Plataforma de gestão de consentimento (CMP): o que é

Uma plataforma de gestão de consentimento (CMP, do inglês consent management platform) é o software que pergunta aos seus visitantes se aceitam cookies e rastreio semelhante, retém tudo o que precisa de consentimento até eles responderem e guarda um registo do que escolheram. Muitas também produzem a lista de cookies de que a sua política precisa e transmitem a escolha a ferramentas como o Google Analytics. O banner é a parte que se vê; a CMP é a maquinaria por trás dele.

O termo não é apenas jargão de fornecedores. A CNIL francesa usa-o na sua recomendação sobre cookies, onde sugere que as sucessivas configurações de uma CMP podem ser conservadas, com data e hora, pela empresa que a fornece, como uma das formas de provar que o consentimento foi recolhido corretamente.

Porque é que os sites precisam de uma

Na UE, o artigo 5.º, n.º 3, da Diretiva ePrivacy só permite que um site guarde ou leia informações no dispositivo de um visitante com o seu consentimento, a menos que isso seja estritamente necessário para um serviço que ele pediu ou sirva apenas para transmitir uma comunicação. O RGPD define depois o que é o consentimento: uma manifestação de vontade «livre, específica, informada e explícita», dada «mediante declaração ou ato positivo inequívoco». O Reino Unido tem uma regra equivalente no PECR.

Num site com um gestor de tags, uma ferramenta de analítica, um píxel de publicidade e um par de vídeos incorporados, cumprir essa regra à mão é quase impossível. É essa a tarefa que uma CMP assume.

O que faz uma CMP

Mostra a escolha. Um banner que oferece Aceitar e Rejeitar ao mesmo nível, e ainda uma forma de escolher por categoria. Quando o grupo de trabalho do CEPD sobre banners de cookies inquiriu as autoridades europeias, «uma grande maioria» considerou que há infração quando uma camada do banner tem um botão para aceitar mas nenhuma opção para recusar. O mesmo relatório confirma que as caixas pré-assinaladas não produzem um consentimento válido.

Bloqueia antes do consentimento. Os cookies e os scripts que precisam de consentimento têm de esperar até o visitante dar o seu opt-in. Os cookies colocados sem consentimento foram o motivo da coima de 150 milhões de euros da CNIL à SHEIN em 2025, e o nosso artigo sobre o que os reguladores punem de facto mostra com que frequência isso surge.

Regista a decisão. Nos termos do artigo 7.º, n.º 1, do RGPD, «o responsável pelo tratamento deve poder demonstrar que o titular dos dados deu o seu consentimento». Uma CMP guarda o que cada visitante escolheu e quando.

Permite que os visitantes mudem de ideias. O artigo 7.º, n.º 3, acrescenta: «O consentimento deve ser tão fácil de retirar quanto de dar.» Na prática, isso significa um link ou um ícone que volta a abrir a escolha em qualquer página.

Explica os cookies. O consentimento só conta se for informado, por isso o banner e a política de cookies têm de dizer que cookies o site usa e para quê. Quais deles precisam sequer de consentimento é uma questão de finalidade, tratada em que cookies precisam de consentimento.

Transmite a escolha. Outras ferramentas precisam de saber o que o visitante decidiu:

Sinal	O que transporta	Quem o espera
Google Consent Mode	Quatro tipos de consentimento: `ad_storage`, `analytics_storage`, `ad_user_data` e `ad_personalization`	As tags da Google. Para visitantes no EEE, a Google diz que «tem de recolher o consentimento» e partilhar sinais de consentimento para continuar a usar as suas funcionalidades de medição, personalização de anúncios e remarketing (Google)
Global Privacy Control (GPC)	Um sinal do navegador que pede aos sites que não vendam nem partilhem os dados do visitante	O Procurador-Geral da Califórnia diz que «tem de ser respeitado pelas empresas abrangidas como um pedido válido do consumidor» (OAG)
TCF da IAB Europe	Uma cadeia de consentimento normalizada para fornecedores de publicidade	A Google exige uma CMP certificada pela Google e integrada no TCF para anúncios personalizados através do AdSense, do Ad Manager ou do AdMob no EEE, no Reino Unido e na Suíça (Google)

O Consent Mode não pergunta nada ao visitante. A documentação da Google pressupõe que obtém primeiro a escolha através de um banner, de uma solução própria ou de uma CMP, e que só depois a transmite.

O que uma CMP não faz

Para um site europeu que usa analítica ou publicidade, uma CMP é a forma prática de cumprir a regra. Não é suficiente por si só, e um fornecedor que lhe diga o contrário está a prometer mais do que devia.

Não o torna conforme. Uma CMP configurada com o Rejeitar escondido, ou com um cookie de marketing classificado como necessário, recolhe um consentimento que não é válido.
Só controla aquilo que conhece. Um script colado diretamente num template ou uma tag acrescentada pelo marketing no próximo trimestre podem ficar fora do seu alcance. E decide se uma tag é executada, não o que a tag faz depois de ser executada: no caso da Apoteket, o controlo do consentimento funcionou, e o Meta Pixel enviou na mesma para a Meta os nomes, as moradas e as compras dos clientes que tinham aceitado os cookies de marketing.
Não vê os seus servidores. Os dados que o seu backend envia para uma plataforma de publicidade nunca passam pelo banner.
Não decide por si. Que cookies são necessários, que fundamento jurídico se aplica ao tratamento que se segue e o que diz a sua política de privacidade continuam a ser decisões suas.

Como escolher uma

Pergunta	Porque é importante
Bloqueia antes do consentimento?	Teste-a: abra uma janela privada, abra as DevTools e veja os cookies antes de tocar no banner. O nosso verificador de cookies faz o mesmo para um único URL.
O Rejeitar está na primeira camada, tão fácil como o Aceitar?	A maioria das autoridades europeias trata a falta de uma opção para rejeitar como uma infração, como vimos acima.
Encontra os seus cookies por si?	Uma lista de cookies mantida à mão fica desatualizada da próxima vez que alguém acrescentar uma tag.
Que leis cobre?	A UE e o Reino Unido esperam opt-in. As leis estaduais dos EUA, como a CCPA, esperam um opt-out e que o GPC seja respeitado.
De que sinais precisa?	O Consent Mode v2, se usa o Google Ads ou o Analytics; o TCF, se vende anúncios personalizados através dos produtos da Google para editores.
Onde ficam guardados os registos de consentimento?	Contêm endereços IP e escolhas, que são dados pessoais.
Quanto custa às suas páginas?	Todos os visitantes carregam o script antes de tudo o resto.

Mantemos comparações lado a lado entre o Katla e outras CMP, com os dados de cada concorrente retirados das suas próprias páginas públicas, nas nossas páginas de comparação.

Dica

Antes de comparar funcionalidades, verifique aquilo que todas as CMP afirmam: abra o seu próprio site numa janela privada e veja se já lá está algum cookie de analítica ou de publicidade antes de clicar em qualquer coisa.

Onde entra o Katla

O Katla é uma CMP, e eis, sem rodeios, o que faz hoje. Tem dois modos de consentimento, RGPD (opt-in) e US State Laws (CCPA, opt-out), e o modo Auto escolhe entre eles pelo fuso horário do visitante. Aceitar, Rejeitar e Personalizar ficam juntos na primeira camada, sem nada pré-selecionado. No modo RGPD, o bloqueador de cookies bloqueia os cookies não funcionais antes do consentimento e apaga os que tenham sido colocados antes de ele ser executado, e os scripts marcados com data-katla-category esperam até que a respetiva categoria seja aceite.

Envia sinais do Google Consent Mode v2 e respeita o GPC (não o Do Not Track). Os registos de consentimento guardam a decisão mais recente de cada visitante, com as respetivas categorias, a data e hora e um endereço IP truncado, e tudo está alojado na UE, em Frankfurt. O Katla também analisa o seu site, classifica cada cookie com IA e gera a política de cookies a partir do que encontrou, em 13 idiomas.

Não suporta o IAB TCF. Se precisa de anúncios personalizados através do AdSense ou do Ad Manager para visitantes europeus, precisa de uma CMP certificada para o TCF, e o Katla não é uma delas.

Este artigo explica o que fazem as plataformas de gestão de consentimento. Não constitui aconselhamento jurídico.