O WordPress alimenta cerca de 40 % dos sites da web em todo o mundo, de blogues a lojas WooCommerce. Mas instalar o WordPress não torna o seu site conforme ao RGPD. Num site auto-alojado (WordPress.org), é você, enquanto editor, o responsável pelo tratamento nos termos do Regulamento Geral sobre a Proteção de Dados. O WordPress.org apenas fornece o software; o seu alojamento e cada um dos seus plugins atuam como subcontratantes. É a si que a CNPD (Comissão Nacional de Proteção de Dados) pedirá contas, e as coimas podem atingir 20 milhões de euros ou 4 % do volume de negócios anual mundial.
Comece por analisar o seu site gratuitamente com o nosso scanner de conformidade RGPD para identificar os pontos a corrigir. Este artigo explica o que o WordPress faz e não faz pela sua conformidade, as obrigações que deve cumprir, os erros mais frequentes e como pôr o seu site em conformidade rapidamente.
O que o WordPress faz (e não faz) pela conformidade
O que o WordPress fornece
O núcleo do WordPress inclui algumas funcionalidades ligadas à privacidade:
- Um modelo de política de privacidade: um rascunho genérico em Definições → Privacidade. É um esqueleto de base, não adaptado à sua atividade.
- Ferramentas de direitos: em Ferramentas → Dados pessoais pode exportar ou apagar os dados de um utilizador para responder a pedidos de acesso e eliminação (artigos 15.º e 17.º do RGPD).
- Uma caixa de consentimento de comentários: ativada por defeito, mas diz apenas respeito ao armazenamento dos dados do comentador — não é um banner de cookies.
O que o WordPress NÃO fornece
O WordPress é software livre: não assina qualquer contrato consigo nem redige os seus textos legais. O seguinte é inteiramente da sua responsabilidade:
- Um contrato de subcontratação nos termos do artigo 28.º — provém do seu alojamento e de cada plugin, não do WordPress.org.
- Um banner de cookies conforme (a caixa de comentários não o é).
- A sua política de privacidade personalizada, a sua política de cookies, os seus termos de utilização, as suas condições de venda e a sua identificação do editor.
- A gestão do Consent Mode v2 da Google, agora indispensável se usar o Google Analytics 4 ou o Google Ads.
As 5 obrigações RGPD para o seu site WordPress
1. Publicar uma política de privacidade completa
Os artigos 13.º e 14.º do RGPD exigem uma informação transparente. A sua política deve detalhar a identidade do responsável, as finalidades de cada tratamento, os fundamentos jurídicos, os destinatários (o seu alojamento e todos os plugins de terceiros), os prazos de conservação e os direitos dos titulares.
2. Implementar um banner de cookies conforme
Recusar deve ser tão simples como aceitar (botões «Aceitar» e «Recusar» igualmente visíveis), os rastreadores não essenciais não devem ser colocados antes do consentimento, e o utilizador deve poder alterar as suas escolhas a qualquer momento. Se usar o Google Analytics 4 ou o Google Ads, o seu banner deve ainda transmitir o Consent Mode v2. Em vez de acumular plugins, pode instalar o nosso banner de cookies RGPD gratuito — sem limite de páginas vistas nem assinatura.
3. Mapear os seus plugins (os seus subcontratantes)
Cada plugin que acede aos dados dos seus visitantes é um subcontratante adicional. A sua política de privacidade deve refleti-los, e deve garantir que cada um oferece garantias (contrato, localização dos dados). É a especificidade do WordPress: a flexibilidade dos plugins é também a sua principal superfície de risco.
4. Publicar a sua identificação de editor
Qualquer site com atividade deve identificar o seu editor (identidade, morada, contacto, NIF). A ausência destas informações expõe-no a sanções.
5. Manter um registo das atividades de tratamento
O artigo 30.º do RGPD obriga-o a documentar os seus tratamentos: finalidades, categorias de dados, destinatários e prazos de conservação.
Os erros mais frequentes no WordPress
- Confundir a caixa de comentários com um banner de cookies: são coisas diferentes. Sem um banner real, os seus cookies de análise e publicidade são colocados sem consentimento válido.
- Instalar o Google Analytics sem Consent Mode v2: o GA4 deposita então rastreadores antes de qualquer consentimento — uma infração direta.
- Deixar a política de privacidade por defeito: o esqueleto genérico não reflete nem os seus tratamentos reais nem os seus plugins.
- Instalar plugins e esquecê-los: cada plugin ativo que conserva dados aumenta o seu risco. Desinstale os que já não usa.
- Não assinar o contrato do seu alojamento: a relação de subcontratação deve reger-se pelo artigo 28.º.
- Formulários sem fundamento jurídico: um formulário de contacto ou newsletter (Contact Form 7, WPForms…) necessita de um fundamento jurídico e de um aviso de privacidade.
Os plugins do WordPress e o RGPD
O ecossistema de plugins é a grande força do WordPress, mas cada plugin que toca dados de visitantes torna-se subcontratante. Audite prioritariamente:
- Formulários: Contact Form 7, WPForms — verifique o fundamento jurídico e a conservação.
- Analytics: Google Analytics 4, Matomo — associe ao consentimento e ao Consent Mode v2.
- Gestão de cookies: plugins dedicados como Complianz ou CookieYes — verifique que bloqueiam os scripts antes do consentimento.
- E-commerce: o WooCommerce acrescenta os deveres de consumo (direito de retratação, condições de venda).
- Newsletter e page builders: Mailchimp, Brevo, Elementor — atenção aos scripts de terceiros que carregam antes do consentimento.
Muitos destes plugins são editados por empresas norte-americanas: verifique que as transferências fora da UE estão cobertas pelo Data Privacy Framework ou por cláusulas contratuais-tipo (Schrems II).
Como pôr o seu site WordPress em conformidade
Quatro vias levam aos seus textos legais:
Recorrer a um advogado (500-2.000 €): à medida e competente, mas dispendioso e lento.
Usar modelos gratuitos (0 €, risco elevado): genéricos, muitas vezes desatualizados e nunca adaptados aos seus plugins ou atividade.
Usar uma IA genérica (ChatGPT): rascunhos plausíveis que omitem cláusulas obrigatórias e criam incoerências entre os seus documentos.
Usar um gerador jurídico especializado (19,90 €-49,90 €): o gerador de documentos legais WebLegal produz os seus 4 documentos (política de privacidade, cookies, termos de utilização, condições de venda) em menos de 10 minutos, com coerência garantida. O formulário guiado pergunta pelos seus plugins, ferramentas de análise e atividade para produzir documentos verdadeiramente adaptados ao seu site WordPress.
Gere uma loja online? Veja também os nossos guias WooCommerce RGPD e PrestaShop RGPD.
Conclusão
Usar o WordPress não o isenta das suas obrigações RGPD. Enquanto responsável pelo tratamento, deve garantir que a sua política de privacidade, o seu banner de cookies, os seus termos e a sua identificação são conformes — e que os seus plugins não depositam rastreadores antes do consentimento. O WordPress fornece os blocos de base, mas não bastam. Em 2026, a conformidade já não é opcional. Não espere por uma queixa: gere os seus documentos legais conformes para WordPress em menos de 10 minutos.
