O aviso de cookies é a tua primeira interação com os utilizadores sobre privacidade. Um aviso conforme é claro, explícito e respeita a escolha de forma igual. Muitos avisos são desenhados para enganar os utilizadores e levá-los a consentir (“dark patterns”). As autoridades reguladoras apertaram o cerco. Um bom aviso não é só seguro do ponto de vista legal: cria confiança. Os utilizadores apreciam a transparência, e os avisos de cookies transparentes convertem melhor do que os enganadores.
O que torna um aviso de cookies conforme
O aviso tem de aparecer antes do rastreamento
Esta é a primeira regra. Antes de definires quaisquer cookies de análise, o utilizador tem de ver o teu aviso de consentimento e concordar ativamente. Se rastreias primeiro e perguntas depois, estás em violação. O aviso tem de aparecer no carregamento da página, antes de o teu script de análise disparar.
O aviso tem de ser claro e específico
O teu aviso tem de explicar que cookies defines e porquê. A linguagem vaga não serve (“usamos cookies para melhorar a tua experiência”). A linguagem específica serve: “Usamos cookies de análise para medir visitas a páginas e o comportamento dos utilizadores. Usamos cookies de marketing para te mostrar anúncios noutros sites.” Os utilizadores têm de perceber ao que estão a consentir.
O aviso tem de tornar o consentimento opcional
Não podes forçar os utilizadores a consentir. Podes definir cookies essenciais sem consentimento, mas os cookies de análise e de marketing exigem consentimento opcional. Isto significa: tem de haver um botão claro de “Recusar” ao lado de “Aceitar”. Se não há opção de recusa, o aviso não é conforme.
Aceitar e recusar têm de ser igualmente fáceis
Um dark pattern comum: “Aceitar” é um botão grande, “Recusar” é um texto pequeno que é preciso procurar. Os avisos conformes tornam as duas opções igualmente visíveis. Se “Aceitar” é grande, “Recusar” tem de ter destaque semelhante. Melhor abordagem: botões “Aceitar tudo” e “Recusar tudo” do mesmo tamanho, ou uma opção “Gerir preferências” que permite aos utilizadores escolher com detalhe.
O padrão tem de ser sem rastreamento
As caixas pré-assinaladas (em que o consentimento é presumido a não ser que o utilizador desmarque) não são conformes. O padrão deve ser desmarcado. Os utilizadores têm de marcar ativamente as caixas para dar consentimento. Se usas uma interface de um só botão, o botão deve estar por defeito em “Recusar” até o utilizador clicar em “Aceitar”.
Boas práticas para o desenho do aviso de cookies
Opção 1: aceitar/recusar simples
Mostra o aviso com dois botões do mesmo tamanho: “Aceitar tudo” e “Recusar tudo”. Inclui uma ligação para a tua política de privacidade completa. É a abordagem mais simples e funciona bem em muitos sites. A desvantagem: os utilizadores não podem escolher com detalhe que cookies aceitam.
Opção 2: aceitar simples com recusa detalhada
Mostra “Aceitar tudo” e “Gerir preferências”. Gerir preferências abre uma janela onde os utilizadores escolhem que categorias de cookies aceitam. Dá escolha aos utilizadores e mantém o aviso inicial simples.
Opção 3: totalmente detalhada
Mostra interruptores para cada tipo de cookie (essenciais, análise, marketing, preferências) no próprio aviso. Os utilizadores podem ligar/desligar cada um de forma independente. É mais complexo mas dá o máximo de controlo ao utilizador. Funciona bem se só tens 3 ou 4 categorias de cookies.
O que funciona melhor
A investigação mostra que a Opção 2 (aceitar/recusar simples com gestão detalhada) equilibra conformidade e usabilidade. Os utilizadores apreciam a simplicidade do aviso inicial, mas os que querem controlo podem aceder-lhe. As taxas de conversão são boas porque o atrito inicial é baixo.
Linguagem e mensagem do aviso de cookies
O teu aviso deve incluir: que cookies usas, porque os usas, durante quanto tempo ficam guardados e como os utilizadores os podem gerir (nas definições ou nas preferências de privacidade). Esta transparência cria confiança. Os utilizadores têm mais probabilidade de consentir quando percebem o que se passa.
Evita dark patterns
Os dark patterns nos avisos incluem: botão de recusar pequeno ou escondido, caixas de consentimento pré-assinaladas, recusar exigir vários cliques enquanto aceitar é um só clique, linguagem confusa sobre o que os cookies fazem, ou enterrar a opção de recusa nas definições.
As autoridades reguladoras visam ativamente os dark patterns. O EDPB da UE (Comité Europeu para a Proteção de Dados) emitiu orientações específicas: recusar e aceitar têm de ser igualmente fáceis. Se usas dark patterns, seguem-se multas.
Retenção e alterações do aviso de consentimento
Depois de o utilizador fazer uma escolha de consentimento, lembra-te dela. Guarda a escolha (num cookie) para o aviso não reaparecer em cada carregamento de página. Retenção típica: 12 a 24 meses. Depois disso, pergunta de novo.
Se alterares as tuas práticas de cookies (novo rastreamento, novos fornecedores), podes ter de pedir consentimento outra vez. Algumas jurisdições exigem novo consentimento para alterações relevantes. Tem um plano para avisar os utilizadores e recolher novo consentimento se as tuas práticas mudarem.
Gestores de consentimento de terceiros
As plataformas de gestão de consentimento tratam dos avisos de cookies, do armazenamento do consentimento e das integrações com plataformas de análise. Usar um gestor de terceiros de confiança pode simplificar a conformidade. Tratam dos detalhes legais, mantêm a conformidade à medida que as leis mudam e integram-se automaticamente com as tuas ferramentas de análise.
Quando usar um gestor de terceiros
Se não tens a certeza dos detalhes da conformidade, ou se serves várias jurisdições com requisitos diferentes, um gestor de terceiros compensa o custo. Mantêm-se atualizados à medida que as leis mudam. Criar o teu próprio aviso é mais barato mas mais arriscado.
Que opção de desenho (simples, gerida, detalhada) tem melhor desempenho na prática?
A Opção 2 (aceitar/recusar simples com janela de gestão de preferências) tem o melhor desempenho: a taxa de consentimento mais alta porque a barreira inicial é baixa, e a opção detalhada está disponível para quem quer controlo. O aceitar/recusar simples converte 60 a 75%, o totalmente detalhado converte 40 a 50% (demasiadas escolhas), a Opção 2 converte 65 a 80%. Começa com a Opção 2.
Como faço para que os botões de aceitar e recusar sejam realmente igualmente fáceis de encontrar?
Mesma altura de botão, mesmo peso de letra, mesma saturação de cor. Erro comum: aceitar é verde vivo, recusar é texto cinzento. Usa cores de aceitar/recusar com o mesmo destaque visual (dois botões, não botão contra texto). Põe o botão de recusar logo ao lado de aceitar, não por baixo nem escondido. Testa com utilizadores: mede o tempo até clicar em recusar face ao tempo até clicar em aceitar. Devem ser iguais.
O que conta exatamente como alteração relevante que exige novo consentimento?
Relevante = o utilizador esperaria razoavelmente consentir de novo. Exemplos: novo fornecedor de terceiros, novo uso de dados (por exemplo, análise para fins de marketing), prazo de retenção mais longo. Não relevante: ajustar a redação da política de privacidade, mudar ferramentas internas que não vê. Em caso de dúvida, pede novo consentimento. A maioria das jurisdições prefere consentimento a mais do que a menos.
Que gestores de consentimento se integram melhor com o Google Analytics e o GTM?
A maioria dos principais gestores de consentimento tem integrações nativas com o GTM. Atualizam automaticamente as variáveis de consentimento do GTM quando os utilizadores aceitam/recusam. Para sites mais pequenos, as ferramentas de consentimento de gama média oferecem bom valor pelo custo. Consulta a documentação do fornecedor sobre a integração com a tua plataforma de análise antes de escolher.
As caixas de consentimento pré-assinaladas são mesmo uma violação do RGPD ou apenas uma boa prática?
Violação do RGPD. Pré-assinalada presume o consentimento, o utilizador tem de desmarcar. O RGPD exige uma ação afirmativa (marcar ativamente). As autoridades da UE emitiram orientações específicas. Seguem-se multas. As autoridades europeias multaram grandes lojas online em milhões, em parte por caixas pré-assinaladas. Não é teórico: por defeito, desmarcado, sempre.
Se um utilizador recusar o consentimento no início, posso perguntar de novo mais tarde?
Sim, mas não de forma agressiva. Podes voltar a perguntar passados 12 meses, quando o consentimento expira. Importunar os utilizadores com pedidos de consentimento todas as semanas viola o requisito de consentimento “dado livremente”. Algumas autoridades dizem que os pedidos de novo consentimento têm de ser raros. Respeita a escolha do utilizador: se recusa, espera mais de 12 meses antes de perguntar outra vez.