Quem pode aplicar coimas por cookies?
Em Portugal, há duas leis em jogo, mas uma só autoridade:
- A Lei n.º 41/2004, artigo 5.º, a lei dos cookies. Define quando podes guardar ou ler informação no dispositivo de um visitante. O artigo 15.º dá à Comissão Nacional de Proteção de Dados (CNPD) a competência para instaurar os processos de contraordenação e aplicar admoestações, coimas e sanções acessórias por violação desta regra.
- O RGPD, completado pela Lei n.º 58/2019. Aplica-se assim que os cookies tratam dados pessoais, o que acontece com quase todos os cookies de rastreamento e de publicidade. Também aqui a autoridade é a CNPD.
A ANACOM é competente para outras partes da Lei n.º 41/2004, como a segurança das redes e alguns deveres dos operadores de comunicações, mas não para os cookies.
Como a regra dos cookies não faz parte do RGPD, o balcão único (one-stop-shop) do RGPD não se aplica a ela: cada autoridade nacional pode agir no seu próprio país, mesmo contra uma empresa com sede noutro Estado-Membro. A CNIL francesa fê-lo, por exemplo, nas suas decisões contra a Google e a Shein.
Até onde podem ir as coimas?
| Lei | Infração | Coima para empresas e outras pessoas coletivas | Coima para pessoas singulares |
|---|---|---|---|
| Lei n.º 41/2004, artigo 14.º, n.º 1, alínea e) | Não respeitar as condições do artigo 5.º (cookies e técnicas semelhantes) | 5000 a 5 000 000 de euros | 1500 a 25 000 euros |
| RGPD, artigo 83.º, n.º 5 | Princípios, fundamento jurídico e condições do consentimento (artigos 5.º, 6.º e 7.º), direitos dos titulares, transferências internacionais | Até 20 milhões de euros ou 4% do volume de negócios anual mundial, consoante o montante mais elevado | Até 20 milhões de euros |
| RGPD, artigo 83.º, n.º 4 | Outras obrigações, como a proteção de dados desde a conceção ou o registo das atividades de tratamento | Até 10 milhões de euros ou 2% do volume de negócios anual mundial | Até 10 milhões de euros |
Mais alguns pormenores da lei portuguesa:
- Negligência: na Lei n.º 41/2004, a negligência e a tentativa também são puníveis, com os limites mínimos e máximos reduzidos a metade.
- Sanção diária: se não cumprires uma ordem da CNPD, esta pode aplicar uma sanção pecuniária compulsória de 500 a 100 000 euros por dia de atraso, até 3 milhões de euros e 30 dias (artigo 15.º-C da Lei n.º 41/2004).
- A coima não basta: pagar a coima não te dispensa de corrigir o problema, e a CNPD pode ordenar-te que o faças.
- Lei n.º 58/2019: esta lei prevê molduras próprias para as infrações ao RGPD, distinguindo grandes empresas (a partir de 5000 euros), PME (a partir de 2000 euros) e pessoas singulares (a partir de 1000 euros), com máximos mais baixos para PME e pessoas singulares. Na Deliberação 2019/494, a CNPD decidiu, contudo, não aplicar essas molduras às infrações previstas no RGPD, nem a advertência prévia obrigatória, por as considerar contrárias ao RGPD, e aplicar diretamente o artigo 83.º do RGPD.
Os máximos dizem pouco sobre o que um site comum arrisca. O montante concreto depende, entre outros fatores, da natureza, gravidade e duração da infração, do número de pessoas afetadas, de ter havido dolo ou negligência e do que a empresa fez para limitar os danos (artigo 83.º, n.º 2, do RGPD).
Que coimas aplicou a CNPD?
Nas decisões e notícias publicadas pela CNPD, não encontrámos nenhuma coima por cookies ou banners de cookies (situação em outubro de 2026). Isso não quer dizer que a CNPD não esteja atenta. Em junho de 2021, escreveu que havia "graves deficiências" na forma como as regras dos cookies eram aplicadas e anunciou diretrizes específicas sobre o tema. Em novembro de 2025, voltou a lembrar que os cookies estão abrangidos pelo RGPD.
As maiores coimas da CNPD foram por outras infrações ao RGPD:
| Organização | Decisão | Coima | O que correu mal |
|---|---|---|---|
| Município de Lisboa | Deliberação/2021/1569, divulgada a 14 de janeiro de 2022 | 1 250 000 euros | Tratamento dos dados pessoais de promotores de manifestações: falta de licitude, violação dos princípios da minimização e da conservação, falta de transparência (225 coimas parcelares) |
| Instituto Nacional de Estatística (INE) | Deliberação/2022/1072, divulgada a 12 de dezembro de 2022 | 4 300 000 euros | Censos 2021: dados de saúde e religião tratados de forma ilícita, informação insuficiente, transferências para os EUA através da Cloudflare, sem avaliação de impacto |
O caso do INE mostra um ponto que também interessa aos sites: a CNPD já atuou contra transferências de dados para os EUA através de um prestador de serviços web. Em abril de 2021 ordenou ao INE que suspendesse essas transferências no prazo de 12 horas.
As maiores coimas por cookies na UE
Fora de Portugal, as autoridades têm aplicado coimas elevadas por cookies, sobretudo a CNIL francesa. Todos os casos foram retirados das publicações das próprias autoridades:
| Data da decisão | Autoridade | Empresa | Coima | O que correu mal |
|---|---|---|---|---|
| 7 de dezembro de 2020 | CNIL (França) | Google LLC e Google Ireland | 100 milhões de euros | Cookies de publicidade em google.fr sem consentimento prévio, informação insuficiente |
| 31 de dezembro de 2021 | CNIL (França) | Google LLC e Google Ireland | 150 milhões de euros | Recusar cookies em google.fr e youtube.com exigia mais cliques do que aceitar |
| 31 de dezembro de 2021 | CNIL (França) | Facebook Ireland (hoje Meta Platforms Ireland) | 60 milhões de euros | Recusar cookies em facebook.com não era tão fácil como aceitar |
| 19 de dezembro de 2022 | CNIL (França) | Microsoft Ireland Operations | 60 milhões de euros | Recusar cookies em bing.com não era tão fácil como aceitar |
| Julho de 2024 | AP (Países Baixos) | AS Watson, a empresa por trás de Kruidvat.nl | 600 mil euros, reduzidos para 50 mil euros após reclamação (maio de 2025) | Cookies de rastreamento com caixas pré-assinaladas |
| 1 de setembro de 2025 | CNIL (França) | Google LLC e Google Ireland | 325 milhões de euros | Anúncios no Gmail sem consentimento e cookies colocados na criação da conta sem consentimento válido |
| 1 de setembro de 2025 | CNIL (França) | Infinite Styles Services (Shein) | 150 milhões de euros | Cookies de publicidade colocados antes de qualquer escolha, "Rejeitar tudo" não respeitado |
Não são só as grandes tecnológicas: a lista de sanções da CNIL inclui também coimas de alguns milhares de euros a pequenos retalhistas, editores e associações. Só em 2025, a CNIL sancionou 21 organizações por infrações relacionadas com cookies e outros rastreadores.
Outros riscos: indemnizações
Além de uma coima, os visitantes podem pedir uma indemnização. O artigo 82.º do RGPD e o artigo 33.º da Lei n.º 58/2019 dão direito a reparação a quem sofra danos materiais ou imateriais por causa de uma violação. No acórdão Österreichische Post (C-300/21, 4 de maio de 2023), o Tribunal de Justiça da UE considerou que uma violação, por si só, não basta: tem de haver um dano real e um nexo com a violação, embora não possa ser exigido um limiar mínimo de gravidade.
Os titulares dos dados podem também mandatar uma associação sem fins lucrativos que defenda os seus direitos para apresentar queixa ou ir a tribunal em seu nome (artigo 35.º da Lei n.º 58/2019).
Como evitar problemas
- Descobre que cookies o teu site coloca, incluindo os de plugins e conteúdos incorporados.
- Bloqueia tudo o que precisa de consentimento até o visitante aceitar, incluindo os cookies de análise: a lei portuguesa não tem uma exceção para eles.
- Põe "Aceitar" e "Rejeitar" lado a lado, igualmente visíveis, na primeira camada, e não assinales nada previamente.
- Explica as finalidades e os terceiros, no banner e numa política de cookies.
- Respeita a escolha: deixa de ler e de colocar cookies assim que o visitante recusa ou retira o consentimento.
- Nada de consentimento forçado. Cuidado com as cookie walls.
- Guarda provas do que cada visitante escolheu e quando.
Usas Google Analytics ou Google Ads? Lê também O Google Analytics e o RGPD e O Google Consent Mode v2 explicado.
O Cookie Confirm trata destes passos: o scanner verifica o teu site todos os meses (e podes repetir a análise sem limites), os scripts ficam bloqueados até haver consentimento, aceitar e rejeitar ficam lado a lado, a declaração de cookies é gerada a partir da análise e cada consentimento é registado durante 12 meses. Por 7,95 € por site e por mês, com um teste grátis de 7 dias.
Fontes
- Diário da República: Lei n.º 41/2004, de 18 de agosto
- Diário da República: Lei n.º 46/2012, de 29 de agosto (nova redação dos artigos 5.º, 14.º e 15.º e aditamento do artigo 15.º-C da Lei n.º 41/2004)
- Diário da República: Lei n.º 58/2019, de 8 de agosto, artigos 33.º, 35.º, 37.º, 38.º e 39.º
- EUR-Lex: Regulamento (UE) 2016/679 (RGPD), artigos 82.º e 83.º
- CNPD: Deliberação 2019/494 (desaplicação de normas da Lei n.º 58/2019)
- CNPD: Nota informativa relativa à utilização de cookies (25 de junho de 2021)
- CNPD: Comunicações promocionais não solicitadas e cookies destacados em conferência de marketing direto (13 de novembro de 2025)
- CNPD: CNPD aplica sanção ao Município de Lisboa (14 de janeiro de 2022)
- CNPD: CNPD sanciona INE por cinco contraordenações (12 de dezembro de 2022)
- CNPD: Censos 2021, CNPD suspende fluxos para os EUA (27 de abril de 2021)
- CNIL: as sanções aplicadas pela CNIL
- CNIL: o Conseil d'État confirma a sanção de 2020 contra a Google
- CNIL: encerramento da injunção dirigida ao Facebook
- CNIL: encerramento da injunção dirigida à Microsoft Ireland Operations Limited
- CNIL: Google multada em 325 milhões de euros (setembro de 2025)
- CNIL: Shein multada em 150 milhões de euros (setembro de 2025)
- CNIL: sanções e medidas corretivas em 2025
- Autoriteit Persoonsgegevens: coima de 600 mil euros por cookies de rastreamento em Kruidvat.nl (16 de julho de 2024, em neerlandês)
- Autoriteit Persoonsgegevens: decisão sobre a reclamação da AS Watson (Kruidvat), em neerlandês
- TJUE: processo C-300/21, Österreichische Post (4 de maio de 2023)