Poucos acórdãos transformaram a prática dos banners de cookies na Europa de forma tão direta como a decisão do Tribunal de Justiça da União Europeia (TJUE), de 1 de outubro de 2019, no processo contra a empresa Planet49 (processo C-673/17). O que inicialmente parecia uma questão marginal ligada a um passatempo online tornou-se uma decisão de princípio sobre o que efetivamente constitui um consentimento válido para cookies.
Os factos eram, à primeira vista, pouco relevantes: a Planet49 organizou um passatempo online e apresentou aos participantes duas caixas de verificação. Uma delas — já pré-assinalada — dizia respeito ao consentimento para a colocação de cookies para fins publicitários por parceiros comerciais. A outra, que tinha de ser assinalada separadamente, dizia respeito à comunicação de dados pessoais a patrocinadores para fins publicitários, por telefone ou e-mail. Quem quisesse participar no passatempo tinha de assinalar ativamente a segunda caixa, mas podia simplesmente deixar a primeira — já pré-assinalada — tal como estava, sem sequer reparar nela conscientemente.
O Supremo Tribunal de Justiça alemão (Bundesgerichtshof) submeteu a questão ao TJUE: será que uma caixa já assinalada é suficiente para constituir consentimento na aceção da Diretiva ePrivacy? A resposta do tribunal foi inequívoca: não. Um consentimento pressupõe uma ação ativa e consciente do utilizador — uma caixa que o próprio utilizador tem de assinalar para concordar, e não uma que teria de desmarcar para NÃO concordar. A diferença entre "concordar ativamente" e "não se opor" é exatamente a diferença que esteve em causa na evolução da Diretiva ePrivacy desde 2009 — e o TJUE confirmou, assim, que esse endurecimento era, de facto, para ser levado a sério.
Um segundo ponto notável da decisão: o TJUE esclareceu que a própria obrigação de consentimento não depende de a informação armazenada no cookie constituir, ou não, dados pessoais na aceção do RGPD. A Diretiva ePrivacy protege, só por si, o acesso ao dispositivo terminal enquanto tal — independentemente do que, no fim, é efetivamente armazenado. Foi um esclarecimento importante, uma vez que alguns fornecedores tinham anteriormente argumentado que identificadores pseudónimos ou puramente técnicos não estariam sequer abrangidos pela obrigação de consentimento.
Em terceiro lugar, o tribunal exigiu que os utilizadores sejam informados, antes de dar o consentimento, sobre o período de duração dos cookies e sobre se terceiros têm acesso aos mesmos. Uma informação genérica e vaga deixou, desde então, de ser suficiente — as declarações sobre cookies têm de ser suficientemente concretas para que o utilizador consiga efetivamente avaliar aquilo a que está a consentir.
As consequências práticas do acórdão fizeram-se sentir de imediato: as caixas pré-assinaladas desapareceram dos banners europeus, os botões de "aceitar" passaram a ter de ser acionados por um clique genuíno e consciente, e a categorização dos cookies com indicações precisas sobre finalidade e duração tornou-se prática corrente. As autoridades de proteção de dados de vários Estados-Membros reviram as suas orientações logo a seguir à decisão, que desde então serve de referência em numerosos outros processos — nomeadamente sobre se um banner que torna "recusar" deliberadamente mais difícil de encontrar do que "aceitar" viola igualmente a exigência de uma decisão livre e inequívoca.
O caso Planet49 mostra, assim, de forma exemplar, como um único processo judicial traduz as exigências abstratas de um texto legal em requisitos técnicos concretos — e por que razão um banner de cookies tem hoje o aspeto que tem, em vez do que era comum antes de 2019.
É também notável a rapidez com que o efeito do acórdão se estendeu para além do próprio litígio: embora, formalmente, apenas esclarecesse a interpretação da Diretiva ePrivacy para um caso concreto na Alemanha, as autoridades de supervisão em toda a Europa alinharam a sua prática por esta mesma orientação — uma prova de como um único acórdão do TJUE pode moldar a prática muito para além dos limites do processo que lhe deu origem.