As menções legais designam o conjunto de informações que um site deve obrigatoriamente exibir para identificar seus responsáveis. Essa obrigação, estabelecida pela lei para a confiança na economia digital (LCEN) de 21 de junho de 2004, diz respeito a todos os sites, sejam eles profissionais, associativos ou pessoais com finalidade comercial. A proteção da vida privada online se baseia em um segundo pilar regulatório, o RGPD, que regula a coleta e o tratamento de dados pessoais dos visitantes.
Rastreadores e diretiva ePrivacy: o que a bandeira de cookies não cobre
A maioria dos sites exibe uma bandeira de consentimento para cookies. Essa interface reflete apenas uma parte das obrigações relacionadas aos rastreadores.
As orientações do Comitê Europeu de Proteção de Dados sobre o artigo 5(3) da diretiva ePrivacy abrangem muito mais do que os cookies clássicos. Os pixels de rastreamento, identificadores únicos e mecanismos de rastreamento por links também entram no escopo. Uma auditoria de conformidade limitada apenas à bandeira de cookies deixa, portanto, lacunas.
O controle também se refere ao equilíbrio concreto entre aceitar e recusar os rastreadores. A CNIL multou o Google em 325 milhões de euros em 1º de setembro de 2025, em um caso onde o procedimento de recusa de cookies era considerado mais restritivo do que a aceitação. Esse tipo de sanção mostra que a conformidade não se limita a exibir uma faixa, mas exige uma simetria real entre as escolhas oferecidas ao usuário.
Para obter mais informações sobre Secrets d’Hommes e sua política de transparência, a página de menções legais do site detalha os rastreadores utilizados e as finalidades associadas.
Menções legais obrigatórias: conteúdo conforme o status do editor
O conteúdo das menções legais varia conforme o editor do site seja uma pessoa física ou jurídica, e de acordo com a natureza de sua atividade.
Para uma empresa ou associação, as menções devem incluir:
- A razão social, o endereço da sede, o número de telefone e o endereço de e-mail de contato
- O número de inscrição no registro do comércio e das sociedades (RCS) ou no registro de ofícios, assim como o número de IVA intracomunitário, se aplicável
- O nome do diretor de publicação e os dados de contato do provedor de hospedagem do site (razão social, endereço, telefone)
As profissões regulamentadas (advogados, médicos, contadores) devem adicionar a referência às regras profissionais aplicáveis e à autoridade que concedeu a autorização para exercer. Os sites comerciais complementam essas informações com suas condições gerais de venda.
A ausência de menções legais ou seu caráter incompleto expõe o editor a sanções penais previstas pela LCEN.
RGPD e dados pessoais: as obrigações de informação para os visitantes
O Regulamento Geral sobre a Proteção de Dados impõe a todo site que coleta dados pessoais (formulário de contato, inscrição em uma newsletter, criação de conta) informar claramente as pessoas envolvidas.
Essa informação deve especificar as finalidades do tratamento, a base jurídica utilizada (consentimento, interesse legítimo, execução de um contrato), os destinatários dos dados e a duração da conservação. O visitante também deve conhecer seus direitos: acesso, retificação, exclusão, portabilidade e oposição.
Um ponto frequentemente negligenciado: excluir um dado e fazê-lo desaparecer de um motor de busca são duas ações distintas. O direito à exclusão, previsto pelo artigo 17 do RGPD, obriga o responsável pelo tratamento a apagar os dados. A remoção de referências em um motor de busca é uma solicitação separada, endereçada diretamente ao operador do motor. Os dois procedimentos não produzem o mesmo resultado e, às vezes, devem ser realizados em paralelo.
IA generativa e vida privada: as recomendações recentes da CNIL
A ascensão dos sistemas de inteligência artificial generativa levanta novas questões sobre a proteção da vida privada online. Em fevereiro de 2025, a CNIL publicou recomendações sobre a aplicação do RGPD aos sistemas de IA.
Quando um modelo de IA é treinado com dados pessoais que podem ser memorizados, as pessoas envolvidas devem, em princípio, ser informadas sobre esse uso. A CNIL também recomenda integrar a proteção da vida privada desde a concepção do sistema, de acordo com o princípio de privacy by design já inscrito no RGPD.
Essa dimensão ainda está ausente da maioria das páginas de menções legais atuais. Um site que utiliza um chatbot ou uma ferramenta de IA que trata dados de visitantes deveria, no entanto, mencionar esse tratamento em sua política de privacidade, especificando as finalidades e as garantias implementadas.
Consentimento na web: o que distingue uma conformidade real de uma simples exibição
Exibir um formulário de coleta de consentimento não é suficiente para cumprir o RGPD. O consentimento deve ser livre, específico, informado e inequívoco. Concretamente, isso significa que as caixas pré-selecionadas são proibidas e que a recusa deve ser tão simples quanto a aceitação.
Três critérios permitem avaliar a conformidade real de um dispositivo de consentimento:
- O botão de recusa é visível no mesmo nível que o botão de aceitação, sem cor atenuada ou rótulo ambíguo
- Cada finalidade de tratamento pode ser aceita ou recusada individualmente, não apenas em bloco
- A retirada do consentimento é acessível a qualquer momento a partir de uma página claramente identificada do site
A CNIL intensificou os controles sobre esses pontos. As empresas sancionadas muitas vezes foram penalizadas não pela ausência total de bandeira, mas por mecanismos de consentimento desequilibrados que tornavam a recusa mais difícil do que a aceitação.
A conformidade de um site internet repousa na articulação entre menções legais completas, política de privacidade detalhada e dispositivo de consentimento equilibrado. Essas três camadas não funcionam de forma isolada: um site cujas menções legais são irrepreensíveis, mas cuja bandeira de cookies orienta para a aceitação, permanece exposto a uma sanção.
