Resposta Rápida: A Diretiva de ePrivacy e o GDPR são duas leis distintas, mas sobrepostas da UE que governam conjuntamente o consentimento de cookies e a privacidade online. A Diretiva de ePrivacy estabelece as regras específicas para a colocação de cookies nos dispositivos dos usuários, enquanto o GDPR define os padrões para um consentimento válido. A maioria dos sites que operam na UE deve cumprir ambas, e a partir de 2026, uma grande reforma legislativa está em andamento que pode consolidar as regras de cookies diretamente no GDPR.
Principais Conclusões
- A Diretiva de ePrivacy (2002, atualizada em 2009) é a principal lei que exige consentimento antes de definir cookies não essenciais; o GDPR (2018) define o que "consentimento válido" realmente significa.
- Ambas as leis se aplicam simultaneamente à maioria dos sites voltados para a UE, uma não substitui a outra.
- A proposta de Regulamento de ePrivacy foi formalmente retirada pela Comissão Europeia em fevereiro de 2025.
- O Pacote Digital Omnibus, revelado em novembro de 2025, propõe integrar as regras de consentimento de cookies no GDPR por meio dos novos Artigos 88a e 88b.
- Cookies essenciais (estritamente necessários) estão isentos dos requisitos de consentimento sob a Diretiva de ePrivacy.
- A Diretiva de ePrivacy foi transposta de maneira diferente entre os estados membros da UE, criando variações de conformidade por país.
- Um estudo de 2026 descobriu que apenas 30,66% dos sites apresentavam um botão "rejeitar tudo", indicando uma ampla não conformidade [7].
- Banners de consentimento de cookies podem satisfazer ambas as leis, mas apenas se atenderem às condições do GDPR para consentimento livre, específico, informado e inequívoco.
- Plataformas de Gestão de Consentimento (CMPs) precisarão se adaptar aos sinais de consentimento em nível de navegador sob as mudanças propostas no GDPR [3].
Qual é a Diferença Entre a Diretiva de ePrivacy e o GDPR
A Diretiva de ePrivacy e o GDPR desempenham funções diferentes, mas complementares. A Diretiva de ePrivacy (Diretiva 2002/58/CE, alterada pela 2009/136/CE) é uma lei setorial que regula a privacidade das comunicações eletrônicas, incluindo o uso de cookies e tecnologias de rastreamento semelhantes. O GDPR é um regulamento geral de proteção de dados que estabelece a estrutura legal para o processamento de dados pessoais em todos os setores, incluindo a definição e os requisitos para consentimento válido.
A principal distinção:
| Recurso | Diretiva de ePrivacy | GDPR |
|---|---|---|
| Forma legal | Diretiva da UE (exige transposição nacional) | Regulamento da UE (aplicável diretamente) |
| Foco principal | Cookies, rastreamento, comunicações eletrônicas | Todo processamento de dados pessoais |
| Padrão de consentimento | Exige consentimento para cookies não essenciais | Define o que significa consentimento válido |
| Órgão de fiscalização | Reguladores nacionais de telecomunicações/DPAs | Autoridades Nacionais de Proteção de Dados |
| Status (2026) | Ainda em vigor; reforma pendente | Em vigor; emendas propostas em andamento |
Como a Diretiva de ePrivacy é uma Diretiva e não um Regulamento, cada estado membro da UE a transposou para a legislação nacional de maneira diferente, produzindo variações na aplicação e requisitos específicos entre os países [6].
Você Precisa Cumprir Tanto a Diretiva de ePrivacy Quanto o GDPR, ou Apenas Uma
Ambas as leis se aplicam simultaneamente, e a conformidade com uma não satisfaz a outra. A Diretiva de ePrivacy informa quando você precisa de consentimento (antes de definir cookies não essenciais); o GDPR informa como esse consentimento deve ser (livremente dado, específico, informado, inequívoco e retirável a qualquer momento) [5].
Pense assim: a Diretiva de ePrivacy é o gatilho, e o GDPR é o padrão. Um banner de cookies que tecnicamente aparece antes que os cookies sejam carregados, mas usa caixas pré-selecionadas, violaria os requisitos de consentimento do GDPR, mesmo que nominalmente cumpra a obrigação de notificação da Diretiva de ePrivacy.
Erro comum: Assumir que um aviso de cookies (informando os usuários sobre a existência de cookies) é suficiente. Sob ambas as estruturas, a notificação passiva não é consentimento para cookies não essenciais.
Como a Diretiva de ePrivacy Se Aplica aos Cookies em Seu Site
A Diretiva de ePrivacy exige que os operadores de sites obtenham consentimento prévio e informado antes de armazenar ou acessar informações no dispositivo de um usuário, isso abrange cookies, pixels, armazenamento local e tecnologias semelhantes [6]. Essa obrigação se aplica independentemente de os dados coletados se qualificarem como dados pessoais sob o GDPR.
Na prática, isso significa:
- Nenhum cookie não essencial pode ser ativado antes que um usuário tome uma ação afirmativa para consentir.
- O mecanismo de consentimento deve ser claro e não estar agrupado com a aceitação dos termos de serviço.
- Os usuários devem ser capazes de retirar o consentimento tão facilmente quanto o deram.
A Diretiva se aplica a qualquer serviço que tenha como alvo usuários da UE, independentemente de onde o operador do site esteja baseado.
Quais Cookies Exigem Consentimento Sob a Diretiva de ePrivacy vs. GDPR
Sob a Diretiva de ePrivacy, o consentimento é exigido para todos os cookies, exceto aqueles que são "estritamente necessários" para um serviço explicitamente solicitado pelo usuário. Sob o GDPR, qualquer processamento de dados pessoais requer uma base legal, e para cookies de rastreamento, essa base é quase sempre o consentimento.
Categorias de cookies e requisitos de consentimento:
- Cookies estritamente necessários (gerenciamento de sessão, estado de login, carrinho de compras): Nenhum consentimento é necessário sob a Diretiva de ePrivacy. A base de interesse legítimo ou desempenho de contrato do GDPR pode se aplicar.
- Cookies de análise (por exemplo, rastreamento de visualizações de página que identificam usuários): Consentimento exigido sob ambas as estruturas.
- Cookies de marketing e publicidade (segmentação comportamental, retargeting): Consentimento exigido sob ambas as estruturas, esta é a categoria de maior risco para a aplicação.
- Cookies funcionais (preferências de idioma, configurações de UI): Debatido; se processarem dados pessoais, o consentimento é a abordagem mais segura.
A Diretiva de ePrivacy Está Sendo Substituída, e O Que É o Regulamento de ePrivacy
A Diretiva de ePrivacy não está sendo substituída pelo GDPR. No entanto, um proposto Regulamento de ePrivacy tinha a intenção de substituir a Diretiva por uma lei aplicável diretamente em toda a UE. Essa proposta foi formalmente retirada pela Comissão Europeia em fevereiro de 2025, citando a falta de um acordo previsível entre os estados membros e o caráter desatualizado da proposta, dado as recentes mudanças tecnológicas [2].
A Diretiva de ePrivacy vs. o proposto Regulamento de ePrivacy: O Regulamento teria sido diretamente vinculativo em todos os estados membros (eliminando as diferenças de transposição nacional), mas nunca chegou a ser adotado.
Em seu lugar, a Comissão Europeia introduziu o Pacote Digital Omnibus em 19 de novembro de 2025. Este pacote propõe integrar as regras de consentimento de cookies diretamente no GDPR por meio dos novos Artigos 88a e 88b [2][3]. O Artigo 88a definiria cenários onde o consentimento não é necessário (como para a transmissão de comunicações eletrônicas ou serviços explicitamente solicitados pelo usuário). O Artigo 88b introduziria requisitos para mecanismos de consentimento automatizados e legíveis por máquina, incluindo sinais de consentimento em nível de navegador [3].
A partir de julho de 2026, o Pacote Digital Omnibus ainda está passando por processos legislativos, com o texto final esperado para o final de 2026 ou início de 2027 [4].
Cookies Essenciais Precisam de Consentimento Sob a Diretiva de ePrivacy
Não. Cookies estritamente necessários estão explicitamente isentos da exigência de consentimento da Diretiva de ePrivacy. Estes são cookies sem os quais o serviço que o usuário solicitou ativamente não pode funcionar, por exemplo, identificadores de sessão, tokens de autenticação e cookies de carrinho de compras [6].
Caso limite: "Necessário" é interpretado de forma restrita. Um cookie que melhora o desempenho ou permite análises não é estritamente necessário, mesmo que o operador o considere operacionalmente importante. Em caso de dúvida, errar para o lado de exigir consentimento.
Como Obter Consentimento Válido para Cookies que Satisfaça Ambas as Regulamentações
O consentimento válido sob o GDPR (e, portanto, sob a Diretiva de ePrivacy, que se remete aos padrões de consentimento do GDPR) deve ser:
- Livremente dado, Sem paredes de consentimento ou agrupamento forçado com a aceitação de termos.
- Específico, Consentimento separado para cada categoria de cookies (análise, marketing, etc.).
- Informado, Os usuários devem saber o que os cookies fazem e quem processa os dados.
- Inequívoco, Uma ação afirmativa é necessária; caixas pré-selecionadas são inválidas.
- Retirável, Revogar o consentimento deve ser tão fácil quanto concedê-lo [5].
Uma Plataforma de Gestão de Consentimento (CMP) bem configurada lida com esse fluxo de trabalho. Biscotti CMP foi projetada para atender a esses requisitos, incluindo categorias de consentimento granulares e registro de consentimento para fins de auditoria. Com o Pacote Digital Omnibus propondo sinais de consentimento em nível de navegador sob o Artigo 88b, as CMPs também precisarão ingerir e respeitar sinais das configurações do navegador, uma mudança operacional significativa para a indústria [3].
Os Banners de Cookies Podem Satisfazer Tanto os Requisitos de ePrivacy Quanto os do GDPR
Sim, mas apenas se o banner for projetado corretamente. Um banner de cookies que atende aos padrões de consentimento do GDPR também satisfará a exigência de consentimento da Diretiva de ePrivacy, porque a Diretiva se remete à definição de consentimento do GDPR para os estados membros da UE [5][6].
Um banner em conformidade deve:
- Apresentar uma opção clara de "Aceitar" e "Rejeitar" (ou equivalente) com igual destaque visual.
- Não usar padrões obscuros (por exemplo, dificultar a localização de "Rejeitar" em comparação com "Aceitar").
- Bloquear cookies não essenciais até que o consentimento seja dado.
- Registrar e armazenar o consentimento com um carimbo de data/hora e referência de versão.
- Permitir que os usuários mudem suas preferências a qualquer momento.
Um estudo de 2026 descobriu que apenas 30,66% dos sites apresentavam um botão "rejeitar tudo", o que significa que a maioria dos sites pesquisados provavelmente não atende às expectativas de conformidade [7].
Existem Países Onde a Diretiva de ePrivacy Não Se Aplica
A Diretiva de ePrivacy se aplica em todos os estados membros da UE. No entanto, como é uma Diretiva (não um Regulamento), cada país a transposou para a legislação nacional com alguma variação em escopo, prioridades de aplicação e penalidades [6]. Países fora da UE, incluindo o Reino Unido pós-Brexit, têm suas próprias leis equivalentes (as Regulamentações de Privacidade e Comunicações Eletrônicas do Reino Unido, ou PECR).
Escolha sua base de conformidade com base em onde seus usuários estão localizados, não apenas onde sua empresa está registrada. Uma empresa baseada nos EUA com tráfego significativo da UE deve cumprir tanto a Diretiva de ePrivacy (conforme transposta nos estados membros relevantes) quanto o GDPR.
O Que Acontece Se Você Não Cumprir as Regras da Diretiva de ePrivacy
A não conformidade com a Diretiva de ePrivacy (conforme transposta na legislação nacional) pode resultar em multas e ações de fiscalização por parte dos reguladores nacionais. As penalidades variam de acordo com o estado membro, mas podem ser substanciais, e violações do GDPR desencadeadas por consentimento inválido (por exemplo, processamento de dados pessoais por meio de cookies de rastreamento sem uma base legal válida) podem acarretar multas de até 4% do faturamento global anual ou 20 milhões de euros, o que for maior [5].
As Autoridades Nacionais de Proteção de Dados (DPAs) continuam a investigar e multar ativamente organizações por falhas no consentimento de cookies [1]. As ações de fiscalização têm como alvo tanto grandes plataformas quanto pequenos operadores.
Erros comuns de conformidade:
- Ativar cookies de análise ou publicidade no carregamento da página antes que o consentimento seja registrado.
- Usar banners de consentimento que não bloqueiam cookies até após a interação.
- Não honrar a retirada de consentimento prontamente.
- Não atualizar registros de consentimento quando as políticas de cookies mudam.
- Tratar avisos de cookies como equivalentes a mecanismos de consentimento.
Quanto Tempo os Cookies Podem Ser Armazenados Sob as Regras da Diretiva de ePrivacy
A Diretiva de ePrivacy não especifica uma duração máxima de armazenamento de cookies diretamente. No entanto, os princípios de minimização de dados e limitação de armazenamento do GDPR se aplicam onde os cookies processam dados pessoais. O consentimento deve ser limitado no tempo, e os reguladores geralmente esperam que as organizações solicitem consentimento novamente periodicamente; a orientação comumente citada sugere 12 meses como um intervalo razoável, embora isso não seja um limite estatutário rígido [6].
Orientação prática: Defina períodos de expiração de cookies proporcionais ao seu propósito. Um cookie de sessão deve expirar quando o navegador é fechado. Um cookie de análise não precisa ter uma vida útil de dois anos se seis meses atender ao mesmo propósito.
Quais São os Erros Comuns Que as Empresas Cometem Com a Conformidade de ePrivacy
Além dos problemas mencionados acima, vários padrões aparecem consistentemente em casos de fiscalização e auditorias:
- Consentimento implícito: Assumir que a navegação contínua constitui consentimento. Isso foi explicitamente rejeitado pelos tribunais e DPAs da UE.
- Consentimento agrupado: Combinar o consentimento de cookies com a aceitação da política de privacidade em um único clique.
- Geo-segmentação inconsistente: Aplicar regras de consentimento mais rigorosas apenas para usuários de certos países enquanto serve cookies de rastreamento para outros, um risco dado que a fiscalização pode seguir a localização do usuário.
- Ignorar variações nacionais: Assumir que uma única configuração de banner atende a todos os estados membros da UE, quando na verdade alguns países têm requisitos nacionais mais rigorosos [6].
- Sem trilha de auditoria de consentimento: Não registrar o que os usuários consentiram, quando e sob qual versão do aviso de privacidade [1].
Conclusão
A relação entre A Diretiva de ePrivacy vs. GDPR: Navegando nas Regras de Cookies da UE não é uma questão de escolher uma estrutura em detrimento da outra, ambas se aplicam e ambas devem ser satisfeitas. A Diretiva de ePrivacy define quando o consentimento é necessário para cookies; o GDPR define como é o consentimento válido. Juntas, elas formam a base legal para a conformidade com cookies em toda a UE.
O cenário regulatório está mudando. A proposta de Regulamento de ePrivacy foi retirada no início de 2025, e o Pacote Digital Omnibus agora propõe integrar as regras de cookies diretamente no GDPR por meio dos Artigos 88a e 88b. O texto final é esperado para o final de 2026 ou início de 2027, mas as obrigações atuais permanecem totalmente em vigor nesse ínterim.
Próximas etapas acionáveis para 2026:
- Audite o comportamento de cookies do seu site para confirmar que nenhum cookie não essencial é ativado antes que o consentimento seja capturado.
- Revise seu banner de consentimento em busca de padrões obscuros e garanta que as opções de "rejeitar" sejam tão proeminentes quanto as de "aceitar".
- Implemente uma CMP como Biscotti CMP que registre os registros de consentimento e suporte a gestão de categorias granulares.
- Monitore o progresso do Pacote Digital Omnibus e avalie se seu fornecedor de CMP está se preparando para o suporte a sinais de consentimento em nível de navegador.
- Verifique a transposição nacional da Diretiva de ePrivacy em cada estado membro da UE onde você tem tráfego significativo de usuários.
FAQ
Q: O GDPR substitui a Diretiva de ePrivacy para cookies? Não. O GDPR e a Diretiva de ePrivacy coexistem. A Diretiva de ePrivacy continua sendo a principal lei que exige consentimento para cookies; o GDPR rege o que significa consentimento válido e como os dados pessoais processados por meio de cookies devem ser tratados.
Q: O que é o Regulamento de ePrivacy e ele ainda está por vir? O Regulamento de ePrivacy era uma proposta de lei da UE destinada a substituir a Diretiva de ePrivacy por um regulamento aplicável diretamente. Foi formalmente retirado pela Comissão Europeia em fevereiro de 2025 e não prosseguirá em sua forma atual.
Q: O que é o Pacote Digital Omnibus? O Pacote Digital Omnibus, revelado em novembro de 2025, é uma proposta legislativa da UE que simplificaria a regulamentação digital integrando as regras de consentimento de cookies no GDPR por meio dos novos Artigos 88a e 88b. A partir de julho de 2026, ainda está sob revisão legislativa.
Q: Os cookies de análise estão isentos dos requisitos de consentimento? Não. Cookies de análise que identificam usuários ou dispositivos individuais são não essenciais e requerem consentimento prévio sob a Diretiva de ePrivacy, independentemente de serem usados para fins comerciais.
Q: Um muro de cookies (bloqueando o acesso a menos que os usuários aceitem cookies) pode constituir consentimento válido? Geralmente não. Reguladores e tribunais da UE descobriram que o consentimento obtido por meio de muros de cookies não é livremente dado sob o GDPR, porque os usuários não têm uma escolha genuína. Alguns DPAs nacionais permitem muros de cookies em circunstâncias limitadas se uma alternativa paga for oferecida, mas isso continua sendo contestado.
Q: Com que frequência os usuários devem ser solicitados a re-consentir para cookies? Não há um período estatutário fixo, mas os reguladores geralmente esperam que o consentimento seja renovado quando os propósitos ou a lista de cookies mudarem materialmente, ou após um período razoável (frequentemente citado como 12 meses na prática). O consentimento obtido sob uma versão anterior de um aviso de privacidade pode não cobrir novas atividades de processamento.
Q: O que é um cookie estritamente necessário? Um cookie estritamente necessário é aquele sem o qual um serviço explicitamente solicitado pelo usuário não pode funcionar, por exemplo, um token de sessão de login ou um identificador de carrinho de compras. Estes estão isentos da exigência de consentimento da Diretiva de ePrivacy.
Q: A Diretiva de ePrivacy se aplica a empresas não pertencentes à UE? Sim, se essas empresas visam ou atendem usuários localizados na UE. O escopo territorial segue a localização do usuário, não o endereço registrado do operador.
Q: O que devo procurar em uma Plataforma de Gestão de Consentimento? Uma CMP em conformidade deve bloquear cookies não essenciais antes do consentimento, suportar categorias de consentimento granulares, registrar consentimento com carimbos de data/hora, permitir fácil retirada e estar preparada para suportar sinais de consentimento em nível de navegador conforme exigido pelas emendas propostas ao GDPR.
Q: Posso usar um único banner de cookies para toda a UE? Um único banner pode funcionar como uma base, mas como a Diretiva de ePrivacy foi transposta de maneira diferente entre os estados membros, alguns países podem ter requisitos mais rigorosos. Uma revisão legal contra a legislação nacional de cada mercado-alvo é aconselhável para sites com alto tráfego.
Referências
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai