A legalidade da utilização dos cookies é um tópico controverso e tem sido alvo de grande debate entre as Autoridades de Controlo de Proteção de Dados, assim como pelo Comité Europeu para a Proteção de Dados (EDPB – European Data Protection Board).
Recentemente a Autoridade de Controlo Holandesa publicou uma orientação onde esclareceu que as cookies walls violam o Regulamento Geral sobre a Proteção de Dados (RGPD) e, por conseguinte, são uma prática ilícita a ser exposta.
Os cookies são arquivos ou ficheiros de texto, de dimensão ideal para serem transmitidos rapidamente através da Internet, e que contêm informações que são guardadas no dispositivo do utilizador quando este navega numa página web.
O objetivo principal passa por reconhecer de forma inequívoca o utilizador sempre que este acede a uma página web, permitindo também melhorar a qualidade de navegação e simplificar a utilização das funcionalidades da mesma.
Existem diversos tipos de cookies, como por ex. os cookies primários como sejam os cookies de sessão que acompanham a entrada do utilizador no website ao preencher formulários on-line, carrinhos de compras, etc., e que desaparecem depois do utilizador fechar a janela do browser. Por sua vez, os cookies persistentes, são enviados por websites, por ex. de notícias, de empresas de marketing digital e outras, para saber quando o utilizador volta a um website, e que ficam gravados na memória digital do dispositivo mesmo depois de o utilizador terminar a sessão.
A maioria dos cookies contêm dados pessoais, como o nome, o endereço de e-mail, se o utilizador os tiver disponibilizado no website, isto acontece porque os browsers, por defeito, estão configurados para a aceitação dos cookies enquanto o utilizador navega e fornece informação no que a si respeita.
Contudo, a questão coloca-se com os tracking cookies, que numa terminologia comum podemos designar por cookies de publicidade, que servem para monitorizar o comportamento de navegação do utilizador, estabelecer perfis, criar publicidade endereçada, na maioria das vezes com o objetivo final do marketing ou publicidade.
Na sequência de dezenas de reclamações de utilizadores de websites que não conseguiam aceder às páginas web após recusarem o pop-up que solicitava a aceitação da respetiva política de cookies – cookie walls, a Autoridade de Controlo Holandesa vem abordar o enquadramento jurídico que deve ser dado aos cookies, in casu, a denominada Diretiva ePrivacy (Diretiva Europeia 2002/58/CE de 12 de julho) e o RGPD.
Ora, na prática os websites só davam acesso aos utilizadores que aceitassem forçosamente a sua política de cookies, sendo que esta pode conter cookies que necessitem de consentimento, como é o caso dos cookies de publicidade supra mencionados.
O tema é de facto interessante pois, nem na Diretiva ePrivacy nem no RGPD encontramos uma solução ou resposta simples para esta questão.
Todavia, a Autoridade Holandesa clarificou que um website tem de pedir o consentimento ao utilizador para utilizar software de tracking – tal como cookies de publicidade de terceiros, pixéis de conversão (tracking pixels) e browser fingerprinting technology (impressão digital do navegador) – e que este consentimento tem de ser prestado de livre vontade, tem de ser específico e informado, ou seja, em conformidade com o RGPD.
O argumento da Autoridade é claro, o consentimento não é livre se o utilizador não tiver a oportunidade de escolher ou se por recusar tiver consequências adversas, como por exemplo, não poder visitar o website.
No que toca a cookies para melhorar o desempenho do website, para o seu bom funcionamento ou cookies de sessão, a Autoridade esclarece que não coloca qualquer objeção, no entanto, a monitorização sistemática, a elaboração de perfis, as análises comportamentais do utilizador e a cessão desta informação a terceiros para efeitos de marketing só é permitida através de um ato positivo e inequívoco de aceitação, ou seja, através de consentimento.
A própria Diretiva ePrivacy admite que o conteúdo do website possa ter acesso condicionado à aceitação devidamente informada sobre os cookies, no entanto, tendo em conta um juízo de proporcionalidade, o pop-up de aceitação da política de cookies não pode bloquear a utilização do website, o acesso a todas as funcionalidades do mesmo, muito menos obrigar o utilizador a sujeitar-se a cookies de publicidade, apenas porque recusa aceitar a sua política.
Esta Autoridade recebeu algumas críticas por adotar uma abordagem muito restrita e conservadora, no entanto, a opinião parece alinhar-se com o atual projeto do futuro Regulamento ePrivacy.
O novo Regulamento ePrivacy virá a substituir a Diretiva 2002/58/CE (Privacidade das Comunicações Eletrónicas) após aprovação e deverá entrar em vigor ainda em 2019.
No que diz respeito às coimas prevê-se um agravamento alinhado pelo RGPD, nomeadamente, até 20 000 000 EUR ou até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado.
