O consentimento RGPD é uma escolha que a pessoa pode fazer e retirar, não uma assinatura destinada a legitimar qualquer utilização de dados. Para ser válido, tem de ser livre, específico, informado e inequívoco, expresso por uma declaração ou um ato positivo claro. O responsável deve conseguir demonstrar essa escolha e assegurar uma retirada tão fácil como a concessão.
Em Portugal, estas condições articulam-se com regras nacionais: a Lei 58/2019 estabelece a idade de 13 anos no âmbito específico do artigo 8.º do RGPD, enquanto a Lei 41/2004 regula, entre outras matérias, os cookies e as comunicações eletrónicas de marketing. Os exemplos seguintes são situações ilustrativas para avaliar um procedimento; não são formulários aprovados pela CNPD nem dispensam a análise do tratamento concreto.
Começar pela base de licitude adequada
A CNPD explica que o consentimento é apenas um dos fundamentos possíveis. Antes de escrever uma caixa de seleção, identifique a finalidade, os dados necessários e a relação com a pessoa. A execução de um contrato pode justificar o tratamento objetivamente necessário quando o titular é parte nesse contrato, mas não autoriza automaticamente publicidade, partilha comercial ou análise de comportamento.
Uma loja precisa de tratar certos dados para entregar uma encomenda e cumprir obrigações de faturação. Pedir ao comprador autorização para cumprir uma obrigação legal transmite uma escolha que não existe. Já a inscrição facultativa numa publicação promocional exige uma análise diferente. O guia sobre a licitude do tratamento e o artigo 6.º ajuda a separar estas operações antes de desenhar o formulário.
Também não se deve escolher o consentimento como solução provisória, contando invocar outro fundamento se a pessoa o retirar ou se a prova for insuficiente. A base deve estar identificada antes do tratamento e ser comunicada de forma transparente. Uma alteração artificial para interesse legítimo não corrige retroativamente um consentimento inválido nem permite ignorar uma retirada.
Escolha livre: o que acontece quando a pessoa recusa?
A liberdade avalia-se pelas consequências reais. Se a recusa de publicidade impede uma compra que não necessita dessa publicidade, há um problema de condicionamento. O artigo 7.º, n.º 4, exige especial atenção à associação entre a prestação de um serviço e dados que não são necessários para o executar. Uma frase a dizer «facultativo» não resolve um bloqueio técnico ou uma penalização escondida.
Imagine uma associação que disponibiliza inscrições num evento. O participante pode fornecer os dados necessários à inscrição e, separadamente, escolher receber notícias futuras. O procedimento é mais sólido se conseguir concluir a inscrição sem essa segunda escolha. Se o botão de confirmação só funcionar quando ambas as opções estão assinaladas, a liberdade anunciada no texto não existe na prática.
As Diretrizes 05/2020 do CEPD exigem uma possibilidade efetiva de decidir, sem engano, pressão ou consequências negativas relevantes. Não basta dizer que a pessoa pode procurar um concorrente. A organização deve examinar as alternativas que oferece, a posição do titular e os efeitos da recusa ou da retirada no serviço contratado.
Finalidades específicas e informação compreensível
A pessoa deve poder escolher separadamente finalidades distintas. Receber a newsletter da empresa, autorizar publicidade de outra entidade e permitir um perfil detalhado de interesses não são necessariamente uma única decisão. Em contrapartida, não é obrigatório multiplicar caixas para cada operação técnica que serve a mesma finalidade claramente apresentada. A granularidade deve acompanhar escolhas compreensíveis, não a arquitetura interna da base de dados.
A informação deve identificar o responsável, explicar a finalidade de cada pedido, os tipos de dados utilizados e o direito de retirar o consentimento. Quando relevantes, devem ser explicadas as decisões automatizadas abrangidas pelo artigo 22.º ou os riscos de uma transferência fundada na derrogação do artigo 49.º. Estes elementos não substituem as restantes informações exigidas pelo artigo 13.º do RGPD.
Uma primeira camada curta pode apresentar a decisão e remeter para informação complementar acessível antes da escolha. O essencial não deve ficar escondido numa política extensa ou numa ligação pouco identificável. Expressões como «melhorar a experiência» ou «partilhar com parceiros» precisam de concretização. O titular deve perceber o que acontecerá aos dados e quais as entidades que pretendem apoiar-se no seu consentimento.
Exemplos de escolhas válidas e inválidas
Numa newsletter, uma caixa inicialmente vazia, acompanhada de informação clara sobre o remetente, o conteúdo e a retirada, pode integrar um consentimento válido. A caixa vazia, isoladamente, não basta: se a descrição omitir que outras empresas vão utilizar o endereço, a pessoa não decidiu sobre essa utilização. O ato positivo e a informação têm de corresponder ao mesmo tratamento.
Num concurso, uma autorização genérica para receber mensagens de «parceiros selecionados» não permite identificar quem contactará a pessoa. Se várias entidades pretendem utilizar os dados como responsáveis pelo tratamento, devem ser identificadas e as escolhas organizadas de modo específico. Um contrato comercial entre organizador e patrocinadores não transforma uma autorização vaga numa autorização informada.
Num evento, aceitar receber por correio eletrónico uma fotografia não equivale a autorizar a sua publicação numa campanha aberta. A finalidade, os suportes, o público e o contexto de utilização devem ser claros. Uma opção separada para divulgação promocional permite decidir sobre essa utilização sem confundi-la com o acesso à fotografia solicitada. A imagem continua sujeita aos restantes direitos e regras aplicáveis.
O modelo de consentimento RGPD pode ajudar a organizar os elementos de uma declaração, mas o texto tem de corresponder ao procedimento real. Copiar uma cláusula sobre retirada imediata não serve se ninguém recebe o pedido ou se o sistema continua a enviar campanhas. A revisão deve abranger formulário, informação, registo e funcionamento posterior.
Marketing eletrónico em Portugal: regra e exceção de clientela
Os artigos 13.º-A e 13.º-B da Lei 41/2004, na redação atualizada, estabelecem regras específicas. Para as pessoas singulares, o envio de comunicações eletrónicas não solicitadas de marketing está, em regra, sujeito a consentimento prévio e expresso. A Diretriz 1/2022 da CNPD explica a aplicação a correio eletrónico, SMS e chamadas, incluindo chamadas com intervenção humana.
Existe uma exceção para o fornecedor que obteve licitamente as coordenadas eletrónicas do cliente no contexto de uma venda e pretende promover os seus próprios produtos ou serviços análogos. Deve permitir uma recusa clara, gratuita e fácil no momento da recolha e em cada mensagem, quando o cliente não recusou inicialmente. A exceção não se estende automaticamente a outras empresas do grupo ou a qualquer produto sem relação com a compra.
Comprar uma base de contactos não demonstra que cada pessoa consentiu em receber mensagens da empresa compradora. Importa verificar quem recolheu os dados, que informação foi apresentada, quais as entidades identificadas e que escolha foi feita. A garantia comercial do vendedor não substitui essa prova. A CNPD distingue ainda a recolha e transmissão de dados da operação posterior de envio da comunicação.
Os assinantes que sejam pessoas coletivas têm um regime próprio de oposição e lista mantida pela Direção-Geral do Consumidor. Não se deve aplicar esse regime automaticamente a qualquer endereço com domínio profissional, ignorando a pessoa e a utilização concreta. A organização precisa de distinguir destinatários, canal e origem dos contactos, mantendo atualizadas as escolhas e as listas que deve consultar.
Cookies: a configuração deve executar a escolha
O artigo 5.º da Lei 41/2004 exige consentimento prévio para armazenar informação ou aceder a informação no equipamento, com informação clara e completa. Ressalva o armazenamento ou acesso destinado exclusivamente à transmissão de uma comunicação e o estritamente necessário para fornecer um serviço da sociedade da informação expressamente solicitado. A classificação depende da função concreta, não apenas de o cookie ser próprio ou de terceiros.
No acórdão Planet49, de 1 de outubro de 2019, o Tribunal de Justiça confirmou que uma caixa pré-assinalada não constitui consentimento válido para cookies. Continuar a navegar também não demonstra a escolha inequívoca exigida. Se o site instala antecipadamente os elementos sujeitos a consentimento, um botão posterior não corrige a recolha já realizada.
A interface deve oferecer uma escolha efetiva, sem tornar a recusa artificialmente difícil nem forçar a aceitação de finalidades distintas. O exemplo de bloqueio sem alternativa real analisado pelo CEPD não permite um consentimento livre. Esta avaliação não se reduz à cor de um botão ou a uma frase universal sobre qualquer modelo de acesso. Deve verificar-se o percurso completo, incluindo o comportamento após recusar e retirar.
A política de cookies deve corresponder ao inventário real de tecnologias e finalidades. Ao comparar plataformas de gestão de consentimento, avalie o bloqueio prévio, a granularidade, a exportação da prova e a execução da retirada. Adquirir uma plataforma não comprova conformidade: é necessário validar a configuração e as integrações efetivamente utilizadas.
Dados sensíveis e relações de trabalho
O consentimento explícito é uma das condições do artigo 9.º, n.º 2, para tratar categorias especiais de dados. Não é a única: existem outras condições, com pressupostos próprios, designadamente em contextos laborais, de cuidados de saúde ou de defesa de direitos. É necessário identificar também uma base do artigo 6.º. Um contrato não afasta, por si só, a proibição do artigo 9.º.
Quando se utiliza a condição de consentimento explícito, a declaração deve exprimir claramente a concordância para a finalidade especificada. Pode ser eletrónica; o RGPD não exige sempre uma folha assinada à mão. Devem cumprir-se igualmente os restantes requisitos, incluindo liberdade e informação. Além disso, esta condição não supera uma proibição que o direito da União ou nacional torne indisponível para o titular.
No emprego, o desequilíbrio torna geralmente inadequado o consentimento para operações correntes ou controlo de trabalhadores. Isso não significa que seja impossível em todas as circunstâncias. Uma participação realmente facultativa numa fotografia promocional pode exigir uma análise diferente se a recusa não produzir qualquer consequência desfavorável. A entidade deve demonstrar essa liberdade, não deduzi-la da ausência de reclamações ou da assinatura de todos.
Menores: alcance exato da idade de 13 anos
O artigo 16.º da Lei 58/2019 concretiza o artigo 8.º do RGPD: o limiar português de 13 anos aplica-se quando o tratamento se baseia no consentimento e está relacionado com a oferta direta de serviços da sociedade da informação à criança. Não é uma autorização geral para qualquer tratamento, publicação de imagens ou celebração de contratos por menores.
Abaixo desse limiar, no âmbito referido, a lei portuguesa exige consentimento dos representantes legais, de preferência com meios de autenticação segura. O responsável deve desenvolver esforços razoáveis de verificação, atendendo à tecnologia disponível. A medida escolhida deve ser proporcional ao risco e evitar recolhas excessivas: pedir sistematicamente cópias integrais de documentos não é uma consequência automática do artigo 8.º.
Existe uma ressalva relevante: segundo o considerando 38 e o ponto 150 das diretrizes do CEPD, os serviços preventivos ou de aconselhamento oferecidos diretamente à criança, incluindo em linha, não exigem autorização parental nesse contexto. Um serviço de proteção infantil não deve impor essa autorização de forma mecânica, criando uma barreira ao apoio que a criança procura.
A informação deve ser compreensível para o público visado. Uma declaração pensada para adultos não se torna adequada apenas porque inclui uma caixa para confirmar a idade. Para situações escolares, o guia sobre fotografias de alunos em Portugal distingue finalidades pedagógicas, acesso reservado e divulgação pública. Cada utilização exige o seu enquadramento, sem transportar automaticamente a regra dos 13 anos.
Demonstrar o consentimento sem recolher dados em excesso
O responsável precisa de demonstrar quem consentiu, em que momento, para que finalidade e perante que informação. Isso pode exigir uma referência à pessoa ou sessão, a versão do texto, o ato realizado e as escolhas efetuadas. O RGPD não impõe uma lista universal de campos, nem torna obrigatório guardar um endereço IP em qualquer contexto. A prova deve ser suficiente e proporcional.
Conserve as versões antigas da informação associadas aos respetivos registos. Uma captura do formulário atual não demonstra o que alguém viu meses antes. Quando existem recolhas em papel, por telefone ou através de um prestador, defina como se liga a manifestação de vontade à informação apresentada. Uma afirmação genérica de que todos os contactos estão autorizados não permite reconstruir uma decisão individual.
A prova deve existir enquanto durar o tratamento baseado no consentimento. Depois, a conservação não pode prolongar-se além do estritamente necessário para uma obrigação legal ou para declarar, exercer ou defender direitos num processo judicial. Não há um prazo adicional único aplicável a qualquer empresa. Defina a finalidade residual, os acessos e o momento de revisão ou eliminação.
Retirada, apagamento e portabilidade
A retirada pode ocorrer a qualquer momento e deve ser tão fácil como a concessão. Se a pessoa escolheu através de uma interface eletrónica simples, não deve ser obrigada a enviar uma carta registada ou telefonar num horário limitado. O mecanismo deve estar disponível e ser explicado antes da escolha. Igual facilidade não significa necessariamente uma reprodução literal do mesmo gesto.
Após a retirada, cessa o tratamento que dela dependia; a licitude do tratamento anterior não é afetada retroativamente. Os dados devem ser apagados quando se verificam as condições do artigo 17.º, incluindo a ausência de outro fundamento que justifique a conservação, sem prejuízo das exceções aplicáveis. Uma fatura conservada por obrigação legal não autoriza a continuação da newsletter. O direito ao apagamento exige distinguir essas finalidades.
A portabilidade dos dados também não decorre de qualquer consentimento isoladamente. O artigo 20.º exige tratamento automatizado baseado em consentimento ou contrato e abrange os dados pessoais relativos ao titular que este forneceu. A transmissão direta depende de viabilidade técnica. A presença de dados de terceiros exige proteger os seus direitos, não excluir automaticamente todo o conjunto nem entregá-lo sem avaliação.
Manter as escolhas coerentes entre sistemas
Traduza as decisões em preferências de opt-in e opt-out por canal, com responsáveis e regras de atualização. Uma retirada recebida no apoio ao cliente precisa de chegar à ferramenta de envio e aos prestadores relevantes. Uma lista mínima de exclusão, quando justificada para respeitar a oposição, não deve ser reutilizada como base ativa de prospeção.
O registo de atividades de tratamento ajuda a localizar operações e responsáveis; ligar-lhe a análise das bases legais é útil, embora essa base não seja um campo expressamente enumerado no artigo 30.º. Ao avaliar software de conformidade RGPD, verifique as funções demonstradas de documentação e exportação, sem presumir que qualquer ferramenta recolhe ou sincroniza consentimentos em todos os canais.
O RGPD não estabelece uma validade universal de seis meses ou um ano para o consentimento. Reveja-o quando mudarem materialmente as finalidades, os intervenientes ou as condições apresentadas. Um novo consentimento deve anteceder o tratamento que dele dependa. A revisão periódica recomendada pelo CEPD serve para manter informação e escolhas atuais; não legitima pedidos repetidos destinados a desgastar uma recusa.
Perguntas frequentes
Basta aceitar a política de privacidade?
Não. A política presta informação; o consentimento exprime uma escolha sobre um tratamento determinado. Uma confirmação de leitura não demonstra necessariamente concordância livre e específica. O formulário deve distinguir a informação obrigatória das utilizações opcionais para as quais se pede autorização.
É sempre necessário consentimento escrito?
Não. Uma declaração oral ou um ato positivo claro pode ser válido se cumprir todos os requisitos. O desafio é demonstrar o conteúdo e as condições da escolha. Mesmo o consentimento explícito não exige universalmente assinatura manuscrita, mas requer uma manifestação expressa suficientemente comprovável.
Retirar o consentimento elimina todos os dados da empresa?
Não necessariamente. A empresa deve cessar as utilizações dependentes desse consentimento e avaliar o apagamento. Outras finalidades com fundamento próprio podem justificar conservação limitada. Não podem servir de pretexto para manter ativa a utilização recusada, nem dispensam a explicação das finalidades e dos prazos aplicáveis.