Entre 16,7% e 22,1% dos sites de hotéis, turismo rural, restaurantes, cafés e bares que verificámos carregam Google Analytics, Meta Pixel ou ferramentas semelhantes sem qualquer ferramenta de consentimento detetada. A lei portuguesa exige consentimento prévio para esse tipo de cookies. A CNPD já o escreveu preto no branco em 2021.
O que diz a lei
A regra está no artigo 5.º da Lei 41/2004, na redação da Lei 46/2012. Guardar informação no dispositivo do visitante, ou ler a que lá está, exige consentimento prévio e informação clara sobre o que se faz com ela.
Há exceções, mas são estreitas: o que é tecnicamente necessário para o site funcionar ou estritamente necessário ao serviço que o visitante pediu. Manter uma reserva aberta enquanto se escolhem as datas é o tipo de uso que a exceção cobre. Medir audiências ou seguir o visitante para publicidade não cabe.
Em 2021, a CNPD publicou uma nota informativa sobre cookies com três ideias que interessam a qualquer pequeno negócio:
- o dono do site responde por todos os cookies do site, incluindo os de terceiros;
- os cookies de analítica precisam de consentimento;
- a CNPD detetou «graves deficiências» nos sites que analisou.
O primeiro ponto é o que mais apanha os negócios de surpresa. Exemplo ilustrativo: o pixel foi posto pela agência de publicidade, o mapa veio com o tema, o Analytics foi instalado por um sobrinho há cinco anos. Para a lei, o responsável é sempre o dono do site.
O que encontrámos
Na verificação FINEWEB, outubro de 2026, analisámos a página inicial de cada site. Contámos como «sem consentimento» os sites que carregam Google Analytics, Meta Pixel ou semelhantes e onde não encontrámos nem uma ferramenta de consentimento conhecida nem um aviso de cookies próprio.
| Setor | Sites analisados | Medição ou publicidade sem consentimento detetado | Menção a privacidade ou RGPD |
|---|---|---|---|
| Hotéis | 1 329 | 18,4% | 80,6% |
| Turismo rural | 1 288 | 22,0% | 55,4% |
| Restaurantes | 1 378 | 16,7% | 48,9% |
| Cafés | 170 | 21,8% | 55,3% |
| Bares | 77 | 22,1% | 51,9% |
Fonte: verificação FINEWEB, outubro de 2026. Cafés e bares são amostras pequenas.
Nos cafés e nos bares a percentagem é a mais alta (21,8% e 22,1%), mas são amostras pequenas, com 170 e 77 sites. O turismo rural, com 1 288 sites, chega aos 22,0%, e esse valor já é sólido.
Perto de um em cada cinco sites falha da forma mais visível: mede ou segue o visitante sem lhe perguntar nada. A percentagem é parecida em todos os setores, o que sugere que o problema vem da forma como os sites são montados e não do tipo de negócio.
A segunda coluna mostra outra falha. Nos restaurantes, menos de metade das páginas iniciais menciona privacidade ou RGPD em qualquer lado, nem que seja uma ligação no rodapé. Nos hotéis, oito em cada dez fazem-no. Detalhes nos estudos dos sites dos hotéis e do turismo rural.
As ferramentas que procurámos
Na verificação contámos como ferramentas de medição ou publicidade estas famílias de ferramentas:
- Google Analytics e Google Tag Manager. Medem visitas e de onde vêm. Às vezes foram instaladas no lançamento do site e nunca mais consultadas.
- Meta Pixel. Liga as visitas ao site aos anúncios no Facebook e no Instagram. Serve para medir e direcionar campanhas.
- Mapas de calor e gravação de sessões, como o Hotjar ou o Microsoft Clarity, e o pixel do TikTok.
Ficaram fora desta contagem outros elementos que podem colocar cookies de terceiros: mapas e vídeos incorporados, widgets de avaliações e botões de redes sociais. Se colocarem, o dono do site responde também por eles, como lembra a CNPD.
O que conta como consentimento prévio
A palavra que importa é «prévio». O consentimento tem de existir antes de a ferramenta guardar ou ler informação no dispositivo. Daqui saem três consequências práticas:
- Um aviso que só informa não chega. Se o Analytics arranca ao abrir a página e o aviso aparece por cima, a recolha já aconteceu.
- As ferramentas ficam bloqueadas até haver resposta. Só depois de o visitante aceitar é que os scripts de medição e publicidade podem carregar.
- A informação tem de ser clara. O visitante deve perceber que ferramentas existem e para quê, numa linguagem que se entenda sem curso de Direito.
Para um site pequeno, isto resolve-se com uma ferramenta de consentimento bem configurada ou, muitas vezes, com menos ferramentas. Se ninguém abre os relatórios do Analytics há um ano, o mais simples é retirá-lo.
Quer saber que ferramentas o seu site carrega antes de o visitante aceitar? Peça a análise gratuita.
Falar no WhatsAppO que fazer
- Faça o inventário. Liste tudo o que o site carrega: Analytics, pixéis, mapas, vídeos, chat, widgets de avaliações. Pergunte a quem fez o site, se não souber.
- Retire o que não usa. Cada ferramenta a menos é um cookie a menos para explicar, e o site fica mais leve.
- Instale uma ferramenta de consentimento que bloqueie. Medição e publicidade só devem carregar depois de o visitante aceitar.
- Publique a política de privacidade. Uma página simples, com ligação no rodapé de todas as páginas, a explicar que dados recolhe e porquê.
- Teste numa janela anónima. Abra o site sem aceitar nada e confirme, com uma ferramenta de análise ou com a ajuda de quem mantém o site, que nada de medição arrancou.
Estas e outras verificações estão reunidas na checklist do site em 2026.