Como auditar os cookies do seu site, porque é que isso importa para a conformidade com o RGPD e o que fazer com os resultados.
O proprietário de um site instala o Google Analytics, adiciona um widget de chat ao vivo, incorpora um vídeo do YouTube e liga um Facebook Pixel. Cada uma destas ferramentas funciona como esperado. Os dados de tráfego aparecem nos painéis. O widget de chat cumprimenta os visitantes. Os vídeos são reproduzidos. Os anúncios de retargeting seguem os utilizadores pela internet.
O que o proprietário muitas vezes não percebe é que só estas quatro ferramentas podem colocar entre 20 e 40 cookies no navegador de um visitante, a maioria sem o seu conhecimento ou configuração explícita. E, ao abrigo do RGPD e da Diretiva ePrivacy da UE, o proprietário do site é legalmente responsável por cada um deles.
Este artigo explica de onde vêm os cookies, porque é que a maioria dos proprietários de sites subestima a quantidade de cookies que o seu site define e como fazer uma auditoria como deve ser.
De onde vêm todos estes cookies?
Os cookies de um site têm duas origens.
Os cookies próprios são definidos pelo próprio site (o domínio em que o visitante se encontra). Incluem normalmente cookies de sessão (que mantêm o utilizador com sessão iniciada), preferências de idioma, conteúdo do carrinho de compras e dados funcionais semelhantes. A maioria dos cookies próprios não levanta problemas e está muitas vezes abrangida pela exceção de “estritamente necessários” do RGPD, ou seja, não exige consentimento.
Os cookies de terceiros são definidos por serviços externos incorporados no site. Cada tag de script, iframe ou pixel que carrega conteúdo de outro domínio pode introduzir os seus próprios cookies. O proprietário do site pode ter adicionado o script de propósito (para ativar a análise ou a publicidade), mas os cookies concretos que o script cria são controlados pelo terceiro, não pelo proprietário do site.
É aqui que começa o problema. Um único script do Google Analytics cria vários cookies (_ga, _ga_*, _gid, _gat). Um Facebook Pixel acrescenta o seu próprio conjunto (_fbp, fr). Uma incorporação do YouTube introduz cookies de youtube.com e doubleclick.net. Um script de mapas de calor do Hotjar acrescenta mais alguns. Um pedido ao Google Fonts pode definir cookies. Um widget reCAPTCHA cria cookies. Um Google Map incorporado cria cookies.
A maioria dos proprietários de sites tem uma ideia aproximada das ferramentas que usa. Muito poucos conhecem a lista exata de cookies que essas ferramentas criam.
Porque é que isto é um problema legal
A Diretiva ePrivacy da UE (muitas vezes chamada “Lei dos Cookies”) exige que os operadores de sites obtenham o consentimento informado dos visitantes antes de colocarem cookies não essenciais nos seus navegadores. O RGPD reforça esta exigência ao impor um fundamento jurídico (normalmente o consentimento) para o tratamento de dados pessoais, que os cookies muitas vezes contêm ou tornam possível.
O “consentimento informado” tem requisitos específicos. O operador do site tem de indicar que cookies são definidos, o que faz cada um, quem o define (próprio ou de terceiros), quanto tempo persiste e se há transferência de dados para países terceiros (em especial os Estados Unidos). Um banner genérico que diz “Este site utiliza cookies. Clique em OK para continuar” não cumpre estes requisitos.
A consequência prática: se o banner de cookies não enumerar com rigor todos os cookies que o site realmente define, o consentimento recolhido através desse banner não é válido. O site está a tratar dados sem fundamento jurídico. Não é um risco teórico: a autoridade francesa de proteção de dados (CNIL) já aplicou coimas precisamente por banners de cookies imprecisos, e houve ações semelhantes na Alemanha, na Bélgica e na Áustria.
Porque é que a verificação manual não é fiável
Alguns proprietários de sites tentam verificar os cookies manualmente, abrindo as ferramentas de programador do navegador, indo ao separador Application e revendo os cookies aí listados. Esta abordagem tem vários problemas.
O primeiro problema é que as funcionalidades de privacidade dos navegadores interferem nos resultados. O Safari bloqueia a maioria dos cookies de terceiros por predefinição. O Firefox tem a Proteção Melhorada contra Monitorização, que bloqueia rastreadores conhecidos. O comportamento do Chrome está a mudar com a iniciativa Privacy Sandbox. Os cookies visíveis num navegador podem não coincidir com os visíveis noutro.
O segundo problema é o momento. Alguns cookies só são definidos depois de o utilizador interagir com a página, por exemplo ao fazer scroll, clicar num botão ou reproduzir um vídeo. Uma verificação rápida dos cookies no carregamento da página não os deteta.
O terceiro problema é a escala. Um site com 50 páginas pode definir cookies diferentes em páginas diferentes, consoante os widgets, incorporações e scripts presentes. Verificar apenas a página inicial dá um inventário incompleto.
O quarto problema são as atualizações de terceiros. Os scripts externos são carregados a partir de CDNs controladas pelos respetivos fornecedores. Quando a Google, o Facebook ou o Hotjar atualizam os seus scripts, o comportamento dos cookies pode mudar sem qualquer ação ou conhecimento por parte do proprietário do site. Uma verificação manual feita no mês passado pode já não refletir o estado atual.
Como funciona um scanner de cookies
Um scanner de cookies automático elimina estes problemas ao simular uma visita real ao site.
O scanner carrega a página num navegador headless: um motor de navegador completo (normalmente Chromium) a correr num servidor, sem janela visível. Este navegador executa todo o JavaScript, carrega todos os scripts externos, apresenta todos os iframes e espera que todos os recursos terminem de carregar. O resultado é idêntico ao que um visitante real veria.
Depois de a página estar totalmente carregada, o scanner recolhe todos os cookies através das APIs internas do navegador. Isto inclui cookies próprios, cookies de terceiros, cookies de sessão, cookies persistentes e quaisquer dados guardados em localStorage ou sessionStorage.
Cada cookie é depois classificado por comparação com uma base de dados de cookies conhecidos. Cookies muito comuns como _ga (Google Analytics), _fbp (Facebook Pixel) ou __cf_bm (gestão de bots da Cloudflare) são reconhecidos e categorizados automaticamente. Os cookies desconhecidos são assinalados para revisão manual.
O resultado é um relatório estruturado que lista cada cookie com o nome, o domínio, a categoria (necessário, análise, marketing, funcional), o tipo (próprio ou de terceiros), a duração e os atributos de segurança (HTTPOnly, Secure, SameSite).
O que fazer com os resultados
Um relatório de análise de cookies é um documento de conformidade. Serve vários propósitos imediatos.
Em primeiro lugar, mostra se o banner de cookies atual está correto. Se o banner enumera 12 cookies e a análise encontra 38, o mecanismo de consentimento está incompleto. É preciso atualizar o banner ou remover os cookies em excesso.
Em segundo lugar, identifica cookies desnecessários. Muitos sites mantêm cookies de ferramentas que foram instaladas e depois esquecidas: um script de testes A/B que já não é usado, um widget de partilha em redes sociais em que ninguém clica ou uma ferramenta de análise que foi substituída mas nunca totalmente removida. Cada cookie desnecessário é uma obrigação de conformidade desnecessária.
Em terceiro lugar, revela transferências de dados para terceiros. Cada cookie de terceiros implica o envio de dados para um servidor externo. Se esse servidor estiver nos Estados Unidos, a transferência desencadeia obrigações adicionais ao abrigo do RGPD, incluindo a exigência de Cláusulas Contratuais-Tipo ou de uma decisão de adequação. Saber que cookies de terceiros estão presentes é o primeiro passo para avaliar se cada transferência tem um fundamento jurídico válido.
Em quarto lugar, serve de base para uma política de cookies. O RGPD exige uma descrição clara e específica de todos os cookies utilizados. Um relatório de análise contém exatamente a informação necessária para redigir essa política com rigor.
O problema dos cookies de análise
Na maioria dos sites, os cookies de análise são a maior categoria de cookies não essenciais. Só o Google Analytics cria vários cookies por visitante, cada um com uma duração de até dois anos. Juntar o Hotjar, o Mixpanel, o Heap ou ferramentas semelhantes multiplica ainda mais este número.
Estes cookies existem porque as ferramentas de análise tradicionais precisam deles para identificar visitantes recorrentes, acompanhar sessões e atribuir conversões. Sem cookies, estas ferramentas não funcionam.
Isto cria uma cadeia de encargos de conformidade. Os cookies de análise exigem consentimento. O consentimento exige um banner de cookies. Os banners de cookies levam 30 a 40 por cento dos visitantes a recusar a monitorização. A ferramenta de análise passa a ver apenas 60 a 70 por cento do tráfego real. Os dados ficam incompletos e a equipa de marketing compensa acrescentando mais ferramentas de monitorização, que acrescentam mais cookies, que aumentam ainda mais o peso do consentimento.
As plataformas de análise sem cookies quebram este ciclo. Ao identificarem os visitantes por métodos que não recorrem a cookies (como fingerprinting que respeita a privacidade ou agregação sem sessões), estas plataformas recolhem dados de análise sem criar cookies. Sem cookies de análise, há menos cookies no total, um banner de consentimento mais simples, taxas de consentimento mais altas e dados mais completos.
O EuroMetrics é uma dessas plataformas. Recolhe visualizações de página, fontes de tráfego, dados de dispositivos e atribuição de campanhas sem colocar qualquer cookie no navegador do visitante. Para os proprietários de sites cuja análise revela muitos cookies de análise, mudar para uma plataforma sem cookies é muitas vezes a alteração isolada com maior impacto que podem fazer, tanto em conformidade como em qualidade dos dados.
Com que frequência analisar
Uma análise pontual estabelece uma base de referência, mas os sites mudam constantemente. Cada atualização de um plugin, cada nova incorporação, cada alteração num script de terceiros pode mudar os cookies que o site define.
Um calendário razoável para a maioria das empresas: logo após qualquer alteração significativa no site (novas funcionalidades, novas ferramentas, redesigns), trimestralmente como verificação de rotina e antes de qualquer auditoria regulatória ou Avaliação de Impacto sobre a Proteção de Dados.
Para as agências que gerem vários sites de clientes, oferecer auditorias regulares de cookies como parte de um contrato de conformidade é uma extensão natural dos serviços de desenvolvimento web e marketing.
Analise o seu site agora
O Cookie Scanner do EuroMetrics é gratuito, não exige registo e funciona em servidores na UE. Introduza qualquer URL e obtenha um inventário completo de cookies em segundos. A própria página do scanner não define cookies.
Experimente em eurometrics.eu/cookie-scanner.
Ferramentas relacionadas
Cookie Scanner: audite os cookies, os scripts de monitorização e o armazenamento local de qualquer site. Gratuito, sem registo.
https://eurometrics.eu/cookie-scanner
Teste de velocidade do site: teste o desempenho de carregamento a partir de servidores europeus. Identifique os scripts que tornam o seu site mais lento.
https://eurometrics.eu/speed-test
Gerador de URLs de campanha: crie URLs com parâmetros UTM para acompanhar campanhas. Gerador de UTM gratuito.
https://eurometrics.eu/campaign-url-builder
Cut2.eu: encurtador de URLs gratuito alojado na UE. Encurte ligações de campanhas sem monitorização de terceiros.
https://cut2.eu
O EuroMetrics é uma plataforma de análise web que dá prioridade à privacidade, pensada para empresas europeias. Sem cookies, em conformidade com o RGPD e alojada inteiramente na UE. Comece gratuitamente em eurometrics.eu.