O rastreador de leis de privacidade estaduais

O Congresso nunca aprovou uma lei de privacidade abrangente, então os estados construíram uma vinte e quatro vezes. Em setembro de 2026, vinte leis estaduais estão em vigor, três delas (Indiana, Kentucky, Rhode Island) novas desde 1º de janeiro, e mais quatro chegam em um cronograma já publicado: Luisiana e Oklahoma em 1º de janeiro de 2027, Alabama em 1º de maio de 2027, e Vermont em 1º de janeiro de 2028. Quase todas copiam a Virgínia: direitos de opt-out para venda, publicidade direcionada e perfilamento; consentimento opt-in para dados sensíveis; aplicação pela procuradoria-geral com multas em torno de US$ 7.500 por violação; nenhuma ação judicial privada fora da Califórnia.

Vários desenvolvimentos de 2026 importam mais do que os novos estados. O pacote de regulamentos da Califórnia entrou em vigor em 1º de janeiro, com os próprios direitos sobre decisões automatizadas operantes a partir de 1º de janeiro de 2027, e o mecanismo de exclusão DROP do Delete Act entrou em operação para corretores de dados em 1º de agosto. A aplicação da lei também se intensificou, e o acordo conjunto de US$ 12,75 milhões com a General Motors em maio, sobre dados de condução e localização vendidos a corretores, é agora o maior já firmado sob a CCPA. Sacramento encerrou sua sessão enviando ao governador seu maior pacote de privacidade até hoje. Em 27 de setembro, ele vetou a AB 1542, a proibição total da venda ou do compartilhamento de informações pessoais sensíveis, considerando que uma proibição categórica ia longe demais, e sancionou a SB 923, que estende a exclusão aos dados obtidos de terceiros, e a AB 883 sobre exclusão por corretores de dados, ambas em vigor a partir de 1º de janeiro de 2027. A SB 690, a reforma da CIPA que encerraria as ações privadas sobre rastreamento por pen register, ainda aguardava sua decisão no prazo de 30 de setembro. As alterações de Connecticut de 1º de julho passaram a abranger qualquer empresa que trate dados sensíveis ou venda dados pessoais, e sua SB 4 proíbe a venda de dados de geolocalização precisa a partir de 1º de outubro. A onda voltada a menores também está no auge. A ACTOPPA do Arkansas estendeu regras no estilo COPPA a adolescentes em 1º de julho (o Arkansas não tem lei geral de consumidor), a Virgínia proibiu a venda de geolocalização precisa, e a Califórnia substituiu seu Age-Appropriate Design Code, bloqueado pela justiça, pela AB 2246, já sancionada. E os períodos de correção continuam desaparecendo: o de Delaware expirou em 31 de dezembro de 2025, o de Montana em 1º de abril de 2026, e Rhode Island começou sem nenhum.

Em vigor (20 estados)

Promulgada, com data de vigência futura (4 estados)

O que ainda vincula todos em nível federal

A camada setorial se aplica em todo o país, independentemente do estado: a COPPA para crianças menores de 13 anos (com a norma revisada da FTC sendo implementada gradualmente), a HIPAA para entidades de saúde abrangidas, a GLBA para instituições financeiras, a FCRA para relatórios de consumidores, a regra de opt-in da TCPA para ligações e mensagens de marketing, a regra de opt-out da CAN-SPAM para e-mail, e a Seção 5 do FTC Act, que a Comissão usa contra corretores de dados, vendedores de dados de localização sensível e dark patterns. A My Health My Data Act de Washington merece menção à parte. Ela alcança inferências sobre saúde do consumidor muito além da HIPAA e prevê direito de ação privada, o que torna a segmentação relacionada a bem-estar a categoria isolada de maior risco no marketing nos EUA.

As consequências para o planejamento estão na página dos Estados Unidos e no mapa de consentimento.