7 Dark Patterns em Cookie Banners incl. enquadramento legal

Dark Pattern 1: Caixas pré-selecionadas para os visitantes

Estado: Isto não é conforme com o RGPD.

Descrição: Os cookies essenciais são permitidos e podem estar selecionados. Pode ser tentador pré-selecionar também outras categorias. Isto provavelmente resultaria em mais visitantes a consentir os cookies funcionais, que são necessários para muitas funcionalidades de um website moderno. Com a combinação dos botões "Aceitar Todos" e "Guardar Definições", os visitantes poderiam facilmente dar o seu consentimento. No entanto, lembra-te: esta prática não é permitida na UE.

Dark Pattern 2: Cookies mal classificados

Estado: Isto não é conforme com o RGPD.

Descrição:

Se o primeiro truque com as caixas pré-selecionadas não funcionar, que tal tentar declarar funcionalidades não essenciais como essenciais? Claramente, isto não é permitido.

O grande problema com os cookies essenciais é que apenas muito, muito poucos são permitidos.

• Analytics? Não. Não é essencial. O teu Google Analytics tem de ficar de fora.
• Vídeos? Haha. Não, especialmente se usares serviços de vídeo populares dos EUA. (Nem a sua opção "sem cookies" ou "menos tracking")
• Algo que envolva publicidade? O Meta ou Google Pixel? Hmm, não. Obviamente não.
• O teu CRM? Claramente... não é essencial.

... e, infelizmente, a lista continua.

Dark Pattern 3: Sem opção de recusar no primeiro ecrã

Estado: Isto não é conforme com o RGPD.

Descrição: É muito comum encontrar cookie banners onde a opção de recusar todos os cookies não está imediatamente disponível. Em vez disso, está escondida atrás de um botão de "definições" ou semelhante. Isto aumenta significativamente as taxas de rejeição, porque menos visitantes estão dispostos a navegar pelo processo complicado. É importante saber que a opção de recusar deve ser tão fácil de aceder como a de aceitar, o que significa que deve estar bem visível no primeiro ecrã.

Dark Pattern 4: Tornar o botão de recusar discreto e escondê-lo

Estado: Isto não é conforme com o RGPD.

Descrição: Se a opção de recusar tem de estar no primeiro ecrã, alguns podem tentar torná-la tão discreta que quase não se nota. Os visitantes normalmente não querem perder muito tempo a olhar para banners e frequentemente escolhem um dos botões mais proeminentes. Um design assim pode aumentar a taxa de aceitação de cookies. No entanto, isto não é permitido – como explicado no Dark Pattern 3, a opção de recusar deve ser tão acessível e visível como a de aceitar.

Dark Pattern 5: Tornar o botão de recusar menos proeminente

Estado: Aceitável em alguns países da UE.

Descrição: Estamos a entrar numa zona cinzenta onde alguma manipulação pode ser permitida? Bem, mais ou menos. Seguindo a lógica atual, o próximo passo envolve o design dos dois botões: Aceitar e Recusar. Isto é marginalmente aceitável em alguns países da UE. Consulta a nossa fonte no final do artigo para mais detalhes.

Dark Pattern 6: Mostrar repetidamente o cookie banner a visitantes que recusaram

Estado: Aceitável em alguns países da UE.

Descrição:

Simplesmente não guardar quando alguém recusou pode ser uma estratégia. Se os visitantes voltam regularmente, podem eventualmente ficar tão irritados que acabam por aceitar. Este processo de perguntar repetidamente é conhecido como "nudging" (empurrão).

Claro que armazenar a resposta num cookie banner faz parte das tecnologias essenciais, por isso é permitido e não há razão para não o fazer. No entanto, pode não ser muito agradável para os teus visitantes serem incomodados de cada vez que visitam o teu site, certo?

Dark Pattern 7: Cookie banner "sticky" com consentimento implícito ao usar o site

Estado: Já adivinhaste... não é aceitável.

Descrição:

Esta é uma tática que tem sido observada durante um longo período. Um banner que fica fixo na parte inferior de uma página web ("sticky") por vezes afirma que o uso continuado do website implica consentimento.

Há dois pontos-chave a considerar: O consentimento automático não é aceitável. Um banner sticky por si só não viola necessariamente o Regulamento Geral sobre a Proteção de Dados (RGPD). No entanto, é crucial que a ausência de interação com o banner não seja interpretada como rejeição. Tens de garantir que nada é carregado antes de os visitantes aceitarem. Nada de Google Analytics antes disso, nada de YouTube... Tipicamente, este tipo de banner resulta numa taxa de rejeição muito mais alta, já que a maioria dos visitantes simplesmente o ignora.

Exemplo: Como os cookie banners devem ser desenhados na prática

A mensagem central no design de cookie banners é simples: Qualquer pressão sobre os visitantes para consentirem não é aceitável.

Uma "Boa Prática" para cookie banners foi desenvolvida pela ConPolicy em colaboração com organizações como a CookieFirst, Access Now, Telefonica e o BMUV. Os detalhes desta iniciativa podem ser consultados aqui (em alemão).

O que precisas:

• Opções equivalentes: Deve existir uma opção simples para consentir todos os cookies, bem como para recusar todos.
• Consentimento personalizável: Deve ser disponibilizada uma opção para personalizar o consentimento. Pode estar no primeiro ecrã, mas não é obrigatório.
• Fechar = Recusar: Se for oferecida a opção de fechar o banner, deve ser equivalente a selecionar "recusar todos."

Mais detalhes e fontes

Referimos frequentemente o relatório do verão de 2024, "Relatório de Consent Banner da noyb: Como as autoridades realmente decidem" que pode ser consultado aqui. Este relatório ilustra como as autoridades tomam decisões. No entanto, é sempre recomendável discutir a opção escolhida com especialistas em proteção de dados para garantir a conformidade.

O melhor design de cookie banner: não ter cookie banner nenhum

Sim, por vezes é difícil de implementar, mas ninguém te obriga a ter um cookie banner. O segredo aqui é usar ferramentas sem cookies e que não requerem consentimento.

Existem alternativas para muitos serviços que não requerem consentimento ao abrigo do RGPD. São concebidas para não trabalhar com os dados pessoais dos teus visitantes.

Exemplo:

• Para vídeos. Hmm, nós! O Ignite é privacy-first e não requer consentimento, sendo uma excelente alternativa ao YouTube, Vimeo, Wistia, etc.
• Uma alternativa ao Google Analytics pode ser o Plausible ou o SimpleAnalytics.
• Uma alternativa ao ReCaptcha da Google é o Friendly Captcha. etc.

Assim que tiveres um serviço que requer consentimento, vais precisar do cookie banner novamente. Mas isso não te deve impedir de substituir fornecedores – afinal, as ferramentas passam a funcionar para todos os visitantes, não apenas para aqueles que consentem.

Especialmente com vídeos, este efeito é muito visível. Gastaste muito dinheiro a produzir os teus vídeos; escondê-los atrás de soluções de 2 cliques não faz sentido. Quanto mais pessoas virem realmente os teus vídeos, melhor.