Consentimento de cookies RGPD: como as empresas francesas cumprem (2026)

O RGPD 8 anos depois: um balanço real de conformidade

O Regulamento Geral sobre a Proteção de Dados (RGPD) entrou em vigor em maio de 2018. Oito anos depois, os banners de consentimento de cookies tornaram-se um elemento familiar da experiência web europeia — ou será que não? Enquanto as grandes corporações e os sites de alto tráfego adotaram amplamente plataformas de gestão do consentimento, a realidade para o tecido empresarial francês conta uma história muito diferente.

O IBLead analisou 1.877.252 sites web de empresas francesas com tecnologias detetáveis para responder a uma pergunta simples: quantos mostram realmente um banner de consentimento de cookies? A resposta é preocupante. Apenas 23,0 % destes sites apresentam alguma forma de mecanismo de consentimento. Os restantes 77,0 % — mais de 1,4 milhões de sites — parecem operar sem qualquer ferramenta de consentimento visível.

Este estudo vai além da simples deteção de banners. Cruzamos a presença de consentimento com rastreadores de analytics e píxeis publicitários para revelar a verdadeira dimensão do défice de conformidade em França. As descobertas têm implicações sérias para empresas, agências e a CNIL, a autoridade francesa de proteção de dados.

O fosso do consentimento: apenas 23,0 % apresentam um banner

Dos 1.877.252 sites da nossa amostra com tecnologias detetáveis, 431.361 (23,0 %) apresentam um banner de consentimento de cookies alimentado por uma das oito principais plataformas de gestão do consentimento (CMP) que rastreamos. Os restantes 1.445.891 sites (77,0 %) não mostram qualquer mecanismo de consentimento detetável.

Para colocar em perspetiva: mais de três em cada quatro sites de empresas francesas operam sem qualquer ferramenta visível para recolher ou gerir o consentimento do utilizador para cookies e rastreadores. Embora alguns destes sites possam legitimamente não usar cookies que requeiram consentimento (por exemplo, sites puramente estáticos sem analytics), a análise cruzada com ferramentas de rastreamento conta uma história muito mais preocupante.

Importa notar que a nossa deteção cobre as CMP mais amplamente utilizadas. Um pequeno número de sites pode usar soluções de consentimento personalizadas ou menos conhecidas que o nosso scanner não deteta. No entanto, as oito plataformas que monitorizamos representam a grande maioria do mercado do consentimento, tornando esta uma imagem fiável do panorama de conformidade francês.

Mercado de ferramentas de consentimento: Complianz vs Tarteaucitron — líderes duais

Entre os 431.361 sites que apresentam um banner de consentimento, o mercado é liderado por duas soluções que juntas representam quase metade de todas as implementações:

Ferramenta	Sites	Quota de mercado
Complianz	109.416	25,4 %
Tarteaucitron	106.396	24,7 %
OneTrust	58.365	13,5 %
Axeptio	50.617	11,7 %
Didomi	45.247	10,5 %
Cookiebot	37.002	8,6 %
CookieYes	31.104	7,2 %
Iubenda	4.205	1,0 %

Complianz lidera com 25,4 % do mercado do consentimento (109.416 sites). Trata-se de um plugin WordPress, e o seu domínio reflete diretamente a presença esmagadora do WordPress no mercado francês de CMS — como o nosso estudo sobre quotas de mercado CMS mostrou, o WordPress alimenta 68,5 % dos sites de empresas francesas. Para os proprietários de sites WordPress, o Complianz oferece um caminho direto para a conformidade de cookies através de um plugin, o que explica a sua forte adoção.

Tarteaucitron segue de muito perto com 24,7 % (106.396 sites). Esta solução francesa de código aberto, criada pelo programador Amaury Balmer, ocupa um lugar especial no ecossistema do consentimento. É gratuita, leve e especificamente concebida para cumprir as diretrizes da CNIL. O seu forte desempenho reflete a preferência de muitos programadores e agências franceses por uma solução local e transparente.

Juntas, estas duas ferramentas alimentam 50,1 % de todos os banners de consentimento em França — um duopólio notável no topo do mercado.

Ferramentas francesas vs internacionais: um forte ecossistema local

Uma das descobertas mais marcantes deste estudo é a força das soluções de consentimento francesas. Três das oito principais CMP do nosso dataset são empresas francesas:

• Tarteaucitron (24,7 %) — Código aberto, criado em França, especificamente construído para conformidade com a CNIL. O seu nome, uma referência lúdica à palavra francesa para «tarte de limão», reflete as suas origens locais.
• Axeptio (11,7 %) — Uma plataforma SaaS francesa conhecida pela sua interface de consentimento intuitiva e visualmente atrativa. Utilizada por 50.617 sites.
• Didomi (10,5 %) — Uma plataforma francesa de gestão de consentimento e preferências que se tornou um ator significativo no segmento empresarial. Presente em 45.247 sites.

Combinadas, estas três soluções francesas representam 46,9 % do mercado do consentimento — quase metade. Este é um caso raro em que as ferramentas locais superam os gigantes internacionais numa categoria tecnológica. Para comparação, as principais plataformas internacionais são:

• Complianz (25,4 %) — Plugin WordPress de origem holandesa (tecnicamente não francês, mas profundamente integrado no ecossistema WordPress)
• OneTrust (13,5 %) — Plataforma empresarial de conformidade americana
• Cookiebot (8,6 %) — Solução de gestão de consentimento dinamarquesa
• CookieYes (7,2 %) — CMP britânica
• Iubenda (1,0 %) — Plataforma de conformidade italiana

O domínio das ferramentas francesas sugere que os requisitos de conformidade específicos da CNIL criaram uma vantagem de mercado distinta para as soluções locais que compreendem as nuances regulatórias. As empresas que procuram conformidade escolhem ferramentas que promovem explicitamente o seu alinhamento com a CNIL.

A crise de conformidade: 52,6 % usam analytics sem consentimento

A taxa de adoção de banners por si só não capta o quadro completo. Para compreender o risco real de conformidade, cruzamos a presença de banners de consentimento com a deteção de rastreadores de analytics:

• 1.276.749 sites (68,0 %) usam pelo menos uma ferramenta de analytics (Google Analytics 4, Matomo, Plausible, etc.)
• Destes, apenas 297.637 (23,2 %) apresentam também um banner de consentimento
• Os restantes 986.661 (76,8 %) usam analytics sem mecanismo de consentimento visível

Isto significa que 986.661 sites — 52,6 % de todos os sites com tecnologias detetáveis — estão a recolher dados de analytics sem consentimento aparente do utilizador. Ao abrigo do RGPD e da Diretiva ePrivacy francesa (tal como aplicada pela CNIL), a maioria das ferramentas de analytics que usam cookies requerem o consentimento prévio do utilizador antes da ativação.

É importante notar que algumas soluções de analytics podem ser configuradas sem cookies (por exemplo, Matomo em modo sem cookies, ou Plausible Analytics que é livre de cookies por concepção). No entanto, a grande maioria das instalações de analytics em França usa Google Analytics 4, que depende de cookies e requer consentimento segundo as diretrizes da CNIL. O volume — mais de 986.000 sites — torna claro que o défice de conformidade não se explica apenas por analytics sem cookies.

Esta descoberta representa um dos desafios de conformidade mais significativos no panorama digital francês. Cada um destes sites está potencialmente em infração das diretrizes da CNIL e exposto a ações de aplicação.

Publicidade sem consentimento: 72,6 % dos sites com píxeis publicitários não têm banner

Se o défice de conformidade em analytics é preocupante, a situação publicitária é ainda mais alarmante. Os píxeis publicitários estão entre as tecnologias mais invasivas da privacidade na web, rastreando utilizadores entre sites para publicidade direcionada. O RGPD é inequívoco: estes requerem consentimento explícito e informado antes da implantação.

Os nossos dados mostram:

• 256.151 sites (13,6 %) usam pelo menos um píxel publicitário
• Apenas 70.612 (27,4 %) destes apresentam também um banner de consentimento
• 186.651 sites (72,6 %) implementam píxeis de rastreamento publicitário sem mecanismo de consentimento visível

O panorama dos píxeis publicitários desagrega-se assim:

Píxel publicitário	Sites
Facebook Pixel (Meta)	182.799
Google Ads	111.155
Microsoft Ads (Bing)	19.373
TikTok Pixel	9.803

O Facebook Pixel por si só está presente em quase 160.000 sites de empresas francesas. Este rastreador envia dados detalhados do comportamento do utilizador para a Meta para fins publicitários — sem consentimento do utilizador na maioria destes sites. O rastreamento de conversões do Google Ads aparece em quase 99.000 sites, e tanto o TikTok como o Microsoft Ads adicionam milhares mais.

A taxa de não-conformidade de 72,6 % para os píxeis publicitários é particularmente significativa porque estas tecnologias representam o caso mais claro de obrigação de consentimento. Ao contrário dos analytics, que em alguns casos podem ser implementados sem cookies, os píxeis publicitários por definição recolhem dados pessoais para rastreamento e perfilação entre sites. Não há zona cinzenta aqui ao abrigo do RGPD.

Contexto de aplicação da CNIL e riscos

A CNIL intensificou significativamente a aplicação das regras de consentimento de cookies desde 2020. Os marcos-chave incluem:

• Outubro de 2020: Diretrizes atualizadas da CNIL sobre cookies e rastreadores, exigindo consentimento explícito antes de definir cookies não essenciais
• Março de 2021: Fim do período de graça — todos os sites devem cumprir as novas regras de cookies
• Dezembro de 2021: Multas recorde de 150 milhões de euros ao Google e 60 milhões de euros ao Facebook por tornarem a rejeição de cookies mais difícil do que a aceitação
• 2022–2025: Aplicação contínua com multas contra o TikTok (5 milhões de euros), Microsoft (60 milhões de euros) e dezenas de empresas menores
• 2025–2026: Maior foco em PME e sites menores, com a CNIL a anunciar campanhas direcionadas a setores como e-commerce, saúde e imobiliário

Os riscos para os sites não conformes são reais e crescentes:

• Sanções financeiras: Até 20 milhões de euros ou 4 % da faturação global anual ao abrigo do RGPD
• Notificações formais da CNIL: A CNIL emite regularmente notificações formais (mises en demeure) que dão às empresas um prazo para cumprir, com publicação do nome da empresa
• Dano reputacional: As sanções públicas são publicadas no site da CNIL, causando dano reputacional duradouro
• Responsabilidade civil: Os utilizadores podem apresentar queixas individuais ou coletivas por violações de privacidade

Embora a CNIL tenha tradicionalmente concentrado a sua aplicação em grandes empresas e sites de alto tráfego, a autoridade sinalizou explicitamente uma mudança para uma aplicação mais ampla. Com mais de 986.000 sites a usar analytics sem consentimento e 186.000 a implementar píxeis publicitários sem banner, a escala potencial das ações de aplicação é enorme.

Conclusão: um défice de conformidade massivo, uma oportunidade clara

Oito anos após a entrada em vigor do RGPD, o web empresarial francês permanece esmagadoramente não conforme com os requisitos de consentimento de cookies. Os números são contundentes:

• 77,0 % dos sites com tecnologias detetáveis não apresentam banner de consentimento
• 52,6 % de todos os sites com tecnologias usam analytics sem qualquer mecanismo de consentimento
• 72,6 % dos sites com píxeis publicitários operam sem banner de consentimento
• Mais de 986.000 sites estão potencialmente em infração das diretrizes de cookies da CNIL

Para as empresas que atualmente operam sem gestão do consentimento, a mensagem é clara: o fosso de conformidade está a fechar-se. A capacidade de aplicação da CNIL está a crescer, as multas estão a aumentar, e o risco de ser apanhado já não se limita aos maiores operadores.

Para agências web, consultores jurídicos e fornecedores de plataformas de gestão do consentimento, estes números representam uma enorme oportunidade de mercado. Com mais de 1,4 milhões de sites de empresas francesas sem solução de consentimento, o mercado endereçável para ferramentas CMP é enorme e está em grande parte por explorar.

O próprio mercado de ferramentas de consentimento é dinâmico, com um forte ecossistema francês (Tarteaucitron, Axeptio, Didomi) a competir eficazmente com plataformas internacionais. Isto sugere que as empresas à procura de soluções de conformidade têm opções de qualidade em cada ponto de preço, desde ferramentas de código aberto gratuitas até plataformas SaaS empresariais.

A questão já não é se as empresas francesas precisam de cumprir as regras de consentimento de cookies — mas quão rapidamente irão agir. Os nossos dados sugerem que para a grande maioria, essa ação já deveria ter sido tomada há muito tempo.