Quanto tempo dura o consentimento de cookies?

Nenhuma lei da UE ou do Reino Unido fixa uma duração para o consentimento de cookies. Os reguladores preenchem a lacuna com orientações: a CNIL francesa considera boa prática guardar a escolha de um visitante durante seis meses, o ICO do Reino Unido e o Garante italiano dizem para não voltar a perguntar durante seis meses depois de uma recusa, e a AEPD espanhola diz que o consentimento não deve durar mais de 24 meses. Seja qual for o período que escolher, tem de voltar a perguntar assim que acrescentar uma finalidade ou um terceiro que o consentimento original não abrangia.

O que diz a lei

O RGPD não tem prazo de validade para o consentimento. As diretrizes do CEPD relativas ao consentimento dizem-no diretamente: «Não existe no RGPD um prazo específico para a duração do consentimento. A duração do consentimento dependerá do contexto, do âmbito do consentimento original e das expectativas do titular dos dados.» O CEPD recomenda depois, como boa prática, «que o consentimento seja renovado com uma periodicidade adequada».

Há dois pontos fixos em todos os países. Um visitante pode retirar o consentimento a qualquer momento e, nos termos do artigo 7.º, n.º 3, do RGPD, «o consentimento deve ser tão fácil de retirar quanto de dar». E, nos termos do artigo 7.º, n.º 1, tem de conseguir demonstrar que o consentimento foi dado, o que na prática significa registar quando. A nossa página sobre o RGPD trata do resto daquilo que um consentimento válido exige.

O que recomendam os reguladores

Regulador	Orientação	Aplica-se a
CNIL (França)	Guardar a escolha de um visitante, tanto o consentimento como a recusa, durante seis meses é boa prática, avaliada caso a caso	Consentimento e recusa
ICO (Reino Unido)	Depois de uma recusa, esperar «um período de tempo razoável»; seis meses é «um prazo adequado para pedir um novo consentimento»	Recusa
Garante (Itália)	Não voltar a mostrar o banner a menos que as condições mudem significativamente, o site não consiga saber se uma escolha foi guardada, ou tenham passado pelo menos seis meses	Recusa ou aceitação parcial
AEPD (Espanha)	É boa prática que o consentimento não dure mais de 24 meses, conservando-se a escolha entretanto	Consentimento

Fontes: a recomendação da CNIL, as orientações do ICO sobre a gestão do consentimento, as diretrizes de 2021 sobre cookies do Garante e o guia sobre cookies da AEPD.

Lidos em conjunto, seis meses são a referência europeia: o tempo mínimo para respeitar um «não» no Reino Unido e em Itália e, em França, o período que a CNIL considera boa prática para guardar sequer uma escolha. Os 24 meses de Espanha são um limite máximo para um «sim», não um objetivo. O ICO também alerta contra o hábito oposto: «Não deve pedir nem incitar as pessoas, repetidamente e por sistema, a indicarem as suas preferências.»

A CNIL e o ICO apresentam ambos os seus números como orientações gerais, com o período certo a depender do site e do seu público. Os pormenores por país estão nas nossas páginas sobre França e o Reino Unido.

Nos EUA

A Califórnia segue um modelo de opt-out, por isso o relógio funciona ao contrário. Quando um consumidor recusa (opt-out) a venda ou a partilha das suas informações pessoais, uma empresa tem de o respeitar e «esperar pelo menos 12 meses antes de pedir ao consumidor que autorize a venda ou a partilha», nos termos da secção 1798.135(c)(4) do Código Civil da Califórnia. Mais na nossa página sobre a CCPA.

Quando tem de voltar a perguntar mais cedo

Acrescenta uma finalidade ou um parceiro. O CEPD: «Se as operações de tratamento mudarem ou evoluírem consideravelmente, o consentimento original deixa de ser válido.» O ICO é concreto: «se introduzir novas tags ou cookies para uma finalidade diferente daquela que indicou originalmente quando o consentimento foi dado, tem de obter um novo consentimento para a nova finalidade.» O seu próprio exemplo é um site que acrescenta um plugin de redes sociais e tem de voltar a perguntar. A AEPD e o Garante dizem o mesmo sobre novos terceiros.

A escolha guardada desapareceu. Se um visitante apagar os cookies, o site deixa de ter registo da escolha, e o Garante aceita que se volte a perguntar nesse caso. Os navegadores também a podem remover: a prevenção de rastreio do Safari apaga os cookies criados em JavaScript ao fim de sete dias sem interação com o site, e um banner que guarde a escolha num cookie desses perde-a juntamente com eles.

O visitante pede. A retirada do consentimento é sempre possível, por isso mantenha em todas as páginas um link ou um ícone que volte a abrir a escolha.

Informação

Pode vir aí uma mudança. A proposta Omnibus Digital da Comissão Europeia, de novembro de 2025, acrescentaria uma regra ao RGPD: depois de uma recusa, nenhum novo pedido para a mesma finalidade «durante um período de, pelo menos, seis meses», e, depois de um consentimento, nenhum novo pedido enquanto ainda for possível invocar esse consentimento. É uma proposta, e o comboio legislativo do Parlamento Europeu ainda a mostrava em processo legislativo em agosto de 2026.

A duração do consentimento não é a duração do cookie

Correm dois relógios lado a lado, e é fácil confundi-los.

Relógio	O que o define	Orientação
Durante quanto tempo a escolha é memorizada	A validade do cookie de consentimento, ou o seu registo do lado do servidor	Os períodos dos reguladores indicados acima
Quanto tempo vive cada cookie depois de autorizado	A validade desse próprio cookie	Deve corresponder à sua finalidade

O Grupo de Trabalho do Artigo 29.º afirmou, no seu parecer de 2012, que um cookie isento deve ter «uma duração diretamente relacionada com a finalidade para que é usado». Para a medição de audiência que isenta de consentimento, a CNIL recomenda uma duração do rastreador como, por exemplo, 13 meses, sem prorrogação automática a cada visita, e conservar os dados durante 25 meses, no máximo.

Os relógios também interagem. Um cookie de analítica que dure dois anos não prolonga um consentimento que caducou ou foi retirado. A CNIL observa que, para que uma retirada produza efeito, um site pode precisar de medidas específicas para garantir que os rastreadores colocados antes deixam de ser lidos ou escritos.

Definir o seu próprio período

Escolha um período e registe porquê. Seis meses correspondem à boa prática da CNIL; um período mais longo é mais fácil de defender com uma razão ligada ao seu site e ao seu público.
Trate um «não» como pelo menos tão duradouro como um «sim». Voltar a perguntar a quem recusou antes de passarem seis meses contraria as orientações do ICO e do Garante.
Volte a perguntar quando as suas finalidades ou os seus parceiros mudarem, diga o período o que disser.
Registe o momento de cada escolha, para poder mostrar quando o consentimento foi dado.
Mantenha a escolha acessível, para que um visitante nunca tenha de esperar que ela expire para mudar de ideias.

A maior parte disto é trabalho da ferramenta de consentimento; aquilo de que uma plataforma de gestão de consentimento se deve ocupar é tratado à parte.

O que faz o Katla

O Katla guarda a escolha de um visitante durante 12 meses, num cookie no seu próprio domínio. Para uma recusa, isso significa voltar a perguntar com menos frequência do que qualquer das regras de seis meses acima exige. Para uma aceitação, fica dentro do limite de 24 meses da AEPD, mas é o dobro dos seis meses que a CNIL descreve como boa prática, e hoje não existe uma definição para o encurtar. Como acontece com qualquer cookie escrito por um script, o Safari pode apagá-lo mais cedo.

Cada decisão é registada com as respetivas categorias, a data e hora e um endereço IP truncado, e o Katla guarda a decisão mais recente de cada visitante. Um ícone de configurações flutuante, ou o seu próprio link «Configurações de cookies» que chama katla.open(), volta a abrir a escolha em qualquer página.

Este artigo resume orientações dos reguladores e não constitui aconselhamento jurídico. Os períodos recomendados variam de país para país, por isso consulte o texto do próprio regulador para os mercados que serve.