O rastreador de leis de privacidade estaduais

O Congresso nunca aprovou uma lei de privacidade abrangente, então os estados construíram uma vinte e quatro vezes. Em setembro de 2026, vinte leis estaduais estão em vigor, três delas (Indiana, Kentucky, Rhode Island) novas desde 1º de janeiro, e mais quatro chegam em um cronograma já publicado: Luisiana e Oklahoma em 1º de janeiro de 2027, Alabama em 1º de maio de 2027, e Vermont em 1º de janeiro de 2028. Quase todas copiam a Virgínia: direitos de opt-out para venda, publicidade direcionada e perfilamento; consentimento opt-in para dados sensíveis; aplicação pela procuradoria-geral com multas em torno de US$ 7.500 por violação; nenhuma ação judicial privada fora da Califórnia.

Vários desenvolvimentos de 2026 importam mais do que os novos estados. O pacote de regulamentos da Califórnia entrou em vigor em 1º de janeiro, com os próprios direitos sobre decisões automatizadas operantes a partir de 1º de janeiro de 2027, e o mecanismo de exclusão DROP do Delete Act entrou em operação para corretores de dados em 1º de agosto. A aplicação da lei também se intensificou, e o acordo conjunto de US$ 12,75 milhões com a General Motors em maio, sobre dados de condução e localização vendidos a corretores, é agora o maior já firmado sob a CCPA. Sacramento encerrou sua sessão enviando ao governador seu maior pacote de privacidade até hoje. Em 27 de setembro, ele vetou a AB 1542, a proibição total da venda ou do compartilhamento de informações pessoais sensíveis, considerando que uma proibição categórica ia longe demais, e sancionou a SB 923, que estende a exclusão aos dados obtidos de terceiros, e a AB 883 sobre exclusão por corretores de dados, ambas em vigor a partir de 1º de janeiro de 2027. A SB 690, a reforma da CIPA que encerra as ações privadas sobre rastreamento por pen register em sites e aplicativos, veio em 30 de setembro, com a mesma data de 1º de janeiro de 2027. As alterações de Connecticut de 1º de julho passaram a abranger qualquer empresa que trate dados sensíveis ou venda dados pessoais, e sua SB 4 proíbe a venda de dados de geolocalização precisa desde 1º de outubro. A onda voltada a menores também está no auge. A ACTOPPA do Arkansas estendeu regras no estilo COPPA a adolescentes em 1º de julho (o Arkansas não tem lei geral de consumidor), a Virgínia proibiu a venda de geolocalização precisa, e a Califórnia substituiu seu Age-Appropriate Design Code, bloqueado pela justiça, pela AB 2246, já sancionada. E os períodos de correção continuam desaparecendo: o de Delaware expirou em 31 de dezembro de 2025, o de Montana em 1º de abril de 2026, e Rhode Island começou sem nenhum.

Em vigor (20 estados)

Promulgada, com data de vigência futura (4 estados)

O que ainda vincula todos em nível federal

A camada setorial se aplica em todo o país, independentemente do estado: a COPPA para crianças menores de 13 anos (com a norma revisada da FTC sendo implementada gradualmente), a HIPAA para entidades de saúde abrangidas, a GLBA para instituições financeiras, a FCRA para relatórios de consumidores, a regra de opt-in da TCPA para ligações e mensagens de marketing, a regra de opt-out da CAN-SPAM para e-mail, e a Seção 5 do FTC Act, que a Comissão usa contra corretores de dados, vendedores de dados de localização sensível e dark patterns. A My Health My Data Act de Washington merece menção à parte. Ela alcança inferências sobre saúde do consumidor muito além da HIPAA e prevê direito de ação privada, o que torna a segmentação relacionada a bem-estar a categoria isolada de maior risco no marketing nos EUA.

As consequências para o planejamento estão na página dos Estados Unidos e no mapa de consentimento.