A Diretiva ePrivacy: a origem da obrigação de consentimento para cookies
A obrigação de obter consentimento antes de colocar cookies não consta do RGPD (Regulamento Geral sobre a Proteção de Dados) — é mais antiga e provém de outra lei: a Diretiva ePrivacy, oficialmente Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas. Foi adotada em 12 de julho de 2002, numa altura em que os cookies eram utilizados sobretudo para sessões de início de sessão e personalização simples — o rastreio entre vários sites já era tecnicamente possível, mas ainda não era um fenómeno de massa.
Na sua redação original, o artigo 5.º, n.º 3, da diretiva exigia pouco mais do que informar os utilizadores sobre a colocação de cookies e dar-lhes a possibilidade de se oporem — um modelo de opt-out. Quem não fizesse nada tinha, na prática, consentido implicitamente. Isso traduzia-se muitas vezes num pequeno aviso algures na página, que quase ninguém lia, com os cookies já colocados antes mesmo de o aviso ser notado.
Isso mudou com a Diretiva 2009/136/CE, de 25 de novembro de 2009, que reformulou por completo o artigo 5.º, n.º 3 — conhecida na linguagem comum como "Diretiva dos Cookies", embora formalmente seja apenas uma alteração à Diretiva ePrivacy original. O modelo de oposição transformou-se numa verdadeira obrigação de consentimento: desde então, os cookies que não sejam estritamente necessários para prestar um serviço expressamente solicitado só podem ser colocados depois de o utilizador dar o seu consentimento informado — não depois do facto, nem de forma tácita.
O motivo para este endurecimento estava no rápido desenvolvimento do mercado da publicidade online na década de 2000: os cookies de rastreio tornaram-se a base de modelos de negócio inteiros, e criavam-se perfis de utilizadores a partir de dados recolhidos em dez, vinte, cem sites diferentes — na maioria das vezes sem que os visados sequer soubessem. O legislador europeu reagiu invertendo o ónus: deixou de ser o utilizador a ter de se opor, passando a ser o site a ter de obter o consentimento.
É importante compreender que a Diretiva ePrivacy é uma diretiva, não direito da UE diretamente aplicável como um regulamento. As diretivas fixam um objetivo que cada Estado-Membro tem de transpor para o seu direito nacional — e foi nessa transposição que residiu, durante anos, o verdadeiro problema. O prazo terminou em 25 de maio de 2011, mas muitos Estados-Membros — a Alemanha entre eles — adotaram a nova obrigação de consentimento apenas com relutância, ou numa forma ainda próxima da antiga lógica de opt-out. A forma como a Alemanha acabou por resolver este problema é tratada num artigo próprio desta série.
Até hoje, a Diretiva ePrivacy continua a ser a verdadeira base legal para o próprio consentimento relativo a cookies — não o RGPD, que só entrou em vigor em 2018 e regula uma matéria diferente, ainda que estreitamente relacionada: o tratamento de dados pessoais em geral. As duas leis articulam-se entre si, e é exatamente essa articulação o tema do próximo artigo.
Um sucessor previsto, o Regulamento ePrivacy, deveria originalmente substituir a diretiva e entrar em vigor como direito diretamente aplicável, sem necessidade de transposição nacional. Está há anos em negociação entre as instituições da UE e ainda não foi adotado — até que isso aconteça, a diretiva de 2002/2009 continua a ser a base determinante.
Para os operadores de sites, vale a pena conhecer este historial, porque explica por que razão o consentimento para cookies não surgiu como reação a um único escândalo, mas como resposta gradual a uma prática que se foi consolidando ao longo de anos. A regra de 2009 não foi uma surpresa, mas a continuação lógica de uma ideia já formulada em 2002 — aceder ao dispositivo de outra pessoa não é um ato técnico neutro, mas uma intrusão que exige justificação.