Na Bélgica, precisa do consentimento do visitante para todos os cookies que não sejam estritamente necessários, o que inclui a maior parte das ferramentas de análise. Se pedir consentimento, recusar tem de ser tão fácil como aceitar. É assim que a autoridade belga de proteção de dados (APD, em neerlandês GBA) o descreve. Isto não é aconselhamento jurídico: para o seu caso, peça aconselhamento a um jurista.
Preciso de um banner de cookies no meu site na Bélgica?
Só se o site colocar ou ler no dispositivo do visitante algo que não seja estritamente necessário. A regra belga é o artigo 10/2 da lei de 30 de julho de 2018. A APD aplica-a a mais do que cookies: pixels, device fingerprinting (identificação do dispositivo) e armazenamento local também contam. Um site sem nada disto não precisa de banner.
Que cookies posso usar sem pedir?
Dois tipos, segundo a APD:
- Cookies técnicos estritamente necessários, como os cookies de sessão para balanceamento de carga.
- Cookies funcionais estritamente necessários para um serviço que o visitante pediu, como a escolha da língua, as próprias preferências de cookies ou o conteúdo de um carrinho de compras.
Para tudo o resto é preciso consentimento prévio.
A análise de visitas precisa de consentimento?
Em princípio, sim. A APD diz que um cookie de análise geralmente não cumpre as duas condições da isenção, porque serve as estatísticas do dono do site e não um serviço que o visitante pediu. A sua checklist acrescenta que contar visitantes, em princípio, não está isento, e observa que alguns reguladores de outros Estados-Membros admitem, sob condições estritas, uma isenção limitada. A APD belga não aplica nenhuma na sua checklist.
O próprio site da APD usa uma ferramenta de análise chamada Plausible e diz que os dados só são usados se der consentimento. Não encontrei nenhuma posição da APD a dizer que uma ferramenta sem cookies dispensa consentimento, por isso perguntar primeiro é o caminho prudente.
Nos sites que construo, o script de análise só carrega depois de o visitante carregar em aceitar. Antes dessa escolha, nada opcional carrega.
Como é um banner de cookies válido?
A APD publica uma checklist de cookies. Chama-lhe um instrumento, não uma lista de novas obrigações. Os pontos principais:
| Requisito | Na prática |
|---|---|
| Nada não essencial antes do consentimento | Nenhum cookie opcional colocado ou lido antes de um sim válido |
| Recusar no mesmo nível que aceitar | Um botão “gerir definições” ao lado de “aceitar tudo” não chega |
| Sem design enganador | Por exemplo, sem cores que empurrem para aceitar |
| Consentimento por finalidade | O mais tardar num segundo nível |
| Informação clara no primeiro nível | Quem coloca os cookies, como aceitar ou recusar, o que se segue e o direito de retirar o consentimento |
| Só consentimento ativo | Nada de consentimento por deslizar a página, fechar o banner ou caixas pré-selecionadas |
| Sem cookie wall | O acesso não pode depender de aceitar |
| Retirada fácil | Uma ligação ou botão bem visível, um clique, e tem de ter mesmo efeito |
Nos meus sites, os visitantes podem retirar o consentimento no rodapé e na página de cookies.
Durante quanto tempo posso guardar a escolha, e o que devo conservar?
A APD diz que os cookies que guardam as escolhas de um visitante devem ser conservados por um período limitado, e que considera razoáveis 6 meses, em princípio. Nos meus sites, a escolha caduca por isso ao fim de seis meses, e o banner volta a perguntar. A APD pede também que conserve provas de como o seu banner foi mudando ao longo do tempo, que guarde as versões anteriores da sua política de cookies e que dê à política uma data e um número de versão.
O que deve constar da minha política de privacidade?
Quando recolhe dados diretamente das pessoas, o guia da APD para pequenas empresas enumera o que lhes deve dizer. Para um site pequeno, isso significa:
- quem é e como o podem contactar
- porque usa os dados e com que fundamento jurídico
- quem os recebe, como um programador web
- se saem do Espaço Económico Europeu e com que garantias
- durante quanto tempo os conserva, ou segundo que critérios
- os direitos do visitante, incluindo retirar o consentimento e apresentar queixa a uma autoridade de controlo
As dicas da APD: coloque uma ligação para a política na página principal e em todas as outras páginas, disponibilize-a em todas as línguas do site, date-a e guarde as versões anteriores.
Que contratos preciso com o meu alojamento e o meu fornecedor de e-mail?
O guia da APD diz que uma empresa que nomeia um subcontratante tem de celebrar com ele um contrato de subcontratação. O seu exemplo é uma empresa que guarda dados de clientes num fornecedor de alojamento: o fornecedor atua como subcontratante. O guia sobre domínio, alojamento e e-mail explica quem gere o quê.
E se houver uma violação de dados?
O Comité Europeu para a Proteção de Dados (CEPD) diz que deve notificar a autoridade de proteção de dados no prazo de 72 horas depois de ter conhecimento da violação, a menos que seja improvável que esta implique um risco para as pessoas. Pode notificar por fases, mas tem de justificar qualquer atraso. Informe as pessoas afetadas sem demora injustificada quando o risco for elevado. Registe todas as violações, incluindo as que não notificar.
O que tem de constar por lei no meu site?
O SPF Economia enumera o que um site de empresa ou uma página nas redes sociais tem de mostrar: o seu nome, a sua morada, contactos com um endereço de e-mail, o seu número de empresa e o seu número de IVA se a sua atividade estiver sujeita a IVA. Um número de telefone também é obrigatório se puder celebrar contratos à distância com consumidores. A regra aplica-se também a trabalhadores independentes.
Nas suas inspeções de 2024 a 2 158 sites e páginas web, o SPF Economia verificou que em 47,7% faltavam os dados de identificação e em 45,7% faltava o número de empresa.
Alguém na Bélgica já foi multado por causa de cookies?
Sim. Na decisão 85/2022, de 25 de maio de 2022, a Câmara do Contencioso da APD aplicou ao Roularta Media Group, editor do Knack e do Le Vif, uma coima de 50 000 euros. As conclusões diziam respeito a cookies de estatística colocados sem consentimento, caixas pré-selecionadas para parceiros e uma retirada do consentimento que não funcionava. Ordenou também à empresa que se pusesse em conformidade no prazo de três meses.
Onde entra a Ovrick?
Construo os sites de modo a que nada opcional carregue antes de uma escolha, o que mantém o banner curto ou dispensa-o. Nos meus sites, o mapa do Google é um marcador de posição com a morada e um botão “Mostrar o mapa”, e nada chega ao Google antes do clique. É assim que funciona cada site que construo, sem custo adicional: a página de preços mostra o que está incluído. Para uma pergunta sobre a sua própria situação, peça aconselhamento a um jurista.
Onde posso ler mais?
- APD: checklist de cookies (em neerlandês)
- APD: cookies e outras ferramentas de rastreamento (em neerlandês)
- APD: a sua própria política de cookies (em neerlandês)
- APD: brochura de perguntas frequentes para pequenas empresas (em neerlandês)
- APD: decisão 85/2022 sobre o Knack e o Le Vif (em neerlandês)
- CEPD: quando deve notificar uma violação de dados? (em inglês)
- SPF Economia: o que deve constar do site da sua empresa (em neerlandês)
- SPF Economia: resultados das inspeções de 2024 (em neerlandês)