentimento é exigido como para qualquer outro rastreador.

Remodelação de site. Realizar o inventário dos rastreadores no ambiente de testes antes da entrada em produção, e depois refazê-lo em produção: as ferramentas adicionadas pelas equipas de marketing após o lançamento são a fonte de divergência mais frequente. Esta disciplina relaciona-se com as exigências descritas para os padrões de pagamento seguro.

Perguntas frequentes

Todos os cookies exigem consentimento? Não. Os estritamente necessários a um serviço expressamente solicitado — carrinho, sessão, preferência de idioma — estão dispensados, assim como os que servem exclusivamente para permitir uma comunicação. A isenção é de interpretação estrita.

A continuação da navegação equivale a consentimento? Não. O consentimento deve ser inequívoco e resultar de um ato positivo. Nem o deslocamento da página, nem a continuação da navegação, nem uma caixa pré-marcada são suficientes.

Recusar deve ser tão simples como aceitar? Sim. As duas opções devem ser apresentadas ao mesmo nível, com um esforço equivalente. Relegar a recusa para um menu de configuração constitui um incumprimento manifesto.

Durante quanto tempo se deve conservar a escolha do utilizador? A escolha, positiva ou negativa, conserva-se para evitar voltar a questionar em cada visita — cerca de seis meses na prática. Isto é distinto do prazo de vida dos rastreadores, limitado a treze meses.

A medição de audiência está isenta? Apenas em condições cumulativas estritas: finalidade limitada à medição, ausência de cruzamento, ausência de transmissão a terceiros, conservação limitada. A maioria das soluções destinadas ao público em geral não as preenche na configuração predefinida.

Quem é responsável pelos rastreadores de terceiros? O editor do site, desde que decida sobre a sua implementação e finalidade. A responsabilidade não é transferida para o fornecedor do rastreador.

A reter

Três incumprimentos concentram a maior parte das sanções, e todos os três se constatam do exterior em poucos minutos: rastreadores depositados antes de qualquer consentimento, uma recusa mais onerosa de manifestar do que uma aceitação, e rastreadores que persistem apesar de uma recusa.

Dois dispositivos respondem a isto de forma duradoura. Um inventário dos rastreadores verificado em condições reais e não com base em documentação, refeito após cada entrada em produção. E um registo do consentimento que anota a versão do banner, as finalidades apresentadas e a escolha manifestada — sem ele, a conformidade é afirmada mas não demonstrável, o que equivale ao mesmo numa fiscalização.