Coimas por infrações relacionadas com cookies: o que as empresas arriscam na prática

As infrações à obrigação de consentimento para cookies não são um risco teórico — as autoridades de proteção de dados de vários países da UE têm aplicado, repetidamente e em montantes consideráveis, coimas nos últimos anos. O enquadramento legal para tal decorre do artigo 83.º, n.º 5, do RGPD: em caso de infrações graves, são possíveis coimas até 20 milhões de euros ou até 4% do volume de negócios anual a nível mundial, consoante o valor que for mais elevado — mesmo que o fundamento formal, como descrito nos artigos anteriores, resulte, em rigor, da Diretiva ePrivacy ou da sua transposição nacional.

Um dos exemplos mais conhecidos vem da autoridade francesa de proteção de dados, a CNIL: em dezembro de 2020, aplicou à Google coimas num total de 100 milhões de euros e à Amazon uma coima de 35 milhões de euros, porque ambas as empresas tinham colocado cookies publicitários antes de os utilizadores terem dado o seu consentimento. Em janeiro de 2022, seguiu-se uma nova coima contra a Google, no valor de 150 milhões de euros, e outra contra o Facebook (atual Meta), de 60 milhões de euros — desta vez porque recusar cookies nos respetivos sites era claramente mais complicado do que aceitá-los: quem quisesse aceitar bastava um clique, quem quisesse recusar tinha de navegar por vários menus. A CNIL considerou isto uma violação da exigência de que o consentimento seja livre e tão fácil de recusar como de dar.

Outras autoridades de proteção de dados também atuaram, embora normalmente com montantes mais baixos, contra pequenas e médias empresas: falta de categorização dos cookies, scripts de terceiros que já eram carregados antes de qualquer interação com o banner, ou um botão de "recusar" que simplesmente não existia, obrigando os visitantes a aceitar por falta de alternativa real. Precisamente este último ponto — um banner sem uma opção de recusa equivalente — está entre as observações mais frequentes nas fiscalizações, por contrariar diretamente a exigência de uma decisão livre confirmada no acórdão Planet49.

O que as autoridades de proteção de dados procuram verificar concretamente numa fiscalização pode deduzir-se destes casos e das orientações publicadas pelas próprias autoridades: os cookies não essenciais só foram colocados DEPOIS de uma aceitação ativa, e não antes? Existia uma possibilidade real e de peso equivalente para recusar? As categorias e finalidades estavam descritas com suficiente concretização? E — muitas vezes o ponto decisivo num litígio concreto — consegue o operador do site ainda comprovar, a posteriori, que um determinado consentimento foi efetivamente dado num determinado momento?

É exatamente este último ponto que costuma ser subestimado na prática. Um banner tecnicamente impecável de pouco serve se, em caso de litígio — por exemplo, na sequência de uma reclamação ou de uma fiscalização por amostragem — já não existir qualquer prova de que, e de como exatamente, o consentimento foi dado. A obrigação de responsabilização prevista no artigo 5.º, n.º 2, do RGPD recai sobre o operador do site, não sobre o visitante: em caso de dúvida, é ele que tem de provar, e não o utilizador que tem de refutar.

Para a maioria dos sites pequenos e médios, coimas da ordem de grandeza dos casos referidos são pouco prováveis — na prática, as autoridades concentram-se em casos de grande alcance, infrações repetidas ou reclamações específicas. Isso, porém, em nada altera o princípio subjacente: um consentimento informado, ativo e registado não é uma formalidade, mas a única base sobre a qual um banner de cookies cumpre, de facto, a sua função.