Opt-in vs. Opt-out: Compreender os Dois Modelos de Consentimento

O mundo tem duas abordagens fundamentalmente diferentes ao consentimento de cookies. A União Europeia exige o opt-in: não há cookies até que o utilizador diga que sim. Os Estados Unidos (na maioria dos estados) permitem o opt-out: os cookies são colocados por predefinição e o utilizador pode dizer não. Compreender estes dois modelos — a sua base jurídica, as suas implicações e onde cada um se aplica — é essencial para qualquer site com um público global.

O Modelo Opt-in

No modelo opt-in, os cookies não essenciais não podem ser colocados até que o utilizador tenha dado um consentimento explícito e afirmativo. A ausência de ação por parte do utilizador significa que não há cookies. Este é o modelo exigido pela Diretiva ePrivacy da UE (artigo 5.º, n.º 3), tal como interpretado através da definição de consentimento do GDPR (artigo 4.º, n.º 11).

Como Funciona o Opt-in na Prática

1. O utilizador visita o site pela primeira vez.
2. Apenas os cookies estritamente necessários estão ativos. Os cookies de análise, marketing e preferências estão bloqueados.
3. Surge um mecanismo de consentimento, apresentando as categorias de cookies e pedindo ao utilizador que faça uma escolha.
4. O utilizador seleciona ativamente as categorias que pretende aceitar (ou clica em "Aceitar Tudo" ou "Rejeitar Tudo").
5. Apenas os scripts correspondentes às categorias aceites são carregados.
6. Se o utilizador não tomar qualquer ação, não são definidos cookies não essenciais. O mecanismo de consentimento permanece visível (ou acessível) até que o utilizador faça uma escolha.

Base Jurídica

A exigência de opt-in resulta de duas fontes:

• Diretiva ePrivacy, artigo 5.º, n.º 3: Exige "consentimento" antes de armazenar informação no dispositivo de um utilizador.
• GDPR, artigo 4.º, n.º 11: Define o consentimento como exigindo um "ato afirmativo claro" — o que exclui a inação, as caixas pré-assinaladas e o acordo implícito.
• Acórdão Planet49 do TJUE (C-673/17): Confirmou que é necessário um consentimento ativo e que as caixas pré-selecionadas não constituem um consentimento válido.

Onde se Aplica o Opt-in

Todos os Estados-Membros da UE/EEE (27 países da UE, além da Noruega, Islândia e Liechtenstein), bem como o Reino Unido (que manteve as regras ePrivacy após o Brexit através das Privacy and Electronic Communications Regulations, ou PECR).

Implicações para os Operadores de Sites

• É de esperar taxas de rejeição de consentimento significativas. Os dados do setor sugerem que 30 a 50% dos visitantes europeus rejeitam os cookies não essenciais quando lhes é dada uma escolha genuína.
• Os dados de análise serão incompletos. Terá apenas dados dos utilizadores que consentiram. Isto não é um defeito — é o resultado pretendido pela regulamentação.
• O carregamento de scripts deve ser condicional. Necessita de um mecanismo técnico que bloqueie os scripts até que o consentimento seja registado. Isto não pode ser feito apenas com um banner — exige uma gestão efetiva dos scripts.

O Modelo Opt-out

No modelo opt-out, os cookies podem ser colocados por predefinição. O utilizador tem o direito de recusar ou de fazer opt-out, mas, salvo se tomar alguma ação, o rastreio é permitido. Este é o modelo utilizado nos Estados Unidos e em várias outras jurisdições.

Como Funciona o Opt-out na Prática

1. O utilizador visita o site.
2. Todos os cookies — incluindo os de análise e de marketing — são colocados imediatamente.
3. Um aviso informa o utilizador de que estão a ser utilizados cookies e disponibiliza uma forma de fazer opt-out.
4. Se o utilizador não tomar qualquer ação, os cookies mantêm-se ativos.
5. Se o utilizador fizer opt-out, as suas preferências são respeitadas daí em diante (e, em algumas jurisdições, os dados recolhidos anteriormente poderão ter de ser eliminados).

Base Jurídica

O modelo opt-out encontra-se em:

• CCPA/CPRA (Califórnia): Os consumidores da Califórnia têm o direito de fazer opt-out da "venda" ou "partilha" de informação pessoal. Os cookies utilizados para publicidade comportamental entre contextos constituem "partilha" ao abrigo da CPRA. A obrigação é disponibilizar um mecanismo de opt-out (frequentemente através de uma ligação "Do Not Sell or Share My Personal Information"), e não obter consentimento prévio.
• CAN-SPAM Act e orientações da FTC: A abordagem federal dos EUA ao rastreio online tem sido historicamente de aviso e escolha, em vez de consentimento afirmativo.
• Várias leis estaduais dos EUA: A Virgínia (VCDPA), o Colorado (CPA), o Connecticut (CTDPA) e outros seguem variações do modelo opt-out para a publicidade direcionada e a venda de dados.

Onde se Aplica o Opt-out

Os Estados Unidos (com variações por estado), o Canadá (PIPEDA — embora isto possa mudar com as reformas propostas), a Austrália (ao abrigo do Privacy Act — também em revisão) e várias outras jurisdições fora da UE/EEE.

Implicações para os Operadores de Sites

• Maior recolha de dados por predefinição. Uma vez que os cookies são colocados salvo objeção do utilizador, os dados de análise e de publicidade são mais completos.
• É obrigatório disponibilizar um mecanismo de opt-out claro. Ao abrigo da CCPA/CPRA, isto significa uma ligação "Do Not Sell or Share My Personal Information" que seja fácil de encontrar e de utilizar.
• É obrigatório respeitar o Global Privacy Control (GPC). A lei da Califórnia exige que as empresas tratem o sinal do navegador GPC como um pedido de opt-out válido.

Comparação Detalhada

Pode Utilizar Modelos Diferentes para Regiões Diferentes?

Sim, e muitos sites globais fazem-no. Esta abordagem chama-se gestão de consentimento com segmentação geográfica. O site deteta a localização do visitante (normalmente através de geolocalização por IP) e apresenta o modelo de consentimento adequado:

• Visitantes da UE/EEE/Reino Unido: Modelo opt-in com consentimento granular.
• Visitantes da Califórnia: Modelo opt-out com ligação "Do Not Sell or Share".
• Outros visitantes dos EUA: Apenas aviso (consoante a aplicabilidade da lei estadual).
• Outras jurisdições: Com base na lei local aplicável.

Desafios da Segmentação Geográfica

• A geolocalização por IP não é perfeita. Os utilizadores de VPN podem ser localizados incorretamente. Os utilizadores móveis podem deslocar-se entre jurisdições.
• Encargos de manutenção. Necessita de acompanhar a evolução regulamentar em todas as jurisdições que serve e atualizar os seus fluxos de consentimento em conformidade.
• Complexidade dos testes. Tem de verificar se cada variante regional funciona corretamente — banners diferentes, estados predefinidos diferentes, comportamento diferente de bloqueio de scripts.
• O GDPR aplica-se de forma extraterritorial. Se visar utilizadores da UE (artigo 3.º, n.º 2), o GDPR aplica-se independentemente do local onde a sua empresa está sediada. "Visar" inclui oferecer bens ou serviços a residentes da UE ou monitorizar o seu comportamento.

Boa Prática: Optar por Opt-in por Predefinição

Se gerir vários modelos de consentimento parece esmagador, existe um caminho mais simples: adotar o modelo opt-in por predefinição a nível global.

Eis por que razão isto funciona:

1. Conformidade em toda a parte. O modelo opt-in cumpre os requisitos mais rigorosos. Se cumprir os requisitos de consentimento do GDPR, ultrapassa automaticamente os requisitos da CCPA, da LGPD e da maioria dos outros enquadramentos.
2. Simplicidade. Um único mecanismo de consentimento, uma única implementação, um único conjunto de testes. Sem deteção geográfica, sem variantes regionais, sem casos particulares.
3. Preparação para o futuro. A tendência global aponta para requisitos de consentimento mais rigorosos. As reformas propostas nos EUA, no Canadá, na Austrália e na Índia caminham todas no sentido de um consentimento mais explícito. Construir agora para o opt-in significa que não terá de fazer adaptações mais tarde.
4. Confiança do utilizador. Os utilizadores de todo o mundo respondem positivamente a práticas de consentimento transparentes e respeitosas. Oferecer uma escolha genuína — mesmo quando a lei não o exige estritamente — cria confiança e credibilidade da marca.
5. Qualidade dos dados. Os dados consentidos são mais limpos, mais defensáveis e mais valiosos do que os dados recolhidos através de ambiguidade legal.

A contrapartida é real: irá recolher menos dados a nível global. Mas os dados que recolher serão juridicamente sólidos, eticamente limpos e cada vez mais valiosos à medida que os dados de terceiros se tornam menos acessíveis.

Desenvolvimentos Emergentes

O panorama do consentimento não é estático. Vários desenvolvimentos merecem ser acompanhados:

• Regulamento ePrivacy. A UE tem estado a trabalhar num substituto da Diretiva ePrivacy desde 2017. Quando for aprovado, tornar-se-á um regulamento diretamente aplicável (como o GDPR), em vez de uma diretiva que exige transposição nacional. Espera-se que as regras de consentimento para os cookies se mantenham semelhantes ou mais rigorosas do que o enquadramento atual.
• Global Privacy Control (GPC). Este sinal ao nível do navegador comunica automaticamente as preferências de privacidade de um utilizador. A lei da Califórnia já exige o respeito pelo GPC. O Colorado e o Connecticut também. Poderá tornar-se um mecanismo padrão para comunicar preferências de opt-out.
• Modelos "Consent or Pay". O parecer de 2024 do CEPD sobre "consent or pay" (em particular no contexto da abordagem da Meta) está a moldar a forma como os reguladores encaram a relação entre o consentimento e o acesso aos serviços.
• Consentimento ao nível do navegador. Algumas propostas transfeririam a gestão do consentimento dos sites individuais para o próprio navegador, permitindo aos utilizadores definir as suas preferências uma única vez em vez de em cada site. Isto alteraria fundamentalmente o funcionamento do consentimento na prática.

A Passiro ajuda-o a implementar o modelo de consentimento certo para o seu público, com deteção e categorização automáticas de todos os cookies no seu site — quer opte pelo opt-in, opt-out ou por uma abordagem com segmentação geográfica.

Na nossa secção final, vamos analisar as boas práticas de consentimento — as orientações práticas e acionáveis para implementar um consentimento que seja simultaneamente conforme e fácil de usar.