RGPD e Cookies no Seu Site: O Que É Mesmo Obrigatório

Pesquise "RGPD site obrigatório" e vai encontrar dois tipos de conteúdo: escritórios de advogados a vender auditorias e fornecedores de banners de cookies a vender banners. Ambos têm interesse em fazer a conformidade parecer mais difícil do que é.

Aqui fica a versão honesta. Para um site típico de PME — algumas páginas, um formulário de contacto, talvez analytics — cumprir o RGPD é uma tarefa delimitada, com fim à vista. Este artigo explica o que a lei exige de facto, o que é mito, e inclui uma checklist que resolve numa tarde.

Uma ressalva antes de começar: isto é orientação prática, não aconselhamento jurídico. As regras evoluem — em caso de dúvida ou situação atípica (dados de saúde, menores, perfis em grande escala), confirme junto da CNPD ou de um advogado.

As duas leis que se aplicam ao seu site

Quando se fala em "RGPD", estão na verdade em causa duas leis distintas:

1. O RGPD (Regulamento Geral sobre a Proteção de Dados) regula a recolha e o tratamento de dados pessoais — nomes, emails, endereços IP, tudo o que identifique uma pessoa.
2. A Lei 41/2004 (a lei portuguesa da privacidade nas comunicações eletrónicas) regula cookies e rastreamento, independentemente de haver dados pessoais envolvidos.

Esta distinção responde à pergunta mais comum, que quase toda a gente faz ao contrário: a obrigação do banner de cookies não vem do RGPD — vem da Lei 41/2004. O RGPD regula depois o que faz com os dados que esses cookies recolhem.

O que é mesmo obrigatório

1. Consentimento para cookies não essenciais — e só para esses

Precisa de consentimento prévio, informado e livre antes de colocar cookies que não sejam estritamente necessários ao serviço que o visitante pediu. Na prática:

Tipo de cookie	Precisa de consentimento?
Sessão, login, carrinho de compras	Não
A própria preferência de cookies	Não
Segurança (tokens CSRF), balanceamento de carga	Não
Analytics com cookies (Google Analytics)	Sim
Píxeis de marketing (Meta, Google Ads)	Sim
Vídeos do YouTube embebidos, widgets sociais que rastreiam	Sim

E o reverso, que quase ninguém diz: se o seu site não usa cookies não essenciais, não precisa de banner nenhum. Voltamos a isto mais abaixo.

Se precisar de banner, o botão "Rejeitar" tem de estar tão visível como o "Aceitar", não pode haver caixas pré-selecionadas, e os rastreadores não podem carregar antes do consentimento. Um banner que diz "ao continuar, aceita" enquanto os píxeis já dispararam é decoração, não conformidade — e é exatamente esse padrão que a CNPD e as autoridades europeias têm sancionado.

2. Uma política de privacidade que diga a verdade

O artigo 13.º do RGPD lista o que tem de informar. Para um site de PME, a página de privacidade deve indicar:

• Quem é — denominação, morada, email de contacto.
• Que dados recolhe — p. ex. "nome e email através do formulário de contacto; registos do servidor com endereços IP".
• Para quê e com que fundamento legal — normalmente "responder ao seu pedido" (interesse legítimo ou contrato) e "analytics com o seu consentimento".
• Quem trata os dados por si — alojamento, serviço de email, ferramenta de analytics, CRM. Nomeie-os.
• Por quanto tempo os guarda — prazos honestos ("pedidos de contacto: 12 meses").
• Os direitos do titular — acesso, retificação, apagamento, reclamação junto da CNPD.

Um modelo gerado que nunca leu é pior do que uma página curta escrita por si: o modelo vai afirmar coisas falsas sobre o seu site, e uma política de privacidade falsa é, ela própria, uma infração.

3. Minimização nos formulários

Peça apenas o necessário. Um formulário de contacto precisa de nome, email e mensagem. Não precisa de NIF, telefone obrigatório nem data de nascimento. Cada campo obrigatório a mais é um dado que passa a ter de proteger, justificar e, mais tarde, apagar.

4. Conheça os seus subcontratantes

Cada serviço externo que toca em dados de visitantes — alojamento, backend de formulários, newsletter, analytics — é um subcontratante, e precisa de um acordo de tratamento de dados (DPA) com cada um. Na prática, os fornecedores sérios incluem o DPA nos termos de serviço; o seu trabalho é manter uma lista simples de quem são e confirmar que o DPA existe. Cinco linhas numa folha de cálculo servem como registo de tratamento para uma pequena empresa.

O que é mito

• "Todos os sites precisam de banner de cookies." Falso. Sem cookies não essenciais, sem banner.
• "O RGPD não se aplica a pequenas empresas." Também falso. Não há isenção por dimensão; algumas obrigações de registo aliviam abaixo de 250 trabalhadores, mas as regras centrais aplicam-se a todos.
• "É preciso pagar uma plataforma de consentimento." Não necessariamente. Se o único rastreador é o analytics, trocar para analytics sem cookies elimina a necessidade.
• "É obrigatório ter um Encarregado de Proteção de Dados." Quase nunca, para um site de PME. O EPD é exigido para tratamento sensível ou em grande escala, não para um formulário de contacto.
• "A conformidade é um certificado que se obtém uma vez." Não existe certificado. É um estado que se mantém: quando adiciona uma ferramenta, atualiza a lista e a política.

A via sem cookies: dispensar o banner por completo

Eis a opção de que os vendedores de banners não falam: usar analytics sem cookies e first-party. Ferramentas desta categoria (Plausible, Fathom, Umami e semelhantes) contam visitas sem colocar cookies nem criar perfis de visitantes. Resultado:

• Sem banner de consentimento para o analytics.
• Páginas mais rápidas — sem JavaScript de gestão de consentimento nem tag manager.
• Dados mais limpos — sem os 30–50% de visitantes que rejeitam o rastreamento e desaparecem das estatísticas.

Perde audiências de remarketing e atribuição entre sites. A maioria das PME nunca as usa. É assim que construímos sites na Feitura por omissão: analytics sem cookies, serviços first-party sempre que possível, e banner apenas quando o cliente precisa mesmo de ferramentas baseadas em consentimento, como píxeis de publicidade.

A checklist de uma tarde

1. Abra o site numa janela privada com as ferramentas de programador → veja que cookies e pedidos a terceiros disparam antes de qualquer consentimento.
2. Liste todos os serviços externos que tratam dados de visitantes. Confirme que cada um tem DPA nos termos.
3. Remova ferramentas que já não usa (aquele píxel do Facebook de uma campanha de 2022).
4. Pondere mudar para analytics sem cookies — pode eliminar o banner.
5. Se o banner ficar: botão "Rejeitar" com igual destaque, nada carrega antes do consentimento.
6. Reescreva a política de privacidade para bater certo com a realidade: identidade, dados, finalidade, subcontratantes, prazos, direitos.
7. Reduza os campos dos formulários ao mínimo. Acrescente uma linha por baixo de cada formulário com ligação à política.
8. Defina prazos de conservação: apague pedidos antigos e contactos inativos da newsletter com regularidade.
9. Agende 30 minutos de revisão a cada seis meses e confirme as regras em vigor — as orientações da CNPD e a prática de fiscalização mudam.

A maioria dos sites de PME falha nos pontos 1 e 5: rastreadores a disparar antes do consentimento. Corrigir só isso elimina a maior parte da exposição real.

Nota final: se está a planear renovar o site, verifique também os apoios em vigor — o Vale Digitalização cofinancia até 75%, com limite de €20.000 (confirme as condições atuais em portugal2030.pt).

Se preferir um site conforme por construção — analytics sem cookies, formulários mínimos, política honesta — conte-nos o seu projeto e receba uma estimativa.