✨ Guia definitivo das leis de proteção de privacidade de dados dos EUA 2024: Fique seguro com Veriff

1. Visão geral do panorama de privacidade dos EUA

Durante anos, a proteção de dados nos Estados Unidos se baseou na abordagem setorial. Isso significava que as regulamentações de privacidade de dados nos EUA se aplicavam apenas a indústrias específicas. Havia (e ainda há) a Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) para regular o processamento de informações de saúde protegidas por entidades cobertas e associados comerciais; na indústria de serviços financeiros, os consumidores recebiam alguma proteção de privacidade pela Lei de Relato Justo de Crédito (FCRA) ou pela Lei Gramm-Leach-Bliley; e também existem leis para regular a privacidade na educação, telecomunicações e marketing, bem como privacidade no local de trabalho. No entanto, nenhuma dessas leis oferece proteção abrangente ao indivíduo.

Recentemente, a proteção de dados nos EUA tomou um rumo interessante. Em 2018, a Lei de Privacidade do Consumidor da Califórnia (CCPA) foi assinada. Ela entrou em vigor em 1º de janeiro de 2020, e foi a primeira lei abrangente de privacidade de dados nos Estados Unidos. Ela dá aos consumidores muito mais controle sobre suas informações pessoais do que qualquer uma das leis de privacidade anteriores. A Lei de Privacidade do Consumidor da Califórnia (CCPA) protege os consumidores em outro nível, servindo de exemplo para outros estados. De repente, os consumidores podiam perguntar sobre quais dados pessoais estavam sendo coletados sobre eles, receber informações sobre divulgações de dados, dizer "não" à venda de seus dados pessoais, ou até mesmo solicitar que suas informações pessoais fossem excluídas, independentemente da indústria do negócio.

Demorou um pouco para outros estados seguirem o exemplo. Mas hoje, embora a Califórnia continue sendo, de longe, a mais rigorosa das leis de proteção de dados do estado, existem várias leis de proteção de dados e privacidade a nível estadual que concedem proteção igualmente ampla aos consumidores em outros estados.

Com o Ato de Direitos de Privacidade Americana (APRA) no horizonte, só o tempo dirá se um dia haverá também um "Regulamento Geral de Proteção de Dados dos Estados Unidos" (sim, uma comparação direta e desajeitada com o GDPR europeu).

Enquanto isso, vamos mergulhar na visão geral das leis de proteção de dados e privacidade promulgadas por vários estados dos EUA.

2. In-depth look into the US states’ data protection and privacy laws

É essencial reconhecer que o panorama de privacidade dos EUA está em constante mudança. Portanto, não podemos prometer uma visão geral exaustiva de todas as leis estaduais de proteção de dados do consumidor. No entanto, compilamos uma lista dos atos legais mais relevantes que moldam o panorama da privacidade em 2024. Aqui está a lista das principais disposições das leis de proteção de dados e privacidade dos EUA que já estão em vigor ou que entrarão em vigor em 2024:

Califórnia

• Ato: Lei de Privacidade do Consumidor da Califórnia de 2018 (CCPA) e sua emenda Lei de Direitos de Privacidade da Califórnia (CPRA).
• Data de vigência: 1 de janeiro de 2023 (para emendas da CPRA).

Escopo:

• Papeis: O CCPA impõe obrigações a "empresas" e "fornecedores de serviços" na Califórnia. A CPRA modifica e amplia o CCPA para criar direitos adicionais para os consumidores e impor obrigações adicionais às empresas.
• Assuntos: A lei protege "consumidores", que se refere a uma pessoa natural identificável que reside na Califórnia. Isso inclui clientes individuais, mas também empregados e representantes de clientes B2B.
• Dados Pessoais: Informação pessoal é definida como qualquer informação que identifica, está relacionada, descreve, é razoavelmente capaz de ser associada ou poderia razoavelmente ser vinculada, direta ou indiretamente, a um consumidor ou domicílio específico.

Requisitos principais:

• Geral: O CCPA se concentra nos princípios de responsabilidade, controle e transparência. As principais obrigações estão correlacionadas com os direitos concedidos aos consumidores, garantindo a eles controle sobre seus dados pessoais. CCPA, juntamente com as emendas da CPRA, é sem dúvida a mais rigorosa de todas as leis de proteção de dados e privacidade dos EUA.
• Regras para dados sensíveis: Os consumidores podem optar por não participar do processamento de dados sensíveis, significando que eles podem, em certas situações, restringir o uso ou a divulgação dos dados sensíveis por uma empresa.
• Principais direitos dos consumidores: Direito de saber, direito de deletar, direito de optar por não participar de vendas, direito à não discriminação, e a CPRA adicionou direito de corrigir e direito de limitar.
• Isenções, se houver: A lei isenta dados públicos, dados que não podem ser identificados e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicada: O CCPA pode ser aplicado pelo Procurador-Geral e pela Agência de Proteção de Privacidade da Califórnia (CPPA). Além disso, inclui um direito privado limitado de ação para certas violações de segurança.
• Penalidades: Inclui penalidades de US$2.500 por violação ou até US$7.500 por violação intencional ou violação envolvendo menores.

Virgínia

• Ato: Lei de Proteção de Dados do Consumidor da Virgínia (VCDPA)
• Data de vigência: 1 de janeiro de 2023

Escopo:

• Papeis: O VCDPA impõe obrigações a "controladores" e "processadores", que espelham efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos: A lei protege "consumidores", que significa indivíduos na Virgínia atuando em um contexto individual ou familiar. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dado pessoal significa informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Requisitos principais:

• Geral: De maneira semelhante a outras leis de proteção de dados e privacidade, a Lei de Proteção de Dados do Consumidor da Virgínia visa dar aos consumidores mais controle sobre seus dados pessoais. No entanto, existem várias diferenças principais entre as leis, e o VCDPA foi até considerado um modelo alternativo para leis de privacidade de dados a nível estadual nos EUA.
• Regras para dados sensíveis: O consumidor deve optar pela realização do processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de confirmar, direito de acesso, direito de corrigir, direito de deletar, direito de obter uma cópia, direito de optar por não participar, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas, dados que não podem ser identificados e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicada: O VCDPA é aplicado pelo Procurador-Geral da Virgínia. Não há direito privado de ação.
• Penalidades: Inclui penalidades de US$7.500 por violação.

Colorado

• Ato: Lei de Privacidade do Colorado (CPA)
• Data de vigência: 1 de julho de 2023

Escopo:

• Papeis: A Lei de Privacidade do Colorado (CPA) impõe obrigações a "controladores" e "processadores", que espelham efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos: A lei protege "consumidores", que significa indivíduos no Colorado atuando em um contexto individual ou familiar. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dado pessoal significa informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Requisitos principais:

• Geral: O CPA concentra-se em proteger a privacidade digital do consumidor e visa dar a eles mais controle sobre o processamento de seus dados pessoais. Também enfatiza obrigações e responsabilidades relacionadas à transparência do processamento. O CPA é um pouco especial no conjunto de leis de proteção de dados e privacidade nos EUA, pois também é acompanhado por um conjunto de regras de implementação.
• Regras para dados sensíveis: O consumidor deve optar pelo processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de acesso, direito de correção, direito de deletar, direito de portabilidade, direito de optar por não participar, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas, dados que não podem ser identificados e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicado: O CPA é aplicado pelo Procurador-Geral do Colorado e pelos Promotores de Justiça. Não há direito privado de ação.
• Penalidades: Inclui penalidades de até US$20.000 por violação, ou em alguns casos raros, até US$50.000 por violação.

Connecticut

• Ato: Lei de Privacidade de Dados de Connecticut (CTDPA)
• Data de vigência: 1 de julho de 2023

Escopo:

• Papeis: A Lei de Privacidade de Dados de Connecticut (CTDPA) impõe obrigações a "controladores" e "processadores", que espelham efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos: A lei protege "consumidores", que significa indivíduos em Connecticut atuando em um contexto individual ou familiar. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dado pessoal significa informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Requisitos principais:

• Geral: A lei segue um modelo semelhante ao das leis de proteção de dados e privacidade discutidas anteriormente, estabelecendo proteção ao consumidor ao conceder um conjunto diversificado de direitos aos titulares de dados. Assim, existem obrigações impostas às empresas para cumprir esses direitos e garantir o controle ao titular dos dados.
• Regras para dados sensíveis: O consumidor deve optar pelo processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de saber, direito de corrigir, direito de deletar, direito de optar por não participar, direito de portabilidade, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas e dados não identificáveis e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicada: O CTDPA é aplicado pelo Procurador-Geral de Connecticut. Não há direito privado de ação.
• Penalidades: Inclui penalidades de US$7.500 por violação.

Utah

• Ato: Lei de Privacidade do Consumidor de Utah (UCPA)
• Data de vigência: 31 de dezembro de 2023

Escopo:

• Papeis: A Lei de Privacidade do Consumidor de Utah (UCPA) impõe obrigações a "controladores" e "processadores", que espelham efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos: A lei protege "consumidores", que significa indivíduos em Utah atuando em um contexto individual ou familiar. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dado pessoal significa informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Requisitos principais:

• Geral: A UCPA estabelece requisitos semelhantes às outras leis de privacidade estaduais. Ela visa dar aos consumidores mais controle sobre seus dados e impor requisitos mais rigorosos de segurança de dados às empresas. Também enfatiza obrigações e responsabilidades relacionadas à transparência do processamento.
• Regras para dados sensíveis: O consumidor pode optar por não participar do processamento, significando que o controlador não pode processar dados sensíveis dos consumidores sem primeiro apresentar ao consumidor um aviso claro e uma oportunidade de optar por não participar do processamento.
• Principais direitos dos consumidores: Direito de saber, direito de deletar, direito de portabilidade, direito à não discriminação e direito limitado de optar por não participar (observe que não há direito de optar por não participar da tomada de decisão automatizada).
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas, dados não identificáveis e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicada: A UCPA é aplicada pelo Procurador-Geral de Utah. Não há direito privado de ação.
• Penalidades: Inclui penalidades de até US$7.500 por violação.

Texas

• Ato: Lei de Privacidade e Segurança de Dados do Texas (TDPSA)
• Data de vigência: 1 de julho de 2024

Escopo:

• Papeis: O TDPSA impõe obrigações a "controladores" e "processadores", que espelham efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos: A lei protege "consumidores", que significa indivíduos no Texas atuando em um contexto individual ou familiar. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dado pessoal significa informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Requisitos principais:

• General: Texas Data Privacy and Security Act took cue from the VCDPA. It has a broad scope both in privacy as well as security requirements. While being similar to other recently passed privacy laws, there are still some differences. For example, while it still aims to give consumers control over their data processing, it lacks the explicit requirement to provide means for revoking a consent.
• Regras para dados sensíveis: O consumidor deve optar pela realização do processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de acesso, direito de corrigir, direito de deletar, direito de portabilidade, direito de optar por não participar, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas, dados não identificáveis e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicado: O TDPSA é aplicado pelo Procurador-Geral do Texas. Não há direito privado de ação.
• Penalties: Includes penalties such as US$7.500 per violation. However, note that TDPSA also includes a right to cure and the cure period clause will be permanent - unlike many other US privacy laws - it does not have a sunset date.

Oregon

• Ato: Lei de Privacidade do Consumidor de Oregon (OCPA)
• Data de vigência: 1 de julho de 2024 (2025 para organizações sem fins lucrativos)

Escopo:

• Papeis: A OCPA impõe obrigações a "controladores" e "processadores", que espelham efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos:  A lei protege "consumidores", que significa indivíduos em Oregon atuando em qualquer capacidade que não em um contexto comercial ou de emprego.
• Dados Pessoais: Dados pessoais significam dados, dados derivados ou qualquer identificador único que está vinculado ou é razoavelmente vinculável a um consumidor ou a um dispositivo que identifica, está vinculado ou é razoavelmente vinculável a um ou mais consumidores em um domicílio.

Requisitos principais:

• Geral: Oregon possui uma redação um tanto única das definições e obrigações, no entanto, de modo geral, o escopo ainda é semelhante ao de outras leis de proteção de dados e privacidade nos EUA. É consistente com outras leis de proteção de dados em nível estadual ao fornecer controle aos consumidores sobre seus dados e obrigar as empresas a serem mais transparentes.
• Regras para dados sensíveis: O consumidor deve optar pelo processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de acesso, direito de corrigir, direito de deletar, direito de portabilidade, direito de optar por não participar, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas, dados que não podem ser identificados e também possui várias exceções setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicado: A OCPA é aplicada pelo Procurador-Geral de Oregon. Não há direito privado de ação.
• Penalties: Includes penalties such as US$7.500 per violation.

Flórida

• Ato: Lei Digital de Direitos da Flórida (FDBR)
• Data de vigência: 1 de julho de 2024

Escopo:

• Papeis: O FDBR impõe obrigações a "controladores" e "processadores", que são similares às designações de controlador/processador sob o GDPR. No entanto, a definição de um "controlador" é muito mais nuançada sob o FDBR.
• Assuntos: A lei protege "consumidores", que significa indivíduos na Flórida atuando em um contexto individual ou familiar. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dados pessoais significam qualquer informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Observe que o FDBR enfatiza separadamente que os dados pessoais incluem dados vinculados ou razoavelmente vinculáveis a uma criança identificada ou identificável, incluindo informações biométricas e identificadores únicos para a criança.

Requisitos principais:

• Geral: A Lei Digital de Direitos da Flórida (FDBR) é um tanto especial em comparação com outras leis de proteção de dados e privacidade dos EUA. Ela se concentra mais na proteção dos dados pessoais de crianças e em questões de mídias sociais. Parece que o principal alvo da lei são as grandes empresas de tecnologia; no entanto, todas as empresas devem prestar mais atenção à transparência em relação aos consumidores. Com suas definições únicas, foco específico e altas multas, a FDBR definitivamente precisa de mais atenção para conformidade.
• Regras para dados sensíveis: O consumidor deve optar pelo processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de acesso, direito de corrigir, direito de deletar, direito de portabilidade, direito de optar por não participar, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas, dados desidentificados e também possui várias exclusões setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicada: A FDBR é aplicada pelo Procurador-Geral da Flórida. Não há direito de ação privada.
• Penalidades: Inclui penalidades mais rígidas, mas também um período de cura potencial. As penalidades podem chegar a US$50.000 por violação ou até mesmo o triplo do valor em casos severos. No entanto, o Procurador-Geral pode conceder um período de cura de 45 dias. Essa cláusula é permanente na lei e não tem uma data de expiração.

Montana (província)

• Ato: Lei de Privacidade de Dados do Consumidor de Montana (MTCDPA)
• Data de entrada em vigor: 1º de outubro de 2024

Escopo:

• Funções: A Lei de Privacidade de Dados do Consumidor de Montana (MTCDPA) impõe obrigações a "controladores" e "processadores", que refletem efetivamente as designações de controlador/processador sob o GDPR.
• Assuntos: A lei protege “consumidores”, que significa indivíduos em Montana atuando em um contexto individual ou doméstico. Não inclui uma pessoa natural atuando em um contexto comercial ou de emprego.
• Dados Pessoais: Dado pessoal significa informação que está vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável.

Requisitos principais:

• Geral: A lei segue um modelo semelhante ao das leis de proteção de dados e privacidade discutidas anteriormente, estabelecendo controle do consumidor ao conceder um conjunto de direitos aos titulares de dados, com obrigações correspondentes impostas às empresas.
• Regras para dados sensíveis: O consumidor deve optar pela realização do processamento, significando que a empresa deve primeiro obter o consentimento afirmativo do consumidor para processar dados sensíveis.
• Principais direitos dos consumidores: Direito de acesso, direito de corrigir, direito de excluir, direito de optar por não participar, direito à portabilidade, direito à não discriminação.
• Isenções, se houver: A lei isenta dados de empregados, dados de contato B2B, informações públicas e dados desidentificados e também possui várias exclusões setoriais (por exemplo, GLBA, FCRA, HIPAA).
• Como é aplicada: A MTCDPA é aplicada pelo Procurador-Geral de Montana. Não há direito de ação privada.
• Penalidades: A MTCDPA não inclui nenhum valor específico em dólares para multas.

3. Insights acionáveis: dicas para manter seu negócio em conformidade

A conformidade com a privacidade nunca é um destino, é uma jornada

O primeiro passo para a conformidade é sempre conhecer seu status quo e se familiarizar com as leis relevantes de proteção de dados e privacidade. Ao avaliar as necessidades de uma empresa no contexto das regulamentações de privacidade de dados nos EUA, inclui uma análise contínua da aplicabilidade, escopo e melhores práticas de cada ato estadual de proteção de dados do consumidor. Consultoria jurídica informada pode fornecer orientações valiosas nessa área

Seja transparente e honre os opt-outs

As leis de proteção de dados e privacidade adotadas, bem como as que estão por vir, nos EUA visam proteger os consumidores. A proteção da privacidade online está se tornando cada vez mais relevante. Para as empresas, isso significa que elas devem ser cada vez mais transparente sobre suas atividades de processamento de dados. A maioria das leis de privacidade de dados nos EUA se concentra nos direitos dos indivíduos. Os indivíduos devem saber como seus dados são processados e como estão protegidos, e também podem exercer seu direito de optar por não participar do processamento. Às vezes, também é obrigatório pedir consentimento ao consumidor antes de processar seus dados. Ao contar com prestadores de serviços, certifique-se de que eles apoiam sua estrutura de conformidade sob as leis de proteção de dados e privacidade aplicáveis ao seu negócio.

Certifique-se de que sua equipe esteja atualizada

Com a onda de leis abrangentes de privacidade de dados, certifique-se de que as políticas e procedimentos relevantes estejam em vigor e atualizados. Além disso, treinar sua equipe nas tendências de proteção de dados e privacidade é uma das maiores vantagens. Uma equipe informada reduz riscos, mas também aumenta o potencial de negócios. Isso capacita a equipe a tomar melhores decisões e reconhecer oportunidades potenciais em dados de boa qualidade.

4. Como a Veriff pode ajudar

A Veriff auxilia os clientes a navegar pelo terreno complexo das obrigações regulatórias e de conformidade, com tecnologia de verificação de identidade de ponta. Em indústrias onde conhecer seu cliente (KYC) e as regulamentações de prevenção à lavagem de dinheiro (PLD) são rigorosas, as soluções da Veriff simplificam o processo de verificação, garantindo que as empresas possam permanecer em conformidade com as leis locais e internacionais. Ao empregar algoritmos avançados de IA e aprendizado de máquina, Veriff verifica automaticamente a autenticidade dos documentos e a identidade dos usuários, reduzindo o risco de fraude. Isso não apenas fortalece a confiança e a segurança online, mas também reduz significativamente as repercussões legais e financeiras associadas à não conformidade.

Veriff’s Services are flexible to align with various privacy laws (including the US State Privacy Laws) to assist the customer with any data protection related matters.

Please note that Veriff does not provide legal advice. This article is provided for informational purposes only. You should always discuss your privacy and data protection operations or issues with a qualified legal counsel or privacy specialists.