Abrir workspace

Guia · Lei estadual dos EUA

CCPA e CPRA explicadas para quem vive de anúncios

A Califórnia tem a lei de privacidade mais detalhada dos Estados Unidos e a que mais aplica multas. Neste guia você entende quando ela vale para o seu site, por que anúncios personalizados contam como venda ou compartilhamento de dados e o que precisa aparecer na página para o visitante dizer não.

Auditar meu site para a CalifórniaLer o guia
  • ✓Baseado no texto da lei, nas regras da agência e nos acordos públicos
  • ✓Exemplos pensados para sites com AdSense e Ad Manager
  • ✓Auditoria somente leitura, sem alterar o site
100 milconsumidores ou domicílios da Califórnia por ano: um dos limites que colocam a empresa dentro da lei
US$ 7.988multa máxima por violação intencional ou que envolva menores de 16 anos, valor ajustado em 2025
16idade abaixo da qual vender ou compartilhar dados exige autorização prévia
2026ano em que entraram em vigor as novas regras sobre avaliações de risco, decisões automatizadas e auditorias

O que é

A lei que deu ao visitante o direito de dizer não à venda dos seus dados

A California Consumer Privacy Act, ou CCPA, foi aprovada em 2018 e passou a valer em 1º de janeiro de 2020. Ela dá aos moradores da Califórnia o direito de saber quais dados uma empresa coleta, pedir a exclusão desses dados e impedir que eles sejam vendidos.

Em novembro de 2020, os eleitores aprovaram a California Privacy Rights Act, a CPRA, que reescreveu boa parte da CCPA. As mudanças valem desde 1º de janeiro de 2023. Por isso, quando se fala em CCPA hoje, quase sempre se fala da lei já alterada pela CPRA.

A CPRA criou a California Privacy Protection Agency, uma agência só para privacidade, que hoje se apresenta ao público como CalPrivacy. Ela escreve as regras detalhadas, investiga empresas e aplica multas. O procurador-geral da Califórnia continua com poder de processar quem descumpre a lei.

Para quem tem site com anúncios, o ponto central é simples: quando cookies e identificadores do visitante são usados para mostrar anúncios com base no que ele fez em outros sites, a lei trata isso como compartilhamento de dados. E o visitante tem o direito de recusar.

Checklist

O que você precisa cumprir

Valem para empresas que passam de um dos limites da lei e vendem ou compartilham dados de moradores da Califórnia.

  1. Coloque o link de recusa na página inicial

    Quem vende ou compartilha dados precisa de um link claro no cabeçalho ou no rodapé da página inicial. As regras também aceitam um link único chamado Your Privacy Choices ou Your California Privacy Choices, com o ícone oficial ao lado.

    Exemplo

    Rodapé: Do Not Sell or Share My Personal Information

  2. Aceite o GPC como recusa válida

    A procuradoria-geral diz que o GPC precisa ser respeitado como pedido válido de recusa. As regras em vigor desde 2026 pedem que o site mostre ao visitante o status da escolha dele.

    Exemplo

    Painel de privacidade: Recebemos o seu sinal GPC. Não vendemos nem compartilhamos os seus dados.

  3. Atenda a recusa rápido

    A recusa deve ser atendida assim que possível, em no máximo 15 dias úteis. Pedidos para saber, excluir ou corrigir têm 45 dias de prazo, com mais 45 se o visitante for avisado.

  4. Dê o aviso na coleta e mantenha a política completa

    O aviso aparece antes ou no momento em que os dados são coletados e traz o link da política de privacidade. A política explica os direitos do visitante e como usá-los.

    Exemplo

    Usamos cookies de parceiros de anúncios. Pela lei da Califórnia, isso pode ser compartilhamento de dados. Para recusar, clique em Do Not Sell or Share My Personal Information.

  5. Ofereça pelo menos dois canais

    Quem vende ou compartilha dados precisa de dois ou mais jeitos de recusar. Para pedidos de acesso ou exclusão, uma empresa só online pode oferecer apenas um e-mail.

    Exemplo

    Pedidos de privacidade: privacidade@seusite.com

  6. Deixe as opções equilibradas

    As regras pedem simetria nas escolhas. Um aviso que só oferece Sim e Pergunte depois não é equilibrado, porque não há como recusar.

    Exemplo

    Dois botões do mesmo tamanho e da mesma cor: Aceitar e Recusar

  7. Peça autorização para menores de 16 anos

    Para vender ou compartilhar dados de quem você sabe ter menos de 16 anos, é preciso autorização prévia. Abaixo de 13 anos, a autorização vem dos pais ou responsáveis.

  8. Leve a recusa ao Google

    Na seção da Califórnia da string GPP, a recusa de venda ou de compartilhamento liga o RDP. Outra opção é ligar o RDP na tag para quem clicou no link.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada para a Califórnia. Você pode usar a mensagem de estados dos EUA do Google, uma CMP que gere GPP ou o RDP na tag. Estes são os links oficiais.

A quem se aplica

Basta passar de um destes três limites

A lei vale para empresas com fins lucrativos que fazem negócios na Califórnia, coletam dados de moradores do estado e atingem pelo menos um dos limites abaixo. Ter sede lá não é condição: empresas de fora que atendem californianos também podem entrar.

Faturamento acima de US$ 26.625.000

Receita bruta anual acima desse valor, que era de US$ 25 milhões e foi corrigido pela inflação em janeiro de 2025. O faturamento conta no total, não só o que vem da Califórnia.

100 mil consumidores ou domicílios

Comprar, vender ou compartilhar dados de 100 mil ou mais consumidores ou domicílios da Califórnia por ano. Um portal com muito tráfego californiano e anúncios personalizados pode chegar lá sem perceber.

Metade da receita vinda de dados

Obter 50% ou mais da receita anual com a venda ou o compartilhamento de dados pessoais de californianos, independentemente do tamanho da empresa.

Quem fica de fora

Entidades sem fins lucrativos e órgãos públicos, em regra, não são cobertos. Empresas abaixo dos três limites também não, mas os parceiros de anúncios podem exigir os sinais de opt-out mesmo assim.

Definições

As palavras que mudam tudo para um site com anúncios

A CCPA usa termos próprios. Entender os quatro abaixo evita a maior parte das confusões.

Informação pessoal

Qualquer dado ligado ou que possa ser ligado a uma pessoa ou domicílio. A própria lei inclui identificadores online, endereço IP, histórico de navegação e interações com sites e anúncios.

Informação pessoal sensível

Dados como documentos, login de contas, localização precisa, origem racial, religião, saúde, vida sexual e biometria. O visitante pode pedir que o uso desses dados seja limitado.

Venda

Passar dados a terceiros em troca de dinheiro ou de outro valor. Não precisa haver pagamento direto: deixar um parceiro coletar dados em troca de um serviço pode contar como venda.

Compartilhamento

Passar dados a terceiros para publicidade comportamental entre contextos, ou seja, anúncios escolhidos com base no que a pessoa fez em outros sites e apps. Vale mesmo sem pagamento.

Direitos

O que o visitante da Califórnia pode pedir

A empresa tem 45 dias para responder aos pedidos, com uma prorrogação de mais 45 quando necessário. Os pedidos de opt-out precisam ser atendidos bem mais rápido e sem burocracia.

Saber e acessar

Descobrir quais dados foram coletados, de onde vieram, para que servem e com quem foram vendidos ou compartilhados.

Excluir e corrigir

Pedir a exclusão dos dados coletados e a correção de dados errados, com algumas exceções previstas na lei.

Recusar venda e compartilhamento

Mandar a empresa parar de vender ou compartilhar seus dados, inclusive para anúncios personalizados, por link no site ou por sinal automático do navegador.

Limitar dados sensíveis e não sofrer represália

Restringir o uso de dados sensíveis ao necessário e não ser tratado pior, com preço maior ou serviço reduzido, por ter usado esses direitos.

Obrigações do site

Link de opt-out, sinal GPC e aviso de privacidade

Quem vende ou compartilha dados precisa oferecer um link claro com o texto Do Not Sell or Share My Personal Information, normalmente no rodapé de todas as páginas. As regras da agência permitem trocar esse link e o de dados sensíveis por um único link chamado Your Privacy Choices, acompanhado do ícone oficial. Clicar deve levar a um jeito simples de recusar, sem cadastro e sem exigir documentos.

O sinal automático de opt-out também é obrigatório. O exemplo mais conhecido é o Global Privacy Control, o GPC, uma configuração do navegador ou de uma extensão que avisa a todos os sites que a pessoa não quer ter os dados vendidos ou compartilhados. Desde 1º de janeiro de 2026, as regras exigem que o site mostre se processou esse sinal, por exemplo com uma mensagem de pedido de opt-out atendido.

Também é preciso um aviso no momento da coleta e uma política de privacidade completa. Ela lista as categorias de dados coletados, as finalidades, as categorias de empresas que recebem os dados, se há venda ou compartilhamento, quanto tempo os dados ficam guardados e como exercer cada direito. As regras da agência pedem também a data da última atualização.

As regras proíbem os chamados padrões enganosos: recusar não pode exigir mais passos do que aceitar, e fechar um pop-up não vale como consentimento. Para vender ou compartilhar dados de quem a empresa sabe ter menos de 16 anos, é preciso autorização prévia. Entre 13 e 16 anos, o próprio adolescente autoriza; abaixo de 13, os pais.

Linha do tempo

Como a lei da Califórnia chegou até aqui

Datas confirmadas em fontes oficiais do estado da Califórnia.

  1. 1º de janeiro de 2020

    CCPA entra em vigor

    Nasce o direito de saber, excluir e recusar a venda de dados.

  2. 24 de agosto de 2022

    Primeira multa: Sephora

    Acordo de US$ 1,2 milhão por vender dados por meio de rastreadores de terceiros e ignorar o GPC.

  3. 1º de janeiro de 2023

    CPRA passa a valer

    Entram o compartilhamento para anúncios, a correção, o limite a dados sensíveis, e acaba o prazo obrigatório de 30 dias para corrigir antes da punição.

  4. 1º de janeiro de 2025

    Valores corrigidos

    O limite de faturamento sobe para US$ 26.625.000 e as multas para US$ 2.663 e US$ 7.988.

  5. 1º de janeiro de 2026

    Novo pacote de regras

    Valem as avaliações de risco para atividades de risco significativo, a confirmação visível do sinal de opt-out e as novas regras contra padrões enganosos.

  6. 1º de janeiro de 2027

    Decisões automatizadas e navegadores

    Começam as regras de decisão automatizada para decisões importantes. A lei AB 566, de 2025, passa a exigir que os navegadores ofereçam um sinal de opt-out embutido.

  7. 1º de abril de 2028

    Declarações à agência

    Prazo para enviar a declaração e o resumo das avaliações de risco. As certificações de auditoria de segurança começam nessa data para quem fatura mais de US$ 100 milhões e seguem em 2029 e 2030 para os demais.

Fiscalização e multas

Quem fiscaliza e quanto custa errar

A agência de privacidade e o procurador-geral podem agir. Desde 2023 não existe mais o prazo obrigatório de 30 dias para corrigir antes da punição. A agência pode levar em conta a boa-fé, mas não precisa avisar antes.

As multas foram corrigidas em janeiro de 2025: até US$ 2.663 por violação e até US$ 7.988 por violação intencional ou que envolva menores de 16 anos. Como cada visitante ou cada pedido pode contar como uma violação, a conta cresce rápido. O cidadão só pode processar diretamente em casos de vazamento de dados, com indenização entre US$ 107 e US$ 799 por pessoa e incidente.

A Sephora pagou US$ 1,2 milhão em 2022 por rastreadores e GPC. Em março de 2025, a Honda pagou US$ 632.500 à agência por exigir dados demais para o opt-out e por uma ferramenta que não apresentava as escolhas de forma equilibrada. Em maio de 2025, a marca de roupas Todd Snyder pagou US$ 345.178 porque um portal mal configurado deixou de processar pedidos de opt-out por 40 dias.

Em julho de 2025, o procurador-geral fechou acordo de US$ 1,55 milhão com o site de saúde Healthline, que não respeitava recusas de publicidade direcionada, inclusive pelo GPC. Em setembro de 2025, a Tractor Supply recebeu multa de US$ 1,35 milhão, que inclui falhas no tratamento do GPC. Em fevereiro de 2026, a Disney fechou o maior acordo até então, de US$ 2,75 milhões, porque o opt-out e o GPC valiam só em um aparelho ou serviço.

AdSense e Ad Manager

O que muda num site com anúncios do Google

O Google oferece o processamento restrito de dados, chamado RDP. Quando o sinal está presente, o Google não mostra anúncios baseados no comportamento anterior do visitante e envia pedidos não personalizados aos compradores. Nesse modo, o Google atua como prestador de serviço, figura que a lei californiana não trata como venda.

Há dois caminhos. O primeiro é uma CMP que gere a string GPP, o formato do IAB Tech Lab para sinais de privacidade. O AdSense e o Ad Manager leem a seção US National e a seção da Califórnia. Na seção da Califórnia, recusar a venda ou o compartilhamento ativa o RDP, e a recusa para menores de 16 anos aciona o tratamento para crianças. O segundo caminho é ativar o RDP direto na tag, por exemplo com restrictDataProcessing na GPT, só para quem clicou no link de opt-out.

A Mensagem de privacidade para estados dos EUA, no menu Privacidade e mensagens do AdSense e do Ad Manager, cobre a Califórnia. Ela mostra o link Do Not Sell or Share My Personal Information, registra a recusa e grava a escolha em GPP. O Google lembra, porém, que a responsabilidade de cumprir a lei continua sendo do site.

Header bidding, redes de vídeo e pixels de redes sociais também recebem dados. O opt-out precisa chegar a todos eles, não só ao Google.

Na prática

O que pode e o que não pode na Califórnia

Exemplos do dia a dia de um site com AdSense ou Ad Manager e visitantes californianos.

Pode

  • Mostrar anúncios personalizados até o visitante recusar, desde que o link de opt-out esteja visível
  • Usar um único link Your Privacy Choices com o ícone oficial no rodapé
  • Ler o GPC e marcar automaticamente o visitante como opt-out na string GPP
  • Exibir uma mensagem curta confirmando que o sinal de opt-out foi atendido
  • Mostrar anúncios não personalizados para quem recusou
  • Usar a mensagem para estados dos EUA do Google

Não pode

  • Pedir cadastro ou documento para registrar o opt-out
  • Deixar o botão de aceitar colorido e o de recusar escondido em cinza
  • Tratar o fechamento do pop-up como aceite
  • Desligar só o Google e deixar header bidding e pixels recebendo dados
  • Ignorar o GPC porque o visitante não clicou no link
  • Usar dados de quem você sabe ter menos de 16 anos para anúncios personalizados sem autorização

Erros comuns

Falhas que aparecem nos casos de fiscalização

Quase todos os acordos públicos tratam de opt-out que parece funcionar, mas não funciona.

Link que leva a um texto

O link Do Not Sell or Share abre a política de privacidade em vez de uma tela onde o visitante consegue recusar de fato.

GPC lido, mas sem efeito

A CMP detecta o GPC, porém as tags de anúncios carregam antes ou continuam recebendo o sinal de não recusado.

Opt-out só para o Google

O RDP é ativado no Google, mas os parceiros de header bidding e pixels de terceiros seguem coletando dados.

Banner desequilibrado

Aceitar tudo com um clique e recusar só depois de abrir configurações. A falta de equilíbrio nas escolhas pesou no caso Honda.

Política desatualizada

Política sem data de atualização, sem as categorias de dados ou sem dizer que há compartilhamento para anúncios.

Mensagem só para a Califórnia, sem string

O banner aparece, mas nenhuma string GPP é gerada, então o Google e os parceiros não recebem a escolha do visitante.

No ConsentMode

O que a auditoria confere sobre a CCPA

  • Abre o site como visitante da Califórnia e procura o link Do Not Sell or Share ou Your Privacy Choices em todas as páginas analisadas.
  • Repete a visita com o GPC ligado e observa se a string GPP, o RDP e a mensagem de confirmação mudam na página.
  • Lê a string GPP nos pedidos de anúncio e mostra se as seções US National ou Califórnia indicam a recusa.
  • Identifica a CMP pelo código da página e confere se as tags de anúncios esperam a resposta dela.
  • Lê a política de privacidade e aponta itens que faltam, como categorias de dados, compartilhamento para anúncios e data de atualização.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre a CCPA

Meu site é brasileiro. A CCPA vale para mim?

Pode valer. A lei não exige sede na Califórnia. Se a empresa atende moradores do estado e passa de um dos três limites, como 100 mil consumidores ou domicílios por ano com dados compartilhados para anúncios, ela entra. Abaixo dos limites, a lei não se aplica, mas o Google e outros parceiros continuam lendo os sinais de opt-out.

Anúncios do AdSense contam como venda?

Anúncios personalizados com base na navegação em outros sites se encaixam no conceito de compartilhamento. Com o RDP ativo, o Google passa a atuar como prestador de serviço e mostra só anúncios não personalizados para aquele visitante.

Preciso de banner de cookies para a Califórnia?

A CCPA funciona por opt-out, então não exige pedir permissão antes para adultos. O que ela exige é o aviso na coleta, o link de recusa e o respeito ao GPC. Para menores de 16 anos, é preciso opt-in.

O GPC é mesmo obrigatório?

Sim. O procurador-geral e a agência tratam o GPC como pedido válido de opt-out, e vários acordos, como os da Sephora, Tractor Supply e Disney, citam falhas no GPC. Desde 2026 o site também precisa mostrar se processou o sinal.

A avaliação de risco vale para um blog?

Vale para empresas cobertas pela lei cujas atividades estejam na lista de risco significativo das regras da agência. Quem faz anúncios personalizados deve conferir essa lista com um advogado. Um blog abaixo dos limites da CCPA não precisa. Quem está acima e se encaixa na lista precisa documentar a avaliação e enviar a declaração até 1º de abril de 2028.

O ConsentMode resolve a CCPA para mim?

Não. O ConsentMode não é CMP e não mostra banner. Ele audita o site de fora e mostra o que corrigir. A decisão jurídica cabe ao seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o seu opt-out funciona de verdade

A auditoria abre o site como visitante da Califórnia, com e sem GPC, e mostra o que corrigir sem alterar nada.

Começar a auditoria