💻 computer science

A history of GDPR cookie banner compliance: the roles of publishers, regulators and CMPs

Este artigo analisa a evolução histórica da conformidade dos banners de cookies do RGPD em 11.364 websites, revelando um aumento significativo nas opções de "rejeitar tudo" impulsionado principalmente pelas ações dos editores e pela pressão regulatória, ao mesmo tempo que destaca a necessidade de orientações unificadas da UE e de supervisão das Plataformas de Gestão de Consentimento para aumentar ainda mais a privacidade do utilizador.

Autores originais: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Publicado 2026-07-01

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Yana Dimova, Vincent Toubiana, Tom Van Goethem, Lieven Desmet, Wouter Joosen

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine a internet como um mercado gigante e movimentado. Em 2018, um novo conjunto de regras chamado GDPR foi introduzido para proteger os compradores (usuários) de serem rastreados sem permissão. A principal ferramenta usada para aplicar essas regras é o Banner de Cookies — aquele quadro pop-up que você vê em quase todos os sites perguntando: "Você quer que nos rastreiem?".

Este artigo é como um documentário de seis anos (2018–2024) que observa como esses pop-ups mudaram, quem está realmente realizando as mudanças e se as regras estão sendo seguidas. Os pesquisadores analisaram mais de 11.000 websites em 30 países europeus para contar essa história.

Aqui está a divisão da história usando analogias simples:

1. Os Três Personagens Principais

O artigo identifica três grupos que influenciam como esses pop-ups parecem e se comportam:

Os Editores (Proprietários de Websites): Pense neles como os Lojistas. Eles são os donos dos websites e são legalmente responsáveis por pedir permissão.
Os Reguladores (DPAs): Pense neles como os Policiais. Eles escrevem as regras, dão conselhos e aplicam multas (multas de trânsito) aos lojistas que quebram a lei.
Os CMPs (Plataformas de Gestão de Consentimento): Pense neles como Máquinas de Venda Automática de Pop-ups. Muitos lojistas não constroem seus próprios pop-ups; eles compram uma "máquina" pré-fabricada de uma empresa (como a OneTrust ou Cookiebot) que exibe o banner automaticamente. Os pesquisadores queriam ver se essas empresas de máquinas de venda estavam ajudando os lojistas a seguir as regras.

2. A Grande História: As Coisas Estão Melhorando, Mas Lentamente

No começo (2018), a situação era bagunçada. Apenas cerca de 3% dos websites tinham um botão "Rejeitar Tudo". A maioria tinha apenas um botão grande de "Aceitar", enganando as pessoas para que dissessem sim.

Em 2024, a situação melhorou significamente. Agora, cerca de 30% dos websites têm um botão "Rejeitar" claro. Esse é um salto enorme, mas significa que 7 em cada 10 sites ainda não estão totalmente em conformidade.

O "Efeito Cascata" dos Policiais:
O artigo encontrou uma ligação forte entre os "Policiais" (Reguladores) e os lojistas fazendo a coisa certa.

Exemplo: Na França, o regulador (CNIL) multou o Google e a Meta por terem pop-ups que dificultavam o "Não".
O Resultado: Imediatamente após as multas, os websites na França (e até em outros países) começaram a adicionar botões de "Rejeitar". É como quando um policial começa a multar pessoas por não usarem cinto de segurança; de repente, todos começam a colocar o cinto.
O Contraste: Em países onde os reguladores foram silenciosos ou não emitiram muitas multas (como Lituânia ou Polônia), os websites continuaram preguiçosos e não adicionaram botões de "Rejeitar".

3. A Surpresa: As "Máquinas de Venda" Não Ajudaram Muito

Os pesquisadores tinham uma teoria: eles pensavam que as empresas que vendem o software de pop-up (os CMPs) atualizariam suas máquinas para serem mais amigáveis à privacidade automaticamente quando as leis mudassem.

O Choque de Realidade:
O estudo descobriu que isso não aconteceu.

Algumas "Máquinas de Venda" (como a Cookiebot) atualizaram seus designs para incluir botões de "Rejeitar" para cerca de 55% de seus clientes.
Outras "Máquinas de Venda" (como a Cookies Consent) fizeram isso para apenas cerca de 13% de seus clientes.
A Conclusão: Os CMPs apenas ficaram parados. Eles não forçaram seus clientes a mudar. Em vez disso, foram os Lojistas (Editores) que realmente foram lá, abriram a máquina e mudaram manualmente as configurações para serem mais conformes. O artigo sugere que, se um website tem um bom botão de "Rejeitar", é porque o dono do site escolheu colocá-lo lá, não porque a empresa de software disse para fazê-lo.

4. O Estado Atual do Mercado

Consolidação: O mercado para essas máquinas de pop-up está diminuindo para alguns grandes players. Grandes empresas como OneTrust e Cookiebot são agora usadas pela maioria dos websites.
O Problema: Como essas grandes empresas definem as configurações "padrão", e elas nem sempre fazem as escolhas mais amigáveis à privacidade por padrão, muitos websites acabam com pop-ups ruins, a menos que o proprietário os corrija manualmente.

5. A Lição Final

O artigo conclui que, embora a internet esteja se tornando ligeiramente mais respeitosa com a privacidade do usuário, isso está acontecendo porque os Lojistas finalmente estão ouvindo os Policiais, e não porque as empresas de Máquinas de Venda estão sendo prestativas.

Os autores sugerem que, para tornar a internet verdadeiramente segura para todos, precisamos de:

Regras mais uniformes: Todos os "Policiais" em toda a Europa precisam concordar exatamente sobre quais são as regras, para que os lojistas não fiquem confusos.
Mais supervisão das Máquinas de Venda: As empresas que vendem o software de pop-up devem ser responsabilizadas de forma mais rigorosa. Se elas são as que definem as configurações padrão, elas devem ser responsáveis por garantir que essas configurações sejam legais e justas.

Em resumo: as regras estão funcionando, mas apenas quando os policiais estão observando de perto, e as ferramentas usadas para seguir as regras precisam de um upgrade sério.

Resumo Técnico: Uma História da Conformidade de Banners de Cookies do GDPR

Declaração do Problema
Desde a implementação do Regulamento Geral sobre a Proteção de Dados (GDPR) em maio de 2018, os banners de cookies tornaram-se a interface primária para os utilizadores expressarem o consentimento relativamente ao rastreio e publicidade online. No entanto, o panorama destes banners tem sido caracterizado por interfaces não conformes, designs manipulativos (dark patterns) e uma variação significativa entre regiões geográficas. Embora investigações anteriores tenham documentado a prevalência da não conformidade e a existência de dark patterns, houve um foco limitado nas motivações por trás das melhorias de conformidade ao longo do tempo. Especificamente, os papéis de três atores fundamentais — editores (proprietários de websites), reguladores (Autoridades de Proteção de Dados ou DPAs) e Plataformas de Gestão de Consentimento (CMPs) — na promoção ou no impedimento da conformidade permanecem subexplorados num contexto longitudinal. Este artigo procura analisar a evolução histórica dos banners de cookies para determinar quais os atores responsáveis pelas tendências de conformidade e como as ações regulatórias influenciam as escolhas de design.

Metodologia
Os autores realizaram uma análise longitudinal de 11.364 websites em 30 países do Espaço Económico Europeu (EEE) ao longo de um período de seis anos (setembro de 2018 a setembro de 2024).

Fontes de Dados: Para superar as limitações de crawling em tempo real e garantir a reprodutibilidade, o estudo utilizou uma abordagem de arquivo duplo combinando o HTTPArchive (que rastreia a composição web desde 2012) e a Wayback Machine. Isto permitiu a reprodução retrospectiva de capturas de ecrã históricas de páginas web.
Mecanismo de Reprodução: Os investigadores desenvolveram um método para reproduzir as capturas de arquivo através da interceção de tráfego via um proxy HTTP. Os recursos em falta (comuns em arquivos devido a limites de corte) foram recuperados dinamicamente através da API da Wayback Machine, enquanto imagens e fontes foram omitidas para focar na lógica de layout do banner. Isto garantiu uma reprodução offline e consistente de conteúdo dinâmico.
Seleção de Websites: A amostra foi derivada da lista do Chrome User Experience Report (CrUX), filtrada por domínios de nível superior de código de país (ccTLDs) para garantir que os sites visavam audiências europeias. 500 websites foram selecionados aleatoriamente por país (onde disponível), resultando num total de 11.364 domínios únicos.
Deteção e Análise: Foi utilizada uma ferramenta automatizada, estendida a partir de Bouhoula et al., para detetar banners. O framework empregou filtragem HTML, inspeção de z-index e um modelo de linguagem para identificar termos relacionados com cookies com 100% de precisão e 86,9% de recall. A ferramenta classificou as opções do banner (Aceitar, Rejeitar, Definições) e detetou a presença ou ausência de um botão "Rejeitar".
Proxy de Conformidade: O estudo focou-se na presença de um botão "Rejeitar" igualmente acessível como um proxy primário para a conformidade com o GDPR. Esta métrica objetiva evita julgamentos jurídicos subjetivos sobre "paredes de cookies" (cookie walls) ou interpretações nacionais específicas, focando-se no requisito fundamental de que recusar o consentimento deve ser tão fácil quanto aceitá-lo.
Correlação de Atividade das DPA: Os autores correlacionaram as taxas de conformidade com a atividade das DPA, extraindo dados sobre sanções, multas e orientações regulatórias do "GDPRhub" e do "Consent Banner Report".

Principais Contribuições

Análise Longitudinal: O artigo fornece uma avaliação histórica de seis anos da evolução dos banners de cookies, indo além de instantâneos estáticos para revelar tendências de design favoráveis à privacidade.
Impacto Regulatório Transfronteiriço: Oferece uma análise granular das diferenças de conformidade entre 30 países, quantificando a correlação entre a aplicação de normas/orientações das DPA e a conformidade.
Avaliação da Influência das CMPs: O estudo investiga 18 CMPs distintas (categorizadas como Abrangentes, Plugin e Open-source) para medir a sua contribuição específica para a conformidade, comparando banners fornecidos por CMPs com soluções internas (in-house).

Resultados

Tendência Geral de Conformidade: Existe uma evolução positiva, embora lenta, nas práticas de privacidade. A taxa de websites que apresentam tanto as opções "Aceitar" como "Rejeitar" aumentou de 2,94% em 2018 para 30,66% em 2024.
Mudanças Temporais: Foram identificados dois períodos significativos de melhoria:
- 2022: Um aumento de 7,5% na adoção do botão de rejeição, coincidindo com a ação de aplicação da CNIL contra a Google e a Meta relativamente à colocação de botões de rejeição.
- 2024: Um aumento de 8,82%, potencialmente ligado às diretrizes do EDPB e à continuidade da aplicação de normas.
Variações por País: As taxas de conformidade variam significamente. Dinamarca, França e Áustria apresentam consistentemente os níveis mais elevados de conformidade. Por outro lado, Lituânia, Polónia e Bulgária apresentam os níveis mais baixos.
Correlação Regulatória: Existe uma forte correlação positiva ( $r=0,62$ ) entre a publicação de orientações regulatórias e a conformidade. Existe uma correlação positiva moderada ( $r=0,42$ ) entre as ações de aplicação (multas/casos) e a conformidade. Países com DPAs ativas (ex: França, Espanha) mostram maior conformidade do que aqueles com atividade limitada.
Desempenho das CMPs:
- A adoção de CMPs subiu de 11,60% (2018) para 40,29% (2024), com uma consolidação de mercado em torno de grandes players como OneTrust, Cookiebot e Google Funding Choices.
- Divergência: As taxas de conformidade variam drasticamente entre as CMPs. Em 2024, a Cookiebot apresentou uma taxa de conformidade de 55,16% (botão de rejeição presente), enquanto a Cookies Consent apresentou apenas 13,39%.
- Motor de Mudança: O estudo descobriu que as CMPs mostraram pouca resposta à pressão regulatória. As melhorias de conformidade foram impulsionadas principalmente pelos proprietários de websites (editores), que escolheram ativamente configurar ou mudar para definições mais conformes. Clientes novos e existentes de CMPs mostraram tendências de conformidade semelhantes, sugerindo que as mudanças se originaram dos editores, e não das configurações padrão das CMPs.

Significado e Alegações
O artigo alega que as melhorias observadas na conformidade com o GDPR não são o resultado de um padrão industrial unificado ou de um comportamento proativo das CMPs, mas sim de um processo reativo impulsionado pela aplicação regulatória e pela iniciativa dos editores.

Papel dos Reguladores: Os autores enfatizam que a atividade das DPA é um motor crítico. Os "efeitos de propagação" de casos de alto perfil (como o caso CNIL vs. Google/Meta) demonstram que a ação regulatória pode forçar mudanças rápidas de design em todo o ecossistema.
Papel das CMPs: O estudo desafia a suposição de que as CMPs são a solução primária para a conformidade. Destaca que as CMPs contribuíram pouco para a melhoria das taxas de conformidade e que frequentemente fornecem interfaces padrão divergentes e, por vezes, não conformes. Os autores argumentam que as CMPs carecem atualmente de incentivos suficientes para priorizar padrões favoráveis à privacidade em detrimento da retenção de clientes ou da "otimização do consentimento".
Responsabilidade Partilhada: O artigo conclui que a conformidade é uma responsabilidade partilhada. Embora os editores sejam os agentes finais de mudança, a falta de supervisão regulatória sobre as CMPs permite a persistência de designs manipulativos. Os autores defendem:
- Maior colaboração uniforme e orientação entre os reguladores da UE para reduzir a divergência interpretativa.
- Supervisão regulatória das CMPs, potencialmente através do esclarecimento da "controlo conjunto" (joint controllership) ou da imposição de sinais de consentimento técnicos (ex: via fornecedores de browsers) para restringir as interfaces de banners não conformes.

O trabalho serve como base para académicos, reguladores e partes interessadas da indústria desenvolverem estratégias que possam motivar melhor os intervenientes chave e melhorar a privacidade do utilizador, observando que, embora o progresso seja positivo, permanecem desafios significativos relativos ao design manipulativo e à escolha do utilizador.