O que é um cookie?
Um cookie é um pequeno ficheiro de texto que um site guarda no browser do visitante. Da próxima vez que o browser carregar uma página desse site, envia o cookie de volta. Isso permite ao site lembrar-se de coisas: que tens a sessão iniciada, o que está no teu carrinho de compras, que idioma escolheste ou que já o visitaste antes.
Os cookies, por si só, não são bons nem maus. O que importa é para que são usados. Um cookie que guarda o teu carrinho é algo de que precisas; um cookie que te segue por centenas de sites para construir um perfil publicitário é algo com que tens de concordar primeiro.
A regra dos cookies em resumo
Na UE, a regra está no artigo 5.º, n.º 3, da Diretiva 2002/58/CE (Diretiva ePrivacy), transposta para a lei de cada país; em Portugal, é o artigo 5.º da Lei n.º 41/2004, fiscalizado pela CNPD (vê A lei dos cookies em Portugal). No Reino Unido, é a regra 6 do PECR. A regra base é a mesma: só podes guardar informação no dispositivo de um visitante, ou lê-la a partir dele, se o visitante tiver recebido informação clara e tiver dado o seu consentimento.
Há exceções. Na UE, não é preciso consentimento para o armazenamento estritamente necessário para um serviço que o visitante pediu expressamente, ou usado apenas para transmitir uma comunicação. Quando o consentimento é necessário, tem de cumprir o padrão do RGPD: livre, específico, informado e dado através de um ato positivo claro. O Tribunal de Justiça da União Europeia decidiu no caso Planet49 (2019) que uma caixa pré-assinalada não é um consentimento válido, quer o cookie contenha dados pessoais, quer não.
Tipos de cookies
Por quem os coloca
- Cookies próprios são colocados pelo site que visitas, no seu próprio domínio.
- Cookies de terceiros são colocados por outro domínio, por exemplo uma rede de publicidade, uma plataforma de vídeo ou um widget de redes sociais incorporado na página.
Por quanto tempo duram
- Cookies de sessão desaparecem quando fechas o browser.
- Cookies persistentes ficam até uma data de expiração definida, de minutos a anos. O cookie _ga do Google Analytics, por exemplo, dura dois anos por predefinição.
Por finalidade
É esta classificação que decide se precisas de consentimento.
| Finalidade | Exemplos | Consentimento necessário na UE? | Consentimento necessário no Reino Unido? |
|---|---|---|---|
| Estritamente necessários | Carrinho de compras, sessão iniciada, balanceamento de carga, segurança, a própria escolha de cookies | Não | Não |
| Preferências | Idioma, região, modo escuro | Não, se apenas lembrarem uma escolha feita pelo visitante, como mudar de idioma; caso contrário, muitas vezes sim | Não, para adaptar o aspeto ou as funcionalidades, se os visitantes se puderem opor |
| Estatística / análise | Contagem de visitantes, visualizações de página, Google Analytics | Sim em Portugal; alguns outros países isentam a análise configurada de forma rigorosa | Não, se forem apenas para estatísticas agregadas que melhorem o teu próprio site, se os visitantes se puderem opor |
| Marketing / rastreamento | Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting | Sim | Sim |
| Conteúdo incorporado | Vídeos do YouTube, mapas, publicações de redes sociais | Normalmente sim | Normalmente sim |
As exceções britânicas foram acrescentadas ao PECR pelo Data (Use and Access) Act 2025 e aplicam-se desde 5 de fevereiro de 2026. Na UE, saber se os cookies de análise podem ser usados sem consentimento depende do país; a CNIL francesa e as regras neerlandesas, por exemplo, permitem-no em condições rigorosas. Em Portugal não há essa isenção: a CNPD indicou na sua nota de junho de 2021 que os cookies para fins de analítica exigem consentimento. Sabe mais em Google Analytics e o RGPD.
Não são só cookies
A regra é tecnologicamente neutra. Abrange tudo o que guarda informação num dispositivo ou a lê a partir dele. Nas suas Diretrizes 2/2023, o CEPD enumera, entre outros:
- Local storage e session storage no browser;
- Píxeis de rastreamento e link decoration (identificadores acrescentados aos URLs);
- Scripts que recolhem informação do dispositivo e a enviam para um servidor;
- Fingerprinting, que reconhece um dispositivo pelas suas características;
- identificadores em apps e dispositivos ligados.
As orientações do ICO para o Reino Unido seguem a mesma visão ampla e falam de "tecnologias de armazenamento e acesso". Por isso, dizer "não usamos cookies, só um píxel" não te livra das regras.
O que isto significa para o teu site
- Descobre o que o teu site coloca realmente. Plugins, vídeos incorporados e tags de marketing acrescentam muitas vezes cookies que desconheces. Um scanner de cookies mostra-os.
- Organiza-os por finalidade: estritamente necessários, preferências, estatística e marketing.
- Bloqueia tudo o que precisa de consentimento até o visitante aceitar, e torna rejeitar tão fácil como aceitar.
- Explica tudo numa política de cookies: cada cookie, a sua finalidade, quem o coloca e quanto tempo dura. Vê o nosso modelo de política de cookies.
O Cookie Confirm analisa o teu site todos os meses (e podes repetir a análise sem limites), classifica os cookies que encontra, bloqueia os scripts até haver consentimento e mantém a tua política de cookies atualizada.
Fontes
- Diretiva ePrivacy 2002/58/CE (versão consolidada), artigo 5.º, n.º 3
- Diário da República: Lei n.º 46/2012, de 29 de agosto (nova redação do artigo 5.º da Lei n.º 41/2004)
- CNPD: Nota informativa relativa à utilização de cookies (25 de junho de 2021)
- TJUE: processo C-673/17, Planet49
- CEPD: Diretrizes 2/2023 sobre o âmbito técnico do artigo 5.º, n.º 3, da Diretiva ePrivacy (PDF)
- ICO: o que são tecnologias de armazenamento e acesso?
- ICO: quais são as exceções?
- Data (Use and Access) Act 2025, Schedule 12
- Grupo de Trabalho do Artigo 29.º: Parecer 04/2012 sobre a isenção de consentimento para cookies
- CNIL: soluções para ferramentas de medição de audiência (em francês)
- Ajuda do Google Analytics: utilização de cookies em sites