Que leis de privacidade dos estados dos EUA afetam o seu banner de cookies?

Todos os artigos

Dezenove estados dos EUA têm uma lei abrangente de privacidade em vigor, a Flórida tem uma mais restrita e mais quatro já foram sancionadas. Nenhuma exige opt-in no estilo europeu para cookies comuns. Todas esperam um opt-out funcional da venda e de anúncios direcionados, e doze, entre elas Califórnia, Colorado, Texas e New Jersey, exigem que você respeite o Global Privacy Control.

O critério de aplicação, os prazos e o link para a lei de cada estado estão no nosso mapa das leis estaduais de privacidade dos EUA, com uma calculadora que mostra quais leis alcançam a sua empresa. Este post cobre o que elas significam para o seu banner.

Quais estados dos EUA têm uma lei de privacidade em vigor?

Em 5 de outubro de 2026, dezenove estados têm uma lei abrangente de privacidade do consumidor em vigor. A Califórnia veio primeiro, em 2020. Virgínia, Colorado, Connecticut e Utah vieram em 2023, e Oregon, Texas e Montana em 2024. Mais oito chegaram em 2025, e Indiana, Kentucky e Rhode Island em 1 de janeiro de 2026. O Digital Bill of Rights da Flórida, também de 2024, costuma ser contado à parte, porque só alcança empresas com receita acima de $1 bilhão.

Oklahoma e Luisiana vêm em 1 de janeiro de 2027, Alabama em 1 de maio de 2027 e Vermont em 1 de janeiro de 2028.

Cada lei tem o seu próprio critério de aplicação. A maioria começa em 100.000 residentes por ano, ou menos se você vende dados. Algumas vão bem mais baixo: Montana começa em 25.000; Delaware, New Hampshire, Maryland e Rhode Island em 35.000; e desde 1 de julho de 2026 Connecticut alcança qualquer um que trate dados sensíveis ou venda qualquer dado pessoal. Texas e Nebraska não têm nenhum critério numérico; eles isentam as pequenas empresas conforme a definição da SBA. O Tennessee só se aplica acima de $25 milhões em receita.

As leis estaduais de privacidade dos EUA exigem banner de cookies?

Não no sentido europeu. Nenhum estado exige consentimento antes de cookies comuns de analytics ou de publicidade rodarem. O modelo é o opt-out: os residentes podem pedir que você pare de vender os dados deles, de usá-los para anúncios direcionados e, na maioria dos estados, para certos tipos de perfilamento.

O que as leis exigem é uma forma de fazer essa escolha. Na Califórnia, isso significa um link “Do Not Sell or Share My Personal Information”, ou o link mais curto “Your Privacy Choices” com o seu ícone. Connecticut e Delaware pedem um link claro para uma página onde as pessoas possam fazer opt-out. A maioria dos outros estados pede que você explique no seu aviso de privacidade como fazer opt-out. Um banner atende a tudo isso de uma vez, na página onde o rastreamento acontece.

Duas exceções vão no sentido contrário. Dados sensíveis, como saúde, localização precisa ou dados de uma criança, exigem consentimento opt-in na maioria dos estados. E os adolescentes têm mais proteção. Connecticut e Maryland agora proíbem publicidade direcionada e venda para usuários sabidamente menores de 18 anos, e Oregon faz o mesmo para os sabidamente menores de 16.

Quais estados exigem que você respeite o Global Privacy Control?

O Global Privacy Control é um sinal do navegador que diz “não venda nem compartilhe os meus dados”. O Brave e o DuckDuckGo o enviam por padrão, e o Firefox tem uma configuração para isso. Doze estados o tratam, ou tratam um sinal parecido, como um opt-out válido.

Texas, Nebraska e Maryland formulam isso como um agente agindo por meio de uma configuração do navegador. A Califórnia vai mais longe: desde 1 de janeiro de 2026, o seu regulamento exige que um site mostre se processou o sinal, por exemplo com uma nota de que o pedido de opt-out foi atendido. A partir de 2027, a AB 566 da Califórnia também exige que os navegadores ofereçam a configuração, então mais visitantes vão enviá-la. A Luisiana acrescenta uma obrigação parecida em 2027 e Vermont em 2028.

Mais sobre o próprio sinal: o que é o Global Privacy Control.

Por que os reguladores multaram empresas?

A Califórnia anunciou catorze penalidades sob a sua lei de privacidade. As mais próximas de um banner de cookies:

• Honda, $632.500 (março de 2025). Permitir tudo levava um clique e recusar levava mais. A agência chamou isso de dark pattern.
• Todd Snyder, $345.178 (maio de 2025). Uma plataforma de consentimento mal configurada deixou pedidos de opt-out sem processar por 40 dias. A agência disse que usar um fornecedor não transfere a responsabilidade.
• Healthline, $1,55 milhão (julho de 2025). O banner dizia que os cookies de rastreamento estavam desligados quando não estavam, e o GPC era ignorado.
• Tractor Supply, $1,35 milhão (setembro de 2025). Nenhum opt-out funcionando, e os sinais de GPC não eram processados.
• Sling TV, $530.000 (outubro de 2025). Desligar os cookies não interrompia a venda nem o compartilhamento de dados.
• Disney, $2,75 milhões (fevereiro de 2026). O GPC e os opt-outs valiam para um navegador ou dispositivo, não para a conta logada.
• Ford, $375.703 (março de 2026). Os visitantes tinham que verificar um endereço de e-mail antes de um opt-out ser processado.

Em setembro de 2025, os reguladores da Califórnia, do Colorado e de Connecticut também fizeram uma varredura conjunta de sites que ignoram o GPC. O ponto em comum: a escolha tem que mudar o que a página realmente faz.

O que mudou em 2026?

• 1 de janeiro: a regra da Califórnia sobre mostrar que o GPC foi respeitado, as obrigações de GPC em Delaware e no Oregon e as leis de Indiana, Kentucky e Rhode Island entraram em vigor.
• 30 de junho: New Jersey proibiu de vez a venda de dados sensíveis, sem exceção por consentimento.
• 1 de julho: Connecticut baixou o seu critério para 35.000 residentes e proibiu anúncios direcionados e venda para usuários sabidamente menores de 18 anos.
• 30 de setembro: a Califórnia sancionou a SB 690, que a partir de 2027 deixa para o Procurador-Geral as ações por pen register sobre rastreamento em sites. As ações por escuta (wiretap) envolvendo pixels não mudam.

Como configurar um único banner para todos os estados?

Você não precisa de cinquenta banners. Uma configuração que atende às regras comuns mais rígidas cobre o lado do banner de todas as leis estaduais. Algumas obrigações ficam em outro lugar, como a proibição de New Jersey à venda de dados sensíveis.

1. Ofereça a recusa tão fácil quanto a aceitação

   Coloque recusar ao lado de aceitar na primeira camada, do mesmo tamanho e com o mesmo número de cliques. As regras da Califórnia dizem que um banner só com “Accept All” e “Preferences” não oferece uma escolha justa, e que fechar o banner não conta como concordar. As regras do Colorado pedem a mesma simetria, e esse é o padrão mais fácil de aplicar em todo lugar.

2. Faça a recusa realmente parar as tags

   As tags de publicidade precisam seguir o sinal de publicidade. No Google Tag Manager, cada tag verifica ad_storage, ad_user_data e ad_personalization. Teste: recuse, recarregue e confirme que nenhuma tag de publicidade dispara.

3. Respeite o Global Privacy Control automaticamente

   Leia o sinal em todas as páginas e trate-o como opt-out da venda e de anúncios direcionados, sem precisar de clique. Mantenha-o aplicado enquanto o sinal estiver presente.

4. Avise o visitante que o sinal foi respeitado

   A Califórnia agora exige isso, e não custa nada em outros lugares. Uma linha curta no banner basta.

5. Adicione o link de opt-out

   Use esse texto no botão de recusa, ou adicione um link no rodapé que diga “Do Not Sell or Share My Personal Information” ou “Your Privacy Choices”. Aponte-o para as preferências, não para um formulário que pede um endereço de e-mail.

6. Mantenha um registro de cada escolha

   Guarde quando a escolha foi feita, qual foi e se o GPC estava presente, para poder responder a um regulador ou a um pedido mais tarde.

Como o Velo lida com as leis estaduais de privacidade dos EUA?

O Velo faz os passos três a seis por você, em todos os planos, inclusive o Free:

• GPC respeitado automaticamente. Um visitante cujo navegador o envia recebe uma recusa de publicidade registrada, sem precisar de clique.
• O aviso da Califórnia já incluído. O banner informa ao visitante que o sinal foi aplicado e a publicidade está desligada.
• O rótulo da lei. Os padrões regionais podem renomear o botão de recusa para “Do not sell or share my personal information”.
• Um comprovante para cada escolha. Cada decisão fica registrada com a região e o estado do GPC.
• Uma configuração para todos os estados. O Velo lê o país do visitante, não o estado, então uma nova lei estadual não exige um novo banner. Você também pode tornar os Estados Unidos inteiros opt-in.

Para ver o que uma recusa precisa parar no seu próprio site, faça a análise gratuita: ela lista os cookies e as tags que as suas páginas carregam. Depois configure o banner de cookies gratuito e confira a partir de um navegador com GPC.