Os banners de cookies deveriam proteger a sua privacidade. Tornaram o rastreamento pior.
Os padrões obscuros são ilegais, mas 77% dos websites ainda os usam. Veja como as empresas exploram a lei concebida para o proteger.
Acabei de carregar um site de receitas para descobrir quanto tempo assar um frango.
Antes de conseguir ler uma única palavra, três coisas apareceram:
1. Um banner de inscrição na newsletter
2. Um popup de consentimento de cookies
3. Um pedido de "permissão de notificações"
Cliquei em "Aceitar tudo" no banner de cookies sem o ler.
Sabe porquê?
Porque eu só queria a maldita receita.
Esse é o problema.
Em 2009, a Europa aprovou a Diretiva ePrivacy — uma lei que exige que os websites peçam consentimento antes de o rastrear com cookies. O RGPD reforçou a aplicação em 2018 com multas até 20 milhões de euros.
A lei foi bem-intencionada. A execução criou um monstro.
Os banners de cookies estão agora em mais de 90% dos websites. E em vez de proteger a privacidade, designs manipulativos enganam os utilizadores para aceitar rastreamento que não querem.
Deixe-me explicar como chegámos aqui, porque as empresas se safam, e o que os cookies realmente fazem.
O que são os cookies (e porque existem)
A questão é esta: os cookies foram inventados para resolver um problema legítimo.
Em 1994, um programador da Netscape chamado Lou Montulli criou os cookies para ajudar os websites a lembrarem-se de si entre carregamentos de página.
O caso de uso original? Carrinhos de compras online.
Pense nisto: HTTP (o protocolo web) é "sem estado" — o que significa que cada pedido de página é independente. Sem cookies, se adicionasse um artigo ao seu carrinho e depois clicasse para outra página, o website esqueceria o que acabou de fazer.
Os cookies resolveram isto. São pequenos ficheiros de texto armazenados no seu navegador que dizem: "Este é o Utilizador #12345, ele tem uma camisola no carrinho."
Isso é realmente útil.
Outros usos legítimos dos cookies:
- Cookies de sessão: Mantêm-no ligado enquanto navega
- Preferências: Lembram o seu idioma, configurações do modo escuro, etc.
- Segurança: Previnem fraude e verificam que é o proprietário da conta
Estes são chamados "cookies de primeira parte" — definidos pelo website que está a visitar para funcionalidades que o beneficiam.
Ninguém tem problema com estes cookies.
O problema começou quando os anunciantes perceberam: Se os cookies podem lembrar carrinhos de compras, podem lembrar tudo o resto também.
Como funcionam os cookies de rastreamento (a parte da vigilância)
Em 1996, DoubleClick (agora propriedade da Google) teve uma revelação revolucionária:
Se colocassem anúncios em milhares de websites, poderiam rastrear pessoas em toda a internet.
Funciona assim:
Passo 1: Visita NotíciasWebsite.pt
Passo 2: A página carrega um anúncio da DoubleClick
Passo 3: DoubleClick define um cookie no seu navegador com ID: User_ABC123
Passo 4: Mais tarde, visita ReceitasWebsite.pt
Passo 5: Essa página também carrega um anúncio DoubleClick
Passo 6: DoubleClick lê o seu cookie: "Oh, é o User_ABC123 outra vez"
Agora DoubleClick sabe:
- User_ABC123 lê sites de notícias e culinária
- Visitaram a estas horas específicas
- Viram estes artigos específicos
- Provavelmente estão interessados em [suposições baseadas em comportamento]
Estes são chamados "cookies de terceiros" — definidos por empresas com as quais não escolheu interagir, para fins que não o beneficiam.
Isto é vigilância.
Em 2010, as empresas de publicidade tinham construído impérios sobre este rastreamento. Google, Facebook e centenas de corretores de dados estavam a seguir pessoas pela internet, construindo perfis, vendendo acesso a anunciantes.
E a maioria das pessoas não fazia ideia de que estava a acontecer.
A lei dos cookies chega: Diretiva ePrivacy
Em 2002, a União Europeia aprovou a Diretiva ePrivacy — legislação especificamente direcionada às comunicações eletrónicas e privacidade.
O Artigo 5(3) da Diretiva ePrivacy é a verdadeira "lei dos cookies". Estabelece:
- Os websites devem informar os utilizadores sobre os cookies que usam
- Os utilizadores devem consentir explicitamente antes de os cookies não essenciais serem definidos
- O consentimento deve ser "dado livremente" (não forçado)
- Os utilizadores podem recusar cookies sem serem bloqueados do site
Isto foi alterado em 2009 para exigir consentimento antes de definir cookies, não depois.
Depois, em 2018, o RGPD entrou em vigor com:
- Definição mais rigorosa do que conta como consentimento válido
- As violações podem custar 20 milhões de euros ou 4% da receita global
- Aplicação reforçada em todos os estados membros da UE
O RGPD e a Diretiva ePrivacy trabalham juntos: ePrivacy define as regras dos cookies, RGPD define os padrões de consentimento.
As empresas levaram a sério. A Meta foi multada em 1,2 mil milhões de euros. A Amazon foi atingida com 746 milhões de euros.
A lei tinha dentes.
Então os websites fizeram o que a lei exigia: adicionaram banners de consentimento de cookies.
E foi aí que as coisas correram mal.
O que realmente aconteceu: Padrões obscuros são ilegais mas estão em todo o lado
A lei dizia que os websites precisavam de consentimento.
Também dizia que o consentimento deve ser "dado livremente" — o que significa sem manipulação, sem pressão, sem design enganoso.
Os padrões obscuros são ilegais.
O RGPD exige explicitamente que o consentimento seja "dado livremente, específico, informado e inequívoco". Os padrões obscuros violam todos estes.
As Autoridades Europeias de Proteção de Dados confirmaram que os padrões obscuros violam a lei. Impuseram multas massivas:
- Google: 90 milhões de euros por fluxos de consentimento assimétricos
- Amazon: 746 milhões de euros por não obter consentimento dado livremente
- Meta: 395 milhões de euros por consentimento forçado
Então porque ainda os vê em todo o lado?
Porque a aplicação é inconsistente. E estudos mostram que 56-77% dos websites ainda usam padrões obscuros ilegais.
É assim que parece:
Padrão obscuro #1: O grande botão verde
╔══════════════════════════════════════╗
║ Valorizamos a sua privacidade ║
║ ║
║ [ ACEITAR TUDO ] ║ ← Grande, brilhante, óbvio
║ ║
║ [Gerir preferências] ║ ← Pequeno, cinzento, escondido
╚══════════════════════════════════════╝
O botão "Aceitar tudo" é enorme, verde e diz SIM.
A opção "Recusar" está enterrada em texto minúsculo que diz "Gerir preferências", que o leva a um segundo ecrã com 47 interruptores que tem de desativar individualmente.
Ninguém faz isso.
Padrão obscuro #2: A falsa escolha
Usamos cookies para melhorar a sua experiência!
[ Aceitar ] [ Recusar não essenciais ]
Parece razoável, certo?
Exceto que "Aceitar" significa "Aceitar TODO o rastreamento, publicidade e partilha de dados."
E "Recusar não essenciais" significa "Desativar algum rastreamento mas não todo, e a sua experiência será degradada."
Não há nenhum botão que diga "Recusar tudo" em grandes letras verdes.
Padrão obscuro #3: A parede de caixas de verificação
Clica em "Gerir preferências" e vê isto:
☐ Cookies de publicidade (127 parceiros)
☐ Cookies de análise (43 parceiros)
☐ Cookies de redes sociais (18 parceiros)
☐ Cookies funcionais (sempre ativos)
☐ Cookies de desempenho (91 parceiros)
☐ Cookies de segmentação (204 parceiros)
Estão todos marcados por defeito.
Para os recusar, tem de:
1. Percorrer esta lista
2. Encontrar cada categoria
3. Desmarcar cada uma individualmente
4. Depois clicar em "Fornecedores" (as 483 empresas)
5. Desmarcar cada fornecedor individualmente
6. Depois guardar as definições
Ou poderia simplesmente clicar em "Aceitar tudo".
O que leva um clique.
Padrão obscuro #4: A viagem de culpa
Usamos cookies para manter este site GRATUITO para si!
Ao recusar cookies, não terá conteúdo personalizado,
e podemos ter de começar a cobrar pelo acesso.
[ Compreendo, Aceitar tudo ] [ Recusar e arruinar tudo ]
Isto é manipulação emocional disfarçada de informação.
O resultado: Manipulação funciona apesar de ser ilegal
Isto é o que realmente acontece:
As taxas de aceitação dependem inteiramente do design do banner:
- Banners justos com botões iguais de "Aceitar" e "Recusar": 45% taxa de recusa
- Banners manipulativos que escondem a opção de recusa: menos de 10% taxa de recusa
Um estudo comportamental de 2024 que rastreou 1,2 milhões de utilizadores descobriu:
- 25,4% aceitaram todos os cookies
- 65,5% abriram definições para personalizar (mas apenas 28,3% guardou alterações)
- 34% ignoraram o banner completamente
Tradução: Quando recusar é tornado difícil, a maioria das pessoas aceita ou desiste.
Outro estudo de consumidores americanos descobriu que 43% aceita todos os cookies — descendo de 50% em 2021, mostrando resistência crescente ao rastreamento.
Apenas 12% dos utilizadores leem avisos de cookies. O resto só quer que o banner desapareça.
O problema não é que os utilizadores não se importam com privacidade.
81% dos americanos dizem que estão preocupados com a forma como os websites usam os seus dados.
O problema é que os padrões obscuros exploram a psicologia humana.
Quando está irritado e só quer ler uma receita, clica no que faz o popup desaparecer. As empresas sabem isto. Desenham os seus banners ilegais para explorar isto.
Então agora temos uma situação onde:
- As empresas usam designs ilegais mas o risco de aplicação é baixo
- Os utilizadores sentem que "consentiram" (mesmo que o consentimento obtido por manipulação não seja legalmente válido)
- O rastreamento acontece a taxas semelhantes ou mais altas do que antes da lei
- Os defensores da privacidade podem alegar que a lei existe
Todos ganham exceto os utilizadores que a lei deveria proteger.
O que "Aceitar" realmente significa
Quando clica em "Aceitar tudo" nesse banner de cookies, é isto que está a aceitar:
Rastreamento imediato por:
- Google Analytics
- Google Ads
- Facebook Pixel
- Rastreamento Twitter
- TikTok Pixel
- Rastreamento LinkedIn
- Publicidade Amazon
- Microsoft Clarity
- Dezenas de redes de publicidade
Dados que recolhem:
- Cada página que visita nesse site
- Quanto tempo fica em cada página
- Onde o seu rato paira
- Em que clica
- De onde veio (referrer)
- O seu tipo de dispositivo, SO, navegador
- A sua localização aproximada (endereço IP)
- O seu histórico de navegação (se tiverem cookies de outros sites)
O que fazem com isso:
- Construir perfis comportamentais
- Segmentá-lo com anúncios em toda a internet
- Vender insights a corretores de dados
- Partilhar com "parceiros" (527 empresas em alguns casos)
- Guardar para sempre a menos que peça explicitamente a eliminação
Aquele site de receitas que visitou? O tempo de assar do frango que procurou?
Registado. Perfilado. Monetizado.
E "consentiu" a tudo isto com um clique.
Porque é que os navegadores não corrigiram isto completamente
Pode estar a pensar: "Porque é que os navegadores não bloqueiam simplesmente cookies de terceiros por defeito?"
Alguns fazem. O Safari bloqueia a maioria dos cookies de terceiros. O Firefox tem Proteção Melhorada contra Rastreamento ativada por defeito.
O Chrome é diferente.
A Google anunciou pela primeira vez em 2020 que eliminariam gradualmente os cookies de terceiros "em dois anos".
Depois foi 2022. Depois 2023. Depois 2024.
Em julho de 2024, a Google anunciou que não os vão bloquear de todo — em vez disso adicionarão um prompt de "escolha".
Porquê os atrasos?
Porque a Google ganha mais de 200 mil milhões de dólares por ano com publicidade.
E a publicidade depende do rastreamento.
O Chrome tem mais de 65% de quota de mercado global de navegadores. Bloquear cookies de terceiros perturbaria massivamente o negócio publicitário da Google.
Então continuam a "testar alternativas" e "recolher feedback" enquanto o rastreamento continua.
Entretanto, os websites queixam-se que a proteção contra rastreamento do Safari e Firefox "quebra funcionalidade" — embora a funcionalidade "quebrada" seja geralmente apenas rastreamento publicitário.
O que isto significa para si
Aqui está a verdade desconfortável:
O sistema atual assume que estará demasiado irritado para se proteger.
Os banners de cookies não são desenhados para o informar. São desenhados para o fazer clicar em "Aceitar tudo" o mais rápido possível.
A proteção de privacidade que pensa que tem? Depende inteiramente de:
1. Se tem paciência para navegar padrões obscuros
2. Se compreende o que está a aceitar
3. Se confia no website para respeitar as suas escolhas
4. Se estão sequer a cumprir a lei (muitos não estão)
E mesmo que recuse cookies num site, tem de o fazer novamente no próximo site. E no próximo. E no próximo.
É exaustivo por design.
Como realmente se proteger
Se quer realmente controlar o rastreamento (não apenas sentir que o faz), isto é o que funciona:
Opção 1: Usar navegadores focados em privacidade
- Firefox com Proteção Melhorada contra Rastreamento
- Safari com Prevenção Inteligente de Rastreamento
- Brave com bloqueio de anúncios/rastreadores integrado
Opção 2: Instalar extensões de navegador
- uBlock Origin (bloqueia anúncios e rastreadores)
- Privacy Badger (aprende e bloqueia rastreadores)
- Cookie AutoDelete (elimina automaticamente cookies quando fecha separadores)
Opção 3: Alterar as suas definições de cookies
Nas definições do seu navegador:- Bloquear cookies de terceiros completamente
- Limpar cookies quando fecha o navegador
- Definir cookies para expirar após 30 dias no máximo
Opção 4: Simplesmente aceitar que a maioria dos sites o rastreia
Isto não é derrotista — é realista.
A menos que esteja a usar ferramentas de privacidade, assumir que está a ser rastreado na maioria dos websites é provavelmente correto.
A questão torna-se: importa-se o suficiente para agir?
Para muitas pessoas, a resposta é não. E está tudo bem. Só não se engane a si mesmo pensando que clicar em "Aceitar tudo" o está a proteger.
A diferença Snugg: Sem rastreamento significa sem banner
É por isto que estou a contar-lhe tudo isto num post de blog no website da Snugg:
Não temos banner de cookies.
Pode ter reparado que quando carregou esta página, nada apareceu a pedir consentimento.
Não é porque estamos a ignorar a lei.
É porque genuinamente não o rastreamos.
Sem Google Analytics. Sem Facebook Pixel. Sem cookies de publicidade. Sem rastreadores de terceiros.
Usamos um cookie de primeira parte para gestão de sessão se iniciar sessão. É só isso.
Segundo a Diretiva ePrivacy e o RGPD, se usar apenas cookies "estritamente necessários" para funcionalidade, não precisa de banners de consentimento.
Só precisa de informar os utilizadores do que está a fazer (o que fazemos na nossa política de privacidade).
Então não temos um.
É isto que respeitar a privacidade realmente parece.
Não um banner com padrões obscuros ilegais desenhado para o enganar a consentir.
Apenas... não o rastrear em primeiro lugar.
Quando construímos a plataforma social da Snugg, o mesmo princípio aplica-se:
- Sem cookies de rastreamento
- Sem perfis comportamentais
- Sem dados vendidos a anunciantes
- Sem infraestrutura de vigilância
Não precisamos de pedir consentimento para o rastrear porque não o estamos a rastrear.
O melhor banner de cookies é nenhum banner de cookies.
O quadro geral: A privacidade não deveria requerer experiência
Os banners de cookies representam uma falha fundamental da proteção de privacidade.
A privacidade real não deveria requerer:
- Ler políticas de privacidade de 40 páginas
- Compreender a diferença entre cookies de primeira e terceira parte
- Navegar interfaces deliberadamente enganosas
- Instalar extensões de navegador
- Tornar-se um especialista em privacidade
A privacidade deveria ser o padrão.
Não algo pelo qual tem de lutar ativamente em cada website que visita.
A Diretiva ePrivacy e o RGPD tentaram corrigir isto. Forçaram transparência. Criaram responsabilidade. São melhores do que nada.
Mas também criaram um sistema onde:
- As empresas podem usar designs ilegais porque a aplicação é fraca
- Os utilizadores sentem-se capacitados quando na verdade estão a ser manipulados
- O fardo da proteção recai sobre os indivíduos, não sobre as empresas
- A privacidade é tratada como uma funcionalidade premium, não um direito básico
Isso está ao contrário.
O que pode fazer
Se isto o frustra (e deveria), aqui estão as suas opções:
Curto prazo:
- Usar navegadores e extensões que bloqueiam rastreamento automaticamente
- Clicar em "Recusar tudo" quando o vir (mesmo que esteja escondido)
- Limpar os seus cookies regularmente
- Apoiar websites e serviços focados em privacidade
Longo prazo:
- Apoiar regulamentações de privacidade mais fortes (o RGPD é um começo, não um fim)
- Votar com a sua carteira — pagar por serviços que respeitam a privacidade
- Exigir melhor das plataformas que usa
- Construir ou apoiar alternativas (como o que estamos a fazer com a Snugg)
E se está cansado de plataformas que tratam a sua privacidade como moeda de troca:
Junte-se à lista de espera da Snugg.
Estamos a construir redes sociais que não precisam de o rastrear para funcionar. Sem anúncios. Sem algoritmo. Sem banners de cookies.
Porque a privacidade real não deveria requerer que clique através de padrões obscuros em cada website que visita.
Deveria ser simplesmente como as coisas funcionam.
Fontes & leituras adicionais
Leis & regulamentos:
- Diretiva ePrivacy (2002/58/CE) - A verdadeira "lei dos cookies" (Wikipedia)
- Cookies, o RGPD e a Diretiva ePrivacy - Como ambas as leis funcionam juntas (GDPR.eu)
- Cookies e o RGPD: O que é realmente necessário? - Requisitos legais explicados (iubenda)
- Informação oficial do RGPD - O Regulamento Geral sobre a Proteção de Dados
Padrões obscuros & aplicação:
- Conformidade com padrões obscuros: Como parar banners de cookies manipulativos - Análise SecurePrivacy sobre designs ilegais e multas
- Reguladores da UE concordam sobre como lidar com padrões obscuros de consentimento de cookies - TechCrunch (2023) sobre Taskforce de Banners de Cookies do EDPB
- Padrões obscuros no consentimento de cookies: Como evitá-los - Guia CookieYes
- Cookies escondidos & padrões obscuros: O futuro do consentimento digital - CookieHub sobre ações de aplicação
Estudos de comportamento do utilizador:
- Estudo de comportamento de cookies – 5 anos após RGPD - Advance Metrics (2024) rastreando 1,2M utilizadores
- 26 estudos sobre banners de cookies, taxas de consentimento, conformidade - Meta-análise abrangente (2026)
- Os banners de cookies respeitam a minha escolha? - Utz et al. (2020) estudo académico
- A psicologia por trás do consentimento de cookies - Porque os utilizadores clicam em "Aceitar"
- 43% dos americanos aceitam todos os cookies apesar de preocupações crescentes com privacidade - The Drum (2022)
Navegador & rastreamento:
- Google adia indefinidamente eliminação de cookies de terceiros no Chrome - The Verge (2024)
- Sobre prevenção de rastreamento no Safari - Abordagem da Apple
- DoubleClick - Wikipedia - História do rastreamento de terceiros
História dos cookies:
- O inventor do cookie: Lou Montulli - The Guardian (2015)
Isenções legais:
- Isenções de consentimento de cookies: Cookies estritamente necessários - Quando o consentimento não é necessário
Este post não tem banner de cookies porque não o estamos a rastrear. Esse é todo o ponto.