# Session replay e proteção de dados: utilizar vídeos de rato corretamente

> O session replay mostra como os visitantes usam uma página. Onde é útil, onde estão os riscos de proteção de dados e que medidas de proteção são necessárias.

Quelle: https://whovisit.app/pt/blog/session-replay-protecao-dados-videos-rato
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Um vídeo de rato, nos meios especializados *session replay*, não é um filme do ecrã. No navegador do visitante regista-se como a página se constrói e se altera, para onde o rato se desloca, quando se faz scroll e onde se clica. No seu servidor, disso é construída uma reprodução que parece um vídeo. Vê o que o visitante viu e fez.

Isto é poderoso. É precisamente por isso que é delicado. Este artigo mostra para que servem os vídeos de rato, onde estão os riscos, que medidas de proteção deve adotar e quando é melhor dispensá-los. Não substitui aconselhamento jurídico.

## Para que serve

Os números dizem-lhe que uma página é abandonada. Um vídeo de rato pode mostrar porquê. Casos típicos:

- **Problemas de utilização.** Os visitantes clicam várias vezes em algo que nem é uma ligação. Ou procuram visivelmente um item de menu que não existe.
- **Abandonos de formulário.** Vê em que campo alguém desiste, mesmo sem conhecer o conteúdo.
- **Percursos pelo site.** Que páginas são visitadas em sequência, onde se lê durante muito tempo, onde se salta?
- **Erros de apresentação.** Um layout que só se estraga num determinado tamanho de ecrã salta logo à vista no vídeo.

A utilidade depende da quantidade. Quem vê um vídeo de uma ponta à outra aprende algo sobre um visitante. Um padrão só o reconhece com muitos. Pergunte-se antes que questão concreta quer responder. Sem pergunta, os vídeos de rato tornam-se apenas curiosidade.

## Onde estão os riscos

O registo é completo enquanto não excluir nada. Isto significa:

- **Texto visível da página.** Tudo o que está na página está no vídeo. Numa página pública de produto isso é inofensivo. Numa página com nomes, moradas ou encomendas, não.
- **Introduções.** O que alguém escreve num campo pode ser registado. Palavras-passe, números de conta, dados de saúde, texto livre em formulários de contacto: isto nunca pertence a um vídeo.
- **Áreas com sessão iniciada.** Contas de clientes, caixas e ferramentas internas mostram dados pessoais, mesmo sem que alguém escreva algo.
- **Conteúdos incorporados.** Conteúdos externos em iframes, como janelas de pagamento, mapas, vídeos ou widgets de chat, têm regras próprias e não deviam parar no seu vídeo.
- **Reconhecimento.** Quem acompanha pode associar uma visita a outros dados, por exemplo a um e-mail que está aberto nesse momento. O vídeo fornece a ocasião, os seus sistemas o resto.

## Medidas de proteção como lista de verificação

Estes pontos devem ser assinalados antes de ativar vídeos de rato:

1. **Mascarar introduções.** Todos os campos de introdução ficam ilegíveis já no navegador, antes de qualquer coisa sair do visitante. Ocultar só no servidor é tarde demais.
2. **Ocultar áreas.** Banners de cookies, janelas de chat, janelas de pagamento e tudo o que mostra conteúdos pessoais são excluídos através de um seletor.
3. **Bloquear caminhos.** A caixa, o carrinho, a conta e as páginas de encomenda não são sequer registados.
4. **Prazo de eliminação curto.** Os vídeos não são um arquivo. Quanto mais curto o prazo, menor o risco. Defina-o e elimine realmente.
5. **Informar em separado.** Mencione os vídeos de rato expressamente na política de privacidade e indique finalidade, fundamento jurídico e prazo de eliminação. Uma frase sobre "estatística" não basta.
6. **Ativar só após decisão.** A ferramenta não deve funcionar em todo o lado, mas apenas onde tem uma pergunta. Teste numa página, não em todo o website.
7. **Verificar a avaliação de impacto sobre a proteção de dados.** Se é necessária uma (art. 35.º do RGPD) depende do âmbito, do tipo de dados e do grupo de visitantes. Num registo sistemático, mande verificar isto conscientemente e documente o resultado.
8. **Esclarecer os contratos.** Se um prestador de serviços opera o registo por si, precisa de um contrato de subcontratação (art. 28.º do RGPD).

Duas coisas fazem também parte da prática. Primeiro: verifique você próprio a reprodução, percorrendo o site como visitante de teste e vendo no vídeo o que se torna visível. Segundo: quem tem acesso aos vídeos deve ter uma função que consiga nomear. Nem todos na casa precisam de ver tudo.

## Enquadramento para a Alemanha, a Áustria e a Suíça

Duas questões têm de ser respondidas em separado. As respostas dependem do caso concreto, o enquadramento seguinte é uma visão geral.

**Acesso ao dispositivo terminal.** Um script que guarda ou lê informações no dispositivo do visitante exige na Alemanha, nos termos do [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html) (a lei alemã de proteção de dados nas telecomunicações e nos serviços digitais), em princípio consentimento, desde que não se aplique uma exceção. A exceção para serviços estritamente necessários é interpretada de forma restrita. Se um script de gravação aí se enquadra, não deve ser respondido com otimismo. Na Áustria, isto é regulado de forma semelhante pelo [§ 165 n.º 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678).

**Tratamento de dados pessoais.** Um vídeo de rato pode conter dados pessoais, mesmo que nenhum nome apareça na imagem. Nesse caso aplica-se o [RGPD](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) e precisa de um fundamento jurídico nos termos do art. 6.º. Mais sobre isto e sobre a escolha entre consentimento e interesse legítimo: [Consentimento ou interesse legítimo: como decidir](https://whovisit.app/blog/einwilligung-oder-berechtigtes-interesse). A visão geral encontra-a em [Reconhecimento de visitantes e RGPD: um enquadramento sóbrio](https://whovisit.app/blog/besuchererkennung-dsgvo).

**Suíça.** A [lei de proteção de dados revista](https://www.fedlex.admin.ch/eli/cc/2022/491/de) aposta menos no consentimento do que na transparência. Tem de informar que dados trata e para que finalidade. Os visitantes podem opor-se ao tratamento. Um registo com conteúdos visíveis e introduções sem informação clara é também aí dificilmente justificável. Para cookies e técnicas semelhantes aplicam-se ainda as obrigações de informação do direito das telecomunicações.

Todas as fontes foram consultadas em 06.11.2026. As leis mudam, verifique o estado atual antes de uma decisão e, em caso de dúvida, fale com o seu aconselhamento jurídico.

## Quando deve dispensar

Há áreas em que a utilidade não compensa os riscos:

- **Saúde.** Os dados de saúde têm proteção especial (art. 9.º do RGPD). Já o facto de saber que página alguém lê pode revelar algo.
- **Finanças.** Pedidos, saldos, comparações de crédito: demasiada informação com demasiado pouco controlo.
- **Crianças e jovens.** Se a sua página se dirige a menores, não deve decorrer nenhum registo.
- **Áreas com sessão iniciada.** Quem iniciou sessão espera que ninguém esteja a observar.

Onde dispensar, restam-lhe outros caminhos: inquéritos, testes com pessoas reais que consentem, ou números sem referência individual.

## Como uma ferramenta pode lidar com isto

Um exemplo de como as medidas de proteção podem ser implementadas: no Whovisit, os vídeos de rato são gravados apenas para visitas de empresas reconhecidas e ativados ou desativados por website. Todos os campos de introdução são mascarados já no navegador. Iframes e vídeos incorporados ficam de fora. Outras áreas oculta-as você próprio. Caminhos sensíveis como a caixa, bloqueia-os você. Por predefinição, os vídeos são eliminados ao fim de 30 dias. Como o configurar, está na ajuda em [Ativar, limitar e ver vídeos de rato](https://whovisit.app/hilfe/mausvideos-einstellen-und-ansehen). Isto não torna os vídeos de rato inofensivos: mesmo os registos mascarados mostram conteúdo da página e comportamento. A verificação jurídica fica consigo.

## Em resumo

Os vídeos de rato respondem a perguntas concretas sobre a utilização quando os usa de forma direcionada e limitada no tempo. Mascare as introduções no navegador, bloqueie áreas sensíveis, elimine cedo e informe em separado. Verifique o consentimento para o acesso ao dispositivo e um fundamento jurídico para o tratamento. Dispense onde estejam em causa saúde, finanças ou crianças.