Uma fiscalização não precisa de entrar na empresa. Basta abrir o site, observar o que é ativado antes do consentimento e guardar o rasto técnico em minutos. O banner pode parecer impecável enquanto o navegador já regista cookies, dados guardados no dispositivo e ligações a serviços externos. Assim, uma escolha apenas visual pode expor a empresa a um risco de coima que os responsáveis ainda desconhecem.
Esta contradição é o ponto crítico. O texto promete uma escolha enquanto ferramentas que medem audiências, criam perfis de marketing ou carregam vídeos externos, como Google Analytics, Meta Pixel e Hotjar, podem já estar ativas. Uma denúncia, diligência, revisão de fornecedor ou fiscalização pode começar por esse rasto público, sem acesso ao servidor ou a documentos internos.
Foi para tornar este comportamento observável que desenvolvi o Teste de Cookies, uma ferramenta gratuita de utilidade pública, disponível em português de Portugal e do Brasil. No projeto, comparo o site antes da escolha, depois da rejeição e depois da aceitação. Em seguida, a ferramenta organiza o que encontrou num resultado visual, numa lista detalhada e num relatório em PDF.
Não uso o resultado para emitir certificado de conformidade nem para declarar uma infração. Mostro aquilo que o site fez, no momento do teste, antes e depois das escolhas apresentadas ao utilizador.
O banner diz uma coisa. O navegador pode fazer outra
Em primeiro lugar, é preciso comparar o que aparece no ecrã com o que o site realmente faz. O banner mostra textos e botões. Já o navegador regista cookies, dados guardados no próprio dispositivo e ligações a serviços externos. Por isso, uma captura de ecrã não basta.
O teste repete a visita em três situações: antes de qualquer escolha, depois da rejeição e depois da aceitação. Cada etapa começa numa nova sessão, sem escolhas anteriores. Assim, torna-se mais fácil perceber o que surgiu em cada momento.
Este processo pode ser repetido por outras pessoas. Um investigador, encarregado de proteção de dados, engenheiro, perito ou responsável pelo site pode refazer o teste, comparar o PDF e investigar diferenças. Repetir o mesmo procedimento não elimina erros, mas ajuda a encontrá-los e corrigi-los.
| Momento do teste | O que a ferramenta faz | Pergunta principal | O que o resultado pode indicar |
|---|---|---|---|
| Antes de qualquer escolha | Abre a página numa nova sessão e não toca no banner. | Cookies, dados no navegador ou serviços externos já foram ativados? | Sinais anteriores à escolha precisam de revisão. |
| Depois da rejeição | Abre outra sessão e seleciona a opção de recusar, quando encontrada. | O site respeitou a recusa ou manteve recursos de análise e marketing? | A permanência desses recursos pode indicar uma falha. |
| Depois da aceitação | Abre outra sessão, aceita e regista aquilo que foi ativado. | O que mudou após a autorização? | A comparação mostra aquilo que depende da escolha do utilizador. |
Como a ferramenta verifica o site
Na ferramenta, defini um procedimento simples: o utilizador informa apenas o endereço público da página. Endereços internos, páginas protegidas por palavra-passe e redes privadas ficam fora do teste. Em seguida, o sistema abre o endereço num navegador automatizado, procura o banner e tenta encontrar as opções de aceitar, rejeitar e gerir preferências.
Em cada etapa, o sistema regista os nomes e os domínios dos cookies, os dados guardados no navegador e as ligações feitas pela página. Depois, separa o que provavelmente serve ao funcionamento do site, à medição de audiências, ao marketing ou a uma finalidade ainda desconhecida. Quando a finalidade não está clara, mantenho o item na lista para revisão humana; a ferramenta não o trata automaticamente como infração.
No final, o utilizador recebe uma leitura resumida no ecrã e um PDF mais completo. Os testes recentes podem ser recuperados no mesmo navegador. Além disso, o relatório pode ser gerado novamente a partir do resultado guardado.
Desenhei o relatório para mostrar nomes, domínios e o comportamento observado sem revelar o conteúdo dos cookies, palavras-passe, dados de acesso ou conteúdo privado. Desse modo, a ferramenta produz informação útil sem recolher mais do que o necessário.
Uma verificação automatizada é mais útil quando mostra o que observou, como observou e onde pode estar errada.
— Wenderson Wanzeller
Por que este projeto tem interesse académico e público
Ao desenvolver o projeto, transformei uma pergunta vaga, “o banner funciona?”, numa sequência que pode ser observada, repetida e documentada. Esta abordagem combina engenharia informática, análise de risco e proteção de dados, sem esconder as limitações da ferramenta.
Projetos públicos europeus seguem uma abordagem semelhante. A Autoridade Europeia para a Proteção de Dados, por exemplo, mantém o Website Evidence Collector, uma ferramenta que regista cookies, dados guardados no navegador e ligações a outros serviços. Estudos científicos também separam aquilo que a tecnologia consegue verificar daquilo que exige interpretação humana e jurídica.
Mantenho o Teste de Cookies como um projeto independente, adaptado a uma linguagem acessível e às variantes portuguesa e brasileira. Pode apoiar aulas, estudos de caso, dissertações, verificações preliminares, revisão de fornecedores e controlo interno. Não publico um ranking de empresas nem transformo um resultado isolado em acusação.
Como a ferramenta está em fase beta, procuro validadores. Investigadores, docentes, estudantes, encarregados de proteção de dados, engenheiros, advogados, peritos e equipas de desenvolvimento podem contribuir ao comunicar alertas incorretos, banners não reconhecidos, classificações incompletas e diferenças entre execuções.
Banner de cookies RGPD: o que a legislação exige observar
Em Portugal, as regras dos cookies não vêm apenas do RGPD. O artigo 5.º da Lei n.º 41/2004, ligado à Diretiva ePrivacy, estabelece que guardar ou consultar informação no dispositivo exige consentimento prévio. As exceções abrangem a transmissão técnica e aquilo que for realmente necessário para um serviço pedido pelo utilizador.
Quando os cookies ou tecnologias semelhantes envolvem dados pessoais, o RGPD também se aplica. Nesse caso, a escolha deve ser livre, específica, informada e clara, e o utilizador precisa de conseguir retirá-la. A CNPD já afirmou que as organizações respondem pelos cookies colocados através dos seus sites e destacou a necessidade de consentimento para finalidades como a medição de audiências.
Cookies realmente necessários podem permanecer ativos quando sustentam segurança, sessão, transmissão de dados, preferência de idioma ou o próprio registo da recusa. Contudo, esta exceção não pode servir para tratar medição de audiências, publicidade, acompanhamento de campanhas ou gravação da navegação como funções indispensáveis.
No Brasil, alguns cookies também podem envolver dados pessoais. O Guia de Cookies da ANPD recomenda uma opção visível para rejeitar cookies não necessários e a desativação inicial dos cookies que dependem de consentimento. As duas versões da ferramenta usam o mesmo método, mas apresentam as regras de cada país.
Coimas e fiscalização mostram que o problema saiu do rodapé
Em Portugal, a Lei n.º 41/2004 prevê, para pessoas coletivas, coimas até 5 milhões de euros pelo incumprimento das condições do artigo 5.º. Quando o tratamento de dados pessoais também viola o RGPD, o artigo 83.º estabelece, conforme o caso, limites que podem chegar a 20 milhões de euros ou 4% do volume de negócios anual mundial. Estes máximos não são automáticos nem devem ser somados sem analisar o caso.
SHEIN, 150 milhões de euros. Em 2025, a autoridade francesa CNIL aplicou à empresa uma coima por cookies colocados sem consentimento. O caso é especialmente relevante porque relaciona a sanção com aquilo que o site fez na prática, e não apenas com o texto de uma política.
Google, 325 milhões de euros. A CNIL também sancionou a Google num caso que envolveu anúncios no Gmail e cookies publicitários colocados sem consentimento válido durante a criação de contas. Novamente, o ponto central foi a distância entre a escolha exigida e aquilo que aconteceu de facto.
Estes casos não permitem concluir que toda falha terá o mesmo desfecho. No entanto, mostram uma fiscalização que examina o navegador, os serviços externos e o momento em que o rastreio começa. Uma denúncia, uma revisão de fornecedor ou uma diligência pode iniciar esta verificação sem acesso ao servidor da empresa.
Seis formas de um banner falhar
Na prática, um banner de cookies RGPD pode falhar de formas diferentes e produzir o mesmo efeito: o site mostra uma escolha, mas não a respeita.
Falta de banner. O site ativa recursos não necessários sem aviso ou possibilidade de escolha.
Botão de aceitar sem recusa equivalente. A opção de rejeitar fica ausente, escondida ou exige uma sequência desproporcionada de cliques.
Navegação condicionada à aceitação. O utilizador não consegue aceder nem a um serviço mínimo sem autorizar um pacote que inclui medição de audiências ou marketing.
Rastreio antes da escolha. Google Analytics, Meta Pixel, Hotjar, publicidade ou outros serviços externos entram em ação antes da decisão.
Rejeição apenas visual. O banner fecha, mas cookies, dados no navegador ou ligações não necessárias continuam ativos.
Revogação ineficaz. O utilizador retira o consentimento, mas o site mantém o estado anterior ou volta a ativar recursos sem nova autorização.
Os vídeos incorporados também merecem atenção. Um vídeo do YouTube inserido na página pode contactar servidores externos assim que a página abre. Em alguns casos, o espaço do vídeo precisa de permanecer bloqueado até uma escolha ou um clique do utilizador.
| Parte verificada | O que deve acontecer | Sinal de atenção |
|---|---|---|
| Primeiro ecrã | Apresentar opções claras para aceitar, rejeitar e gerir. | Apenas aceitar recebe destaque ou rejeitar não aparece. |
| Antes da escolha | Manter inativos os recursos que dependem de autorização. | Ferramentas de audiência, publicidade ou Hotjar carregam imediatamente. |
| Depois da rejeição | Impedir novas recolhas que dependem de autorização. | O banner fecha, mas cookies, dados no navegador ou serviços externos continuam ativos. |
| Vídeos externos | Esperar pela escolha ou por uma ação do utilizador antes de carregar o serviço. | O vídeo liga-se a servidores externos antes da decisão. |
| Revogação | Retirar a autorização e voltar a bloquear os recursos. | O botão existe, mas o comportamento do site não muda. |
Revogar o consentimento mostra se o site respeita a escolha
Consentimento não é autorização permanente. Por isso, o utilizador precisa de conseguir mudar de ideia com uma facilidade semelhante à encontrada para aceitar. Depois da revogação, o site deve atualizar a escolha e voltar a bloquear o que depende dessa autorização.
Neste site, a secção 5. Cookies e consentimento da Política de Privacidade oferece essa opção. O botão abaixo permite conferir o comportamento agora.
Revogar o consentimento neste site
O procedimento manual é simples. Aceite os cookies, carregue um conteúdo externo permitido, revogue o consentimento e atualize a página. Depois, verifique se os recursos que dependem de autorização voltaram ao estado bloqueado. A ferramenta compara as etapas principais, mas a revogação posterior também precisa de ser conferida.
Como ler o resultado sem tirar conclusões precipitadas
Não apresento um resultado favorável como certificado de conformidade. O teste representa uma visita, numa página e num momento específicos. A ferramenta não conhece contratos, justificações legais registadas, decisões internas, áreas que exigem início de sessão ou tratamentos realizados fora do navegador.
Também não apresento um sinal de risco como declaração de infração. O sinal identifica um comportamento que precisa de revisão. A equipa deve confirmar para que serve o recurso, se a categoria está correta e se as ferramentas que carregam códigos no site realmente obedecem à rejeição.
Os cookies que parecem necessários são tratados separadamente. Segurança, sessão, distribuição de acessos entre servidores, idioma e registo da escolha podem justificar o armazenamento. Já os itens desconhecidos precisam de avaliação humana, porque o nome isolado raramente revela a finalidade.
Os resultados também podem mudar conforme o país de acesso, a campanha, o dispositivo, o estado do servidor, a plataforma que administra o banner e o conteúdo exibido naquele momento. Essa variação não invalida o teste. Pelo contrário, mostra por que o relatório regista data, endereço e condições observadas.
Um roteiro simples para testar o site
- Escolha as páginas. Inclua a página inicial, páginas de campanha, formulários, comércio eletrónico e páginas com vídeos ou ferramentas de marketing.
- Registe cada teste. Guarde o endereço, a data, o idioma, o resultado e o PDF.
- Compare os três momentos. Observe o site antes da escolha, depois da rejeição e depois da aceitação.
- Reveja o que a ferramenta não reconheceu. Confirme a finalidade e o fornecedor antes de classificar o item.
- Encontre a origem do problema. Verifique a ferramenta que carrega códigos, as extensões do site, a plataforma do banner, o tema, os vídeos e os códigos de campanhas.
- Repita após a correção. Uma alteração só está concluída quando o comportamento observado também muda.
- Peça uma revisão profissional. Quando houver decisão jurídica, perícia ou risco relevante, complemente o teste com profissionais competentes.
O teste precisa de ser repetido
Um banner pode funcionar hoje e falhar amanhã. Um novo código de análise, uma extensão do site, uma campanha, uma ferramenta de atendimento, um mapa ou um vídeo incorporado pode mudar o comportamento da página antes de a política de cookies ser revista.
Por isso, a verificação precisa de fazer parte das mudanças do site. Equipas maduras repetem o teste depois de alterações relevantes, comparam relatórios e definem quem corrigirá cada problema. O objetivo não é colecionar selos; é manter coerência entre a escolha anunciada e aquilo que o site realmente faz.
Para estudos, as repetições ao longo do tempo também ajudam a encontrar falhas que reaparecem e diferenças entre páginas. Quando o estudo comparar muitos sites, será necessário definir que páginas entram na análise, aplicar a mesma regra e rever a qualidade dos dados.
A contribuição pública mais importante não é dizer que um site está conforme. É tornar o comportamento observável, repetível e aberto à correção.
— Wenderson Wanzeller
Participe na validação do projeto
Mantenho o Teste de Cookies em melhoria contínua. Nesta fase, preciso mais de exemplos concretos do que de elogios genéricos. Páginas em que o banner não foi reconhecido, diferenças entre testes, alertas incorretos, serviços que ainda não aparecem na base e termos regionais ajudam a melhorar o método.
Disponibilizo a ferramenta gratuitamente para empresas, universidades, advogados, peritos, encarregados de proteção de dados, programadores e organismos públicos utilizarem em avaliações iniciais e estudos. Utilize o resultado com responsabilidade, preserve o contexto e não transforme uma verificação automática em acusação pública.
Se este projeto puder apoiar uma disciplina, estudo, reportagem ou revisão profissional, teste uma página e envie-me o que encontrou.
Fontes oficiais e estudos usados no artigo
Reuni as fontes abaixo para sustentar as regras apresentadas, os casos citados e o método de verificação que adotei na ferramenta.
Referência rápida
Termos deste artigo
REFERÊNCIA RÁPIDA. Consulte estas definições sempre que encontrar um termo técnico no artigo.
- Cookie
- Pequeno registo que um site pode guardar no navegador para manter uma sessão, lembrar uma escolha, medir audiências ou apoiar publicidade.
- Banner de cookies
- Aviso que informa o uso de cookies e apresenta as opções disponíveis ao utilizador.
- Cookie necessário
- Recurso indispensável à segurança, à transmissão de dados ou à entrega de um serviço pedido pelo utilizador.
- Cookie não necessário
- Recurso usado, por exemplo, para medir audiências, publicidade, personalização ou integração com serviços externos.
- Consentimento prévio
- Autorização livre, informada e clara obtida antes de ativar um recurso que depende dessa escolha.
- Revogação do consentimento
- Retirada de uma autorização dada anteriormente. Depois disso, o site deve voltar a bloquear aquilo que dependia da escolha.
- Dados pessoais
- Informações relacionadas com uma pessoa identificada ou que possa ser identificada.
- URL público
- Endereço de uma página acessível pela internet, sem palavra-passe ou acesso a uma rede privada.
- Armazenamento do navegador
- Espaço usado pelo site para guardar informações no dispositivo, mesmo quando elas não são cookies.
- Serviço externo ou terceiro
- Empresa, domínio ou sistema diferente do site visitado que recebe uma ligação ou participa no tratamento.
- Rastreio
- Acompanhamento da navegação ou das ações do utilizador, geralmente para análise, personalização ou publicidade.
- Navegador automatizado
- Programa que abre e percorre páginas seguindo passos definidos, para que o mesmo teste possa ser repetido.
- Sessão do navegador
- Período de uso em que o navegador mantém informações relacionadas com aquela visita.
- Verificação automatizada
- Teste executado por um sistema que observa sinais do navegador. Ajuda na análise, mas não substitui a revisão humana.
- Falso positivo
- Alerta emitido pela ferramenta que, depois de analisado o contexto, não corresponde ao problema indicado.
- RGPD e ePrivacy
- O RGPD protege dados pessoais na União Europeia. As regras ePrivacy tratam, entre outros pontos, do armazenamento e do acesso a informações no dispositivo.
- LGPD
- Lei Geral de Proteção de Dados Pessoais, principal norma brasileira sobre o tratamento de dados pessoais.
- Autoridades citadas
- CNPD é a autoridade portuguesa. ANPD é a autoridade brasileira. CNIL é a autoridade francesa. EDPB e EDPS são organismos europeus de proteção de dados.
- Website Evidence Collector
- Ferramenta pública europeia criada para recolher provas técnicas sobre cookies e ligações de um site.
- Google Analytics, Meta Pixel e Hotjar
- Serviços usados para medir audiências, acompanhar campanhas ou observar a forma como as pessoas utilizam uma página.
- Relatório em PDF
- Documento digital que preserva o resultado para leitura, arquivo e comparação posterior.
- Domínio
- Nome que identifica um site ou serviço na internet, como exemplo.com.
- Conformidade
- Situação em que uma prática cumpre as regras legais, técnicas e internas aplicáveis.
- Diligência e fiscalização
- Diligência é uma verificação feita antes de uma decisão, contrato ou investimento. Fiscalização é o exame realizado por uma autoridade competente.
- Perícia e parecer de engenharia informática
- Análises profissionais mais profundas, com método, contexto e responsabilidade técnica. São diferentes de um teste automático inicial.
- Pessoa coletiva ou pessoa jurídica
- Organização reconhecida pela lei, como uma empresa, associação ou fundação.
- Tratamento de dados pessoais
- Qualquer operação com dados pessoais, como recolher, guardar, consultar, partilhar ou eliminar.
- Volume de negócios ou faturação
- Total das receitas obtidas pela organização num período. O termo “volume de negócios” é o mais usado em Portugal.
Comentários convidados
Leituras de especialistas
Especialistas e amigos são bem-vindos para acrescentar leituras autenticadas e publicadas após curadoria editorial.