Cookie Confirm

A lei dos cookies em Portugal

O que o artigo 5.º da Lei n.º 41/2004 e o RGPD exigem do teu site, que cookies precisam de consentimento, quem fiscaliza e o que a CNPD já disse sobre o tema. Em linguagem simples.

Verificado em 16 outubro 2026

Em resumo

  • Em Portugal, a regra dos cookies está no artigo 5.º da Lei n.º 41/2004: consentimento prévio, com informação clara e completa, antes de guardar ou ler informação no dispositivo do visitante.
  • Só os cookies estritamente necessários para o serviço pedido pelo visitante, ou para transmitir uma comunicação, dispensam consentimento. Não há uma exceção para a análise.
  • Quem fiscaliza a regra dos cookies e o RGPD é a CNPD. A ANACOM não tem competência sobre cookies.
  • As coimas pela regra dos cookies vão até 5 milhões de euros para empresas; o RGPD pode somar-se.

O que é a lei dos cookies?

Em Portugal, aquilo a que se chama "a lei dos cookies" é o artigo 5.º da Lei n.º 41/2004, de 18 de agosto, a lei da privacidade nas comunicações eletrónicas. O artigo, na redação dada pela Lei n.º 46/2012, de 29 de agosto, transpõe o artigo 5.º, n.º 3, da Diretiva ePrivacy. Abrange qualquer armazenamento de informação no equipamento de um visitante e qualquer acesso a informação que lá esteja guardada: cookies, mas também, segundo as Diretrizes 2/2023 do CEPD, local storage, píxeis de rastreamento, certas formas de fingerprinting e técnicas semelhantes.

A regra base: só podes guardar ou ler essa informação se o visitante tiver dado o seu consentimento prévio, com base em informação clara e completa, nomeadamente sobre as finalidades. Há apenas duas exceções. Não precisas de consentimento para o armazenamento ou acesso:

  • que tenha como única finalidade transmitir uma comunicação através de uma rede de comunicações eletrónicas, ou
  • que seja estritamente necessário para prestar um serviço que o visitante pediu expressamente, como um carrinho de compras, uma sessão iniciada ou a memorização da escolha feita no banner de cookies.

Ao contrário de França ou dos Países Baixos, a lei portuguesa não tem uma exceção para cookies de análise. A CNPD escreveu em 2021 que as organizações têm de obter o consentimento "quando tal se impõe, como é o caso de cookies para fins de analítica".

Quando os cookies tratam dados pessoais, como acontece com quase todos os cookies de rastreamento e de publicidade, aplica-se também o RGPD, completado em Portugal pela Lei n.º 58/2019. A CNPD lembrou em 2025 que os cookies podem associar pessoas a identificadores e servir para definir perfis, como diz o considerando 30 do RGPD.

Que cookies podem ser usados sem consentimento?

Tipo de cookie Consentimento necessário? Exemplos
Estritamente necessários Não Carrinho de compras, sessão iniciada, segurança, a escolha feita no banner de cookies
Preferências Não, se apenas lembrarem uma escolha do visitante para o serviço que pediu; caso contrário, sim Idioma escolhido pelo visitante
Análise e estatística Sim Google Analytics, mapas de calor, outras ferramentas de medição
Marketing e rastreamento Sim Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting
Conteúdo incorporado Normalmente sim Vídeos do YouTube, Google Maps, botões de redes sociais

Explica também os cookies que não precisam de consentimento, por exemplo na tua política de cookies. Se tratarem dados pessoais, as regras de transparência do RGPD obrigam-te a fazê-lo. Mais sobre os tipos de cookies em O que são cookies?

O que tem de cumprir um consentimento válido?

O artigo 5.º remete para a Lei de Proteção de Dados Pessoais de 1998, que foi revogada pela Lei n.º 58/2019. A Diretiva ePrivacy, que a lei portuguesa transpõe, define o consentimento por remissão para a legislação europeia de proteção de dados, e essa remissão vale hoje para o RGPD (artigo 94.º, n.º 2, do RGPD). O consentimento para cookies tem, por isso, de cumprir o padrão do RGPD e ser:

  • Livre: o visitante pode recusar sem ser prejudicado. Cuidado com as cookie walls.
  • Específico: por finalidade, e não um único "aceitar" para tudo.
  • Informado: o visitante sabe quem coloca que cookies, para quê e durante quanto tempo.
  • Inequívoco: dado através de um ato positivo claro. Continuar a navegar, fazer scroll ou caixas pré-assinaladas não contam. O Tribunal de Justiça da UE confirmou-o no caso Planet49 (2019).
  • Retirável: retirar o consentimento tem de ser tão fácil como dá-lo.

Nas palavras de um especialista da CNPD numa conferência em outubro de 2025: o titular tem de poder decidir em liberdade, sem ser coagido, e o consentimento tem de ser específico quando os dados são usados para finalidades diferentes ou comunicados a terceiros.

Quem fiscaliza?

Em Portugal, quem fiscaliza a regra dos cookies é a Comissão Nacional de Proteção de Dados (CNPD). O artigo 15.º da Lei n.º 41/2004 dá-lhe a competência para instaurar processos de contraordenação e aplicar admoestações e coimas por violação do artigo 5.º. A CNPD é também a autoridade de controlo do RGPD, por isso trata as duas vertentes.

A ANACOM fiscaliza outras partes da mesma lei, como a segurança das redes e serviços de comunicações eletrónicas, mas não os cookies.

Qualquer visitante pode apresentar uma participação (queixa) à CNPD.

O que diz a CNPD sobre cookies?

A CNPD ainda não publicou orientações gerais sobre cookies como as da CNIL francesa. O que publicou:

  • Nota informativa de 25 de junho de 2021: quem tem o site é responsável por todos os cookies que deixa colocar no equipamento do visitante, também os de terceiros, e tem de informar e obter o consentimento quando ele é exigido, como no caso dos cookies de análise. A CNPD verificou "graves deficiências" na forma como as regras eram aplicadas e anunciou diretrizes específicas sobre cookies. Até à data em que escrevemos, essas diretrizes não foram publicadas no site da CNPD.
  • Entidades públicas: na mesma nota, a CNPD sublinhou que os sites públicos exigem cuidados especiais, porque os cidadãos não têm alternativa para aceder a esses serviços ou informações.
  • Novembro de 2025: a CNPD voltou a lembrar que os cookies são abrangidos pelo RGPD e que o consentimento tem de ser informado, livre, específico e inequívoco.

Enquanto não houver orientações nacionais, a referência prática é o trabalho do Comité Europeu para a Proteção de Dados (CEPD), de que a CNPD faz parte: as Diretrizes 05/2020 relativas ao consentimento e o relatório da task force sobre banners de cookies, de janeiro de 2023.

Erros a evitar no banner

O relatório da task force do CEPD reúne as práticas que as autoridades europeias consideram problemáticas:

  • Não há opção para recusar em nenhuma camada em que haja um botão para aceitar. Para a grande maioria das autoridades, isso é uma infração.
  • Caixas pré-assinaladas na segunda camada. Não dão um consentimento válido.
  • Recusar é apenas um link perdido no texto ou fora do banner, sem destaque visual suficiente.
  • Cores ou contraste enganadores, por exemplo um botão de recusa com um texto quase ilegível.
  • "Interesse legítimo" como fundamento para colocar ou ler cookies. Segundo as autoridades, isso não é possível.
  • Cookies classificados como "essenciais" que não são estritamente necessários.
  • Sem forma fácil de retirar o consentimento depois de o ter dado.

Também se usas um banner padrão de uma plataforma de gestão de consentimentos, és tu, como responsável pelo site, quem responde pelas definições.

Quanto pode custar?

Não respeitar as condições do artigo 5.º é uma contraordenação punível, para empresas e outras pessoas coletivas, com coima de 5000 a 5 000 000 de euros (artigo 14.º da Lei n.º 41/2004). Se os cookies tratarem dados pessoais sem consentimento válido, o RGPD prevê coimas até 20 milhões de euros ou 4% do volume de negócios anual a nível mundial. Mais em Coimas por cookies em Portugal.

Como pôr o teu site em conformidade

  1. Descobre que cookies o teu site coloca, incluindo os de plugins e de conteúdos incorporados, como vídeos e mapas.
  2. Pergunta-te se precisas mesmo de tudo. Sem cookies que precisem de consentimento, também não precisas de banner.
  3. Agrupa o resto por finalidade: necessários, análise e marketing.
  4. Coloca um banner com "Aceitar" e "Rejeitar" lado a lado na primeira camada, igualmente visíveis.
  5. Bloqueia todos os cookies que precisam de consentimento, incluindo os de análise, até o visitante aceitar.
  6. Usas Google Ads ou Google Analytics? Transmite a escolha através do Google Consent Mode v2.
  7. Publica uma política de cookies com cada cookie, a finalidade, a duração e quem o coloca.
  8. Guarda a prova do consentimento, para mostrares quem aceitou o quê e quando.

O Cookie Confirm ajuda nos passos 1 e 3 a 8: o scanner analisa o teu site todos os meses (e sempre que quiseres), o banner bloqueia os scripts até haver consentimento e transmite a escolha ao Google Consent Mode v2, a política de cookies é gerada e atualizada automaticamente e cada consentimento é guardado durante 12 meses. Por 7,95 € por site e por mês, com um teste grátis de 7 dias. Preferes não instalar tu? O Setup Service gratuito trata disso em 24 horas depois de nos dares acesso.

Fontes

Perguntas frequentes

Existe uma nova lei dos cookies em Portugal?

Não. A regra continua no artigo 5.º da Lei n.º 41/2004, com a redação que lhe deu a Lei n.º 46/2012. A Comissão Europeia propôs em novembro de 2025, no Digital Omnibus, alterar as regras dos cookies, mas em outubro de 2026 essa proposta ainda não foi adotada. Até lá, aplicam-se as regras atuais.

O banner de cookies é obrigatório?

Só se usares cookies ou técnicas semelhantes que precisem de consentimento, como cookies de análise, píxeis de publicidade ou vídeos incorporados que seguem os visitantes. Se o teu site usar apenas cookies estritamente necessários, não precisas de pedir consentimento. Explica-os mesmo assim na tua política de cookies; se tratarem dados pessoais, o RGPD obriga-te a informar.

Posso usar o Google Analytics sem consentimento?

Não deves contar com isso. A lei portuguesa não tem uma exceção para cookies de análise, e a CNPD escreveu em 2021 que os cookies para fins de analítica precisam de consentimento ao abrigo do artigo 5.º da Lei n.º 41/2004. Bloqueia o Google Analytics até o visitante aceitar.

Quem fiscaliza os cookies em Portugal: a CNPD ou a ANACOM?

A CNPD. A Lei n.º 41/2004 dá à CNPD a competência para os processos de contraordenação por violação do artigo 5.º, e a CNPD é também a autoridade de controlo do RGPD. A ANACOM fiscaliza outras partes da mesma lei, como a segurança das redes, mas não os cookies.

Posso bloquear o acesso a quem recusa cookies?

A CNPD não publicou uma posição própria sobre cookie walls. O Comité Europeu para a Proteção de Dados, de que a CNPD faz parte, considera que o consentimento não é livre quando o acesso ao site depende da aceitação de cookies. Para a maioria dos sites, a escolha segura é deixar entrar também quem recusa.

Durante quanto tempo tenho de guardar o consentimento?

A lei não fixa um prazo. O RGPD exige, no entanto, que consigas demonstrar que o visitante deu o seu consentimento. O Cookie Confirm guarda cada consentimento durante 12 meses e permite exportar o registo, para o poderes mostrar se a CNPD o pedir.

Este guia é informação geral, não aconselhamento jurídico. Revemo-lo com regularidade, mas as leis e as orientações mudam. Não tens a certeza sobre a tua situação? Fala com um advogado.

Continuar a ler

Mais guias

Todos os guias →

Aproveita os primeiros 7 dias totalmente grátis

Cria uma conta grátis e vê se a Cookie Confirm é a solução certa para ti. Online em 5 minutos.

  • Não é preciso cartão de crédito
  • Depois, 7,95 € por mês
  • Instalação plug-and-play
Começar o meu teste grátis

4,9/5 5 000+ sites