Banner de cookies em 2026: o que a CNPD já considera ilegal

1. O que mudou

A lei é a mesma. Mudou a exigência com que a CNPD a aplica, o que na prática dá no mesmo para quem tem um site. O princípio é antigo: em Portugal é necessário consentimento prévio para armazenar ou aceder a informação no equipamento do utilizador, com exceção limitada dos cookies estritamente necessários ao funcionamento do serviço pedido.

Em 2026 a CNPD clarificou o que conta como consentimento válido, e a maioria de quem tem site em Portugal não estava à espera da resposta: um banner que empurra o utilizador para o sim não recolhe consentimento livre. Sem liberdade não há consentimento, e sem consentimento os cookies não deviam lá estar.

2. A regra da simetria

Resume-se a uma frase: rejeitar tem de ser tão fácil como aceitar. Na prática, são duas exigências.

3. Que cookies precisam mesmo de consentimento

Nem todos precisam, o que poupa trabalho a sites simples:

• Estritamente necessários: sessão, carrinho de compras, autenticação, equilíbrio de carga, preferência de idioma pedida pelo utilizador. Não precisam de consentimento, mas devem ser descritos na política de cookies;
• De análise (analytics): precisam de consentimento. É a falha mais comum;
• De publicidade e remarketing: precisam de consentimento, e são os primeiros que a CNPD vai ver;
• De redes sociais e conteúdo incorporado: vídeos, mapas e botões de partilha colocam cookies de terceiros. Precisam de consentimento antes de carregar.

Um vídeo incorporado ou um mapa colocam cookies mal a página carrega, independentemente de o visitante clicar neles. Um site com banner impecável e um vídeo incorporado no topo da página continua a colocar cookies antes do consentimento.

4. O que um banner conforme tem de ter

1. Informação clara antes da escolha: quem trata os dados, para quê, e com que categorias de cookies;
2. Aceitar e rejeitar no mesmo ecrã, com o mesmo destaque e o mesmo esforço;
3. Nada pré-selecionado. Caixas já assinaladas não valem como consentimento;
4. Bloqueio efetivo das etiquetas até haver resposta. Se as etiquetas disparam na mesma, o banner é decoração;
5. Ligação à política de cookies com a lista das categorias e finalidades;
6. Forma de retirar o consentimento acessível de forma permanente, normalmente no rodapé;
7. Registo do consentimento, para ser possível demonstrar quando e como foi obtido.

5. Como corrigir um site que já existe

Por esta ordem, que é a mais rápida:

1. Abra o site numa janela privada e veja, nas ferramentas de programador, que cookies existem antes de tocar no banner. Se aparecerem cookies de análise ou de publicidade, o problema é técnico e é o primeiro a resolver;
2. Ponha o botão de rejeitar ao lado do de aceitar, com o mesmo aspeto. Na ferramenta de consentimento é uma alteração de dez minutos;
3. Bloqueie o carregamento das etiquetas até haver resposta, com modo de consentimento ou com carregamento condicional;
4. Trate os conteúdos incorporados: vídeos e mapas só carregam depois do consentimento, ou são substituídos por uma pré-visualização estática com clique para carregar;
5. Acrescente a ligação permanente para rever preferências no rodapé;
6. Atualize a política de cookies para descrever o que o site faz, e não o modelo que veio de outro lado.

6. Quanto custa não cumprir

Os tetos do RGPD (20 milhões de euros ou 4% do volume de negócios mundial) servem para casos extremos e não ajudam a calibrar o risco de uma PME. O que ajuda a calibrar é o que a CNPD tem feito: em 2026 a CNPD aplicou coimas a operadores de comércio eletrónico por falta de consentimento para cookies e por conservação excessiva de dados de clientes, com várias decisões acima de 100.000 euros para PME do comércio online.

Para um negócio pequeno, é a diferença entre uma tarde de configuração e um problema que não tem solução barata. E, ao contrário de outras obrigações, esta qualquer pessoa verifica a partir de fora, em trinta segundos, sem entrar no escritório de ninguém.

Se está a rever a conformidade do site, veja também as obrigações do Livro de Reclamações eletrónico e o guia geral sobre o que é obrigatório num site em Portugal.

7. Perguntas frequentes