A 22 de outubro de 2026, o dono de uma loja Shopify perguntou no r/shopify como é que outros lidam com scripts que continuam a carregar depois de o visitante clicar em Rejeitar. O banner dizia uma coisa e o navegador fazia outra. É o problema de cookies mais frequente em qualquer plataforma: o banner guarda a escolha, mas nada na página está ligado para lhe obedecer. WooCommerce, Shopify, uma loja headless em Next.js ou Astro e um WordPress comum falham da mesma forma, porque as fugas vêm de vídeos incorporados, tipos de letra, código do tema e configuração de etiquetas, e não do plugin do banner.
Este guia mostra como verificar, só com o navegador, o que o seu site envia depois de Rejeitar, que pedidos costumam escapar, o que o modo de consentimento avançado da Google transmite de propósito e como bloquear cada um. Cada ponto remete para a norma, a decisão ou a documentação do fornecedor. É um guia prático de testes, não aconselhamento jurídico.
Porque é que o rastreamento carrega mesmo depois de rejeitar os cookies
A publicação que abriu a discussão resume bem a divisão:
Os píxeis das aplicações são fáceis. A Shopify trata deles. O resto? Vídeos do YouTube, Google Fonts, widgets de chat, scripts de SEO e de análise: nada. Em janeiro de 2022, um tribunal de Munique atribuiu 100 euros a um visitante porque um site passou o endereço IP dele à Google através do Google Fonts, sem consentimento.
(u/Plus_Cell394, r/shopify, 22 de outubro de 2026, tradução própria)
Um banner só controla o que está registado nele. Código fixo no tema, colado num campo do rodapé, trazido por um bloco de incorporação ou carregado por um plugin que ignora a interface do banner corre ao carregar a página, seja qual for a resposta. O banner mostra “Rejeitado” e tem razão quanto ao próprio estado. A página é que nunca lhe perguntou nada.
O que diz o direito europeu: Planet49 e as Diretrizes 2/2023 do CEPD
A regra está no artigo 5.º, n.º 3, da Diretiva ePrivacy: guardar informação no equipamento do utilizador ou aceder a informação lá guardada exige, em regra, consentimento. Em Portugal a autoridade de controlo para a proteção de dados é a CNPD.
O Tribunal de Justiça decidiu no acórdão Planet49 (C-673/17) que uma caixa pré-assinalada não é consentimento válido e que a regra se aplica quer a informação seja ou não um dado pessoal. As Diretrizes 2/2023 do CEPD sobre o âmbito técnico do artigo 5.º, n.º 3 (versão 2.0, adotada a 7 de outubro de 2024), incluem o JavaScript com que uma entidade instrui o navegador a enviar pedidos assíncronos com informação, e têm secções próprias sobre píxeis de rastreamento e sobre rastreamento apenas por endereço IP.
“Não usamos cookies” não encerra, portanto, a questão. As diretrizes lembram que a aplicação da regra não significa sempre que seja preciso consentimento, porque há exceções. Se alguma se aplica é uma questão jurídica. Se o pedido acontece, isso pode verificar sozinho.
Como testar o banner de cookies nas ferramentas de programador
Chrome, Brave, Firefox e Edge funcionam da mesma maneira.
- Abra um perfil novo ou uma janela privada sem extensões. Os bloqueadores de anúncios escondem precisamente os pedidos que procura.
- Abra as ferramentas de programador antes de carregar a página. No separador Network, ative “Preserve log” e “Disable cache”.
- Carregue a página inicial sem tocar no banner. Anote todos os domínios externos. Antes da escolha, nada opcional deve carregar.
- Clique em Rejeitar e percorra uma página de produto, uma página com vídeo, o contacto e o carrinho. As fugas estão muitas vezes em modelos que a página inicial não usa.
- Filtre a lista por partes de domínio:
google,gstatic,doubleclick,facebook,tiktok,youtube,hotjar,clarity, o nome do fornecedor de chat. - No separador Application (Storage no Firefox) reveja Cookies, Local storage e Session storage de cada origem. Tudo o que vá além do registo da recusa e dos cookies funcionais de sessão precisa de justificação.
- Repita com Aceitar para confirmar que as ferramentas funcionam quando são permitidas.
Registe o resultado numa tabela: domínio, página, antes da escolha, depois de Rejeitar, depois de Aceitar. É a sua lista de correções.
Que pedidos escapam com mais frequência
| Origem | Como aparece no Network | Causa habitual |
|---|---|---|
| YouTube ou Vimeo incorporado | youtube.com, ytimg.com, googlevideo.com ao carregar a página | iframe simples no conteúdo ou num bloco do tema |
| Google Fonts | fonts.googleapis.com e fonts.gstatic.com | Tema ou plugin vai buscar as fontes à Google em vez de ficheiros locais |
| Widget de chat | Script do fornecedor e websocket em todas as páginas | Código colado no rodapé ou nas definições do tema |
| Mapas | maps.googleapis.com, mosaicos do mapa | Localizador de lojas ou mapa na página de contacto |
| Píxeis fixos no tema | connect.facebook.net, analytics.tiktok.com, etiquetas do Google Ads | Código nos campos do cabeçalho, fora do sistema de consentimento |
| Etiquetas no gestor de etiquetas | Disparam na pré-visualização do GTM com consentimento recusado | Etiquetas sem definições de consentimento ou acionadores em todas as páginas |
A Google descreve o modo de privacidade melhorada do YouTube (youtube-nocookie.com) como impedindo que as visualizações incorporadas influenciem a personalização do espectador no YouTube. Não diz que o leitor não envia nada à Google, por isso trocar o domínio não basta.
Os tipos de letra têm decisão judicial. O tribunal regional de Munique (LG München I, 3 O 17493/20, 20 de janeiro de 2022) considerou que passar o endereço IP dinâmico de um visitante à Google através do Google Fonts sem consentimento violou os direitos dele, ordenou que a prática cessasse e atribuiu 100 euros de indemnização. O tribunal sublinhou que o Google Fonts pode ser usado sem o navegador se ligar a um servidor da Google.
Modo de consentimento v2 da Google: o que o básico e o avançado ainda enviam
Se vê pedidos ao Google Analytics depois de Rejeitar, confirme primeiro que modo tem ativo. A descrição do modo de consentimento distingue dois:
- Básico: as etiquetas da Google ficam bloqueadas até o visitante interagir com o banner. Segundo a Google, nada é enviado antes do consentimento, nem sequer o estado por defeito.
- Avançado: as etiquetas carregam logo, com recusa por defeito. Enquanto não há consentimento, enviam o estado e medições sem cookies. Com
analytics_storagerecusado, o Google Analytics não lê nem grava os seus cookies, mas as medições continuam a seguir para domínios do Analytics “para medição básica e modelação”.
O modo avançado gera, portanto, pedidos à Google depois de Rejeitar de forma intencional. Se isso é aceitável no seu site é precisamente a questão do artigo 5.º, n.º 3, a decidir com o seu consultor, e não pela etiqueta. Um participante no r/woocommerce disse o mesmo do ponto de vista de quem testa:
No caso da Google, um pedido de rede por si só não significa que a configuração esteja errada: o Consent Mode avançado pode enviar pings sem cookies enquanto o consentimento está recusado.
(u/anamap_alex, r/woocommerce, 7 de outubro de 2026, tradução própria)
O guia de implementação da Google aponta dois erros que causam fugas reais em ambos os modos: o comando com o estado por defeito tem de correr antes de config e event, e um banner carregado de forma assíncrona precisa de wait_for_update.
Shopify, WooCommerce e headless: onde o código contorna o banner
A documentação da Shopify sobre píxeis web diz que as extensões de píxel de aplicações respeitam a Customer Privacy API e, nas regiões que exigem consentimento, só correm depois de este ser dado. O código do tema não tem essa proteção. Para ele existe a Customer Privacy API, com analyticsProcessingAllowed(), marketingAllowed() e o evento visitorConsentCollected. O estado por defeito depende das definições de privacidade da loja: nas regiões sem exigência de consentimento tudo é permitido, e um mercado mal configurado parece um banner avariado.
Em WooCommerce, WordPress e headless não há área isolada ao nível da plataforma. Verifique os campos de código do cabeçalho e do rodapé, os plugins que imprimem as suas próprias etiquetas (avaliações, chat, integrações Meta e Google) e o conteúdo incorporado nos artigos. Se depois de Aceitar vir dois pedidos a fbevents.js, o píxel está carregado duas vezes, pelo GTM e por um plugin. O nosso guia do Google Analytics 4 explica como ligar as etiquetas da Google ao consentimento, e o artigo sobre scripts de terceiros mostra como ver o que cada script carrega.
Como fechar cada fuga
- Vídeos e mapas: substitua o iframe por um marcador que só cria o iframe depois de um clique ou do consentimento. Sirva a miniatura a partir do seu servidor, senão ela própria é um pedido a terceiros.
- Tipos de letra: descarregue os ficheiros, sirva-os a partir do seu domínio com
@font-facee remova todas as ligações a fonts.googleapis.com. - Chat: mostre um botão local “Fale connosco” e carregue o script do fornecedor depois do clique ou do consentimento.
- Píxeis fixos: passe-os para o gestor de etiquetas ou para o sistema de píxeis da plataforma, para que a verificação de consentimento se aplique.
- Gestor de etiquetas: defina requisitos de consentimento em cada etiqueta e teste na pré-visualização com consentimento recusado.
Depois, repita o teste. Se, após Rejeitar, a lista mostrar apenas o seu domínio e o que decidiu conscientemente permitir, o banner diz a verdade.
A nossa auditoria de conformidade UE para WooCommerce inclui este teste em cada modelo, e a verificação gratuita do site mostra os pedidos a terceiros de um endereço público.
