Mais de metade dos portais analisados não ficou em «OK». Em oito dos 18 casos, o teste observou cookies ou serviços de análise e rastreio antes de uma escolha válida. Em três, sinais não essenciais também permaneceram depois de a rejeição ser acionada.
O resultado chama a atenção porque o problema não está apenas no desenho do banner. A página pode mostrar os botões certos enquanto o navegador já iniciou atividade que depende de consentimento. O que aparece no ecrã e o que acontece tecnicamente podem contar histórias diferentes.
Este levantamento não declara infrações nem cria um ranking de municípios. Torna um comportamento técnico observável, compara resultados obtidos pelo mesmo método e indica onde uma revisão humana merece começar.
| Portais analisados | Não conforme | Atenção | OK |
|---|---|---|---|
| 18 | 8 | 2 | 8 |
O que foi analisado
O recorte foi definido antes da recolha: uma câmara municipal por distrito, sempre a página inicial da capital de distrito. Portanto, o conjunto inclui 18 serviços públicos digitais com elevada visibilidade. Não é uma amostra estatística de todos os municípios portugueses.
A pergunta foi simples: a pessoa consegue escolher e o navegador respeita essa escolha? Para responder, utilizei o Teste de Cookies, atualmente em versão Beta, e comparei três sessões independentes.
| Momento | O que acontece | Pergunta central |
|---|---|---|
| Antes da escolha | Uma nova sessão abre a página sem interagir com o banner. | Foi ativado algo não essencial antes da decisão? |
| Depois da rejeição | Outra sessão tenta rejeitar ou manter apenas o necessário. | A rejeição é possível e bloqueia o que depende de consentimento? |
| Depois da aceitação | Uma terceira sessão aceita e regista o que passa a ser ativado. | O que muda quando existe autorização? |
Consentimento é comportamento técnico, não decoração
A diferença entre um banner funcional e um banner apenas visual aparece no navegador. Antes da escolha, os recursos que dependem de autorização devem permanecer inativos. Depois da rejeição, o estado técnico deve continuar coerente com a decisão. Assim, a presença dos botões «Aceitar» ou «Rejeitar» não demonstra, por si só, que cookies, armazenamento local e serviços externos obedeceram à pessoa.
Em Portugal, o artigo 5.º da Lei n.º 41/2004 condiciona o armazenamento de informação, ou o acesso a informação guardada no equipamento, ao consentimento prévio baseado em informação clara e completa. A lei prevê exceções para a transmissão técnica e para recursos estritamente necessários a um serviço pedido pelo utilizador.
Além disso, o relatório da Cookie Banner Taskforce do EDPB reuniu entendimentos comuns de autoridades europeias sobre práticas como ativar cookies dependentes de consentimento antes da escolha e dificultar a rejeição.
As coimas mostram que o tema já saiu do plano teórico
A fiscalização europeia já produziu decisões de grande dimensão centradas em cookies. A autoridade francesa CNIL aplicou uma coima de 150 milhões de euros à SHEIN por cookies colocados sem consentimento. Noutro processo, aplicou ao Google uma coima de 325 milhões de euros por práticas que incluíam cookies e anúncios inseridos entre mensagens de correio eletrónico.
Estes casos não são precedentes contra os municípios deste levantamento e os valores não podem ser projetados sobre os resultados. Servem para mostrar que o comportamento técnico de cookies pode ser verificado à distância, documentado e levado a sério pelas autoridades.
Resultados do teste de cookies nos 18 portais
A distribuição importa mais do que uma média. Oito portais foram classificados como «Não conforme», dois como «Atenção» e oito como «OK». Desse modo, 10 dos 18 portais — 55,6% do conjunto — não ficaram em «OK» naquela execução.
| Distrito | Domínio | Pontos | Cobertura | Resultado | Risco técnico observado |
|---|---|---|---|---|---|
| Aveiro | cm-aveiro.pt | 100 | 6/6 | OK | Não identificado |
| Beja | cm-beja.pt | 100 | 6/6 | OK | Não identificado |
| Braga | cm-braga.pt | 100 | 6/6 | OK | Não identificado |
| Bragança | cm-braganca.pt | 92 | 6/6 | Atenção | Moderado |
| Castelo Branco | cm-castelobranco.pt | 35 | 5/6 | Não conforme | Elevado |
| Coimbra | cm-coimbra.pt | 100 | 6/6 | OK | Não identificado |
| Évora | cm-evora.pt | 100 | 3/6 | OK | Não identificado |
| Faro | cm-faro.pt | 92 | 6/6 | Atenção | Moderado |
| Guarda | mun-guarda.pt | 19 | 4/6 | Não conforme | Crítico |
| Leiria | cm-leiria.pt | 100 | 6/6 | OK | Não identificado |
| Lisboa | lisboa.pt | 44 | 6/6 | Não conforme | Elevado |
| Portalegre | cm-portalegre.pt | 44 | 6/6 | Não conforme | Elevado |
| Porto | cm-porto.pt | 36 | 6/6 | Não conforme | Elevado |
| Santarém | cm-santarem.pt | 35 | 5/6 | Não conforme | Elevado |
| Setúbal | mun-setubal.pt | 19 | 4/6 | Não conforme | Crítico |
| Viana do Castelo | cm-viana-castelo.pt | 100 | 6/6 | OK | Não identificado |
| Vila Real | cm-vilareal.pt | 100 | 3/6 | OK | Não identificado |
| Viseu | cm-viseu.pt | 35 | 5/6 | Não conforme | Elevado |
Comprovativos dos 18 testes
Os 18 relatórios técnicos gerados pela ferramenta em 12 de agosto de 2026 estão disponíveis para consulta. Cada PDF corresponde a um portal e preserva a pontuação, a cobertura, as regras avaliadas e os registos técnicos daquela execução.
Os documentos permitem conferir a evidência por trás da tabela. Registam um comportamento observado numa data específica e não constituem decisão da CNPD nem certificado jurídico.
Relatórios individuais
- Aveiro — relatório técnico em PDF
- Beja — relatório técnico em PDF
- Braga — relatório técnico em PDF
- Bragança — relatório técnico em PDF
- Castelo Branco — relatório técnico em PDF
- Coimbra — relatório técnico em PDF
- Évora — relatório técnico em PDF
- Faro — relatório técnico em PDF
- Guarda — relatório técnico em PDF
- Leiria — relatório técnico em PDF
- Lisboa — relatório técnico em PDF
- Portalegre — relatório técnico em PDF
- Porto — relatório técnico em PDF
- Santarém — relatório técnico em PDF
- Setúbal — relatório técnico em PDF
- Viana do Castelo — relatório técnico em PDF
- Vila Real — relatório técnico em PDF
- Viseu — relatório técnico em PDF
A cobertura acompanha a pontuação porque nem todas as regras se aplicam em todos os cenários. Évora e Vila Real obtiveram 100/100 com três das seis regras aplicáveis. Já Aveiro, Beja, Braga, Coimbra, Leiria e Viana do Castelo chegaram ao resultado máximo com cobertura integral.
Na tabela, «risco técnico observado» é uma escala editorial para facilitar a leitura. Não estima a probabilidade de coima. Da mesma forma, «não identificado» significa apenas que o teste não observou, naquela execução e nas regras avaliadas, um comportamento classificado como risco.
O problema repete-se em cidades diferentes
Os oito resultados «Não conforme» partilham um sinal: algum cookie ou serviço de análise e rastreio surgiu antes de uma escolha válida. Contudo, os caminhos até ao resultado variaram. Em alguns portais faltou o banner; noutros, rejeitar exigiu passos adicionais; e houve casos em que a rejeição não interrompeu os sinais não essenciais.
Sem banner, mas com rastreio ativo
Guarda e Setúbal obtiveram 19/100. Nos dois casos, o teste não identificou um banner, embora tenha observado cookies do Google Analytics e chamadas analíticas antes de qualquer escolha. Nesta escala editorial, são os dois casos de risco técnico «Crítico», porque a ausência de uma interface de consentimento coincide com sinais não essenciais já ativos.
O banner existe, mas rejeitar não é uma ação equivalente
Castelo Branco, Santarém e Viseu apresentaram banner, mas a ferramenta não encontrou, no primeiro nível, uma ação clara de rejeição equivalente à aceitação. Bragança e Faro permitiram rejeitar, mas exigiram abrir «Preferências» e confirmar a escolha; por isso, ficaram em «Atenção», com 92/100. O Porto também exigiu passos adicionais e falhou noutros critérios.
A pessoa rejeita, mas o rastreio continua
Lisboa, Portalegre e Porto tinham um mecanismo de rejeição executável. Ainda assim, os relatórios registaram cookies ou endpoints de análise e marketing depois dessa ação. Este padrão mostra a distância que pode existir entre o texto da interface e o estado efetivo do navegador.
O esforço invisível de quem fez corretamente
Aveiro, Beja, Braga, Coimbra, Leiria e Viana do Castelo chegaram a 100/100 com todas as seis regras avaliadas. Isso não significa «não utilizar cookies». Vários desses portais usam serviços de análise, mas o teste só os observou depois da aceitação. A diferença está na ordem: a medição pode existir sem anteceder a decisão do visitante.
Évora e Vila Real também obtiveram 100/100, mas noutro cenário. O teste não observou itens não essenciais que tornassem o banner necessário. Por isso, três regras ligadas ao aviso, à rejeição e ao comportamento posterior ficaram como não aplicáveis. A pontuação é positiva, mas a cobertura deve acompanhar qualquer citação do resultado.
O que este estudo pode — e não pode — afirmar
Os resultados descrevem uma visita automatizada, numa página e num momento específicos. Podem variar por geolocalização, idioma, estado do servidor, cache, testes A/B, campanhas, mecanismos anti-bot, gestor de consentimento e alterações posteriores do site.
A ferramenta também não conhece contratos, decisões internas, fundamentos jurídicos, tratamentos fora do navegador ou áreas que exigem autenticação. Por isso, «Não conforme» deve ser lido como a classificação técnica emitida para o comportamento observado, e não como uma decisão da Comissão Nacional de Proteção de Dados. Do mesmo modo, 100/100 não é um certificado de conformidade.
O valor do levantamento está em tornar o comportamento observável, comparável e repetível. Uma eventual infração, responsabilidade ou sanção depende da análise do caso concreto e da autoridade competente. O estudo não estima coimas e não substitui auditoria humana, perícia de engenharia informática, encarregado de proteção de dados ou parecer jurídico.
Metodologia e fontes
O procedimento pode ser consultado no artigo sobre o método do Teste de Cookies. O enquadramento documental inclui a Lei n.º 41/2004, o relatório do EDPB sobre banners de cookies e a nota da CNPD sobre cookies.
Referência rápida
Termos deste artigo
REFERÊNCIA RÁPIDA. Definições para interpretar corretamente o estudo.
- Consentimento prévio
- Escolha livre, informada e clara obtida antes de ativar um recurso que depende dessa autorização.
- Cookie não essencial
- Registo usado, por exemplo, para análise de audiências, publicidade ou personalização, sem ser indispensável ao serviço pedido.
- Rastreio
- Acompanhamento da navegação ou das ações do utilizador, geralmente para análise, personalização ou publicidade.
- Cobertura
- Número de regras que a ferramenta conseguiu avaliar entre as seis previstas no método.
- Endpoint
- Endereço técnico para o qual a página envia um pedido ou do qual recebe dados durante a navegação.
- Falso positivo e falso negativo
- Um falso positivo aponta um problema que não se confirma; um falso negativo deixa de identificar um problema existente.
Comentários convidados
Leituras de especialistas
Especialistas e amigos são bem-vindos para acrescentar leituras autenticadas e publicadas após curadoria editorial.