Compreender a legislação relativa aos cookies e implementar soluções eficazes de gestão do consentimento tornou-se crucial para todos os sítios Web. Este guia explora as diferenças entre as regulamentações europeia e americana, analisa o funcionamento do Modo de consentimento do Google e compara as principais soluções de gestão de consentimento.

Legislação sobre cookies e gestão do consentimento: actualizações 2025

Compreender a legislação relativa aos cookies e implementar soluções eficazes de gestão do consentimento tornou-se fundamental para todos os sítios Web. Este guia explora as diferenças entre as regulamentações europeia e americana, analisa o funcionamento do Modo de consentimento do Google e compara as principais soluções de gestão de consentimento, com as últimas actualizações até 2025.

Legislação europeia: RGPD e Diretiva Privacidade e Comunicações Electrónicas

Na Europa, a proteção dos dados pessoais e da privacidade em linha é regida principalmente por dois diplomas legislativos:

O RGPD (Regulamento Geral sobre a Proteção de Dados)

Com entrada em vigor em 2018, o RGPD impõe requisitos rigorosos ao tratamento de dados pessoais, estabelecendo princípios fundamentais:

• Licitude e transparência: todo tratamento deve ter uma base jurídica válida
• Minimização dos dados: recolher apenas os dados necessários
• Segurança: garantir medidas de proteção adequadas

Para recolher e tratar dados pessoais (incluindo identificadores em linha, como os cookies), é necessário ter uma base jurídica válida, como o seu consentimento explícito, um interesse legítimo ou uma obrigação contratual.

As violações do RGPD podem resultar em sanções muito elevadas, até 4% do volume de negócios global da empresa.

A Diretiva Privacidade e Comunicações Electrónicas

A Diretiva Privacidade e Comunicações Electrónicas (2002/58/CE, alterada em 2009) incide especificamente na privacidade das comunicações electrónicas, incluindo a utilização de cookies e tecnologias de rastreio.

O n.º 3 do artigo 5.º da diretiva estabelece que é obrigatório obter o consentimento prévio do utilizador antes de armazenar ou aceder a informações no seu dispositivo, salvo excepções (como os cookies técnicos estritamente necessários).

Na prática, isto significa que os sítios Web europeus devem:

• Informar claramente o utilizador sobre as finalidades dos cookies
• Recolher um consentimento livre, específico e informado antes de definir cookies não essenciais
• Permitir ao utilizador recusar e alterar as preferências a qualquer momento

As autoridades europeias responsáveis pela proteção da privacidade sancionaram ativamente as violações: por exemplo, a CNIL francesa multou a Google e a Amazon entre 2020 e 2022 por depositarem cookies de rastreio sem consentimento válido.

Actualizações 2025

Em março de 2024, entrou em vigor a Lei dos Mercados Digitais (DMA) da UE, que tornou ainda mais rigorosos os requisitos de consentimento para as grandes plataformas tecnológicas, afectando significativamente a gestão de cookies e de rastreio. Isto levou empresas como a Google a atualizar as suas soluções de gestão do consentimento.

Em fevereiro de 2025, a Comissão Europeia retirou oficialmente a sua proposta de um novo regulamento relativo à privacidade e às comunicações electrónicas, mantendo em vigor a diretiva existente. Isto significa que os requisitos de consentimento para os cookies permanecem como estão atualmente, ainda vinculativos e sujeitos a uma aplicação rigorosa em toda a Europa.

O Tribunal de Justiça Europeu proferiu uma sentença significativa em março de 2024 sobre o caso IAB TCF, com implicações importantes para a implementação do Transparency & Consent Framework, que as empresas ainda estão a assimilar.

Regulamentação dos EUA: CCPA, CPRA e desenvolvimentos estatais

Nos EUA, ao contrário da UE, não existe uma lei federal geral sobre privacidade comparável ao RGPD. A regulamentação ocorre a nível estatal e setorial, com desenvolvimentos significativos nos últimos anos.

CCPA (Lei da Privacidade do Consumidor da Califórnia) e CPRA (Lei dos Direitos de Privacidade da Califórnia)

O CCPA, que entrou em vigor em 2020, foi reforçado pelo CPRA (em vigor a partir de 2023), aproximando-o ainda mais do modelo europeu.

O CPRA tem:

• Introduzido o conceito de "partilha" de dados além da "venda"
• Dado aos consumidores o direito de opt-out também da partilha dos seus dados pessoais para finalidades publicitárias cross-contextuais
• Definida uma categoria de Informações Pessoais Sensíveis com um direito dedicado de limitar o seu uso
• Ampliados os direitos existentes e criada uma agência dedicada, a California Privacy Protection Agency (CPPA)

Actualizações 2025

Entre 2023 e 2025, o panorama da privacidade nos Estados Unidos registou uma rápida evolução:

A partir de janeiro de 2025, cerca de 20 estados dos EUA têm agora leis abrangentes sobre privacidade de dados, com oito novas leis a entrar em vigor em 2025. Isto significa que aproximadamente 40 por cento dos consumidores dos EUA têm agora direitos de privacidade digital. No entanto, a fragmentação regulamentar representa um desafio significativo para as empresas, que têm de navegar entre requisitos frequentemente semelhantes, mas não idênticos.

A Califórnia continua na linha da frente, com a CPPA particularmente ativa em 2024-2025. A agência emitiu várias penalidades significativas, incluindo uma multa de US $ 6,75 milhões para uma empresa de software em nuvem em 2024. Também emitiu novas propostas de regulamentos sobre segurança cibernética, avaliações de risco e tecnologias de decisão automatizada (ADMT), com um período de comentários públicos aberto até junho de 2025.

Entre os desenvolvimentos mais relevantes na gestão de cookies, a Califórnia alargou a definição de "informação pessoal sensível" para incluir "dados neurais" (informação gerada pela medição da atividade do sistema nervoso) e clarificou que a informação pessoal também inclui formatos digitais e abstractos, como os gerados pela inteligência artificial.

O Delaware aprovou uma lei sobre privacidade que, ao contrário de outras, não isenta as organizações sem fins lucrativos e as instituições académicas da sua cobertura, alargando significativamente o seu âmbito.

Ao contrário da UE, o modelo dos EUA continua a basear-se principalmente no opt-out e não no consentimento prévio. Um sítio dos EUA que sirva utilizadores da UE terá, por conseguinte, de adotar uma faixa em conformidade com o RGPD para esses utilizadores, enquanto que para os utilizadores dos EUA poderá simplesmente apresentar um aviso e uma ligação de auto-exclusão sem bloquear previamente os cookies.

IAB TCF: O Quadro de Transparência e Consenso

O Interactive Advertising Bureau (IAB) Europe desenvolveu o Transparency & Consent Framework (TCF) como padrão do setor para ajudar as empresas a gerir o consentimento dos utilizadores em conformidade com o GDPR e a Diretiva ePrivacy, particularmente relevante no contexto da publicidade digital.

Desenvolvimento e versões do TCF

O TCF teve várias iterações:

• TCF v1.1: lançado em abril de 2018
• TCF v2.0: lançado em agosto de 2019
• TCF v2.1: lançado em agosto de 2020, alinhado com a sentença Planet49 do Tribunal de Justiça da UE
• TCF v2.2: lançado em maio de 2023, implementado até novembro de 2023, em resposta a um plano de ação acordado com a Autoridade de Proteção de Dados belga (APD)

TCF v2.2: Principais alterações

O TCF v2.2 introduziu alterações importantes:

1. Remoção do interesse legítimo como base jurídica para a personalização publicitária e de conteúdos. Para os Purpose 3, 4, 5 e 6 (criação de perfis publicitários personalizados, seleção de anúncios personalizados, criação de perfis de conteúdo personalizados e seleção de conteúdos personalizados), agora só é admitido o consentimento explícito.
2. Descrições mais amigáveis que substituem as informações legais sobre finalidades e funcionalidades, tornando a comunicação com os utilizadores mais clara e acessível.
3. Padronização e ampliação das informações sobre os fornecedores, incluindo categorias de dados recolhidos, períodos de conservação e indicações sobre a aplicação do interesse legítimo.
4. Requisitos mais rigorosos para os publishers, que devem revelar o número total de fornecedores e Google Ad Tech Provider utilizados já no primeiro nível do CMP.
5. Mecanismos de enforcement melhorados, com novos processos de auditoria e procedimentos de aplicação diferenciados.

TCF v2.3: Os últimos desenvolvimentos

Em abril de 2025, o IAB Tech Lab e o IAB Europe abriram a especificação técnica TCF v2.3 para comentários públicos, com um período de comentários até 19 de maio de 2025. A atualização visa proporcionar maior clareza aos fornecedores em cenários específicos em que não é claro se os dados foram divulgados ao utilizador, o que é particularmente importante quando um fornecedor pretende processar dados para fins especiais com base em interesses legítimos.

O calendário para o TCF v2.3 inclui:

• Final de maio de 2025: Finalização das especificações técnicas
• 1 de fevereiro de 2026: Prazo final para todos os CMP e Vendor atualizarem a sua implementação para suportar a v2.3

Modo de consentimento do Google: o que é e como funciona

Para ajudar os sítios e os anunciantes a respeitarem as opções de consentimento dos utilizadores, a Google introduziu o Modo de consentimento, uma solução técnica que ajusta o comportamento das etiquetas Google de acordo com o estado de consentimento do utilizador.

Modo de consentimento do Google V2

Em novembro de 2023, a Google lançou o Modo de consentimento V2, com implementação obrigatória até março de 2024 para sites que utilizam os serviços Google e recolhem dados de utilizadores no Espaço Económico Europeu (EEE). Esta atualização foi especificamente concebida para se alinhar com a Lei dos Mercados Digitais (DMA) da UE.

O Modo de consentimento V2 introduz dois novos parâmetros para além dos originais:

• ad_storage e analytics_storage (existentes): controlam o armazenamento de cookies publicitários e analíticos
• ad_user_data (novo): gere o consentimento para a utilização de dados pessoais para fins publicitários
• ad_personalization (novo): gere o consentimento para a utilização de dados para remarketing personalizado

Ao contrário do ad_storage e do analytics_storage, estes novos parâmetros não influenciam o comportamento das etiquetas no próprio sítio, mas são parâmetros adicionais enviados aos serviços Google para indicar a forma como os dados do utilizador podem ser utilizados.

Métodos de aplicação

O Modo de consentimento do Google V2 tem dois modos de implementação:

1. Basic Consent Mode (Modo básico): As tags Google são completamente bloqueadas até o utilizador interagir com o banner de consentimento. Se o utilizador não conceder o consentimento, nenhuma informação é recolhida.
2. Advanced Consent Mode (Modo avançado): As tags Google são carregadas antes de o utilizador interagir com o banner. Se o utilizador não conceder o consentimento, as tags funcionam em modo limitado, enviando "pings anónimos" (sem identificadores de utilizador) que a Google utiliza para modelar estatisticamente os resultados.

É importante notar que alguns especialistas em privacidade levantaram dúvidas sobre a conformidade do modo avançado com os regulamentos de proteção de dados, uma vez que os "pings" podem representar dados pessoais processados sem consentimento.

Impacto no marketing e na análise

Sem o Modo de Consentimento da Google, as plataformas de publicidade não podem obter dados sobre novos utilizadores do EEE, o que limita significativamente a capacidade de recolher dados sobre audiências, medir a eficácia das campanhas e implementar estratégias de publicidade direcionada.

Com o Modo de Consentimento V2, os sítios Web podem continuar a recolher dados analíticos básicos mesmo que os utilizadores não tenham dado o seu consentimento aos cookies, através de técnicas de modelização avançadas que respeitam as preferências de consentimento.

Soluções de Gestão de Consentimentos (CMP)

Para cumprir todos estes regulamentos, os sítios Web utilizam plataformas de gestão do consentimento (CMP) que fornecem banners e interfaces para obter o consentimento dos utilizadores e mecanismos para respeitar estas escolhas.

O papel do IAB na CMP

O IAB desempenha um papel fundamental na certificação de CMPs por meio da estrutura do TCF. Uma CMP certificada pelo IAB TCF v2.2 deve:

1. Apresentar informações claras sobre as finalidades do tratamento dos dados
2. Recolher consentimentos granulares para diferentes finalidades
3. Permitir aos utilizadores alterar facilmente as suas preferências
4. Armazenar os consentimentos de forma segura (TC String)
5. Comunicar essas preferências a todos os fornecedores no formato padronizado TCF

Em 2023-2024, a Google introduziu requisitos de certificação específicos para as CMP que pretendam apoiar o Google Ads na UE e no Reino Unido, sendo o principal requisito a conformidade actualizada com o TCF do IAB. As CMP certificadas pela Google podem utilizar os produtos Google Ads e estão incluídas numa lista oficial.

Comparação das principais soluções de CMP até 2025

Finweet (Consentimento de Cookie Finsweet)

Uma solução especialmente orientada para sítios criados com o Webflow, com suporte total para o IAB TCF v2.2 e o Google Consent Mode v2.

Vantagens:

• Gratuito (versão base)
• Personalização gráfica total (o banner é construído diretamente no designer do Webflow)
• Abordagem "no-code" para quem usa Webflow

Desvantagens:

• Requer competências técnicas para a implementação correta
• A versão gratuita cobre apenas os aspetos básicos do GDPR
• Para funcionalidades avançadas como o Google Consent Mode v2 é necessária uma subscrição

Ideal para: programadores ou agências que trabalham com Webflow, que querem controlo total e design personalizado.

CookieSim

Uma solução plug-and-play actualizada para suportar IAB TCF v2.2 e Google Consent Mode v2, agora com certificação Gold como Google CMP Partner.

Vantagens:

• Facilidade de uso (basta copiar/colar o código)
• Verificação automática dos cookies do site
• Atualizações regulares para se manter em conformidade com as normas
• Suporte para a resolução de problemas de implementação do Google Consent Mode v2

Desvantagens:

• Opções de personalização limitadas
• Modelo de subscrição recorrente
• Pode revelar-se demasiado simplista para marcas exigentes

Ideal para: pequenos sites ou proprietários que querem regularizar-se rapidamente.

Solução Iubenda Cookie

A Iubenda é uma empresa italiana que oferece um conjunto completo de ferramentas de conformidade, totalmente atualizado para suportar o IAB TCF v2.2 e o Google Consent Mode v2.

Vantagens:

• Solução completa "tudo-em-um" (inclui geradores de política de privacidade e de cookies multilingue)
• Certificada IAB TCF v2.2
• Parceiro Google para o Consent Mode v2
• Mantém um registo dos consentimentos para auditoria
• Suporte para geolocalização dos utilizadores e gestão diferenciada UE/EUA

Desvantagens:

• Serviço pago (com planos anuais com base nos serviços utilizados)
• Pode ser sobredimensionado para sites muito pequenos
• Para utilizadores Webflow, não é "nativa" como a Finsweet

Ideal para: empresas que procuram uma solução profissional e global, com manutenção mínima.

Cookiebot (CMP da Usercentrics)

Uma das primeiras soluções populares SaaS CMP, agora parte da plataforma Usercentrics.

Vantagens:

• Automação da compliance de cookies
• Scan periódico de trackers e cookies, com classificação automática
• Geração de uma política de cookies dinâmica e atualizada
• Certificada para o TCF v2.2 e compatível com o Google Consent Mode v2
• Suporte para conformidade multijurisdicional (UE e EUA)

Desvantagens:

• Modelo comercial freemium com custos que crescem com o tráfego
• Personalização moderada do banner
• Não é totalmente personalizável do zero como com a Finsweet

Ideal para: sites de média dimensão e empresas que querem delegar a gestão dos cookies à automação.

UniConsentimento

Uma CMP emergente que oferece uma solução completa para integração com o Google Consent Mode V2 e o IAB TCF v2.2.

Vantagens:

• Integração fácil com os dois modos do Google Consent Mode V2 (Basic e Advanced)
• Suporte para conformidade com o IAB TCF v2.2
• Configuração simplificada com o Google Analytics 4 (GA4)
• Dashboard intuitivo para a gestão do consentimento

Desvantagens:

• Marca menos consolidada em relação a outras soluções
• Documentação disponível menos extensa

Ideal para: empresas que procuram uma solução focada na integração com o Google Consent Mode V2.

Soluções empresariais

Para as grandes organizações multinacionais, existem CMP empresariais como a OneTrust, TrustArc, Didomi, Usercentrics, Osano, etc.

Vantagens:

• Integrações profundas com sistemas empresariais (CRM, etc.)
• Personalização avançada
• Gestão de consentimentos em vários canais (web, aplicações móveis, connected TV)
• Módulos de compliance além dos cookies (gestão de pedidos dos titulares dos dados, avaliações de impacto)
• Suporte global para conformidade multijurisdicional

Desvantagens:

• Orçamentos elevados
• Implementação complexa
• Requerem consultoria especializada

Ideal para: grandes empresas com presença global e necessidade de gestão complexa do consentimento.

Conclusões

A adaptação aos regulamentos relativos aos cookies/privacidade requer tanto uma compreensão jurídica dos diferentes regulamentos como a implementação de soluções técnicas adequadas.

Na Europa, prevalece um regime rigoroso de consentimento prévio, enquanto nos EUA prevalece o opt-out com obrigação de transparência, embora as leis estatais estejam a evoluir progressivamente para normas mais rigorosas, aproximando-se do modelo europeu.

Ferramentas como o Google Consent Mode V2 e o IAB TCF v2.2/v2.3 ajudam a colmatar o fosso entre o marketing e a privacidade, permitindo que os sítios utilizem serviços de análise e publicidade, cumprindo simultaneamente a legislação relativa aos cookies.

A escolha da plataforma de gestão de consentimento depende de factores como a dimensão do sítio, os recursos técnicos disponíveis, o orçamento e a necessidade de conformidade multinacional. O importante é dar aos utilizadores um controlo real sobre os seus dados e permitir que o sítio funcione de forma transparente e em conformidade com a legislação aplicável.

As empresas que operam tanto na Europa como nos EUA terão de continuar a navegar num cenário regulamentar complexo e em evolução, adaptando as suas soluções de gestão de consentimento às diferentes jurisdições.

FAQ sobre a legislação relativa aos cookies e a gestão do consentimento

Quais são as principais diferenças entre a legislação europeia e americana em matéria de biscoitos?

Na Europa (RGPD e Diretiva Privacidade Eletrónica) prevalece um modelo de opt-in: é necessário obter o consentimento explícito do utilizador antes de utilizar cookies não essenciais. Em contraste, nos EUA (CCPA/CPRA e outras leis estatais) prevalece um modelo de exclusão: os cookies podem ser utilizados até que o utilizador se oponha explicitamente e as empresas devem fornecer uma forma clara de excluir a venda/partilha de dados.

Que cookies podem ser utilizados sem necessidade de consentimento do utilizador na Europa?

Na Europa, apenas os cookies "estritamente necessários" (ou "técnicos") podem ser utilizados sem consentimento. Estes incluem os cookies que são essenciais para o funcionamento do sítio, tais como os cookies de autenticação, de armazenamento de itens num carrinho de compras de comércio eletrónico ou de segurança do sítio.

O que é o Modo de consentimento V2 do Google e porque é que é importante?

O Google Consent Mode V2 é uma interface que comunica ao Google as opções de consentimento do utilizador. Introduz quatro parâmetros de consentimento (ad_storage, analytics_storage, ad_user_data, ad_personalisation) que regem o comportamento das etiquetas do Google. É importante porque permite aos sítios equilibrar a medição do desempenho de marketing com a conformidade com a privacidade, e tornou-se obrigatório a partir de março de 2024 para os sítios que utilizam os serviços Google na Europa.

Como é que escolho a solução CMP mais adequada para o meu sítio?

A escolha depende de vários factores: dimensão e tráfego do sítio, orçamento disponível, conhecimentos técnicos internos, plataforma em que o sítio é construído (por exemplo, Webflow, WordPress) e requisitos de conformidade específicos. Também é importante verificar se a CMP tem certificação TCF v2.2 do IAB e se suporta o Modo de consentimento V2 do Google, especialmente se forem utilizados serviços de publicidade do Google.

A faixa de cookies também é necessária para um sítio que não utilize cookies de marketing ou analíticos?

Na Europa, tecnicamente sim. Mesmo que o sítio utilize apenas cookies essenciais, continua a ser necessário informar os utilizadores sobre os cookies utilizados. No entanto, neste caso, não é necessário solicitar o consentimento, pelo que a faixa pode ser simplificada num aviso informativo que não exija interação.

Quais são as sanções aplicáveis em caso de incumprimento da legislação relativa aos cookies?

Na Europa, as violações do RGPD podem resultar em penalizações até 4% do volume de negócios global anual ou 20 milhões de euros, o que for maior. Na Califórnia, as infracções à CCPA/CPRA podem resultar em sanções civis até 2 500 dólares por infração não intencional e 7 500 dólares por infração intencional, bem como em potenciais processos judiciais contra os consumidores. As entidades reguladoras tornaram-se mais activas na aplicação da lei, tendo sido aplicadas várias coimas significativas nos últimos anos.

O Modo de consentimento do Google V2 substitui a necessidade de um banner de cookies?

Não, o Modo de consentimento do Google V2 não substitui o cookie de banner, mas funciona em conjunto com ele. Continua a ser necessário um sistema para recolher o consentimento do utilizador (CMP), que depois comunicará as preferências ao Modo de consentimento do Google para regular o comportamento da etiqueta.

Como gerir os consentimentos para um sítio que tem utilizadores na Europa e nos EUA?

A melhor solução é implementar um sistema que reconheça a localização geográfica do utilizador e apresente a interface adequada: uma faixa de opt-in para os utilizadores europeus e um aviso de opt-out para os utilizadores americanos. As PMC mais avançadas oferecem esta funcionalidade de geo-direcionamento.

O que é o IAB TCF e porque é que é importante?

O IAB Transparency & Consent Framework (TCF) é uma norma do setor que ajuda as empresas a gerir o consentimento dos utilizadores em conformidade com o RGPD e a Diretiva ePrivacy, particularmente no contexto da publicidade digital. Fornece um mecanismo padronizado para recolher, armazenar e partilhar as preferências de consentimento dos utilizadores entre publishers, anunciantes e fornecedores de tecnologia publicitária. A versão mais recente, o TCF v2.2, foi concebida para melhorar a transparência e a responsabilização, e foi desenvolvida em resposta às indicações das autoridades de proteção de dados.

Quais são as principais novidades introduzidas pelo TCF v2.3?

O TCF v2.3, atualmente em consulta pública até maio de 2025, visa proporcionar mais clareza aos vendedores em cenários específicos em que não é claro se os dados foram divulgados ao utilizador. Esta distinção é particularmente importante quando um vendedor tenciona tratar dados para fins especiais com base num interesse legítimo. Prevê-se que as especificações técnicas sejam finalizadas até ao final de maio de 2025, com um prazo de implementação de 1 de fevereiro de 2026.

Fontes

1. IAB Europe (2025). "TCF v2.3 is open for public comment". IAB Tech Lab. https://iabtechlab.com/tcf-v2-3-is-open-for-public-comment/
2. IAB Europe (2025). "TCF 2.2 Launches! All You Need To Know". https://iabeurope.eu/tcf-2-2-launches-all-you-need-to-know/
3. IAB Europe (2025). "TCF Supporting Resources". https://iabeurope.eu/tcf-supporting-resources/
4. Google (2025). "Updates to consent mode for traffic in European Economic Area (EEA)". Google Tag Manager Help. https://support.google.com/tagmanager/answer/13695607
5. Termly (2025). "What Is Google Consent Mode v2?". https://termly.io/resources/articles/what-is-google-consent-mode-v2/
6. Cookieyes (2024). "What is Google Consent Mode V2? How to Implement It?". https://www.cookieyes.com/blog/google-consent-mode-v2/
7. CookieFirst (2024). "Google Consent Mode V2 explained". https://cookiefirst.com/google-consent-mode-v2-released/
8. Bloomberg Law (2025). "Which States Have Consumer Data Privacy Laws?". https://pro.bloomberglaw.com/insights/privacy/state-privacy-legislation-tracker/
9. IAPP (2025). "US State Privacy Legislation Tracker". https://iapp.org/resources/article/us-state-privacy-legislation-tracker/
10. California Privacy Protection Agency (2025). "Proposed Regulations on CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies". https://cppa.ca.gov/regulations/ccpa_updates.html
11. White & Case LLP (2025). "Data Privacy Update". https://www.whitecase.com/insight-alert/data-privacy-update-2025
12. California Lawyers Association (2025). "State Privacy Law in 2025—What to Expect". https://calawyers.org/privacy-law/state-privacy-law-in-2025-what-to-expect/