Quem lê os textos jurídicos presentes nos banners de cookies encontra quase sempre duas leis mencionadas lado a lado: a Diretiva ePrivacy (ou a sua transposição nacional) e o Regulamento Geral sobre a Proteção de Dados, o RGPD. Isto não é um lapso nem uma dupla proteção por excesso de cautela — as duas leis regulam, de facto, questões diferentes, mas estreitamente interligadas.
O RGPD, oficialmente Regulamento (UE) 2016/679, foi adotado em 27 de abril de 2016 e, após um período de transição de dois anos, entrou diretamente em vigor em toda a União em 25 de maio de 2018 — como regulamento, e ao contrário de uma diretiva, sem necessitar de qualquer transposição nacional. Regula, de forma geral, como podem ser tratados os dados pessoais: que base jurídica um tratamento precisa de ter, que direitos assistem aos titulares dos dados e que obrigações recaem sobre os responsáveis pelo tratamento.
A Diretiva ePrivacy, pelo contrário, é mais específica: regula exclusivamente o acesso a informações armazenadas em dispositivos terminais e o seu armazenamento — independentemente de estarem ou não em causa dados pessoais na aceção do RGPD. É precisamente por isso que, no caso de um cookie, o simples acesso ao dispositivo já basta para desencadear a obrigação de consentimento, mesmo que a informação armazenada não identifique ninguém por si só.
A articulação funciona assim: a Diretiva ePrivacy diz QUE é necessário consentimento para os cookies não essenciais. Mas não especifica O QUE torna um consentimento válido — essa definição é dada pelo RGPD. Nos termos do artigo 4.º, n.º 11 do RGPD, um consentimento só é válido se for dado de forma livre, específica, informada e inequívoca — mediante uma declaração ou um ato positivo claro. Uma caixa pré-assinalada não cumpre este último critério, porque não envolve nenhuma ação ativa por parte do utilizador (mais sobre isto no artigo dedicado ao acórdão Planet49).
Do RGPD provêm ainda outros requisitos que hoje fazem parte, naturalmente, de qualquer banner de cookies: a revogação tem de ser tão fácil quanto o consentimento inicial (artigo 7.º, n.º 3), e quem recolhe um consentimento tem de conseguir demonstrar, em caso de litígio, que este foi efetivamente dado (artigo 5.º, n.º 2, o chamado princípio da responsabilização). Esta obrigação de prova é uma das razões pelas quais um simples "o utilizador provavelmente clicou" não é suficiente — sem um registo que documente o momento, o âmbito e a versão exata do banner apresentado, nada pode ser provado em caso de dúvida.
Na prática, isto significa que um banner de cookies tem de cumprir duas leis em simultâneo, não apenas uma. A Diretiva ePrivacy exige o consentimento em si; o RGPD define a sua qualidade e as obrigações associadas — revogabilidade, comprovabilidade, informação adequada. Um banner que recolhe uma aceitação mas não a documenta de forma rastreável pode até cumprir formalmente o requisito da ePrivacy, mas viola o RGPD.
Esta dupla base explica também por que razão o RGPD não alterou fundamentalmente o consentimento para cookies, apesar de ser frequentemente — e erradamente — apontado como a sua origem: chegou apenas 16 anos depois da Diretiva ePrivacy original e limitou-se a tornar mais rigoroso o padrão pelo qual se avalia uma obrigação que já existia. A forma como estas duas leis europeias foram concretamente transpostas para o direito nacional alemão é o tema do próximo artigo desta série.