Um modelo de consentimento conforme com o RGPD tem quatro características não negociáveis: é livre (sem condicionar o serviço), específico (uma finalidade por caixa), informado (diz quem trata e para quê) e inequívoco (uma ação afirmativa, nunca uma caixa pré-marcada). Além disso, exige que o responsável guarde prova de que o titular consentiu (artigo 7.º, n.º 1) e que a retirada seja tão fácil como a concessão (artigo 7.º, n.º 3). Abaixo encontra formulários prontos a adaptar para os casos mais comuns em Portugal — newsletter, contacto, fotografias, dados de saúde e menores.
Estes modelos poupam-lhe tempo, mas o essencial é perceber o que os torna válidos: sem isso, copiar texto não protege de nada.
Pontos essenciais
- Uma caixa por finalidade — o consentimento agrupado («aceito tudo») é inválido.
- Nunca caixas pré-marcadas (acórdão Planet49, C-673/17; Guidelines 05/2020 do CEPD).
- Prova obrigatória — o responsável tem de demonstrar o consentimento (artigo 7.º, n.º 1).
- Serviços digitais oferecidos diretamente a crianças — quando o tratamento se baseia em consentimento e está no âmbito do artigo 8.º do RGPD, o artigo 16.º da Lei 58/2019 fixa o limiar português em 13 anos.
O que torna um consentimento válido
O consentimento é uma das seis bases de licitude do artigo 6.º, mas é a mais frágil, porque pode ser retirado a qualquer momento. Os artigos 4.º, n.º 11 e 7.º RGPD, lidos com as Guidelines 05/2020 do CEPD, impõem quatro requisitos cumulativos:
| Requisito | Significa | Erro típico |
|---|---|---|
| Livre | Sem prejuízo se recusar | Cookie wall, consentimento como condição do serviço |
| Específico | Uma finalidade por consentimento | «Aceito o tratamento dos meus dados» genérico |
| Informado | Sabe quem e para quê | Não identificar o responsável |
| Inequívoco | Ação afirmativa clara | Caixa pré-marcada, silêncio, inação |
Se o tratamento tiver outra base adequada — execução de contrato ou obrigação legal — não peça consentimento. Pedir consentimento para algo que já tem de fazer por lei é um dos erros que mais confunde os titulares: cria a falsa expectativa de que podem recusar, quando não podem, e obriga a organização a gerir retiradas que não deveriam existir. Veja quando cada base se aplica no guia sobre a licitude do tratamento.
Um segundo princípio orienta todos os modelos abaixo: o consentimento tem de ser modular. Sempre que existam várias finalidades — receber a newsletter, permitir a partilha de dados com parceiros, aceitar cookies de marketing — cada uma exige a sua própria caixa e a sua própria decisão. Agrupar tudo numa aceitação única invalida o conjunto, porque o titular não consentiu de forma específica em cada tratamento. É por esta razão que um bom formulário parece, à primeira vista, mais trabalhoso do que um simples «li e aceito»: a granularidade é a condição da validade.
Modelos prontos a usar
Newsletter / marketing por email
☐ «Aceito receber a newsletter da [Empresa] com novidades e promoções, por email. Posso retirar o consentimento a qualquer momento através da ligação de cancelamento em cada mensagem ou escrevendo para [email].»
Caixa separada, não pré-marcada, com finalidade única. Não a agrupe com a aceitação dos termos gerais.
Formulário de contacto
«Ao submeter este formulário, os seus dados serão usados apenas para responder ao seu pedido, com base no nosso interesse legítimo em processar contactos. Consulte a política de privacidade.»
Aqui o consentimento nem sempre é necessário — responder a um pedido do próprio titular assenta melhor no interesse legítimo ou em diligências pré-contratuais.
Fotografias em eventos
☐ «Autorizo a [Empresa] a captar e publicar fotografias em que possa surgir, no evento [nome], nos seus canais de comunicação (site e redes sociais). Esta autorização é facultativa e revogável.»
Quando o consentimento é o fundamento adequado para a captação e divulgação de imagens, deve ser específico e separado da inscrição no evento. Este modelo pressupõe essa escolha, não uma exigência universal de consentimento para qualquer fotografia. Verifique o contexto, as finalidades, os destinatários e os demais direitos aplicáveis antes de o utilizar.
Dados de saúde (ginásios, clínicas)
☐ «Consinto que a [Empresa] trate os meus dados de saúde (histórico clínico, avaliação física) para a finalidade de [acompanhamento/prescrição], nos termos do artigo 9.º, n.º 2, alínea a) do RGPD.»
Os dados de saúde são uma categoria especial (artigo 9.º). Este modelo aplica-se quando a condição adequada é o consentimento explícito do artigo 9.º, n.º 2, alínea a). Existem outras condições nesse número, cuja aplicação depende do tratamento; deve ainda identificar o fundamento do artigo 6.º e verificar os requisitos pertinentes. Não utilize este texto como condição automática de toda a prestação de cuidados. Veja o guia sobre dados sensíveis (art. 9.º).
Crianças e consentimento em serviços da sociedade da informação
☐ «Declaro ter 13 anos ou mais.» / Para menores de 13 anos: «Consentimento dado pelo titular das responsabilidades parentais: [identificação e validação].»
Em Portugal, o artigo 16.º da Lei n.º 58/2019 fixa o limiar de 13 anos para tratamentos baseados em consentimento no âmbito da oferta direta de serviços da sociedade da informação a crianças, nos termos do artigo 8.º do RGPD. Abaixo desse limiar, o consentimento deve ser dado ou autorizado pelo titular das responsabilidades parentais, com os esforços razoáveis de verificação previstos no artigo 8.º, n.º 2. Uma simples declaração de idade não é uma solução universal de verificação. Este limiar não regula, por si só, todos os tratamentos de dados de menores, como fotografias escolares ou cuidados de saúde.
Como guardar prova do consentimento
O artigo 7.º, n.º 1 impõe que o responsável demonstre que obteve consentimento. Na prática, isto significa registar, para cada consentimento: quem consentiu, quando, a que versão do texto, e por que meio. Um simples «sim» sem contexto não é prova. Guarde o timestamp, o texto exato mostrado e a origem (formulário, IP quando aplicável). Estes registos devem estar refletidos no registo de atividades de tratamento.
A retirada tem de ser tão fácil como a concessão (artigo 7.º, n.º 3): a organização deve avaliar o esforço real e disponibilizar um percurso comparavelmente simples, sem impor uma chamada, carta ou menus escondidos para dificultar a retirada. O artigo não estabelece uma contagem universal de cliques; a escolha e a retirada devem ser efetivamente fáceis. A retirada não é retroativa — não afeta a licitude do tratamento feito antes dela —, mas obriga a cessar o tratamento para o futuro, o que na prática exige propagar a retirada por todos os sistemas onde o dado circula. Para o enquadramento completo com exemplos válidos e inválidos, veja o guia de consentimento RGPD com exemplos.
Gerir consentimentos à escala
Para ligar cada escolha ao canal, à versão do texto e ao seu estado nos sistemas, utilize a matriz de opt-in, opt-out e preferências. O percurso inclui a confirmação quando escolhida, a retirada e a verificação de que uma importação antiga não reativa o contacto.
Numa organização com newsletters, formulários, eventos e várias finalidades, a escolha do suporte deve considerar o volume de registos, os responsáveis pela atualização e a propagação das retiradas. Ao comparar software de gestão do RGPD, peça uma demonstração de como conserva a versão do texto, associa a escolha à finalidade, exporta a evidência e acompanha uma retirada nos sistemas envolvidos. Confirme estas capacidades no serviço concreto, sem as presumir pelo nome da plataforma. A validade do texto e a execução do processo continuam a exigir verificação pela organização.
Perguntas frequentes
Uma caixa pré-marcada vale como consentimento?
Não. O Tribunal de Justiça (acórdão Planet49, C-673/17) e as Guidelines 05/2020 do CEPD são claros: o consentimento exige uma ação afirmativa. Uma caixa já assinalada, o silêncio ou a mera continuação da navegação não constituem consentimento válido.
Qual é a idade de consentimento digital em Portugal?
O limiar é 13 anos para o caso delimitado pelo artigo 8.º do RGPD: tratamento baseado em consentimento relativo à oferta direta de serviços da sociedade da informação a crianças. O artigo 16.º da Lei n.º 58/2019 concretiza essa opção em Portugal. Abaixo do limiar, aplica-se a intervenção dos titulares das responsabilidades parentais prevista nesse regime; outros tratamentos de dados de menores exigem análise própria.
Tenho mesmo de guardar prova de cada consentimento?
Sim. O artigo 7.º, n.º 1 coloca o ónus da prova sobre o responsável: tem de conseguir demonstrar quem consentiu, quando e a quê. A organização deve conservar elementos suficientes para demonstrar a manifestação e o seu âmbito; um registo sem contexto pode não cumprir esse ónus de demonstração.
Posso usar consentimento para os dados de faturação de um cliente?
Não deve. A faturação assenta na execução do contrato e em obrigações legais fiscais, não no consentimento. Se pedisse consentimento, o cliente poderia retirá-lo — e não pode, porque a lei obriga à conservação. Reserve o consentimento para o que é genuinamente facultativo.
Conclusão
Um bom modelo de consentimento resolve-se com quatro regras: uma caixa por finalidade, nunca pré-marcada, com o responsável identificado e a prova guardada. Os formulários acima devem ser adaptados ao contexto, incluindo o âmbito específico em que se aplica o limiar dos 13 anos. Mas antes de copiar qualquer texto, confirme que o consentimento é mesmo a base certa — na maioria dos tratamentos empresariais, não é.