Plataformas de gestão de consentimento: comparação

Em resumo: uma plataforma de gestão de consentimento (CMP) só vale o que valem quatro funcionalidades — bloqueio prévio real dos scripts antes do consentimento, um botão de recusa tão acessível como o de aceitação no primeiro nível, um registo de prova por utilizador que sobreviva a uma inspeção, e deteção automática de novos cookies. O aspeto do banner, o número de idiomas e o painel de estatísticas são critérios de desempate, não de decisão.

Este guia é para quem tem de escolher ou substituir uma CMP: responsáveis de marketing digital, equipas de produto, encarregados de proteção de dados e gestores de lojas online em Portugal. Não é um guia jurídico sobre consentimento — para isso temos o guia de requisitos e exemplos válidos de consentimento e o modelo de consentimento RGPD. Aqui trata-se da ferramenta: o que ela tem de fazer tecnicamente, como se compara e onde acaba a sua responsabilidade.

Pontos essenciais

• Em Portugal, os cookies regem-se pelo art. 5.º da Lei n.º 41/2004, alterada pelas Leis n.º 46/2012 e n.º 16/2022, e não diretamente pelo RGPD — mas a qualidade do consentimento é a do art. 4.º, n.º 11, e do art. 7.º do RGPD.
• Recusar tem de ser tão fácil como aceitar. A CNIL aplicou 325 milhões de euros à Google e 150 milhões à Shein em setembro de 2025, ambas por falhas de consentimento em cookies.
• O art. 7.º, n.º 1, do RGPD exige que o responsável demonstre o consentimento: sem registo de prova, não há consentimento oponível.
• O TC String do IAB TCF é dado pessoal — confirmado pelo Tribunal de Mercado belga em 14 de maio de 2025.
• Uma CMP resolve a camada do sítio web. Não produz registo de tratamentos, AIPD nem contratos de subcontratação.

O quadro legal aplicável em Portugal

Há uma confusão frequente que convém desfazer logo: o consentimento para cookies não nasce do RGPD, nasce da diretiva ePrivacy. Em Portugal, a Diretiva 2002/58/CE foi transposta pela Lei n.º 41/2004, de 18 de agosto, cujo art. 5.º condiciona o armazenamento de informação — ou o acesso a informação já armazenada — no equipamento terminal do utilizador ao seu consentimento prévio, com uma exceção estreita: quando o armazenamento seja estritamente necessário para prestar um serviço expressamente solicitado.

Duas consequências práticas. Primeira: a regra abrange muito mais do que cookies. Píxeis de acompanhamento, localStorage, SDK móveis, fingerprinting de dispositivo — tudo o que escreva ou leia no terminal. Uma CMP que só gere cookies HTTP deixa metade do problema por resolver em sítios modernos. Segunda: o teste de «estritamente necessário» é objetivo e estreito. Carrinho de compras, identificador de sessão, equilíbrio de carga, preferência de idioma escolhida pelo utilizador — sim. Análise de audiência, remarketing, personalização, testes A/B — não. A analítica «anonimizada» de terceiros continua a exigir consentimento em Portugal, porque a exceção olha para o acesso ao terminal, não para a sensibilidade dos dados.

O que a Lei n.º 41/2004 não define é a qualidade do consentimento. Essa remissão faz-se para o RGPD: livre, específico, informado e inequívoco (art. 4.º, n.º 11), com as condições do art. 7.º — demonstrabilidade, separação de outras matérias, retirada tão fácil como a concessão. A CNPD é a autoridade competente tanto para o RGPD como para a Lei n.º 41/2004. Ao contrário da CNIL francesa ou da AEPD espanhola, a CNPD não publicou até hoje um documento de orientação extenso e dedicado aos cookies, o que significa que a prática portuguesa se alinha com a linha europeia — o relatório do grupo de trabalho sobre banners de cookies do Comité Europeu para a Proteção de Dados, adotado em janeiro de 2023, é a referência operacional mais útil.

A recusa tão fácil como a aceitação: onde as coimas acontecem

É o erro mais caro e o mais fácil de detetar. A CNIL abriu o caminho em dezembro de 2021, com 150 milhões de euros à Google e 60 milhões à Facebook Ireland, exatamente pelo mesmo motivo: aceitar exigia um clique, recusar exigia vários. Em 1 de setembro de 2025, a CNIL voltou a decidir na mesma linha, com 325 milhões de euros à Google — por publicidade inserida entre as mensagens do Gmail e por cookies depositados na criação de conta sem consentimento válido — e 150 milhões de euros à Shein, por depositar cookies publicitários no momento da chegada ao sítio, antes de qualquer interação do utilizador com o banner.

A leitura para quem compra uma CMP é direta. Primeiro: o depósito antes da escolha é uma infração consumada, independentemente do que o banner mostre a seguir — daí a centralidade do bloqueio prévio. Segundo: a assimetria visual entre «Aceitar tudo» e a alternativa de recusa é objetivamente verificável por qualquer autoridade em trinta segundos, e nenhuma configuração de CMP a esconde. Terceiro: os montantes destas decisões foram calculados sobre o volume de negócios do grupo, não sobre a receita da unidade infratora.

Um erro adicional que as autoridades europeias sinalizaram repetidamente: os dark patterns de contraste — botão de aceitação a cores vivas, recusa em cinzento sobre cinzento — e o «continuar a navegar equivale a consentir», que não é consentimento por ação inequívoca. Nenhuma CMP impede a organização de configurar o banner desta forma. A ferramenta oferece as opções; a escolha da configuração conforme continua a ser da organização, e é por isso que nenhum fornecedor sério promete que o seu produto «é conforme ao RGPD» — é conforme se configurado corretamente.

As sete funcionalidades que decidem a escolha

Funcionalidade	Porque decide	Requisito mínimo
Bloqueio prévio	Sem ele, a infração ocorre antes do clique	Bloqueio nativo, não apenas via gestor de etiquetas
Simetria de recusa	Linha direta das decisões da CNIL	«Recusar tudo» no primeiro nível, mesmo peso visual
Registo de prova	Art. 7.º, n.º 1, do RGPD	Data, versão do banner, categorias, identificador, exportável
Análise automática	Sítios mudam; cookies novos aparecem	Varrimento periódico com classificação por categoria
Granularidade	Consentimento específico por finalidade	Categorias separadas, não «tudo ou nada»
Retirada permanente	Retirar tão fácil como consentir	Ligação ou ícone acessível em todas as páginas
Alojamento e latência	Transferências e desempenho	Servidores na UE, entrega por CDN

O bloqueio prévio merece um parágrafo próprio porque é onde as ferramentas mais divergem na prática. Bloqueio verdadeiro significa que o script de terceiro nunca é executado antes do consentimento — a CMP intercepta a inserção do elemento no documento. Bloqueio fraco significa que a CMP configura sinais no gestor de etiquetas e confia que todas as etiquetas os respeitem; basta um script colado à mão no modelo do sítio para a cadeia falhar. Peça uma demonstração com a rede aberta nas ferramentas de programador e conte os pedidos a domínios de terceiros antes do clique. É o teste mais revelador que se pode fazer numa avaliação, e demora dois minutos.

O IAB TCF: quando faz sentido e quando é peso morto

O Transparency and Consent Framework do IAB Europe é o protocolo que permite transmitir as escolhas do utilizador a centenas de fornecedores de publicidade programática, codificadas numa cadeia designada TC String. Se o sítio vende inventário publicitário através de real-time bidding, praticamente não há alternativa: os parceiros exigem-no. Se o sítio é institucional, uma loja online que usa apenas Google Ads e Meta, ou um SaaS, o TCF acrescenta complexidade, listas de centenas de fornecedores e um segundo nível de interface sem benefício correspondente.

O enquadramento jurídico do TCF está estabilizado o suficiente para se decidir com ele. A autoridade belga sancionou o IAB Europe em fevereiro de 2022 com 250 mil euros, e em 14 de maio de 2025 o Tribunal de Mercado de Bruxelas confirmou dois pontos essenciais: a TC String é um dado pessoal e o IAB Europe é responsável conjunto pelo tratamento no que respeita à criação e difusão dessa cadeia. O tribunal delimitou, porém, essa responsabilidade — ela não se estende automaticamente aos tratamentos posteriores realizados por editores e fornecedores de tecnologia publicitária. Traduzindo para o comprador: adotar o TCF não transfere responsabilidade para o IAB. Continua a ser o operador do sítio quem responde pelo que os seus parceiros fazem com o sinal.

O Consent Mode v2 da Google

Desde março de 2024, os anunciantes que utilizam produtos Google com dados do Espaço Económico Europeu — Google Ads, remarketing, públicos-alvo do Analytics — têm de transmitir os sinais do Consent Mode v2. São quatro: ad_storage, analytics_storage, ad_user_data e ad_personalization. Sem eles, as funcionalidades de personalização e de remarketing deixam de funcionar para o tráfego europeu.

Há duas implementações e a diferença é material. No modo básico, as etiquetas Google não carregam de todo antes do consentimento — é o mais protetor e o que menos dados recolhe. No modo avançado, as etiquetas carregam e enviam sinais sem cookies para os utilizadores que recusaram, permitindo à Google modelar conversões. O modo avançado tem melhor desempenho de medição; é também o que exige justificação mais cuidadosa, porque envia pedidos ao servidor da Google mesmo sem consentimento. A escolha entre os dois é uma decisão jurídica e de risco, não uma opção técnica que a agência deva tomar sozinha, e deve ficar documentada — tal como a base legal do tratamento e as eventuais transferências internacionais de dados associadas.

Critério prático de compra: escolha uma CMP que a Google reconheça como parceira certificada de gestão de consentimento. Não é uma exigência legal, mas resolve a integração e evita semanas de depuração.

Duração do consentimento e reapresentação

Não há prazo fixado na lei portuguesa, o que deixa margem — e cria a tentação de a usar mal. A prática europeia consolidada, seguida pelas autoridades e pelos principais fornecedores, é: consentimento válido por cerca de seis meses antes de nova solicitação, com um máximo defensável de doze a treze meses; e, sobretudo, não voltar a perguntar imediatamente a quem recusou. Um banner que reaparece a cada visita depois de uma recusa é coação por cansaço e as autoridades tratam-no como tal.

Regra prática: se o utilizador aceitou, reapresente ao fim de seis a doze meses ou quando as finalidades mudarem materialmente — um novo fornecedor de publicidade é uma mudança material. Se o utilizador recusou, respeite a decisão pelo mesmo período mínimo. E, em qualquer caso, mantenha o acesso permanente às preferências. Uma boa CMP permite configurar estes períodos de forma independente para aceitação e recusa; uma CMP fraca tem um único parâmetro para ambos.

O panorama de fornecedores em julho de 2026

O mercado organiza-se por perfil de utilização e não por qualidade absoluta. Nenhum destes produtos «torna» um sítio conforme; todos permitem uma configuração conforme e todos permitem uma configuração ilegal.

Cookiebot, hoje parte do grupo Usercentrics, é a referência para PME que querem resolver o problema depressa. O ponto forte é o varrimento automático periódico, que deteta scripts novos e os classifica sozinho — a melhor proteção contra a etiqueta que a agência acrescentou sem avisar. Modelo de preços: escalões por número de subpáginas e domínios, com um nível gratuito para sítios muito pequenos.

Usercentrics é o irmão empresarial: gestão de consentimento do lado do servidor, testes A/B do banner, integrações profundas e um painel de taxas de aceitação. Preço sob orçamento, dimensionado para grupos com várias marcas e domínios. Sobredimensionado para um sítio institucional.

Didomi e Axeptio são fornecedores europeus com forte implantação latina. A Didomi cobre bem o TCF e as necessidades de editores com publicidade programática; a Axeptio distingue-se pela abordagem à interface, com melhores taxas de aceitação sem recorrer a dark patterns. Ambas cobram por escalões de tráfego mensal.

CookieYes e iubenda ocupam o segmento de entrada, com preços baixos por domínio e configuração rápida; a profundidade de bloqueio prévio e de relatório de prova é menor. OneTrust vende a CMP como módulo de uma suite maior de privacidade — faz sentido para quem já usa a suite, dificilmente como compra isolada.

Nenhum fornecedor publica preços fiáveis para os escalões superiores. Peça sempre proposta escrita com o volume de páginas vistas incluído, o custo por domínio adicional e o que acontece se o tráfego exceder o escalão a meio do contrato.

Onde a CMP acaba

O equívoco mais dispendioso que encontro em auditorias é «temos um banner, logo estamos conformes». A CMP governa a camada do terminal: que scripts carregam e com que consentimento. Não gera o registo de atividades de tratamento, não conduz uma avaliação de impacto, não audita contratos de subcontratação e não trata pedidos de acesso. Uma loja online com o banner perfeito e sem registo de tratamentos falha exatamente da mesma forma numa inspeção da CNPD do que uma sem banner — as coimas aplicadas em Portugal mostram-no.

As duas camadas compram-se separadamente: a CMP para o sítio, uma plataforma de gestão da conformidade para a empresa. Para a segunda, veja a nossa comparação de software de conformidade RGPD — em plataformas como a Legiscope, o inventário de cookies liga-se ao registo de tratamentos, o que evita que a lista do banner e o registo digam coisas diferentes. E a documentação visível ao utilizador tem de acompanhar: uma política de cookies que enumere realmente os cookies em uso e uma política de privacidade coerente com ela. Para lojas online, o conjunto está detalhado no guia de RGPD para e-commerce.

Perguntas frequentes

Preciso mesmo de uma CMP se só uso o Google Analytics?

Sim. O Google Analytics escreve identificadores no terminal do utilizador e não é estritamente necessário para prestar o serviço solicitado, pelo que cai no art. 5.º da Lei n.º 41/2004. Existe uma alternativa: usar uma solução de análise de audiência sem cookies e sem identificação individual, configurada para não permitir a reidentificação. Nesse caso, e apenas nesse, pode dispensar o consentimento — mas continuará a precisar de gerir qualquer outro script de terceiro.

Quanto custa uma plataforma de gestão de consentimento?

O modelo de preços é quase sempre por escalões — número de páginas vistas mensais, de subpáginas ou de domínios. Há níveis gratuitos para sítios muito pequenos em vários fornecedores, escalões acessíveis para PME e preços sob orçamento acima de determinado tráfego. Não confie em números publicados por comparativos: peça proposta escrita, porque a variável que faz disparar o custo — domínios adicionais — raramente aparece nas tabelas públicas.

Posso bloquear o acesso ao sítio a quem recusar os cookies?

Não para cookies de análise e publicidade. O consentimento tem de ser livre (art. 4.º, n.º 11, do RGPD) e condicionar o acesso a um serviço à aceitação de tratamentos que lhe não são necessários vicia essa liberdade. O modelo «consentir ou pagar» tem sido discutido a nível europeu para grandes plataformas de imprensa e continua sujeito a condições exigentes; não é um caminho que uma PME deva seguir sem aconselhamento específico.

Durante quanto tempo tenho de conservar a prova de consentimento?

Enquanto o consentimento produzir efeitos e por um período razoável depois, para poder demonstrar a licitude do tratamento passado em caso de reclamação. Na prática, uma conservação alinhada com o prazo de prescrição do procedimento contraordenacional é defensável. O que não é defensável é não conservar nada: o art. 7.º, n.º 1, coloca o ónus da demonstração no responsável pelo tratamento.

Conclusão

Escolha a CMP com um teste, não com uma tabela de funcionalidades. Instale as duas ou três candidatas em ambiente de pré-produção, abra a consola de rede e conte os pedidos a terceiros antes do clique; peça a exportação do registo de prova de um consentimento de teste e veja se contém data, versão e categorias; verifique que «Recusar tudo» está no primeiro nível com o mesmo peso visual; e deixe o varrimento correr uma semana para ver quantos scripts cada uma descobre. As diferenças que aparecem neste exercício são maiores do que as que aparecem nas páginas de preços — e são precisamente as que uma autoridade verifica primeiro.