Um site com quatro páginas e um formulário de contacto trata dados pessoais. Não muitos, e quase nunca sensíveis, mas trata, e é isso que o põe dentro do RGPD.
Onde está escrito
São dois diplomas, e convém não os confundir.
O Regulamento (UE) 2016/679, o RGPD, aplica-se a qualquer tratamento de dados pessoais: o nome e o contacto que alguém deixa num formulário, o endereço IP registado pelo servidor, a lista de clientes da empresa. Em Portugal, a sua execução é complementada pela Lei n.º 58/2019, e a autoridade de controlo é a Comissão Nacional de Proteção de Dados, a CNPD.
A Lei n.º 41/2004, na redação dada pela Lei n.º 46/2012, transpõe a diretiva conhecida como ePrivacy, e é ela que trata dos cookies. O artigo 5.º, n.º 1, diz que guardar informação no equipamento do visitante, ou aceder à que lá está, só é permitido com o seu «consentimento prévio», dado com base em informações claras e completas.
O RGPD diz como tratar dados. A Lei n.º 41/2004 diz quando pode tocar no equipamento de quem visita o site. Um cookie de estatística pode cair nas duas.
A política de privacidade
O artigo 13.º do RGPD enumera o que tem de dizer a quem lhe entrega dados, no momento em que os recolhe. Para um site pequeno, a lista traduz-se assim:
- Quem é o responsável, com contactos. O nome da empresa, uma morada e um endereço de correio eletrónico a que alguém responda.
- Para que servem os dados, e com que fundamento jurídico. «Responder ao seu pedido de orçamento» é uma finalidade. «Melhorar a experiência» não é.
- Quem mais os recebe. O alojamento do site, o serviço de correio eletrónico, a ferramenta de estatística, se a houver.
- Se saem do Espaço Económico Europeu, e com que garantia.
- Durante quanto tempo os guarda, ou o critério para o decidir.
- Que direitos tem a pessoa: acesso, retificação, apagamento, limitação, oposição e portabilidade, quando aplicáveis, e o direito de retirar o consentimento quando foi esse o fundamento.
- Que pode apresentar reclamação à CNPD.
Se tiver encarregado da proteção de dados, os contactos dele também entram. A maior parte das pequenas empresas não tem de o designar: o artigo 37.º só o exige a organismos públicos e a quem, como atividade principal, faça monitorização em grande escala ou trate em grande escala categorias especiais de dados.
O erro mais comum não é faltar um destes pontos. É copiar uma política de outro site, com outras ferramentas, outros prazos e às vezes outra empresa no cabeçalho. Uma política que descreve tratamentos que o seu site não faz é tão inexata como uma que esquece os que faz.
O formulário de contacto
O artigo 5.º, n.º 1, alínea c), do RGPD fixa o princípio da minimização: os dados devem ser adequados, pertinentes e limitados ao necessário para a finalidade. Aplicado a um formulário, a pergunta é campo a campo: preciso disto para responder?
Nome, um contacto e a mensagem chegam quase sempre. A data de nascimento, o NIF ou a morada completa num formulário de pedido de informação são difíceis de justificar, e cada campo a mais é também um motivo a mais para o visitante desistir.
Sobre o fundamento jurídico, há uma confusão frequente. Muitos formulários têm uma caixa de «aceito a política de privacidade» e tratam-na como consentimento. Para responder a quem lhe pediu um orçamento, o fundamento mais adequado é em geral outro: o artigo 6.º, n.º 1, alínea b), cobre as diligências pré-contratuais a pedido do titular. O consentimento só é necessário para o que vai além do pedido, como juntar o contacto a uma lista de newsletter. Aí, a caixa tem de vir desmarcada e separada do resto, e retirar o consentimento tem de ser tão fácil como dá-lo (artigo 7.º, n.º 3).
Uma coisa que o formulário não resolve: para onde vão as mensagens. Se chegam a uma caixa de correio partilhada por cinco pessoas e ficam lá para sempre, o prazo de conservação que a política anuncia é ficção.
Cookies e consentimento
O n.º 2 do artigo 5.º da Lei n.º 41/2004 isenta de consentimento o armazenamento técnico estritamente necessário para prestar o serviço que o visitante pediu, e o que serve apenas para transmitir uma comunicação. Um cookie de sessão de um carrinho de compras cabe aqui. Um cookie de estatística ou de publicidade não cabe.
O Tribunal de Justiça da União Europeia decidiu em 2019, no processo C-673/17, conhecido como Planet49, que uma caixa pré-assinalada não é consentimento. As Diretrizes 05/2020 do Comité Europeu para a Proteção de Dados acrescentam que continuar a navegar ou fazer deslocar a página também não é. Na prática, um aviso de cookies só cumpre se:
- nada que exija consentimento é carregado antes de o visitante escolher;
- recusar é tão fácil como aceitar, no mesmo ecrã;
- a escolha pode ser alterada mais tarde.
Repare também no que o site carrega de terceiros sem que pareça. Um mapa incorporado, um vídeo, um tipo de letra servido por outra empresa ou um botão de rede social podem pôr cookies ou enviar o endereço IP do visitante a um terceiro. Muitas vezes há uma versão que não o faz, ou uma imagem com ligação que resolve o mesmo problema.
E o Google Analytics?
O Google Analytics usa cookies que não são estritamente necessários, por isso precisa de consentimento prévio nos termos do artigo 5.º. Isso não se discute muito; o que se discutiu foi a transferência de dados para os Estados Unidos.
Hoje, essa transferência assenta na Decisão de Execução (UE) 2023/1795, de 10 de julho de 2023, que reconhece o Quadro de Privacidade de Dados UE-EUA. A decisão foi contestada: o Tribunal Geral negou provimento ao pedido de anulação em setembro de 2025, e o recurso para o Tribunal de Justiça estava pendente, como processo C-703/25 P, à data da última verificação que fizemos. As duas decisões que a antecederam foram anuladas pelo mesmo tribunal, e a política de privacidade deve dizer em que garantia assenta a transferência.
A pergunta útil para uma pequena empresa é outra: que números usa de facto? Se a resposta é «quantas pessoas visitam a página de contactos», há ferramentas de estatística que não guardam nada no equipamento do visitante. Sem cookies nem leitura do equipamento, o artigo 5.º deixa de se aplicar, embora o RGPD continue a aplicar-se a qualquer dado pessoal que a ferramenta trate, e a política de privacidade tenha de a mencionar.
O que um site pequeno precisa, e o que não precisa
Precisa:
- de uma política de privacidade escrita para o seu site, e não copiada;
- de um formulário sem campos que não usa;
- de saber que ferramentas o site carrega, e de não carregar as que exigem consentimento antes de o ter;
- de alguém que saiba responder a um pedido de acesso ou de apagamento.
Na maior parte dos casos, não precisa:
- de um encarregado da proteção de dados;
- de uma avaliação de impacto, que o artigo 35.º reserva aos tratamentos suscetíveis de implicar um elevado risco;
- de um aviso de cookies com vinte categorias para um site que não usa nenhuma;
- de uma política de vinte páginas que ninguém consegue ler. O artigo 12.º pede linguagem «clara e simples», e uma página é muitas vezes suficiente.
O site com menos para declarar é também o que menos tem para explicar. Cada ferramenta que retira é uma linha a menos na política e um consentimento a menos para pedir.
Se as fotografias do trabalho mostram clientes ou as casas deles, veja também como fotografar o seu trabalho para o site, com o telemóvel, que inclui a autorização dos clientes.
Uma nota
Isto descreve como as regras estão escritas e não é aconselhamento jurídico. Se trata dados de saúde ou outras categorias especiais, ou se o site faz mais do que apresentar o negócio, a resposta pode ser diferente, e a conversa é com um advogado ou com a CNPD antes de ser connosco.
Se quiser que olhemos para o que o seu site carrega e para o que a sua política diz, e lhe digamos onde não batem certo, peça uma auditoria gratuita. Sobre as outras obrigações que um site tem, leia o livro de reclamações eletrónico e a lei da acessibilidade digital. Se explora alojamento local, veja também o que tem de estar no site de um alojamento local. Sem custo e sem compromisso.
Fontes oficiais
Os textos oficiais por trás dos pontos acima:
Se quiser que alguém olhe para o seu próprio site, a análise gratuita diz-lhe as três coisas que mudaríamos primeiro.
