A lei de cookies da UE explicada: a Diretiva ePrivacy e o RGPD

De onde vem a regra europeia dos cookies

A regra a que a maioria das pessoas chama "a lei de cookies da UE" é o artigo 5.º, n.º 3, da Diretiva 2002/58/CE (Diretiva ePrivacy). Desde a alteração introduzida pela Diretiva 2009/136/CE, determina que guardar informação no dispositivo de um utilizador, ou aceder a informação que já lá esteja guardada, só é permitido se o utilizador tiver dado o seu consentimento depois de receber informação clara e completa. Os Estados-Membros tinham de aplicar a regra alterada a partir de 25 de maio de 2011.

Há duas exceções. Não é preciso consentimento para o armazenamento ou acesso que:

• sirva apenas para efetuar a transmissão de uma comunicação através de uma rede, ou
• seja estritamente necessário para prestar um serviço que o utilizador pediu expressamente, como um carrinho de compras, uma sessão iniciada ou a memorização da escolha de cookies do visitante.

Tudo o resto, como análise, publicidade, retargeting e píxeis de redes sociais, precisa, em princípio, de consentimento. Algumas autoridades nacionais admitem isenções limitadas para a medição de audiências respeitadora da privacidade; consulta os guias por país abaixo. A lei portuguesa não tem essa isenção: a CNPD considera que os cookies de análise precisam de consentimento.

Não são só cookies

A regra é tecnologicamente neutra. Nas suas Diretrizes 2/2023 sobre o âmbito técnico do artigo 5.º, n.º 3, adotadas na versão final em outubro de 2024, o Comité Europeu para a Proteção de Dados (CEPD) explica que a regra abrange também píxeis de rastreamento, links de rastreamento, local storage, certas formas de fingerprinting e técnicas semelhantes. Sabe mais em O que são cookies?

Como os Estados-Membros a aplicam

Por ser uma diretiva, cada Estado-Membro transpôs a regra para a sua própria lei, e cada um tem a sua autoridade de controlo. Em Portugal, a regra está no artigo 5.º da Lei n.º 41/2004, com a redação da Lei n.º 46/2012, e é a CNPD que a fiscaliza, tal como fiscaliza o RGPD. Alguns exemplos:

As diferenças estão nos pormenores: se as cookie walls são permitidas, durante quanto tempo uma escolha deve ser lembrada, se a análise pode ficar isenta e qual o valor das coimas. O nosso guia sobre coimas por cookies compara a vertente da fiscalização.

O que o RGPD acrescenta

A Diretiva ePrivacy não define ela própria o consentimento; remete para a definição da legislação de proteção de dados, hoje o RGPD. Por isso, o consentimento para cookies tem de ser:

• Livre: uma escolha real, sem pressão. Regra geral, o acesso a um site não deve depender da aceitação do rastreamento; vê Cookie walls.
• Específico: por finalidade, e não um único "aceitar" para tudo sem possibilidade de escolha.
• Informado: o visitante sabe quem coloca que cookies, para que finalidade e durante quanto tempo.
• Inequívoco: dado através de um ato claro e ativo. O silêncio, fazer scroll ou continuar a navegar não é consentimento.

O visitante tem também de poder retirar o consentimento com a mesma facilidade com que o deu.

Quando os cookies tratam dados pessoais, como acontece quase sempre com os cookies de rastreamento, o RGPD aplica-se também a esse tratamento: precisas de um fundamento jurídico, tens de prestar informação e tens de respeitar os direitos dos titulares dos dados.

Planet49: o caso de referência

No caso Planet49 (processo C-673/17, 1 de outubro de 2019), o Tribunal de Justiça da União Europeia decidiu que:

• uma caixa pré-assinalada não é um consentimento válido;
• a exigência de consentimento aplica-se quer a informação seja um dado pessoal, quer não;
• a informação dada aos utilizadores tem de incluir quanto tempo duram os cookies e se terceiros lhes podem aceder.

O que está a mudar, e o que não está

O Regulamento ePrivacy foi retirado

Em 2017, a Comissão propôs um Regulamento ePrivacy para substituir a diretiva. Depois de anos sem acordo, anunciou a retirada no seu programa de trabalho para 2025, e a retirada foi publicada no Jornal Oficial a 6 de outubro de 2025. A Diretiva ePrivacy continua, portanto, a aplicar-se.

O Digital Omnibus é uma proposta, não uma lei

A 19 de novembro de 2025, a Comissão apresentou o Digital Omnibus (processo 2025/0360(COD)). Propõe, entre outras coisas, passar da Diretiva ePrivacy para o RGPD as regras sobre o acesso a dispositivos que envolve dados pessoais, exigir uma opção para recusar com um único clique, obrigar os sites a respeitar uma escolha durante pelo menos seis meses, permitir que os utilizadores definam as suas escolhas de forma centralizada (por exemplo no browser) e isentar de consentimento certas utilizações de baixo risco, como a contagem de visitas.

Em outubro de 2026, continua a ser uma proposta: as comissões do Parlamento Europeu estão a preparar o seu relatório e o Conselho ainda não adotou uma posição. Estados-Membros e eurodeputados propuseram alterações, por isso o texto final pode ser diferente. Até ser adotada e começar a aplicar-se, as leis nacionais de cookies acima continuam em vigor.

O Reino Unido é um caso à parte

Desde o Brexit, o Reino Unido tem as suas próprias regras: a regra 6 do PECR, em conjunto com o UK GDPR, fiscalizada pelo ICO. O Data (Use and Access) Act 2025 acrescentou novas exceções, por exemplo para alguma análise, que não existem na UE. Vê UK cookie law (em inglês).

Como cumprir em toda a UE

1. Analisa o teu site para encontrar todos os cookies, píxeis e scripts, incluindo os de plugins e conteúdos incorporados.
2. Bloqueia tudo o que precisa de consentimento até o visitante aceitar.
3. Dá uma escolha real: "Aceitar" e "Rejeitar" igualmente visíveis na primeira camada, e definições por finalidade.
4. Informa com clareza no banner e numa política de cookies.
5. Facilita a retirada do consentimento, por exemplo com um link em todas as páginas.
6. Guarda a prova de cada consentimento.
7. Segue as regras mais rigorosas onde tens visitantes, ou usa regras geográficas por país.
8. Usa o Google Consent Mode v2 se usas Google Ads ou Google Analytics; vê O Google Consent Mode v2 explicado.

O Cookie Confirm trata destes passos: uma análise mensal com novas análises ilimitadas, scripts bloqueados até haver consentimento, regras geográficas por país, um banner com o estilo da tua marca mostrado no idioma do visitante (mais de 29 idiomas), uma declaração de cookies gerada a partir da análise e um registo de consentimentos guardado durante 12 meses. Por 7,95 € por site e por mês, com um teste grátis de 7 dias.

Fontes

• EUR-Lex: Diretiva 2002/58/CE (Diretiva ePrivacy)
• EUR-Lex: Diretiva 2009/136/CE
• EUR-Lex: Regulamento (UE) 2016/679 (RGPD)
• TJUE: processo C-673/17, Planet49 (1 de outubro de 2019)
• CEPD: Diretrizes 2/2023 sobre o âmbito técnico do artigo 5.º, n.º 3, da Diretiva ePrivacy
• CEPD: Diretrizes 05/2020 relativas ao consentimento
• Conselho da UE: nota informativa sobre as propostas da Comissão retiradas, JO C/2025/5423 (outubro de 2025)
• EUR-Lex: processo 2017/0003(COD), Regulamento ePrivacy
• Comissão Europeia: perguntas frequentes sobre o Pacote Digital (Digital Omnibus)
• Observatório Legislativo do Parlamento Europeu: processo 2025/0360(COD)
• Diário da República: Lei n.º 41/2004, de 18 de agosto
• Diário da República: Lei n.º 46/2012, de 29 de agosto (nova redação dos artigos 5.º e 15.º da Lei n.º 41/2004)
• CNPD: Nota informativa relativa à utilização de cookies (25 de junho de 2021)
• Wetten.nl: Telecommunicatiewet, artigo 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (artigo 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)