Resposta Rápida: A Diretiva ePrivacy e o GDPR são duas leis da UE distintas, mas sobrepostas, que governam conjuntamente o consentimento de cookies e a privacidade online. A Diretiva ePrivacy estabelece as regras específicas para a colocação de cookies nos dispositivos dos utilizadores, enquanto o GDPR define os padrões para o consentimento válido. A maioria dos sites que operam na UE deve cumprir ambas, e a partir de 2026, uma grande reforma legislativa está em andamento que pode consolidar as regras de cookies diretamente no GDPR.
Principais Conclusões
- A Diretiva ePrivacy (2002, atualizada em 2009) é a lei principal que exige consentimento antes de definir cookies não essenciais; o GDPR (2018) define o que significa "consentimento válido".
- Ambas as leis aplicam-se simultaneamente à maioria dos sites voltados para a UE, uma não substitui a outra.
- A proposta de Regulamento ePrivacy foi formalmente retirada pela Comissão Europeia em fevereiro de 2025.
- O Pacote Digital Omnibus, revelado em novembro de 2025, propõe integrar as regras de consentimento de cookies no GDPR através dos novos Artigos 88a e 88b.
- Cookies essenciais (estritamente necessários) estão isentos dos requisitos de consentimento sob a Diretiva ePrivacy.
- A Diretiva ePrivacy foi transposta de forma diferente entre os Estados-Membros da UE, criando variações de conformidade por país.
- Um estudo de 2026 descobriu que apenas 30,66% dos sites apresentavam um botão "rejeitar tudo", indicando uma ampla não conformidade [7].
- Os banners de consentimento de cookies podem satisfazer ambas as leis, mas apenas se atenderem às condições do GDPR para consentimento livremente dado, específico, informado e inequívoco.
- As Plataformas de Gestão de Consentimento (CMPs) precisarão adaptar-se aos sinais de consentimento a nível de navegador sob as mudanças propostas no GDPR [3].
Qual é a Diferença Entre a Diretiva ePrivacy e o GDPR
A Diretiva ePrivacy e o GDPR desempenham funções diferentes, mas complementares. A Diretiva ePrivacy (Diretiva 2002/58/CE, alterada pela 2009/136/CE) é uma lei setorial que regula a privacidade das comunicações eletrónicas, incluindo o uso de cookies e tecnologias de rastreamento semelhantes. O GDPR é um regulamento geral de proteção de dados que estabelece o quadro legal para o tratamento de dados pessoais em todos os setores, incluindo a definição e os requisitos para o consentimento válido.
A principal distinção:
| Característica | Diretiva ePrivacy | GDPR |
|---|---|---|
| Forma legal | Diretiva da UE (exige transposição nacional) | Regulamento da UE (aplicável diretamente) |
| Foco principal | Cookies, rastreamento, comunicações eletrónicas | Todo o tratamento de dados pessoais |
| Padrão de consentimento | Exige consentimento para cookies não essenciais | Define o que significa consentimento válido |
| Órgão de aplicação | Reguladores nacionais de telecomunicações/DPA | Autoridades Nacionais de Proteção de Dados |
| Status (2026) | Ainda em vigor; reforma pendente | Em vigor; emendas propostas em andamento |
Como a Diretiva ePrivacy é uma Diretiva em vez de um Regulamento, cada Estado-Membro da UE a transposou para a legislação nacional de forma diferente, produzindo variações na aplicação e requisitos específicos entre os países [6].
Precisa Cumprir Tanto a Diretiva ePrivacy Quanto o GDPR, ou Apenas Uma
Ambas as leis aplicam-se simultaneamente, e a conformidade com uma não satisfaz a outra. A Diretiva ePrivacy diz-lhe quando precisa de consentimento (antes de definir cookies não essenciais); o GDPR diz-lhe como esse consentimento deve ser (livremente dado, específico, informado, inequívoco e retirável a qualquer momento) [5].
Pense assim: a Diretiva ePrivacy é o gatilho, e o GDPR é o padrão. Um banner de cookies que tecnicamente aparece antes de os cookies serem carregados, mas utiliza caixas pré-selecionadas, violaria os requisitos de consentimento do GDPR, mesmo que nominalmente cumpra a obrigação de notificação da Diretiva ePrivacy.
Erro comum: Assumir que um aviso de cookies (informando os utilizadores sobre a existência de cookies) é suficiente. Sob ambos os quadros, a notificação passiva não é consentimento para cookies não essenciais.
Como a Diretiva ePrivacy Se Aplica a Cookies no Seu Website
A Diretiva ePrivacy exige que os operadores de websites obtenham consentimento prévio e informado antes de armazenar ou aceder a informações no dispositivo de um utilizador, isto abrange cookies, pixels, armazenamento local e tecnologias semelhantes [6]. Esta obrigação aplica-se independentemente de os dados recolhidos se qualificarem como dados pessoais sob o GDPR.
Na prática, isso significa:
- Nenhum cookie não essencial pode ser ativado antes de um utilizador tomar uma ação afirmativa para consentir.
- O mecanismo de consentimento deve ser claro e não estar agrupado com a aceitação dos termos de serviço.
- Os utilizadores devem ser capazes de retirar o consentimento tão facilmente quanto o deram.
A Diretiva aplica-se a qualquer serviço que tenha como alvo utilizadores da UE, independentemente de onde o operador do website esteja baseado.
Quais Cookies Exigem Consentimento Sob a Diretiva ePrivacy vs. GDPR
Sob a Diretiva ePrivacy, o consentimento é exigido para todos os cookies, exceto aqueles que são "estritamente necessários" para um serviço explicitamente solicitado pelo utilizador. Sob o GDPR, qualquer tratamento de dados pessoais requer uma base legal, e para cookies de rastreamento, essa base é quase sempre o consentimento.
Categorias de cookies e requisitos de consentimento:
- Cookies estritamente necessários (gestão de sessão, estado de login, carrinho de compras): Nenhum consentimento é necessário sob a Diretiva ePrivacy. A base de interesse legítimo ou desempenho contratual do GDPR pode ser aplicável.
- Cookies de análise (por exemplo, rastreamento de visualizações de página que identificam utilizadores): Consentimento exigido sob ambos os quadros.
- Cookies de marketing e publicidade (segmentação comportamental, retargeting): Consentimento exigido sob ambos os quadros, esta é a categoria de maior risco para aplicação.
- Cookies funcionais (preferências de idioma, configurações de UI): Debatido; se processarem dados pessoais, o consentimento é a abordagem mais segura.
A Diretiva ePrivacy Está a Ser Substituída, e Qual é o Regulamento ePrivacy
A Diretiva ePrivacy não está a ser substituída pelo GDPR. No entanto, um proposto Regulamento ePrivacy tinha a intenção de substituir a Diretiva por uma lei aplicável diretamente em toda a UE. Essa proposta foi formalmente retirada pela Comissão Europeia em fevereiro de 2025, citando a falta de um acordo previsível entre os Estados-Membros e o caráter desatualizado da proposta, dado as recentes mudanças tecnológicas [2].
A Diretiva ePrivacy vs. o proposto Regulamento ePrivacy: O Regulamento teria sido diretamente vinculativo em todos os Estados-Membros (eliminando as diferenças de transposição nacional), mas nunca chegou a ser adotado.
Em seu lugar, a Comissão Europeia introduziu o Pacote Digital Omnibus em 19 de novembro de 2025. Este pacote propõe integrar as regras de consentimento de cookies diretamente no GDPR através dos novos Artigos 88a e 88b [2][3]. O Artigo 88a definiria cenários onde o consentimento não é necessário (como para a transmissão de comunicações eletrónicas ou serviços explicitamente solicitados pelo utilizador). O Artigo 88b introduziria requisitos para mecanismos de consentimento automatizados e legíveis por máquina, incluindo sinais de consentimento a nível de navegador [3].
A partir de julho de 2026, o Pacote Digital Omnibus ainda está a passar por processos legislativos, com o texto final esperado para o final de 2026 ou início de 2027 [4].
Os Cookies Essenciais Precisam de Consentimento Sob a Diretiva ePrivacy
Não. Cookies estritamente necessários estão explicitamente isentos do requisito de consentimento da Diretiva ePrivacy. Estes são cookies sem os quais o serviço que o utilizador solicitou ativamente não pode funcionar, por exemplo, identificadores de sessão, tokens de autenticação e cookies de carrinho de compras [6].
Caso limite: "Necessário" é interpretado de forma restrita. Um cookie que melhora o desempenho ou permite análises não é estritamente necessário, mesmo que o operador o considere operacionalmente importante. Em caso de dúvida, opte por exigir consentimento.
Como Obter Consentimento Válido para Cookies que Satisfaça Ambas as Regulamentações
O consentimento válido sob o GDPR (e, portanto, sob a Diretiva ePrivacy, que remete para os padrões de consentimento do GDPR) deve ser:
- Livremente dado, Sem barreiras de consentimento ou agrupamento forçado com a aceitação de termos.
- Específico, Consentimento separado para cada categoria de cookies (análise, marketing, etc.).
- Informado, Os utilizadores devem saber o que os cookies fazem e quem processa os dados.
- Inequívoco, É necessária uma ação afirmativa; caixas pré-selecionadas são inválidas.
- Retirável, Revogar o consentimento deve ser tão fácil quanto concedê-lo [5].
Uma Plataforma de Gestão de Consentimento (CMP) bem configurada lida com este fluxo de trabalho. Biscotti CMP foi projetada para suportar esses requisitos, incluindo categorias de consentimento granulares e registro de consentimento para fins de auditoria. Com o Pacote Digital Omnibus propondo sinais de consentimento a nível de navegador sob o Artigo 88b, as CMPs também precisarão ingerir e respeitar sinais das configurações do navegador, uma mudança operacional significativa para a indústria [3].
Os Banners de Cookies Podem Satisfazer os Requisitos da ePrivacy e do GDPR
Sim, mas apenas se o banner for corretamente projetado. Um banner de cookies que atenda aos padrões de consentimento do GDPR também satisfará o requisito de consentimento da Diretiva ePrivacy, porque a Diretiva remete para a definição de consentimento do GDPR para os Estados-Membros da UE [5][6].
Um banner em conformidade deve:
- Apresentar uma opção clara de "Aceitar" e "Rejeitar" (ou equivalente) com igual destaque visual.
- Não utilizar padrões obscuros (por exemplo, tornar "Rejeitar" mais difícil de encontrar do que "Aceitar").
- Bloquear cookies não essenciais até que o consentimento seja dado.
- Registrar e armazenar o consentimento com um carimbo de data/hora e referência de versão.
- Permitir que os utilizadores mudem as suas preferências a qualquer momento.
Um estudo de 2026 descobriu que apenas 30,66% dos sites apresentavam um botão "rejeitar tudo", o que significa que a maioria dos sites pesquisados provavelmente não atende às expectativas de conformidade [7].
Existem Países Onde a Diretiva ePrivacy Não Se Aplica
A Diretiva ePrivacy aplica-se a todos os Estados-Membros da UE. No entanto, como é uma Diretiva (não um Regulamento), cada país a transposou para a legislação nacional com alguma variação em escopo, prioridades de aplicação e penalidades [6]. Países fora da UE, incluindo o Reino Unido após o Brexit, têm suas próprias leis equivalentes (as Regulamentações de Privacidade e Comunicações Eletrónicas do Reino Unido, ou PECR).
Escolha sua base de conformidade com base em onde seus utilizadores estão localizados, não apenas onde sua empresa está registrada. Uma empresa baseada nos EUA com tráfego significativo da UE deve cumprir tanto a Diretiva ePrivacy (como transposta nos Estados-Membros relevantes) quanto o GDPR.
O Que Acontece se Não Cumprir as Regras da Diretiva ePrivacy
A não conformidade com a Diretiva ePrivacy (como transposta na legislação nacional) pode resultar em multas e ações de aplicação por parte dos reguladores nacionais. As penalidades variam de Estado para Estado, mas podem ser substanciais, e as violações do GDPR desencadeadas por consentimento inválido (por exemplo, tratamento de dados pessoais através de cookies de rastreamento sem uma base legal válida) podem acarretar multas de até 4% do volume de negócios anual global ou 20 milhões de euros, o que for maior [5].
As Autoridades Nacionais de Proteção de Dados (DPA) continuam a investigar e multar ativamente organizações por falhas no consentimento de cookies [1]. As ações de aplicação têm como alvo tanto grandes plataformas quanto pequenos operadores.
Erros comuns de conformidade:
- Ativar cookies de análise ou publicidade ao carregar a página antes que o consentimento seja registrado.
- Usar banners de consentimento que não bloqueiam cookies até após a interação.
- Não honrar a retirada de consentimento prontamente.
- Não atualizar os registros de consentimento quando as políticas de cookies mudam.
- Tratar avisos de cookies como equivalentes a mecanismos de consentimento.
Quanto Tempo Podem os Cookies Ser Armazenados Sob as Regras da Diretiva ePrivacy
A Diretiva ePrivacy não especifica uma duração máxima de armazenamento de cookies diretamente. No entanto, os princípios de minimização de dados e limitação de armazenamento do GDPR aplicam-se onde os cookies processam dados pessoais. O consentimento deve ser limitado no tempo, e os reguladores geralmente esperam que as organizações requeiram consentimento periodicamente, sendo frequentemente citada uma orientação de 12 meses como um intervalo razoável, embora este não seja um limite estatutário rígido [6].
Orientação prática: Defina períodos de expiração de cookies proporcionais à sua finalidade. Um cookie de sessão deve expirar quando o navegador é fechado. Um cookie de análise não precisa ter uma vida útil de dois anos se seis meses servirem ao mesmo propósito.
Quais São os Erros Comuns que as Empresas Cometem com a Conformidade da ePrivacy
Além dos problemas mencionados acima, vários padrões aparecem consistentemente em casos de aplicação e auditorias:
- Consentimento implícito: Assumir que a navegação contínua constitui consentimento. Isso foi explicitamente rejeitado pelos tribunais da UE e pelas DPAs.
- Consentimento agrupado: Combinar o consentimento de cookies com a aceitação da política de privacidade em um único clique.
- Geo-segmentação inconsistente: Aplicar regras de consentimento mais rigorosas apenas para utilizadores de certos países enquanto serve cookies de rastreamento a outros, um risco dado que a aplicação pode seguir a localização do utilizador.
- Ignorar variações nacionais: Assumir que uma única configuração de banner satisfaz todos os Estados-Membros da UE, quando na verdade alguns países têm requisitos nacionais mais rigorosos [6].
- Sem trilha de auditoria de consentimento: Não registrar o que os utilizadores consentiram, quando e sob qual versão do aviso de privacidade [1].
Conclusão
A relação entre A Diretiva ePrivacy vs. GDPR: Navegando nas Regras de Cookies da UE não é uma questão de escolher um quadro em detrimento do outro, ambos se aplicam e ambos devem ser satisfeitos. A Diretiva ePrivacy define quando o consentimento é necessário para cookies; o GDPR define como é o consentimento válido. Juntas, elas formam a base legal para a conformidade com cookies em toda a UE.
O panorama regulatório está a mudar. A proposta de Regulamento ePrivacy foi retirada no início de 2025, e o Pacote Digital Omnibus agora propõe integrar as regras de cookies diretamente no GDPR através dos Artigos 88a e 88b. O texto final é esperado para o final de 2026 ou início de 2027, mas as obrigações atuais permanecem plenamente em vigor nesse ínterim.
Próximos passos acionáveis para 2026:
- Audite o comportamento de cookies do seu website para confirmar que nenhum cookie não essencial é ativado antes que o consentimento seja capturado.
- Revise seu banner de consentimento para padrões obscuros e assegure-se de que as opções de "rejeitar" são tão proeminentes quanto as de "aceitar".
- Implemente uma CMP como Biscotti CMP que registre os registros de consentimento e suporte a gestão de categorias granulares.
- Monitore o progresso do Pacote Digital Omnibus e avalie se seu fornecedor de CMP está se preparando para o suporte a sinais de consentimento a nível de navegador.
- Verifique a transposição nacional da Diretiva ePrivacy em cada Estado-Membro da UE onde você tem tráfego significativo de utilizadores.
FAQ
Q: O GDPR substitui a Diretiva ePrivacy para cookies? Não. O GDPR e a Diretiva ePrivacy coexistem. A Diretiva ePrivacy continua a ser a lei principal que exige consentimento para cookies; o GDPR rege o que significa consentimento válido e como os dados pessoais processados através de cookies devem ser tratados.
Q: O que é o Regulamento ePrivacy e ainda está a ser implementado? O Regulamento ePrivacy era uma proposta de lei da UE destinada a substituir a Diretiva ePrivacy por um regulamento aplicável diretamente. Foi formalmente retirada pela Comissão Europeia em fevereiro de 2025 e não prosseguirá em sua forma atual.
Q: O que é o Pacote Digital Omnibus? O Pacote Digital Omnibus, revelado em novembro de 2025, é uma proposta legislativa da UE que simplificaria a regulamentação digital integrando as regras de consentimento de cookies no GDPR através dos novos Artigos 88a e 88b. A partir de julho de 2026, ainda está sob revisão legislativa.
Q: Os cookies de análise estão isentos dos requisitos de consentimento? Não. Cookies de análise que identificam utilizadores ou dispositivos individuais são não essenciais e requerem consentimento prévio sob a Diretiva ePrivacy, independentemente de serem usados para fins comerciais.
Q: Um muro de cookies (bloqueando o acesso a menos que os utilizadores aceitem cookies) pode constituir consentimento válido? Geralmente não. Reguladores e tribunais da UE descobriram que o consentimento obtido através de muros de cookies não é livremente dado sob o GDPR, porque os utilizadores não têm uma escolha genuína. Algumas DPAs nacionais permitem muros de cookies em circunstâncias limitadas se uma alternativa paga for oferecida, mas isso continua a ser contestado.
Q: Com que frequência os utilizadores devem ser solicitados a re-consentir cookies? Não há um período estatutário fixo, mas os reguladores geralmente esperam que o consentimento seja renovado quando os propósitos ou a lista de cookies mudarem materialmente, ou após um período razoável (frequentemente citado como 12 meses na prática). O consentimento obtido sob uma versão anterior de um aviso de privacidade pode não cobrir novas atividades de processamento.
Q: O que é um cookie estritamente necessário? Um cookie estritamente necessário é aquele sem o qual um serviço explicitamente solicitado pelo utilizador não pode funcionar, por exemplo, um token de sessão de login ou um identificador de carrinho de compras. Estes estão isentos do requisito de consentimento da Diretiva ePrivacy.
Q: A Diretiva ePrivacy aplica-se a empresas não pertencentes à UE? Sim, se essas empresas visam ou servem utilizadores localizados na UE. O escopo territorial segue a localização do utilizador, não o endereço registrado do operador.
Q: O que devo procurar em uma Plataforma de Gestão de Consentimento? Uma CMP em conformidade deve bloquear cookies não essenciais antes do consentimento, suportar categorias de consentimento granulares, registrar consentimento com carimbos de data/hora, permitir fácil retirada e estar preparada para suportar sinais de consentimento a nível de navegador conforme exigido pelas emendas propostas ao GDPR.
Q: Posso usar um único banner de cookies para toda a UE? Um único banner pode funcionar como uma base, mas como a Diretiva ePrivacy foi transposta de forma diferente entre os Estados-Membros, alguns países podem ter requisitos mais rigorosos. Uma revisão legal contra a legislação nacional de cada mercado-alvo é aconselhável para sites com alto tráfego.
Referências
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai