Session replay e proteção de dados: utilizar vídeos de rato corretamente

Um vídeo de rato, nos meios especializados session replay, não é um filme do ecrã. No navegador do visitante regista-se como a página se constrói e se altera, para onde o rato se desloca, quando se faz scroll e onde se clica. No seu servidor, disso é construída uma reprodução que parece um vídeo. Vê o que o visitante viu e fez.

Isto é poderoso. É precisamente por isso que é delicado. Este artigo mostra para que servem os vídeos de rato, onde estão os riscos, que medidas de proteção deve adotar e quando é melhor dispensá-los. Não substitui aconselhamento jurídico.

Para que serve

Os números dizem-lhe que uma página é abandonada. Um vídeo de rato pode mostrar porquê. Casos típicos:

• Problemas de utilização. Os visitantes clicam várias vezes em algo que nem é uma ligação. Ou procuram visivelmente um item de menu que não existe.
• Abandonos de formulário. Vê em que campo alguém desiste, mesmo sem conhecer o conteúdo.
• Percursos pelo site. Que páginas são visitadas em sequência, onde se lê durante muito tempo, onde se salta?
• Erros de apresentação. Um layout que só se estraga num determinado tamanho de ecrã salta logo à vista no vídeo.

A utilidade depende da quantidade. Quem vê um vídeo de uma ponta à outra aprende algo sobre um visitante. Um padrão só o reconhece com muitos. Pergunte-se antes que questão concreta quer responder. Sem pergunta, os vídeos de rato tornam-se apenas curiosidade.

Onde estão os riscos

O registo é completo enquanto não excluir nada. Isto significa:

• Texto visível da página. Tudo o que está na página está no vídeo. Numa página pública de produto isso é inofensivo. Numa página com nomes, moradas ou encomendas, não.
• Introduções. O que alguém escreve num campo pode ser registado. Palavras-passe, números de conta, dados de saúde, texto livre em formulários de contacto: isto nunca pertence a um vídeo.
• Áreas com sessão iniciada. Contas de clientes, caixas e ferramentas internas mostram dados pessoais, mesmo sem que alguém escreva algo.
• Conteúdos incorporados. Conteúdos externos em iframes, como janelas de pagamento, mapas, vídeos ou widgets de chat, têm regras próprias e não deviam parar no seu vídeo.
• Reconhecimento. Quem acompanha pode associar uma visita a outros dados, por exemplo a um e-mail que está aberto nesse momento. O vídeo fornece a ocasião, os seus sistemas o resto.

Medidas de proteção como lista de verificação

Estes pontos devem ser assinalados antes de ativar vídeos de rato:

1. Mascarar introduções. Todos os campos de introdução ficam ilegíveis já no navegador, antes de qualquer coisa sair do visitante. Ocultar só no servidor é tarde demais.
2. Ocultar áreas. Banners de cookies, janelas de chat, janelas de pagamento e tudo o que mostra conteúdos pessoais são excluídos através de um seletor.
3. Bloquear caminhos. A caixa, o carrinho, a conta e as páginas de encomenda não são sequer registados.
4. Prazo de eliminação curto. Os vídeos não são um arquivo. Quanto mais curto o prazo, menor o risco. Defina-o e elimine realmente.
5. Informar em separado. Mencione os vídeos de rato expressamente na política de privacidade e indique finalidade, fundamento jurídico e prazo de eliminação. Uma frase sobre „estatística“ não basta.
6. Ativar só após decisão. A ferramenta não deve funcionar em todo o lado, mas apenas onde tem uma pergunta. Teste numa página, não em todo o website.
7. Verificar a avaliação de impacto sobre a proteção de dados. Se é necessária uma (art. 35.º do RGPD) depende do âmbito, do tipo de dados e do grupo de visitantes. Num registo sistemático, mande verificar isto conscientemente e documente o resultado.
8. Esclarecer os contratos. Se um prestador de serviços opera o registo por si, precisa de um contrato de subcontratação (art. 28.º do RGPD).

Duas coisas fazem também parte da prática. Primeiro: verifique você próprio a reprodução, percorrendo o site como visitante de teste e vendo no vídeo o que se torna visível. Segundo: quem tem acesso aos vídeos deve ter uma função que consiga nomear. Nem todos na casa precisam de ver tudo.

Enquadramento para a Alemanha, a Áustria e a Suíça

Duas questões têm de ser respondidas em separado. As respostas dependem do caso concreto, o enquadramento seguinte é uma visão geral.

Acesso ao dispositivo terminal. Um script que guarda ou lê informações no dispositivo do visitante exige na Alemanha, nos termos do § 25 TDDDG (a lei alemã de proteção de dados nas telecomunicações e nos serviços digitais), em princípio consentimento, desde que não se aplique uma exceção. A exceção para serviços estritamente necessários é interpretada de forma restrita. Se um script de gravação aí se enquadra, não deve ser respondido com otimismo. Na Áustria, isto é regulado de forma semelhante pelo § 165 n.º 3 TKG 2021.

Tratamento de dados pessoais. Um vídeo de rato pode conter dados pessoais, mesmo que nenhum nome apareça na imagem. Nesse caso aplica-se o RGPD e precisa de um fundamento jurídico nos termos do art. 6.º. Mais sobre isto e sobre a escolha entre consentimento e interesse legítimo: Consentimento ou interesse legítimo: como decidir. A visão geral encontra-a em Reconhecimento de visitantes e RGPD: um enquadramento sóbrio.

Suíça. A lei de proteção de dados revista aposta menos no consentimento do que na transparência. Tem de informar que dados trata e para que finalidade. Os visitantes podem opor-se ao tratamento. Um registo com conteúdos visíveis e introduções sem informação clara é também aí dificilmente justificável. Para cookies e técnicas semelhantes aplicam-se ainda as obrigações de informação do direito das telecomunicações.

Todas as fontes foram consultadas em 06.11.2026. As leis mudam, verifique o estado atual antes de uma decisão e, em caso de dúvida, fale com o seu aconselhamento jurídico.

Quando deve dispensar

Há áreas em que a utilidade não compensa os riscos:

• Saúde. Os dados de saúde têm proteção especial (art. 9.º do RGPD). Já o facto de saber que página alguém lê pode revelar algo.
• Finanças. Pedidos, saldos, comparações de crédito: demasiada informação com demasiado pouco controlo.
• Crianças e jovens. Se a sua página se dirige a menores, não deve decorrer nenhum registo.
• Áreas com sessão iniciada. Quem iniciou sessão espera que ninguém esteja a observar.

Onde dispensar, restam-lhe outros caminhos: inquéritos, testes com pessoas reais que consentem, ou números sem referência individual.

Como uma ferramenta pode lidar com isto

Um exemplo de como as medidas de proteção podem ser implementadas: no Whovisit, os vídeos de rato são gravados apenas para visitas de empresas reconhecidas e ativados ou desativados por website. Todos os campos de introdução são mascarados já no navegador. Iframes e vídeos incorporados ficam de fora. Outras áreas oculta-as você próprio. Caminhos sensíveis como a caixa, bloqueia-os você. Por predefinição, os vídeos são eliminados ao fim de 30 dias. Como o configurar, está na ajuda em Ativar, limitar e ver vídeos de rato. Isto não torna os vídeos de rato inofensivos: mesmo os registos mascarados mostram conteúdo da página e comportamento. A verificação jurídica fica consigo.

Em resumo

Os vídeos de rato respondem a perguntas concretas sobre a utilização quando os usa de forma direcionada e limitada no tempo. Mascare as introduções no navegador, bloqueie áreas sensíveis, elimine cedo e informe em separado. Verifique o consentimento para o acesso ao dispositivo e um fundamento jurídico para o tratamento. Dispense onde estejam em causa saúde, finanças ou crianças.