Na União Europeia, o cookie que carrega antes do clique é o que leva a multa

Um banner de consentimento não é consentimento se os cookies já estavam lá quando ele apareceu.

O que os reguladores multaram

A autoridade francesa de proteção de dados, a CNIL, já multou sites por cookies gravados assim que o visitante chegou, antes de qualquer clique no banner:

• SHEIN, 150 milhões de euros, por cookies colocados sem consentimento (CNIL, 1º de setembro de 2025).
• Condé Nast, editora do vanityfair.fr, 750 mil euros, pelo mesmo motivo (CNIL, 20 de novembro de 2025).

Não são casos isolados. Em outubro de 2026 a CNIL multou a FNAC Darty em 7 milhões de euros por um rastreador no aplicativo, colocado sem consentimento (CNIL, 22 de outubro de 2026). E a CNIL sancionou 21 organizações por cookies e outros rastreadores só em 2025 (Solutions Numériques, 9 de fevereiro de 2026).

A regra, num parágrafo

A lei da União Europeia pede o consentimento do visitante antes de um site guardar ou ler no aparelho dele informações que não são essenciais: rastreadores de analytics, de publicidade e de redes sociais, entre outros. Os cookies de que o site precisa estritamente para funcionar são outro caso. Os reguladores europeus também já disseram que rolar a página não é consentimento (EDPB, Diretrizes 05/2020 sobre consentimento). Então a pergunta de um regulador é simples: o que a página fez antes de o visitante escolher qualquer coisa?

O que o relatório registra antes da escolha

O SiteMerit abre a sua página num navegador de verdade, rola até o fim e não clica em nada. Tudo o que ele registra aconteceu antes de qualquer escolha. O relatório completo mostra:

• Rastreio antes do consentimento: pedidos a domínios de publicidade, analytics e redes sociais, cookies e chaves de armazenamento de rastreio (localStorage, sessionStorage, IndexedDB), gravadores de sessão, e Google Fonts buscadas nos servidores do Google antes da escolha.
• Cada cookie gravado no carregamento, agrupado pela empresa dona do domínio, com os atributos e a validade efetiva.
• Com quem a página conversa: cada domínio de terceiro que recebeu um pedido durante o primeiro carregamento, com a contagem.
• O link da política de privacidade: se a página aponta para a política do próprio site, e se ele abre.
• A declaração de acessibilidade: se a página leva a uma, e se esse link abre uma declaração de verdade. A lei europeia de acessibilidade (European Accessibility Act) a pede a muitas empresas; as microempresas que prestam serviços ficam dispensadas (CCPC, Irlanda).

Cada item vem com a evidência que observamos, para que o seu desenvolvedor ache o script que o gravou e o seu encarregado de dados (DPO) ou advogado veja exatamente o que aconteceu.

O que ele não faz

Detectamos sinais de rastreio antes da escolha. Não dizemos se isso infringe a lei no seu site, porque isso depende da finalidade, da base legal e de onde você atua. Não avaliamos o seu banner de consentimento, não testamos o que acontece depois do clique e não emitimos parecer de conformidade. Cada relatório cobre uma página, o endereço que você nos dá.

O mesmo problema em qualquer site: seu site grava cookies antes de alguém aceitar

Ela roda 8 verificações na sua página, 2 por área. O rastreio antes do consentimento não está entre elas: ele precisa do navegador de verdade do relatório completo. O relatório completo roda todas as 45 verificações, com evidência e guia de correção, por US$ 29,70, uma vez só, e o cartão só é cobrado quando o relatório é entregue.