Dezenove estados têm uma lei abrangente de privacidade em vigor, a Flórida tem uma de alcance mais limitado e outras quatro já foram sancionadas. Doze esperam que os sites respeitem o Global Privacy Control. Aqui está cada uma, e o que o Velo faz a respeito.
Informação geral, revisada em setembro de 2026. Não é aconselhamento jurídico.
Seis perguntas, conferidas com os limites de cada lei. A ferramenta aplica o seu maior número estadual a todos os estados, então mostra cada lei que pode alcançar você nesse porte. Uma primeira triagem, não aconselhamento jurídico.
20 leis estaduais estão em vigor (19 abrangentes mais a lei de alcance limitado da Flórida) e outras 4 já foram sancionadas. Verificado em 5 de outubro de 2026. Informação geral, não aconselhamento jurídico. O que isso significa para o seu banner.
| Estado | Lei | Início da vigência | Global Privacy Control | Dados sensíveis | Prazo para sanar | Abrangência | Fonte |
|---|---|---|---|---|---|---|---|
| CACalifórnia | CCPA, alterada pela CPRA | 1º de janeiro de 2020 | ObrigatórioDesde as regras de 2020; mostrar o resultado é obrigatório a partir de 1º jan. 2026 | Direito de limitar o uso | Nenhum | Receita de $26,6 milhões, ou 100.000 consumidores ou domicílios, ou metade da receita com venda ou compartilhamento de dados | Ler a lei |
| VAVirgínia | Consumer Data Protection Act | 1º de janeiro de 2023 | Não obrigatório | Opt-in | 30 dias, permanente | 100.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| COColorado | Colorado Privacy Act | 1º de julho de 2023 | Obrigatóriodesde 1º jul. 2024 | Opt-in | Terminou em 1º jan. 2025 | 100.000 consumidores, ou 25.000 e qualquer receita ou desconto com venda de dados | Ler a lei |
| CTConnecticut | Connecticut Data Privacy Act | 1º de julho de 2023 | Obrigatóriodesde 1º jan. 2025 | Opt-in | Terminou em 31 dez. 2024, agora discricionário | 35.000 consumidores, ou qualquer dado sensível, ou qualquer venda de dados (desde 1º jul. 2026) | Ler a lei |
| UTUtah | Consumer Privacy Act | 31 de dezembro de 2023 | Não obrigatório | Aviso e chance de fazer opt-out | 30 dias, permanente | Receita de $25 milhões e 100.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| FLFlórida | Digital Bill of Rights | 1º de julho de 2024 | Não obrigatório | Opt-in; consentimento para vender | 45 dias, a critério do Procurador-Geral | Empresas com receita global acima de $1 bilhão que atendem a mais um critério | Ler a lei |
| OROregon | Oregon Consumer Privacy Act | 1º de julho de 2024 | Obrigatóriodesde 1º jan. 2026 | Opt-in; algumas vendas proibidas | Terminou em 1º jan. 2026 | 100.000 consumidores, ou 25.000 e mais de 25% da receita com venda de dados; inclui organizações sem fins lucrativos | Ler a lei |
| TXTexas | Data Privacy and Security Act | 1º de julho de 2024 | Obrigatóriodesde 1º jan. 2025Descrito como um agente que usa uma configuração do navegador | Opt-in | 30 dias, permanente | Sem limite numérico; pequenas empresas da SBA isentas | Ler a lei |
| MTMontana | Consumer Data Privacy Act | 1º de outubro de 2024 | Obrigatóriodesde 1º jan. 2025 | Opt-in | Removido em 1º out. 2025 | 25.000 consumidores, ou 15.000 e mais de 25% da receita com venda de dados | Ler a lei |
| DEDelaware | Personal Data Privacy Act | 1º de janeiro de 2025 | Obrigatóriodesde 1º jan. 2026 | Opt-in | Terminou em 31 dez. 2025, agora discricionário | 35.000 consumidores, ou 10.000 e mais de 20% da receita com venda de dados (menor a partir de 2027) | Ler a lei |
| IAIowa | Consumer Data Protection Act | 1º de janeiro de 2025 | Não obrigatório | Aviso e chance de fazer opt-out | 90 dias, permanente | 100.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| NENebraska | Data Privacy Act | 1º de janeiro de 2025 | Obrigatóriodesde 1º jan. 2025Descrito como um agente que usa uma configuração do navegador | Opt-in | 30 dias, permanente | Sem limite numérico; pequenas empresas da SBA isentas | Ler a lei |
| NHNew Hampshire | Data Privacy Act (RSA 507-H) | 1º de janeiro de 2025 | Obrigatóriodesde 1º jan. 2025 | Opt-in | Terminou em 31 dez. 2025, agora discricionário | 35.000 consumidores, ou 10.000 e mais de 25% da receita com venda de dados | Ler a lei |
| NJNew Jersey | Data Privacy Act | 15 de janeiro de 2025 | Obrigatóriodesde 15 jul. 2025 | Opt-in; venda proibida desde 30 jun. 2026 | Terminou em julho de 2026 | 100.000 consumidores, ou 25.000 e qualquer receita ou desconto com venda de dados | Ler a lei |
| TNTennessee | Information Protection Act | 1º de julho de 2025 | Não obrigatório | Opt-in | 60 dias, permanente | Receita de $25 milhões e 175.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| MNMinnesota | Consumer Data Privacy Act | 31 de julho de 2025 | Obrigatóriodesde 31 jul. 2025 | Opt-in | Terminou em 31 jan. 2026 | 100.000 consumidores, ou 25.000 e mais de 25% da receita com venda de dados | Ler a lei |
| MDMaryland | Online Data Privacy Act | 1º de outubro de 2025 | Obrigatóriodesde 1º out. 2025Descrito como um agente que usa uma configuração do navegador | Só quando estritamente necessário; venda proibida | Discricionário, até 1º abr. 2027 | 35.000 consumidores, ou 10.000 e mais de 20% da receita com venda de dados | Ler a lei |
| INIndiana | Consumer Data Protection Act | 1º de janeiro de 2026 | Não obrigatório | Opt-in | 30 dias, permanente | 100.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| KYKentucky | Consumer Data Protection Act | 1º de janeiro de 2026 | Não obrigatório | Opt-in | 30 dias, permanente | 100.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| RIRhode Island | Data Transparency and Privacy Protection Act | 1º de janeiro de 2026 | Não obrigatório | Opt-in | Nenhum | 35.000 clientes, ou 10.000 e mais de 20% da receita com venda de dados | Ler a lei |
| LALuisiana | Louisiana Data Privacy Act (Act 502) | 1º de janeiro de 2027Sancionada, ainda não em vigor | Obrigatórioa partir de 1º jan. 2027Descrito como um agente que usa uma configuração do navegador | Opt-in | 30 dias, até 31 jul. 2027 | Receita acima de $25 milhões, ou 75.000 consumidores, domicílios ou dispositivos, ou metade da receita com venda de dados | Ler a lei |
| OKOklahoma | Consumer Data Privacy Act (SB 546) | 1º de janeiro de 2027Sancionada, ainda não em vigor | Não obrigatório | Opt-in | 30 dias, permanente | 100.000 consumidores, ou 25.000 e mais da metade da receita com venda de dados | Ler a lei |
| ALAlabama | Personal Data Protection Act (Act 2026-552) | 1º de maio de 2027Sancionada, ainda não em vigor | Não obrigatório | Opt-in | 45 dias, permanente | Mais de 25.000 consumidores, ou mais de 25% da receita com venda de dados; pequenas empresas que não vendem dados estão isentas | Ler a lei |
| VTVermont | Data Privacy and Online Surveillance Act (Act 145) | 1º de janeiro de 2028Sancionada, ainda não em vigor | Obrigatórioa partir de 1º jan. 2028 | Opt-in, e só quando razoavelmente necessário | Discricionário, de 2028 a meados de 2029 | 35.000 consumidores, ou dados sensíveis de 3.000, ou dados de 3.000 colocados à venda | Ler a lei |
O Velo respeita o Global Privacy Control para todo visitante dos Estados Unidos que o envia, avisa no banner que o sinal foi aplicado e registra cada escolha com um recibo. Ele lê o país, não o estado, então uma nova lei estadual não exige nenhuma configuração nova. Em todos os planos, a partir de €0.
O ano em que cada lei entra em vigor. A Califórnia é contada a partir da CCPA; as alterações da CPRA entraram em vigor em 2023.
Prazos de resposta em dias corridos, salvo quando a lei fala em dias úteis. Um opt-out no banner tem efeito imediato; esses prazos importam para pedidos enviados por e-mail ou formulário.
Pedidos para ver, corrigir ou excluir dados correm em um prazo de 45 dias na maioria dos estados, prorrogável uma vez por mais 45 se você avisar a pessoa a tempo. Iowa permite 90 dias; a Flórida prorroga só por 15.
Um opt-out de venda ou compartilhamento tem que produzir efeito em até 15 dias úteis, e pedidos para saber, excluir ou corrigir dados precisam de confirmação de recebimento em até 10. Desde 1º de janeiro de 2026, o site também precisa mostrar se respeitou um sinal GPC.
A maioria dos estados dá 60 dias para decidir um recurso. Colorado e Minnesota dão 45, com possível prorrogação de 60 dias; New Jersey e Oregon dão 45. Califórnia e Utah não têm etapa de recurso.
| Estado | Acesso, correção, exclusão | Opt-out de venda e anúncios | Prorrogação | Decisão do recurso |
|---|---|---|---|---|
| CACalifórnia | 45 dias | 15 dias úteis | +45 dias | Sem etapa de recurso |
| VAVirgínia | 45 dias | 45 dias | +45 dias | 60 dias |
| COColorado | 45 dias | Assim que possível, em até 45 dias | +45 dias | 45 dias (+60) |
| CTConnecticut | 45 dias | 45 dias | +45 dias | 60 dias |
| UTUtah | 45 dias | 45 dias | +45 dias | Sem etapa de recurso |
| FLFlórida | 45 dias | 45 dias | +15 dias | 60 dias |
| OROregon | 45 dias | 45 dias | +45 dias | 45 dias |
| TXTexas | 45 dias | 45 dias | +45 dias | 60 dias |
| MTMontana | 45 dias | 45 dias | +45 dias | 60 dias |
| DEDelaware | 45 dias | 45 dias | +45 dias | 60 dias |
| IAIowa | 90 dias | 90 dias | +45 dias | 60 dias |
| NENebraska | 45 dias | 45 dias | +45 dias | 60 dias |
| NHNew Hampshire | 45 dias | 45 dias | +45 dias | 60 dias |
| NJNew Jersey | 45 dias | 45 dias | +45 dias | 45 dias |
| TNTennessee | 45 dias | 45 dias | +45 dias | 60 dias |
| MNMinnesota | 45 dias | Assim que possível, em até 45 dias | +45 dias | 45 dias (+60) |
| MDMaryland | 45 dias | 45 dias | +45 dias | 60 dias |
| INIndiana | 45 dias | 45 dias | +45 dias | 60 dias |
| KYKentucky | 45 dias | 45 dias | +45 dias | 60 dias |
| RIRhode Island | 45 dias | 45 dias | +45 dias | 60 dias |
| LALuisiana | 45 dias | 45 dias | +45 dias | 60 dias |
| OKOklahoma | 45 dias | 45 dias | +45 dias | 60 dias |
| ALAlabama | 45 dias | 45 dias | +45 dias | Sem etapa de recurso |
| VTVermont | 45 dias | 45 dias | +45 dias | 60 dias |
Ações públicas que giraram em torno de links de opt-out, do Global Privacy Control ou do rastreamento na página, das mais recentes para as mais antigas. Valores conforme anunciados.
Dados fiscais chegaram a parceiros de publicidade por meio de tags de rastreamento no site. O acordo exige um processo de revisão e o monitoramento de cada tag.
ComunicadoOs visitantes tinham que verificar um endereço de e-mail antes de um opt-out de venda ou compartilhamento ser processado. A Ford tem que auditar o rastreamento do seu site e respeitar sinais de opt-out, inclusive o GPC.
ComunicadoOs compradores tinham que aceitar o rastreamento de anúncios para conseguir os ingressos, o único opt-out apontava para ferramentas do setor e os sinais de opt-out eram ignorados.
ComunicadoO GPC e os botões de opt-out valiam para um navegador ou dispositivo, não para a conta logada inteira, e a tecnologia de anúncios incorporada continuou recebendo dados.
ComunicadoAs preferências de cookies eram apresentadas como o opt-out, mas desligar os cookies não interrompia a venda nem o compartilhamento de dados.
ResumoNenhuma forma funcional de fazer opt-out de venda ou compartilhamento, e os sinais de GPC não eram processados.
ComunicadoReguladores de três estados verificaram juntos se os sites respeitavam o GPC e escreveram às empresas que o ignoravam.
ComunicadoO banner de cookies dizia que desligava os cookies de rastreamento, e não desligava. O GPC também era ignorado.
ComunicadoUma plataforma de consentimento mal configurada deixou opt-outs sem processar por 40 dias. A agência disse que usar uma plataforma não transfere a responsabilidade.
ComunicadoA ferramenta de escolhas de privacidade oferecia Allow All em um clique e nenhuma forma igualmente fácil de recusar.
ComunicadoOs rastreadores no site contavam como venda, e os sinais de GPC não eram tratados como opt-outs.
Comunicado
O Velo aplica padrões de opt-out em todos os Estados Unidos, então você não precisa manter um banner por estado à medida que novas leis entram em vigor.
Doze estados esperam que os sites respeitem sinais como o Global Privacy Control. Quando um navegador envia GPC, o Velo desliga os sinais de publicidade e o banner informa isso.
Cada decisão recebe um id de recibo, com a região e o estado do GPC naquele momento, para que um pedido possa ser respondido depois.
Os visitantes podem recusar publicidade e rastreamento no banner e reabrir as preferências pelo botão flutuante a qualquer momento.
Desde que a lei da Virgínia entrou em vigor em 2023, um estado após o outro aprovou a sua própria lei de privacidade. Os critérios de aplicação e os detalhes variam, mas a maioria compartilha um núcleo: os residentes podem fazer opt-out de publicidade direcionada, da venda dos seus dados e de certos perfilamentos automatizados, e a empresa precisa oferecer um jeito claro de fazer isso.
Doze delas, incluindo as da Califórnia, do Colorado, de Connecticut, do Texas, do Oregon e de New Jersey, exigem que os sites respeitem sinais universais de opt-out como o Global Privacy Control. Já os dados sensíveis, como informações de saúde ou localização precisa, em geral exigem consentimento opt-in, e Maryland e New Jersey agora proíbem a venda desses dados.
Da primeira tag de script à primeira escolha registrada.
Instale com o template do Google Tag Manager ou cole uma única tag de script. Há guias para WordPress, Shopify, Webflow e outras plataformas.
O Velo analisa suas páginas, lista os cookies e scripts que encontra e sugere uma categoria para cada um. Você confirma ou altera.
Escolha cores, textos e idiomas. Recusar fica ao lado de aceitar na primeira camada.
Visitantes nos Estados Unidos recebem padrões de opt-out, e o Global Privacy Control desliga a publicidade. Cada escolha entra no seu registro de consentimento com o id de recibo.
O Velo cuida do banner, dos padrões por região e dos registros. Estas partes continuam com você.
O que as equipes perguntam sobre as leis estaduais de privacidade.
Em 5 de outubro de 2026, são dezenove: Califórnia, Virgínia, Colorado, Connecticut, Utah, Oregon, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky e Rhode Island. A Flórida também tem uma lei de alcance mais limitado, para empresas com receita acima de $1 bilhão. Oklahoma e Luisiana vêm em seguida, em 1º de janeiro de 2027, o Alabama em 1º de maio de 2027 e Vermont em 1º de janeiro de 2028.
Em geral, não. A maioria dá aos residentes o direito de fazer opt-out de publicidade direcionada, da venda de dados pessoais e de perfilamento. Dados sensíveis são a principal exceção: nesse caso, vários estados exigem consentimento opt-in.
Doze: Califórnia, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon e Texas. Texas, Nebraska e Maryland descrevem isso como um agente que age por meio de uma configuração do navegador. O Velo respeita o GPC para os visitantes dos Estados Unidos que o enviam.
Desde 1º de janeiro de 2026, a empresa precisa mostrar se processou o sinal de preferência de opt-out do visitante, por exemplo com um aviso de que o opt-out foi respeitado. Quando um navegador envia GPC, o banner do Velo informa que o sinal foi aplicado e que a publicidade está desligada.
Não. Esta página é informação geral. Os critérios e as obrigações variam por estado, então verifique quais leis se aplicam a você.
Privacidade na web em um só lugar.
Analise seu site →
