Resumo: monitorização de deriva de comportamento em scripts consentidos
- Um banner de cookies é um rasto documental, não um controlo de privacidade. Uma tag consentida para analítica pode começar a ler campos de pagamento na semana seguinte em silêncio, e o CMP continua a mostrar o visto verde.
- A cside Privacy Watch regista que elementos do DOM cada script toca, que endpoints chama e o que muda desde a última linha de base aprovada, e está validada pela VikingCloud para PCI DSS 4.0.1 Req 6.4.3 e 11.6.1.
- Se já corres OneTrust ou Cookiebot para documentar consentimento, junta cobertura em runtime ao lado. Se a exfiltração de PII por um pixel desonesto não está no teu registo de riscos, não te maces.
O software de monitorização de privacidade divide-se em duas categorias fáceis de confundir. As plataformas de gestão de consentimento (CMP) controlam que cookies são definidos e registam as escolhas de consentimento dos utilizadores. Os monitores de comportamento de scripts observam o que o JavaScript de terceiros realmente faz dentro do navegador: se lê campos de formulário, acede a dados dos utilizadores ou envia informação para destinos para os quais nunca foi aprovado. Os dois resolvem problemas diferentes. Um site com um banner de cookies em conformidade e uma stack de marketing não monitorizada pode, ainda assim, exfiltrar PII dos clientes de formas que desencadeiam ações de aplicação do RGPD e violações do PCI DSS.
Eis como as principais opções se comparam na capacidade que a maioria dos compradores ignora: visibilidade em tempo real sobre o comportamento dos scripts.
| Ferramenta | Função principal | Monitorização do comportamento de scripts em tempo real | Integridade de scripts PCI DSS 4.0.1 (Req. 6.4.3, 11.6.1) | Plano gratuito |
|---|---|---|---|---|
| cside Privacy Watch | Comportamento de scripts de terceiros, acesso a dados e chamadas de rede | Sim | Sim (validado) | Sim, 1,000 chamadas de API/mês |
| OneTrust | Gestão de consentimento, mapeamento de dados, fluxos de risco de fornecedores | Camada de consentimento, não em tempo de execução | Camada de documentação de consentimento | Enterprise (contactar vendas) |
| Cookiebot | Análise de cookies e gestão de banner de consentimento | Não | Não coberto | Análise gratuita para sites pequenos |
Porque o consentimento de cookies não é monitorização de privacidade
Uma plataforma de gestão de consentimento regista que um utilizador aceitou ou recusou categorias de cookies. Não observa o que os scripts aprovados fazem depois de carregarem. Um pixel de marketing incluído na categoria de consentimento «analytics» e depois atualizado pelo fornecedor para também recolher dados de campos de formulário é invisível para a CMP. O utilizador consentiu no rastreio analítico, não na recolha de dados de formulário, mas a CMP apenas vê que o consentimento foi concedido à categoria.
Esta é a lacuna que gera ações de aplicação do RGPD mesmo para organizações com banners de consentimento bem configurados. Muitas vezes a exposição reside no que os scripts fazem em tempo de execução. Um script pode ter consentimento válido e, ainda assim, começar a ler dados ou a invocar endpoints para os quais nunca foi aprovado.
O Requisito 6.4.3 do PCI DSS 4.0.1 formaliza esta distinção ao exigir que todos os scripts nas páginas de pagamento sejam inventariados, autorizados e monitorizados quanto à integridade. Um banner de consentimento não cumpre, por si só, nenhum desses requisitos.
cside Privacy Watch: monitorização do comportamento de scripts
O cside Privacy Watch monitoriza em tempo real o comportamento de cada script de terceiros carregado numa página. Acompanha a que elementos do DOM cada script acede, que destinos de rede invoca, que dados lê dos campos de formulário e se o seu comportamento mudou desde a última vez que foi revisto e aprovado.
Quando um script aprovado para analítica começa a aceder a campos de formulário de pagamento ou a enviar dados para um novo endpoint, o cside deteta a alteração e alerta em tempo real. Isto é importante para a conformidade com o RGPD, onde os scripts têm de agir dentro do âmbito do consentimento dado, e para o PCI DSS 4.0.1, onde a integridade dos scripts nas páginas de pagamento é um controlo obrigatório desde março de 2025.
O cside Privacy Watch está validado pela VikingCloud para os Requisitos 6.4.3 e 11.6.1 do PCI DSS 4.0.1. O resultado da monitorização cumpre os requisitos probatórios específicos desses controlos, não apenas a intenção geral.
$4.88 milhões: o custo médio global de uma violação de dados em 2024, com 46% das violações a envolver PII de clientes. A exfiltração por scripts de terceiros é um dos principais vetores de exposição de PII na web. Fonte: IBM Cost of a Data Breach Report 2024
OneTrust
O OneTrust é uma ampla plataforma de conformidade de privacidade que abrange a gestão de consentimento, o mapeamento de dados, a avaliação de risco de fornecedores e a gestão de fluxos de trabalho regulamentares. É amplamente usado em programas de conformidade empresarial.
No que toca especificamente ao comportamento dos scripts, o OneTrust opera na camada de consentimento. Gere que scripts são implementados e regista as decisões de consentimento. Não foi concebido para fazer a monitorização em tempo real do que esses scripts fazem depois de carregarem, pelo que um script que muda de comportamento depois de o consentimento ser concedido, ao aceder a dados adicionais ou ao invocar novos endpoints, fica fora do seu âmbito. As equipas que precisam de monitorização de scripts em tempo de execução a par da gestão de consentimento costumam combinar o OneTrust com uma ferramenta separada para essa camada.
Cookiebot
O Cookiebot oferece análise de cookies, gestão de banner de consentimento e relatórios de conformidade para o RGPD e a CCPA. É frequentemente implementado em organizações pequenas e médias como uma solução de consentimento acessível.
Tal como o OneTrust, o Cookiebot é uma plataforma de gestão de consentimento. Inventaria os cookies que um site define e permite que os utilizadores giram as suas preferências por categoria. Não foi concebido para monitorizar o comportamento dos scripts em tempo de execução, detetar exfiltração de dados ou produzir evidência de integridade de scripts para o PCI DSS 4.0.1. Para organizações cuja principal necessidade é a documentação de consentimento de cookies, o Cookiebot cumpre bem essa função. As organizações que também precisam de saber o que os seus scripts fazem depois de o consentimento ser concedido terão de acrescentar cobertura em tempo de execução.
Escolher a ferramenta certa
Para a maioria das organizações, a combinação certa é uma CMP para a documentação de consentimento mais um monitor de comportamento de scripts para a cobertura em tempo de execução. Respondem a riscos diferentes e não se substituem um ao outro. Uma CMP que só gere o consentimento deixa a lacuna de tempo de execução aberta, e um monitor de scripts que nunca regista decisões de consentimento deixa o seu registo documental regulamentar incompleto.
Para páginas no âmbito do PCI, o Requisito 6.4.3 exige tanto um inventário de scripts (que uma CMP aborda parcialmente) como a monitorização de integridade (que requer uma ferramenta em tempo de execução). O cside cumpre ambos numa única implementação validada. Pode começar no plano gratuito de 1,000 chamadas de API por mês sem cartão de crédito e depois passar para o plano Business a $99/mês ou para o preço personalizado Enterprise à medida que a cobertura cresce. Consulte os preços para mais detalhes.
Leitura adicional
- cside Privacy Watch para monitorização de scripts de terceiros em tempo real
- Conformidade com o PCI DSS para a integridade de scripts dos Requisitos 6.4.3 e 11.6.1
- Melhores ferramentas de IA para conformidade de privacidade de sites
