Conformidade e cookies

Como funciona esta verificação

O Scanaris faz dois testes sobre o HTML da tua página, ambos deliberadamente generosos para não dar falsos positivos. Primeiro: procura qualquer ligação cujo destino ou texto contenha palavras como privacidade, cookies, aviso legal, legal notice, Datenschutz, RGPD, GDPR, termos, terms ou condições, em várias línguas. Se não encontrar nenhuma, abre um achado de severidade média: o sinal de que não há página legal é forte. Segundo: se a resposta do teu servidor estabelecer cookies (cabeçalho Set-Cookie) e no HTML não aparecer nenhuma plataforma de consentimento conhecida (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron e mais uma vintena) nem os textos típicos de um banner ("usamos cookies", "accept cookies", "política de cookies"), abre um achado de severidade baixa. Baixa porque muitos banners são carregados por JavaScript e não estão no HTML inicial; o próprio achado avisa disso.

Porque importa

Na União Europeia, e em cada vez mais países, tratar dados pessoais obriga a informar quem os trata, para quê e durante quanto tempo: isso é a política de privacidade, e um formulário de contacto, um registo ou uma ferramenta de analítica já são tratamento de dados. A lei das cookies acrescenta que as não essenciais (analítica, publicidade, redes sociais) só podem ser instaladas com consentimento prévio, informado e revogável. As multas existem e as autoridades de proteção de dados aplicam-nas também a empresas pequenas, normalmente após uma queixa de um utilizador. Mas o motivo mais prático é a confiança: um site sem aviso legal nem política de privacidade parece abandonado ou pouco sério, e os clientes empresariais verificam-no antes de pagar.

Como corrigir

Política de privacidade e aviso legal

• O que incluir: quem és (nome, identificação fiscal, morada, e-mail), que dados recolhes e com que finalidade, com que base legal, a quem os cedes (o teu alojamento, o teu fornecedor de e-mail, a tua analítica), quanto tempo os guardas, como exercer os direitos de acesso e eliminação, e se há transferências para fora da UE.
• Como: um gerador de políticas dá-te uma base; adapta-a ao que fazes de facto. Uma página /privacy e outra /legal ou /terms, ligadas a partir do rodapé de todas as páginas.

Consentimento de cookies

• Primeiro, inventário: que cookies colocas e quais são essenciais (sessão, carrinho, a própria preferência de consentimento) e quais não (Google Analytics, pixels de anúncios, vídeos incorporados).
• Se só usas essenciais, não precisas de banner; sim de uma política de cookies que o diga.
• Se usas não essenciais, um gestor de consentimento que as bloqueie até o utilizador aceitar, com "rejeitar" tão visível como "aceitar". Cookiebot, iubenda, Termly ou CookieYes para começar; Complianz ou Borlabs no WordPress. Se usas Google Analytics ou Ads, configura o modo de consentimento para que respeite a escolha.
• Carrega o banner no HTML inicial ou com um script no <head>, não diferido: assim aparece antes das cookies e esta verificação também o deteta.

Confirma que está corrigido

curl -s https://teudominio.com | grep -oiE '<a[^>]*href="[^"]*(privac|legal|cookie|terms|termos)[^"]*"[^>]*>'
curl -sI https://teudominio.com | grep -i set-cookie
curl -s https://teudominio.com | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|usamos cookies|accept cookies" | head -3

O primeiro deve mostrar pelo menos uma ligação legal. Se o segundo mostrar cookies, o terceiro deve mostrar o teu gestor de consentimento.

Perguntas frequentes

O meu site é um projeto pessoal sem fins lucrativos. Também?

Se recolhes dados de outras pessoas (um formulário, um registo, analítica), sim. Se é uma página estática sem formulários nem analítica, não tratas dados pessoais e basta um aviso de quem és. Mas a maioria dos sites "sem nada" tem Google Analytics.

Tenho o banner mas aparece o achado.

Provavelmente é carregado pelo JavaScript depois de o HTML chegar, e esta verificação não executa JavaScript. O achado é de severidade baixa precisamente por isso. Se o teu banner funciona e bloqueia as cookies até aceitar, podes dá-lo por aceite; melhor ainda, carrega o script do gestor no <head>.

E as cookies de sessão precisam de consentimento?

Não: as estritamente necessárias para o serviço funcionar estão isentas. Mas precisam de estar bem configuradas, que é o que vê cookies inseguros. O resto da lista legal e técnica antes do lançamento está em a checklist antes de lançar.