CCPA, CPRA e leis estaduais de privacidade dos EUA para sites

O que a CCPA, alterada pela CPRA, e as leis estaduais dos EUA exigem de sites com cookies: aviso, opt-out da venda e partilha, e Global Privacy Control.

Opt-out em vez de opt-in

As leis estaduais de privacidade dos EUA funcionam sobretudo com opt-out: um site pode usar cookies de estatísticas e publicidade, mas tem de informar os visitantes e permitir-lhes opor-se à venda das suas informações pessoais, à sua partilha para publicidade comportamental entre contextos e, na maioria dos estados, à publicidade direcionada. Cookies e píxeis de publicidade de terceiros são muitas vezes uma «venda» ou «partilha» nos termos destas leis.

A California Consumer Privacy Act

A CCPA, alterada pela CPRA (em vigor desde 2023), aplica-se a empresas com fins lucrativos que operam na Califórnia e cumprem um de três limiares: receitas brutas anuais acima de 25 milhões de dólares (ajustadas à inflação), comprar, vender ou partilhar informações pessoais de 100 000 ou mais consumidores ou agregados familiares, ou obter pelo menos metade das receitas da venda ou partilha de informações pessoais. Exige:

um aviso no momento da recolha que explique o que é recolhido e porquê;
uma ligação «Do Not Sell or Share My Personal Information» ou uma ligação alternativa de opt-out;
respeitar os sinais do navegador Global Privacy Control (GPC) como opt-out válido;
responder a pedidos de acesso, apagamento e retificação em 45 dias.

A California Privacy Protection Agency e o procurador-geral aplicam-na, com coimas por infração ajustadas à inflação e mais altas para infrações intencionais e que envolvam menores.

Outros estados

Virgínia, Colorado, Connecticut, Utah, Texas, Oregon, Montana e uma lista crescente de outros estados têm leis de privacidade abrangentes com direitos de opt-out semelhantes. Vários deles, incluindo o Colorado, o Connecticut, o Texas e o Oregon, exigem o respeito de sinais universais de opt-out como o GPC. Os limiares, as regras sobre dados sensíveis e os prazos variam de estado para estado.

Como a Consentl ajuda

Uma regra para os EUA pronta: opt-out, com um aviso e uma ligação às preferências onde os visitantes podem desativar a venda ou partilha dos seus dados.
Global Privacy Control respeitado automaticamente: um sinal GPC conta como opt-out, e o registo indica-o.
Etiquetas retidas após um opt-out e Google Consent Mode atualizado.
Um formulário de pedidos com o prazo de 45 dias da CCPA no painel, e pedidos «Do Not Sell or Share» sem verificação de identidade, como exige a regulamentação.

Perguntas frequentes

A CCPA aplica-se a um site pequeno?

Só se a empresa atingir um dos limiares. As leis dos outros estados têm limiares próprios, muitas vezes baseados no número de residentes cujos dados trata.

A CCPA não exige um banner opt-in, mas tem de informar e oferecer um opt-out simples. Um banner com uma ligação às preferências é uma forma comum de fazer as duas coisas.

Começar grátis Preços

Esta página contém informação geral, não aconselhamento jurídico. As leis e as orientações mudam; confirme as regras em vigor para a sua situação.