Abrir workspace

Guia · Lei estadual dos EUA

DPDPA: a lei de Delaware que alcança até sites médios

A Delaware Personal Data Privacy Act vale desde 1º de janeiro de 2025 e tem um dos limites mais baixos do país. Neste guia você entende quem precisa cumprir, por que entidades sem fins lucrativos também entram, como funciona o sinal universal de opt-out e o que muda em 2027.

Auditar meu site para os EUALer o guia
  • ✓Baseado no Código de Delaware e no portal do Departamento de Justiça
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
35 milconsumidores de Delaware por ano: o limite principal até o fim de 2026
10 milconsumidores bastam se mais de 20% da receita bruta vier da venda de dados
100 milconsumidores: a partir daí a empresa precisa fazer avaliações de proteção de dados
US$ 10 milde multa civil máxima por violação intencional, pela lei de fraude ao consumidor

O que é

Uma lei pequena no nome e grande no alcance

A Delaware Personal Data Privacy Act, ou DPDPA, é a lei geral de privacidade de Delaware. Ela foi aprovada em 2023, fica no Título 6, capítulo 12D do Código de Delaware, e passou a ser fiscalizada em 1º de janeiro de 2025 pelo Departamento de Justiça do estado.

O modelo é parecido com o de Connecticut. O visitante pode acessar, corrigir, apagar e levar seus dados, e pode recusar a venda, a publicidade direcionada e certos perfis automatizados. Dados sensíveis só podem ser usados com consentimento.

O que chama atenção é o alcance. Delaware é um estado pequeno, então o legislador escolheu limites baixos: dados de 35 mil consumidores por ano já bastam. E, ao contrário de muitos estados, as entidades sem fins lucrativos não estão isentas.

Para um site de conteúdo com visitantes dos Estados Unidos, isso muda a conta. Um portal de notícias, um blog de finanças ou uma associação com bastante tráfego de Delaware pode passar do limite sem perceber, porque cada cookie de anúncio conta como dado pessoal.

Checklist

O que você precisa cumprir

Se o site passa dos limites da DPDPA, esta é a lista básica, do mais urgente para o menos.

  1. Ter um link de recusa claro e visível

    O site precisa de um link claro e visível para uma página onde o visitante recusa anúncio direcionado e venda.

    Exemplo

    Link no rodapé: Do Not Sell or Share My Personal Information, levando a uma tela de recusa.

  2. Aceitar o sinal de preferência do navegador

    Desde 1º de janeiro de 2026, o site precisa aceitar a recusa enviada por um sinal de preferência, como o GPC. O sinal não pode vir ligado por padrão.

    Exemplo

    Visitante com GPC ligado: trate como se ele tivesse clicado no link de recusa.

  3. Pedir consentimento de verdade para dados sensíveis

    Dados sensíveis só com consentimento. Consentimento obtido com padrão enganoso não vale, e retirar precisa ser tão fácil quanto dar.

    Exemplo

    Se o visitante retirar o consentimento, pare o tratamento em até 15 dias.

  4. Proteger adolescentes de 13 a 17 anos

    Se a empresa sabe, ou ignora de propósito, que o visitante tem de 13 a 17 anos, não pode usar os dados dele para anúncio direcionado nem vendê-los sem consentimento.

  5. Publicar um aviso de privacidade completo

    O aviso lista os dados tratados, as finalidades, como exercer os direitos e recorrer, os dados repassados e as categorias de terceiros, com um contato ativo.

    Exemplo

    Inclua um e-mail ativo, como privacidade@seusite.com, no fim do aviso.

  6. Responder pedidos sem exigir conta nova

    Responda em até 45 dias, com uma prorrogação de mais 45 se avisar. Não exija conta nova e tenha um processo de recurso.

  7. Fazer a avaliação de proteção de dados

    Quem trata dados de pelo menos 100 mil consumidores avalia por escrito os riscos de anúncio direcionado, venda e dados sensíveis. Em 2027, o limite cai para 50 mil.

  8. Levar a recusa até o Google

    O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. Com GPP, o Google lê a seção US National para Delaware.

    Exemplo

    AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag.

Quem precisa cumprir

Os limites que colocam seu site dentro da DPDPA

A lei vale para quem faz negócios em Delaware ou oferece produtos e serviços direcionados aos moradores do estado e, no ano civil anterior, passou de um dos limites abaixo.

35 mil consumidores

Controlou ou tratou dados de pelo menos 35 mil consumidores de Delaware. Dados usados só para concluir um pagamento não contam.

10 mil e venda de dados

Controlou ou tratou dados de pelo menos 10 mil consumidores e tirou mais de 20% da receita bruta da venda de dados pessoais.

Sem fins lucrativos também

A lei vale para empresas e para entidades sem fins lucrativos. A única entidade desse tipo isenta é a dedicada a combater fraudes de seguro.

Isenções por tipo de dado

Há exceções para dados financeiros e de saúde regidos por leis federais. O próprio Departamento de Justiça recomenda conferir com um advogado se alguma se aplica.

Limites menores em 2027

Uma lei aprovada em 2026, a HB 380, baixa os limites a partir de 1º de janeiro de 2027: 10 mil consumidores, ou 5 mil com mais de 20% da receita vinda de venda de dados.

Terceiros que compram dados

Também a partir de 2027, terceiros que adquirem dados pessoais de um controlador ficam cobertos, sem limite numérico.

Definições

As palavras da lei, em linguagem de quem tem site

As definições ficam na seção 12D-102 e são parecidas com as de Connecticut e Oregon, com uma lista de dados sensíveis mais longa.

Dado pessoal

Todo dado ligado ou que possa ser ligado a uma pessoa: nome, endereço, e-mail, identificadores de aparelho, localização precisa e identificadores únicos, como os usados por cookies de anúncio.

Dado sensível

Origem racial ou étnica, crença religiosa, condição de saúde inclusive gravidez, vida sexual, orientação sexual, condição de pessoa trans ou não binária, situação migratória, dados genéticos e biométricos, dados de criança e geolocalização precisa.

Venda

A troca de dados pessoais por dinheiro ou por outra contrapartida de valor com um terceiro. Repasses a operadores e a empresas do mesmo grupo ficam de fora.

Publicidade direcionada

Anúncio escolhido com base em dados obtidos ou deduzidos das atividades do visitante ao longo do tempo em sites e apps de outras empresas. Anúncio pelo contexto de uma busca não entra.

Direitos das pessoas

O que o morador de Delaware pode pedir

A resposta deve sair em até 45 dias, com uma prorrogação de mais 45 dias se for necessária e avisada dentro do prazo inicial. A empresa precisa ter um processo de recurso.

Confirmar e acessar

Saber se a empresa trata dados dele e ter acesso a esses dados.

Corrigir e excluir

Corrigir dados errados e pedir a exclusão dos dados pessoais.

Portabilidade

Receber uma cópia dos dados num formato fácil de levar para outro serviço.

Lista de terceiros

Receber a lista das categorias de terceiros que receberam os dados. A partir de 2027, a lista passa a ser dos terceiros específicos, com algumas exceções.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos. É o direito que mais pesa para sites com anúncios.

Recusar perfil automatizado

Recusar perfis feitos só por máquina que levem a decisões com efeito legal ou de impacto parecido.

Obrigações do site

O que o site coberto precisa ter funcionando

  1. Aviso de privacidade completoO aviso precisa listar as categorias de dados tratados, as finalidades, como exercer os direitos e recorrer, as categorias de dados compartilhados com terceiros, as categorias desses terceiros e um e-mail ativo ou outro contato online.
  2. Divulgar venda e anúncios direcionadosSe o site vende dados ou usa dados para publicidade direcionada, precisa dizer isso de forma clara e visível e explicar como recusar.
  3. Coletar só o necessárioA coleta precisa ser adequada, relevante e razoavelmente necessária para as finalidades informadas ao visitante.
  4. Consentimento para dados sensíveisDados sensíveis só com consentimento, que o visitante pode retirar tão fácil quanto deu.
  5. Proteção para adolescentesSe a empresa sabe, ou ignora de propósito, que o visitante tem entre 13 e 17 anos, não pode usar os dados dele para publicidade direcionada nem vendê-los sem consentimento.
  6. Avaliação de proteção de dadosQuem controla ou trata dados de pelo menos 100 mil consumidores precisa avaliar por escrito os riscos de publicidade direcionada, venda, perfis e dados sensíveis. Em 2027 esse limite cai para 50 mil em certos casos.

Fiscalização e multas

Quem fiscaliza e o que mudou no prazo de correção

Só o Departamento de Justiça de Delaware fiscaliza a DPDPA. O consumidor não pode processar a empresa com base nessa lei.

Prazo obrigatório acabou

Em 2025, o Departamento precisava avisar a empresa e dar 60 dias para corrigir antes de agir. Esse prazo obrigatório terminou em 31 de dezembro de 2025.

Agora é decisão do órgão

Desde 2026, dar ou não um prazo para correção é escolha do Departamento, que considera o número de violações, o porte da empresa, o risco ao público e se o erro foi humano ou técnico.

Prática comercial ilegal

A violação da DPDPA é tratada como prática ilegal pela lei de fraude ao consumidor de Delaware, com as ferramentas de investigação dessa lei.

Até US$ 10 mil por violação

Se o tribunal concluir que a violação foi intencional, a multa civil pode chegar a US$ 10 mil por violação.

Linha do tempo

As datas da DPDPA

Delaware já mudou a própria lei uma vez. Em novembro de 2026, as regras de 2025 estão valendo e as de 2027 estão a caminho.

  1. 2023

    Lei aprovada

    Delaware aprova a Personal Data Privacy Act.

  2. 1º de janeiro de 2025

    Início da fiscalização

    O Departamento de Justiça passa a fiscalizar a lei, com prazo obrigatório de 60 dias para correção.

  3. 31 de dezembro de 2025

    Fim do prazo obrigatório

    Termina o período em que o Departamento era obrigado a avisar e esperar 60 dias antes de agir.

  4. 1º de janeiro de 2026

    Sinal universal obrigatório

    O site precisa aceitar o opt-out de venda e de publicidade direcionada enviado por um sinal de preferência, como o GPC.

  5. 2026

    HB 380 aprovada

    Delaware aprova mudanças que baixam limites, ampliam dados sensíveis e exigem lista dos terceiros específicos.

  6. 1º de janeiro de 2027

    Novas regras valem

    Entram em vigor os limites de 10 mil e 5 mil consumidores e as demais mudanças da HB 380.

Sites com AdSense e Ad Manager

GPC obrigatório e o caminho do opt-out até o Google

Desde 1º de janeiro de 2026, o site coberto pela DPDPA precisa aceitar o opt-out enviado por um sinal de preferência, com o consentimento do visitante. O exemplo mais comum é o Global Privacy Control, ou GPC, que alguns navegadores e extensões enviam. Para o visitante com GPC ligado, o site deve agir como se ele tivesse clicado no link de opt-out.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Delaware está entre os estados atendidos. A mensagem mostra o link Do Not Sell or Share. Quando o visitante recusa, o Google liga o processamento restrito de dados, chamado RDP, e deixa de usar o comportamento anterior para escolher anúncios.

Sobre o GPC, o Google diz que o parceiro que implementou o sinal pode escolher ligar o RDP quando recebe um GPC de opt-out. Ou seja, a decisão e a configuração ficam com o site ou com a CMP. Uma forma é a tag: o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense.

Quem usa GPP precisa saber que existe uma seção específica de Delaware, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National, em que a recusa de venda, compartilhamento ou publicidade direcionada liga o RDP.

Na prática

O que pode e o que não pode em Delaware

Exemplos para um site com tráfego de Delaware que monetiza com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais para quem recusou ou chegou com GPC ligado
  • Usar a mensagem de regulamentos estaduais do Google para oferecer o link de opt-out
  • Aplicar o mesmo tratamento de GPC para todo o tráfego dos EUA, para simplificar
  • Usar a seção US National do GPP para avisar o Google do opt-out
  • Manter um único aviso de privacidade para os EUA, desde que traga o e-mail de contato e tudo o que Delaware pede

Não pode

  • Ignorar o GPC e continuar pedindo anúncios personalizados para esse visitante
  • Achar que a sua associação ou ONG está fora só por não ter fins lucrativos
  • Usar dados de adolescentes de 13 a 17 anos para anúncios direcionados sem consentimento
  • Publicar uma política de privacidade sem e-mail ou formulário de contato ativo
  • Contar com um prazo automático de 60 dias para corrigir: ele acabou em 2025

Erros comuns

Onde os sites tropeçam com a DPDPA

O limite baixo faz Delaware alcançar sites que nunca pensaram em leis estaduais dos EUA.

Subestimar o volume

O site conta só usuários cadastrados. Mas cookies e identificadores de anúncio de visitantes anônimos também são dados pessoais e entram na conta dos 35 mil.

GPC ignorado

A CMP não lê o GPC ou só lê para a Califórnia. Desde 2026, Delaware também exige que o sinal seja respeitado.

Opt-out que não muda os anúncios

O visitante recusa, mas os pedidos de anúncio continuam sem o RDP e sem opt-out na string GPP.

Política sem lista de terceiros

A página de privacidade não diz quais categorias de terceiros, como redes de anúncios e parceiros de medição, recebem os dados.

Seção estadual que o Google não lê

A CMP envia só a seção de Delaware no GPP e deixa a US National de fora. O Google não recebe o opt-out.

Esquecer 2027

A empresa fica abaixo de 35 mil consumidores e relaxa, mas com os novos limites de 2027 passa a estar dentro da lei.

No ConsentMode

O que a auditoria confere para Delaware

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
  • Ativa o sinal GPC no navegador da auditoria e compara a página e os pedidos de anúncio com e sem o sinal.
  • Lê a string GPP e confere se a seção US National existe e registra o opt-out.
  • Identifica a CMP ou a mensagem do Google pelo código da página.
  • Confere se a página de privacidade traz categorias de dados, finalidades, terceiros, direitos, recurso e e-mail de contato.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Como sei se passo de 35 mil consumidores de Delaware?

Olhe o relatório de geografia do Analytics ou do Ad Manager e conte visitantes únicos de Delaware no ano civil anterior. Como cookies e identificadores de anúncio são dados pessoais, visitantes anônimos também contam. Dados usados só para pagamento ficam fora.

Minha entidade não tem fins lucrativos. Estou fora?

Não necessariamente. Em Delaware, entidades sem fins lucrativos precisam cumprir a lei se passarem dos limites. A única exceção desse tipo é para entidades dedicadas a combater fraudes de seguro.

Sou obrigado a respeitar o GPC?

Sim, se a lei se aplica ao seu site. Desde 1º de janeiro de 2026, o opt-out de venda e de publicidade direcionada enviado por sinal de preferência precisa ser aceito.

O que muda em 2027?

A HB 380 baixa os limites para 10 mil consumidores, ou 5 mil com mais de 20% da receita vinda de venda de dados, amplia a lista de dados sensíveis e dá ao consumidor o direito de saber quais terceiros específicos receberam os dados.

Preciso de banner de cookies para Delaware?

A lei funciona no modelo de opt-out, então não exige pedir consentimento antes de anúncios comuns. A exceção são os dados sensíveis e os adolescentes de 13 a 17 anos, que exigem consentimento.

O ConsentMode deixa meu site em conformidade?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o link de opt-out, o GPC, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o seu site respeita o GPC em Delaware

A auditoria abre o site como visitante dos EUA, com e sem GPC, e mostra o que corrigir, sem alterar nada.

Começar a auditoria