Mais da metade dos portais analisados em Portugal não ficou em “OK”. Em oito dos 18 casos, o teste observou cookies ou serviços de análise e rastreamento antes de uma escolha válida. Em três, sinais não essenciais também permaneceram depois que a rejeição foi acionada.
O resultado chama a atenção porque o problema não está apenas no desenho do banner. A página pode mostrar os botões certos enquanto o navegador já iniciou uma atividade que depende de consentimento. O que aparece na tela e o que acontece tecnicamente podem contar histórias diferentes.
Este levantamento não declara infrações nem cria um ranking de municípios. Ele torna um comportamento técnico observável, compara resultados obtidos pelo mesmo método e indica onde uma revisão humana merece começar.
| Portais analisados | Não conforme | Atenção | OK |
|---|---|---|---|
| 18 | 8 | 2 | 8 |
O que foi analisado em Portugal
O recorte foi definido antes da coleta: uma câmara municipal por distrito, sempre a página inicial da capital distrital. Portanto, o conjunto inclui 18 serviços públicos digitais com grande visibilidade. Não é uma amostra estatística de todos os municípios portugueses e não representa os portais públicos brasileiros.
A pergunta foi simples: a pessoa consegue escolher e o navegador respeita essa escolha? Para responder, utilizei o Teste de Cookies, atualmente em versão Beta, e comparei três sessões independentes.
| Momento | O que acontece | Pergunta central |
|---|---|---|
| Antes da escolha | Uma nova sessão abre a página sem interagir com o banner. | Algo não essencial foi ativado antes da decisão? |
| Depois da rejeição | Outra sessão tenta rejeitar ou manter apenas o necessário. | A rejeição é possível e bloqueia o que depende de consentimento? |
| Depois da aceitação | Uma terceira sessão aceita e registra o que passa a ser ativado. | O que muda quando existe autorização? |
Consentimento é comportamento técnico, não decoração
A diferença entre um banner funcional e um banner apenas visual aparece no navegador. Antes da escolha, os recursos que dependem de autorização devem permanecer inativos. Depois da rejeição, o estado técnico deve continuar coerente com a decisão. Assim, a presença dos botões “Aceitar” ou “Rejeitar” não demonstra, por si só, que cookies, armazenamento local e serviços externos obedeceram à pessoa.
Como o estudo foi realizado em Portugal, o enquadramento citado é português e europeu. O artigo 5º da Lei portuguesa nº 41/2004 condiciona o armazenamento de informação, ou o acesso a informação guardada no equipamento, ao consentimento prévio baseado em informação clara e completa. A lei prevê exceções para transmissão técnica e recursos estritamente necessários a um serviço solicitado pelo usuário.
Além disso, o relatório da Cookie Banner Taskforce do EDPB reuniu entendimentos comuns de autoridades europeias sobre práticas como ativar cookies dependentes de consentimento antes da escolha e dificultar a rejeição.
As multas mostram que o tema já saiu do plano teórico
A fiscalização europeia já produziu decisões de grande dimensão centradas em cookies. A autoridade francesa CNIL aplicou uma multa de 150 milhões de euros à SHEIN por cookies colocados sem consentimento. Em outro processo, aplicou ao Google uma multa de 325 milhões de euros por práticas que incluíam cookies e anúncios inseridos entre mensagens de e-mail.
Esses casos não são precedentes contra os municípios deste levantamento e os valores não podem ser projetados sobre os resultados. Eles mostram, porém, que o comportamento técnico de cookies pode ser verificado à distância, documentado e levado a sério pelas autoridades.
Resultados do teste de cookies nos 18 portais
A distribuição importa mais do que uma média. Oito portais foram classificados como “Não conforme”, dois como “Atenção” e oito como “OK”. Desse modo, 10 dos 18 portais — 55,6% do conjunto — não ficaram em “OK” naquela execução.
| Distrito | Domínio | Pontos | Cobertura | Resultado | Risco técnico observado |
|---|---|---|---|---|---|
| Aveiro | cm-aveiro.pt | 100 | 6/6 | OK | Não identificado |
| Beja | cm-beja.pt | 100 | 6/6 | OK | Não identificado |
| Braga | cm-braga.pt | 100 | 6/6 | OK | Não identificado |
| Bragança | cm-braganca.pt | 92 | 6/6 | Atenção | Moderado |
| Castelo Branco | cm-castelobranco.pt | 35 | 5/6 | Não conforme | Elevado |
| Coimbra | cm-coimbra.pt | 100 | 6/6 | OK | Não identificado |
| Évora | cm-evora.pt | 100 | 3/6 | OK | Não identificado |
| Faro | cm-faro.pt | 92 | 6/6 | Atenção | Moderado |
| Guarda | mun-guarda.pt | 19 | 4/6 | Não conforme | Crítico |
| Leiria | cm-leiria.pt | 100 | 6/6 | OK | Não identificado |
| Lisboa | lisboa.pt | 44 | 6/6 | Não conforme | Elevado |
| Portalegre | cm-portalegre.pt | 44 | 6/6 | Não conforme | Elevado |
| Porto | cm-porto.pt | 36 | 6/6 | Não conforme | Elevado |
| Santarém | cm-santarem.pt | 35 | 5/6 | Não conforme | Elevado |
| Setúbal | mun-setubal.pt | 19 | 4/6 | Não conforme | Crítico |
| Viana do Castelo | cm-viana-castelo.pt | 100 | 6/6 | OK | Não identificado |
| Vila Real | cm-vilareal.pt | 100 | 3/6 | OK | Não identificado |
| Viseu | cm-viseu.pt | 35 | 5/6 | Não conforme | Elevado |
Comprovantes dos 18 testes
Os 18 relatórios técnicos gerados pela ferramenta em 12 de agosto de 2026 estão disponíveis para consulta. Cada PDF corresponde a um portal e preserva a pontuação, a cobertura, as regras avaliadas e os registros técnicos daquela execução.
Os documentos permitem conferir a evidência por trás da tabela. Eles registram um comportamento observado em uma data específica e não constituem decisão da CNPD nem certificado jurídico.
Relatórios individuais
- Aveiro — relatório técnico em PDF
- Beja — relatório técnico em PDF
- Braga — relatório técnico em PDF
- Bragança — relatório técnico em PDF
- Castelo Branco — relatório técnico em PDF
- Coimbra — relatório técnico em PDF
- Évora — relatório técnico em PDF
- Faro — relatório técnico em PDF
- Guarda — relatório técnico em PDF
- Leiria — relatório técnico em PDF
- Lisboa — relatório técnico em PDF
- Portalegre — relatório técnico em PDF
- Porto — relatório técnico em PDF
- Santarém — relatório técnico em PDF
- Setúbal — relatório técnico em PDF
- Viana do Castelo — relatório técnico em PDF
- Vila Real — relatório técnico em PDF
- Viseu — relatório técnico em PDF
A cobertura acompanha a pontuação porque nem todas as regras se aplicam em todos os cenários. Évora e Vila Real obtiveram 100/100 com três das seis regras aplicáveis. Já Aveiro, Beja, Braga, Coimbra, Leiria e Viana do Castelo chegaram ao resultado máximo com cobertura integral.
Na tabela, “risco técnico observado” é uma escala editorial para facilitar a leitura. Ela não estima a probabilidade de multa. Da mesma forma, “não identificado” significa apenas que o teste não observou, naquela execução e nas regras avaliadas, um comportamento classificado como risco.
O problema se repete em cidades diferentes
Os oito resultados “Não conforme” compartilham um sinal: algum cookie ou serviço de análise e rastreamento surgiu antes de uma escolha válida. No entanto, os caminhos até o resultado variaram. Em alguns portais faltou o banner; em outros, rejeitar exigiu passos adicionais; e houve casos em que a rejeição não interrompeu os sinais não essenciais.
Sem banner, mas com rastreamento ativo
Guarda e Setúbal obtiveram 19/100. Nos dois casos, o teste não identificou um banner, embora tenha observado cookies do Google Analytics e chamadas analíticas antes de qualquer escolha. Nessa escala editorial, são os dois casos de risco técnico “Crítico”, porque a ausência de uma interface de consentimento coincide com sinais não essenciais já ativos.
O banner existe, mas rejeitar não é uma ação equivalente
Castelo Branco, Santarém e Viseu apresentaram banner, mas a ferramenta não encontrou, no primeiro nível, uma ação clara de rejeição equivalente à aceitação. Bragança e Faro permitiram rejeitar, mas exigiram abrir “Preferências” e confirmar a escolha; por isso, ficaram em “Atenção”, com 92/100. O Porto também exigiu passos adicionais e falhou em outros critérios.
A pessoa rejeita, mas o rastreamento continua
Lisboa, Portalegre e Porto tinham um mecanismo de rejeição executável. Mesmo assim, os relatórios registraram cookies ou endpoints de análise e marketing depois dessa ação. Esse padrão mostra a distância que pode existir entre o texto da interface e o estado efetivo do navegador.
O esforço invisível de quem fez corretamente
Aveiro, Beja, Braga, Coimbra, Leiria e Viana do Castelo chegaram a 100/100 com todas as seis regras avaliadas. Isso não significa “não utilizar cookies”. Vários desses portais usam serviços de análise, mas o teste só os observou depois da aceitação. A diferença está na ordem: a medição pode existir sem anteceder a decisão do visitante.
Évora e Vila Real também obtiveram 100/100, mas em outro cenário. O teste não observou itens não essenciais que tornassem o banner necessário. Por isso, três regras ligadas ao aviso, à rejeição e ao comportamento posterior ficaram como não aplicáveis. A pontuação é positiva, mas a cobertura deve acompanhar qualquer citação do resultado.
O que este estudo pode — e não pode — afirmar
Os resultados descrevem uma visita automatizada, em uma página e em um momento específicos. Eles podem variar por geolocalização, idioma, estado do servidor, cache, testes A/B, campanhas, mecanismos anti-bot, gerenciador de consentimento e alterações posteriores do site.
A ferramenta também não conhece contratos, decisões internas, fundamentos jurídicos, tratamentos fora do navegador ou áreas que exigem autenticação. Por isso, “Não conforme” deve ser lido como a classificação técnica emitida para o comportamento observado, e não como uma decisão da autoridade portuguesa. Da mesma forma, 100/100 não é um certificado de conformidade.
O valor do levantamento está em tornar o comportamento observável, comparável e repetível. Uma eventual infração, responsabilidade ou sanção depende da análise do caso concreto e da autoridade competente. O estudo não estima multas e não substitui auditoria humana, perícia de engenharia da computação, encarregado de proteção de dados ou parecer jurídico.
Metodologia e fontes
O procedimento pode ser consultado no artigo sobre o método do Teste de Cookies. Como o recorte é português, o enquadramento documental inclui a Lei portuguesa nº 41/2004, o relatório do EDPB sobre banners de cookies e a nota da CNPD de Portugal sobre cookies.
Referência rápida
Termos deste artigo
REFERÊNCIA RÁPIDA. Definições para interpretar corretamente o estudo.
- Consentimento prévio
- Escolha livre, informada e clara obtida antes de ativar um recurso que depende dessa autorização.
- Cookie não essencial
- Registro usado, por exemplo, para análise de audiência, publicidade ou personalização, sem ser indispensável ao serviço solicitado.
- Rastreamento
- Acompanhamento da navegação ou das ações do usuário, geralmente para análise, personalização ou publicidade.
- Cobertura
- Número de regras que a ferramenta conseguiu avaliar entre as seis previstas no método.
- Endpoint
- Endereço técnico para o qual a página envia uma solicitação ou do qual recebe dados durante a navegação.
- Falso positivo e falso negativo
- Um falso positivo aponta um problema que não se confirma; um falso negativo deixa de identificar um problema existente.
Comentários convidados
Leituras de especialistas
Especialistas e amigos são bem-vindos para acrescentar leituras autenticadas e publicadas após curadoria editorial.