O consentimento de cookies vai ser reescrito: o que muda com o Omnibus Digital

O banner de cookies é o elemento de interface mais detestado da Europa. E, passados oito anos, continua juridicamente frágil numa grande parte dos sites. Bruxelas decidiu finalmente atacar os dois problemas de uma vez, e o instrumento é o pacote Omnibus Digital, proposto a 19 de novembro de 2025.

Este artigo explica o que está realmente na proposta, o que já é lei hoje e o que mudaríamos, ou não, numa implementação de consentimento neste momento. A 10 de outubro de 2026, a parte do pacote relativa ao RGPD e à privacidade eletrónica ainda não chegou ao trílogo: o Conselho ainda não tem mandato de negociação e o Parlamento não tem posição, pelo que parte do que aqui se diz vai mudar.

Como chegámos aqui

O consentimento de cookies nunca esteve no RGPD. Está no artigo 5.º, n.º 3, da Diretiva Privacidade Eletrónica (Diretiva ePrivacy) de 2002, alterada em 2009, segundo o qual guardar informação no equipamento terminal de um utilizador, ou aceder a informação aí guardada, exige consentimento, salvo se for estritamente necessário para um serviço que o utilizador pediu.

Essa diretiva devia ter sido substituída por um Regulamento Privacidade Eletrónica. A proposta ficou bloqueada no Conselho durante oito anos e foi formalmente retirada a 11 de fevereiro de 2025. Ficámos com uma diretiva de 2002, transposta de vinte e sete maneiras ligeiramente diferentes, a regular uma web que não existia quando foi escrita.

O resultado é a confusão que todos conhecem: banners que variam de país para país, consentimentos tecnicamente inválidos num grande número de sites e utilizadores que clicam em «aceitar» por reflexo, porque recusar demora mais.

O que já é exigível hoje

Antes de chegar à proposta, convém ser direto sobre a situação atual, porque muitas equipas acham que o seu banner está bem e não está.

A fiscalização tem sido constante e concreta. Em setembro de 2025, a autoridade de controlo francesa (CNIL) multou a Google em 325 milhões de euros e a Shein em 150 milhões de euros no mesmo dia. As conclusões foram mecânicas, não filosóficas: os cookies eram instalados antes de o banner aparecer, e a opção de recusar não recusava de forma fiável.

As regras que os reguladores aplicam na prática:

Nada que não seja essencial antes de o utilizador agir. Nem a etiqueta de análise, nem o píxel, nem o widget de chat, nem o tipo de letra de terceiros. Se dispara ao carregar a página, o que o banner diz não tem importância.

Recusar tem de valer o mesmo que aceitar. O mesmo nível, o mesmo peso visual, o mesmo número de cliques. Transformar a recusa num percurso de dois passos por um painel de preferências, enquanto aceitar é um só botão, é visto como um padrão enganador (dark pattern) que invalida o consentimento.

O consentimento é granular. Um único interruptor que junta análise, publicidade e personalização não é um consentimento específico.

Retirar o consentimento tem de ser tão fácil como dá-lo. Um controlo sempre acessível, não um e-mail para o apoio ao cliente.

O consentimento caduca. A maioria das autoridades trabalha com um prazo de cerca de seis a treze meses, ao fim do qual se deve voltar a perguntar.

O modelo «consentir ou pagar» é restrito. O Parecer 08/2024 do Comité Europeu para a Proteção de Dados diz que as grandes plataformas, em regra, não podem apresentar uma escolha binária entre aceitar o rastreio e pagar. Espera-se uma alternativa gratuita a sério, sem publicidade comportamental.

Se o seu banner falha qualquer uma das duas primeiras, corrija isso antes de se preocupar com a reforma. São essas que dão origem a coimas hoje.

O que propõe o Omnibus Digital

Na proposta da Comissão, a principal mudança estrutural é tirar as regras sobre o equipamento terminal da velha diretiva e passá-las para o próprio RGPD, através de dois novos artigos.

Artigo 88.º-A: consentimento para o acesso ao equipamento terminal

Substitui o artigo 5.º, n.º 3, da Diretiva Privacidade Eletrónica e, o que é importante, alarga o conjunto de finalidades que não exigem consentimento. A atual exceção do «estritamente necessário» é tão estreita que até a medição de audiências mais básica precisa, em geral, de um banner. A proposta alarga as exceções a coisas como a segurança, a medição agregada de audiências e a manutenção da integridade do serviço.

Há duas alterações operacionais que concentram a maior parte das atenções:

• Aceitar ou recusar num só clique. A escolha tem de poder ser feita numa única ação, nos dois sentidos.
• Um período de pausa. Se um utilizador recusar, não se deve voltar a perguntar durante seis meses. Só isto eliminaria uma boa parte do cansaço que os banners provocam.

Artigo 88.º-B: sinais de consentimento legíveis por máquina

Este é o mais interessante para quem desenvolve. Tornaria juridicamente vinculativos para os responsáveis pelo tratamento os sinais de consentimento definidos ao nível do navegador ou do sistema. Se um utilizador exprimir uma preferência uma vez, no navegador, os sites teriam de a respeitar em vez de voltar a perguntar.

É também a parte de que os Estados-Membros menos gostaram. O texto do Conselho, descrito mais abaixo, elimina por completo o artigo 88.º-B.

Outros pontos a conhecer

O pacote propõe ainda alargar o prazo de notificação de violações de dados pessoais de 72 para 96 horas e ajusta várias definições relativas a dados pseudonimizados e ao treino de IA. Estão fora do âmbito deste artigo, mas seguem no mesmo veículo, o que ajuda a explicar porque é que o dossiê é tão disputado.

O que o texto do Conselho faz de diferente

Os Estados-Membros estão a trabalhar sobre outro texto. O compromisso da Presidência irlandesa de 2 de outubro de 2026 (documento do Conselho 13886/26, redigido como mandato do Conselho para as negociações com o Parlamento e ainda não adotado a 10 de outubro de 2026) altera o desenho da Comissão em vários pontos:

• As regras dos cookies ficam na Diretiva Privacidade Eletrónica. O artigo 5.º, n.º 3, é reescrito onde está, e os artigos 88.º-A e 88.º-B não são acrescentados ao RGPD. Neste texto não há obrigação de respeitar os sinais do navegador.
• Seis finalidades dispensam consentimento: a transmissão de uma comunicação, um serviço expressamente pedido pelo utilizador, a medição de audiências própria que produza dados anónimos e agregados, a medição de audiências dos meios de comunicação social ao abrigo do Regulamento Europeu da Liberdade dos Meios de Comunicação Social, a segurança e a medição da apresentação e do desempenho da publicidade contextual, sem definição de perfis.
• Recusa num só clique. Os utilizadores têm de poder recusar «com um botão de um só clique ou meio equivalente».
• Uma espera mais curta. Depois de uma recusa, nenhum novo pedido para a mesma finalidade durante «pelo menos quatro meses», contra seis no texto da Comissão.
• Sobrevivem duas ideias da Comissão: o prazo de 96 horas para notificar violações e a definição relativa de dados pessoais.

É uma posição negocial, não é lei, e o Parlamento ainda não adotou a sua.

Calendário, e porque é que ainda não deve planear em função dele

O quadro realista a 10 de outubro de 2026:

• Os trílogos ainda não começaram. Uma votação dos embaixadores da UE sobre o mandato do Conselho, prevista para 7 de outubro, foi adiada e, segundo foi noticiado, remarcada para 11 de outubro de 2026.
• No Parlamento, as comissões LIBE e ITRE publicaram o projeto de relatório a 22 de junho de 2026 e receberam mais de 1 750 alterações. Ainda não houve votação em comissão.
• No texto da Comissão, o artigo 88.º-A aplicar-se-ia cerca de seis meses após a entrada em vigor. O texto do Conselho dá aos Estados-Membros 24 meses para transporem o novo artigo 5.º, n.º 3, embora as suas disposições finais ainda indiquem uma data a seis meses, uma contradição que os negociadores vão ter de resolver.
• No texto da Comissão, o artigo 88.º-B aplicar-se-ia no prazo de cerca de 24 meses. O texto do Conselho elimina-o.

Assim, a data mais cedo plausível para as regras do clique único e do período de pausa é 2027, segundo o calendário da Comissão, e mais tarde se os 24 meses do Conselho se mantiverem. As obrigações relativas aos sinais do navegador podem nunca chegar. Quem lhe disser que o banner de cookies acaba este ano está a tentar vender-lhe alguma coisa.

O que mudaríamos já, e o que não mudaríamos

A reforma não é lei, mas a direção é suficientemente estável para orientar a arquitetura. É isto que estamos a aconselhar aos nossos clientes.

Faça isto já

Corrija a mecânica. Recusar tão fácil como aceitar, nada a disparar antes da interação, categorias granulares, retirada do consentimento que funcione. É a lei atual e é aí que estão as coimas.

Separe o estado do consentimento da interface do consentimento. Tenha um serviço de consentimento que detém o estado, o disponibiliza à aplicação e guarda o registo com uma referência de versão. O banner passa a ser uma camada de apresentação substituível. Quando as regras mudarem, troca a interface e mantém a canalização.

Guarde bem os registos de consentimento. Data e hora, estado por categoria, o identificador da versão do texto do banner, o mecanismo utilizado e a origem da decisão. Sem a versão do texto, não consegue provar a que é que o utilizador disse que sim.

Comece a ler os sinais. O Global Privacy Control já tem relevância jurídica em várias jurisdições e custa muito pouco respeitá-lo. Lê-lo desde já significa que o artigo 88.º-B, se for aprovado, será uma alteração de configuração e não um projeto.

Audite as suas etiquetas a sério. Não na interface do gestor de etiquetas, mas no navegador, numa página real, num perfil limpo. Conte os pedidos feitos antes do consentimento. Costumam ser mais do que a equipa espera.

Não faça isto ainda

Não elimine o consentimento granular partindo do princípio de que as exceções vão ser alargadas. Se o texto final voltar a apertar, vai ter de o reconstruir.

Não reescreva o seu aviso de privacidade com base nos números de artigos de um projeto.

Não retire o banner da medição de audiências. A exceção alargada é uma proposta, não uma autorização.

Não se comprometa com um processo de notificação de violações a 96 horas. Continue a trabalhar com 72.

A questão de design mais ampla

Há uma mudança mais larga que vale a pena nomear. Os reguladores deixaram de perguntar se tem consentimento para passarem a perguntar como o obteve. A mecânica da interface é agora o terreno da fiscalização. É por isso que os processos sobre banners de cookies se decidem pela posição dos botões e pelo número de cliques, e não pela redação de uma política.

Essa tendência vai além do Omnibus Digital. O Digital Fairness Act, cuja proposta é esperada para o fim de 2026, visa diretamente os padrões enganadores, as interfaces manipuladoras, os preços personalizados e o design viciante. Realisticamente, só se aplicará em 2028 ou mais tarde, mas já indica quais os padrões que têm prazo de validade.

Se os seus números de crescimento dependem de uma interface confusa, isso é agora um risco de conformidade com data marcada, e não uma otimização engenhosa.

Uma nota sobre análise web

Grande parte do problema dos banners é autoinfligido. As equipas carregam uma plataforma de análise de terceiros que exige consentimento, perdem um terço dos dados com as recusas e depois tentam contornar isso à força de design.

Uma análise web alojada em servidores próprios e pensada para a privacidade pode mudar as contas, porque uma medição que fica na sua própria infraestrutura e não constrói perfis entre sites tem argumentos muito mais fortes para beneficiar da exceção, e caberia sem dificuldade nas exceções alargadas que o Omnibus propõe. Escrevemos sobre uma opção no nosso guia de configuração do Matomo, e a mesma lógica aplica-se à automação de marketing alojada em servidores próprios.

Não é um truque de conformidade. É uma redução real daquilo que tem de justificar.

Onde isto se situa no quadro mais geral

O consentimento de cookies é uma peça de uma construção regulatória muito maior. O mapa completo da conformidade digital na UE em 2026 cobre o resto, e o guia de engenharia do RGPD cobre a camada que está por baixo.

Se quer que a sua implementação de consentimento seja revista face ao que os reguladores estão de facto a fiscalizar, ou que seja reconstruída para que a próxima mudança de regras seja uma questão de configuração e não uma reescrita, podemos ajudar. Escreva para office@c9group.dev.

Construímos sistemas, não prestamos aconselhamento jurídico, e a última palavra sobre a interpretação cabe aos seus advogados.