Abrir workspace

Guia · Estados Unidos

Privacidade nos EUA: o que um site com anúncios precisa saber

Nos Estados Unidos não existe uma lei federal única de privacidade. Cada estado vem criando a sua, quase todas no modelo de opt-out: os anúncios podem rodar, mas o visitante tem o direito de dizer não. Este guia explica esse modelo, a Califórnia, os sinais GPC e GPP e como o Google trata os estados americanos.

Auditar meu site agoraLer o guia
  • ✓Baseado nas fontes oficiais da Califórnia, Colorado, Connecticut e Virgínia
  • ✓Visão geral com links para os guias de cada estado
  • ✓Leitura do site sem alterar nada
45 diasprazo da Virgínia para responder a pedidos, prorrogável uma vez
100 milconsumidores ou residências, um dos limites da lei da Califórnia
US$ 7.988multa máxima por violação intencional na Califórnia em 2025
2023ano em que as primeiras leis estaduais depois da Califórnia começaram a valer

Visão geral

Uma colcha de retalhos, e não uma lei única

Os Estados Unidos não têm uma lei federal geral de privacidade como o GDPR ou a LGPD. No nível federal existem leis por setor e por público. As mais importantes para um site com anúncios são a lei da Comissão Federal de Comércio (FTC Act), que proíbe práticas enganosas e desleais, e a COPPA, que protege dados de crianças menores de 13 anos.

Na prática, isso quer dizer que a política de privacidade precisa contar a verdade. Se o site diz que não compartilha dados e os passa para redes de anúncios, a FTC pode tratar isso como prática enganosa. E se o conteúdo é voltado para crianças, os anúncios personalizados ficam de fora.

O espaço deixado pela esfera federal foi ocupado pelos estados. A Califórnia abriu o caminho com a CCPA, e desde 2023 uma lista crescente de estados aprovou leis abrangentes de privacidade do consumidor. Cada lei tem os seus limites de aplicação, prazos e detalhes, mas quase todas seguem o mesmo desenho.

Checklist

O que você precisa cumprir

Cada estado tem detalhes próprios, mas estas obrigações aparecem na maioria das leis e nas regras do Google.

  1. Ofereça um caminho fácil para recusar

    Quem faz publicidade direcionada ou vende dados precisa mostrar de forma clara como o visitante recusa. Na Califórnia, o link fica no cabeçalho ou no rodapé da página inicial.

    Exemplo

    Rodapé de todas as páginas: Do Not Sell or Share My Personal Information

  2. Trate o GPC como recusa

    Califórnia, Colorado desde 1º de julho de 2024 e Connecticut desde 1º de janeiro de 2025 exigem aceitar o Global Privacy Control como pedido de recusa. O visitante não precisa clicar em nada.

  3. Passe a recusa para o Google

    O Google liga o processamento restrito de dados, o RDP, quando recebe a recusa pela string GPP ou pela própria tag. Com o RDP, aquela visita recebe só anúncios não personalizados.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  4. Mantenha a política de privacidade completa

    Virgínia, Utah e Colorado pedem que a política diga quais dados você trata, para quê, com quais tipos de terceiros e como o visitante exerce os direitos.

    Exemplo

    Usamos cookies de parceiros de anúncios para mostrar anúncios com base na sua navegação. Para recusar, use o link Do Not Sell or Share My Personal Information no rodapé.

  5. Peça permissão antes de usar dados sensíveis

    Virgínia, Colorado e Connecticut exigem consentimento para dados como saúde, religião e orientação sexual. Em Utah, é preciso aviso claro e chance de recusar antes.

  6. Responda aos pedidos no prazo

    Pedidos de acesso, correção ou exclusão têm resposta em até 45 dias na Califórnia, na Virgínia, no Colorado, em Connecticut e em Utah, com uma prorrogação de mais 45. Na Califórnia, a recusa deve ser atendida em até 15 dias úteis.

  7. Cuide dos menores de idade

    Na Califórnia, vender ou compartilhar dados de quem você sabe ter menos de 16 anos exige autorização prévia. Abaixo de 13 anos, a autorização vem dos pais.

  8. Revise os parceiros de anúncios

    No AdSense e no Ad Manager, o controle Revisar seus parceiros de anúncios, em Privacidade e mensagens, define quais compradores podem servir anúncios nos estados com lei.

    Exemplo

    Privacidade e mensagens > Regulamentações dos estados dos EUA > ícone de configurações > Revisar seus parceiros de anúncios

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada para os estados dos EUA. Ele diz que usar GPP ou uma CMP não é obrigatório, mas a recusa do visitante precisa chegar aos anúncios. Estes são os caminhos oficiais.

O modelo estadual

Opt-out: pode rodar, mas a pessoa pode dizer não

Na Europa, o padrão é pedir permissão antes. Nos estados americanos, o padrão é permitir e dar ao visitante um jeito fácil de recusar.

Publicidade direcionada

O visitante pode recusar que os dados dele sejam usados para anúncios baseados no que ele faz em outros sites e apps.

Venda ou compartilhamento

O visitante pode recusar a venda dos dados. Na Califórnia, isso inclui o compartilhamento para publicidade comportamental entre contextos.

Dados sensíveis

Saúde, origem racial, religião, orientação sexual e localização precisa têm proteção extra. Em vários estados exigem consentimento, e na Califórnia o visitante pode limitar o uso.

Sinal automático do navegador

Califórnia, Colorado e Connecticut, entre outros, exigem respeitar sinais de opt-out enviados pelo navegador, como o Global Privacy Control.

Califórnia

CCPA e CPRA: a lei que serve de referência

A Lei de Privacidade do Consumidor da Califórnia (CCPA) foi ampliada pela Proposição 24, aprovada em novembro de 2020, conhecida como CPRA. Ela vale para empresas com fins lucrativos que fazem negócio na Califórnia e atingem pelo menos um destes limites.

Faturamento

Receita bruta anual a partir de US$ 26.625.000 no ano anterior, valor corrigido pela inflação a partir de 1º de janeiro de 2025.

Volume de pessoas

Comprar, vender ou compartilhar dados de 100 mil ou mais residentes ou residências da Califórnia. Um site com muito tráfego americano pode chegar lá.

Receita com dados

Obter 50% ou mais da receita anual com a venda ou o compartilhamento de dados pessoais de residentes da Califórnia.

Link de opt-out

Quem vende ou compartilha precisa de um link claro, em geral no rodapé, com o texto Do Not Sell or Share My Personal Information, Your Privacy Choices ou Your California Privacy Choices.

Os outros estados

Quais estados já têm leis abrangentes

Depois da Califórnia, as primeiras leis a entrar em vigor foram as da Virgínia, em 1º de janeiro de 2023, e as do Colorado e de Connecticut, em 1º de julho de 2023. Utah veio em seguida, com uma lei mais enxuta.

A lista continuou com Texas, Oregon, Montana, Iowa, Delaware, Nebraska, New Hampshire, Nova Jersey, Tennessee, Minnesota e Maryland. As leis de Indiana, Kentucky e Rhode Island começaram a valer em 1º de janeiro de 2026.

Os limites mudam de estado para estado. Na Virgínia, por exemplo, a lei alcança quem trata dados de pelo menos 100 mil consumidores no ano, ou de 25 mil consumidores com mais de metade da receita vinda da venda de dados. No Colorado, o limite é de 100 mil consumidores, ou receita com a venda de dados de 25 mil ou mais.

Como cada estado tem detalhes próprios, o ConsentMode tem guias separados para os principais. Esta página dá a visão de conjunto. A regra prática é configurar o site uma vez pelo modelo mais exigente e aplicar o opt-out para todos os estados com lei em vigor.

Direitos

Os direitos que se repetem em quase todas as leis

Os nomes variam, mas o conjunto de direitos é bem parecido de um estado para outro.

Saber e acessar

Perguntar quais dados a empresa tem e para que usa.

Corrigir

Pedir a correção de dados errados.

Apagar

Pedir a exclusão dos dados, com algumas exceções previstas em lei.

Portabilidade

Receber uma cópia dos dados em formato que possa ser levado a outro serviço.

Recusar (opt-out)

Dizer não à publicidade direcionada, à venda de dados e a certos tipos de perfil.

Recorrer

Em vários estados, contestar a resposta negativa da empresa e pedir uma nova análise. Os prazos de resposta são curtos: na Virgínia, 45 dias para atender aos pedidos, prorrogáveis uma vez.

Sinais

GPC e GPP: os dois sinais que o site precisa entender

O Global Privacy Control (GPC) é um sinal que o próprio navegador envia, em navegadores como Firefox, Brave e DuckDuckGo ou por extensão. Ele funciona como um botão de parar de vender ou compartilhar meus dados. A Califórnia exige que as empresas respeitem esse sinal como um pedido válido de opt-out.

No Colorado, aceitar mecanismos universais de opt-out passou a ser obrigatório em 1º de julho de 2024, e o GPC foi o primeiro reconhecido pelo estado. Em Connecticut, a obrigação vale desde 1º de janeiro de 2025. Ou seja: um visitante com GPC ligado deve ser tratado como se tivesse clicado no link de opt-out.

O Global Privacy Platform (GPP) é outra coisa. É o formato criado pelo IAB Tech Lab para a CMP passar a escolha do visitante a todos os parceiros de anúncios, com seções para os estados americanos. Ele substitui a antiga string US Privacy, que o IAB descontinuou em janeiro de 2024.

Resumo: o GPC é o pedido que chega do navegador. O GPP é a forma de a CMP avisar o Google e as outras redes sobre o que o visitante escolheu.

Linha do tempo

Como o mapa americano foi se formando

Datas confirmadas nas fontes oficiais de cada estado.

  1. Novembro de 2020

    Proposição 24 na Califórnia

    Eleitores aprovam a CPRA, que amplia a CCPA e cria a agência estadual de privacidade (CPPA).

  2. 1º de janeiro de 2023

    CPRA e Virgínia

    Começam a valer as novas proteções da Califórnia e a lei da Virgínia. O Google amplia o processamento restrito de dados para as leis estaduais.

  3. 1º de julho de 2023

    Colorado e Connecticut

    As duas leis entram em vigor com direito de opt-out de publicidade direcionada.

  4. Janeiro de 2024

    Fim da string US Privacy

    O IAB descontinua a string US Privacy em favor do GPP.

  5. 1º de julho de 2024

    Opt-out universal no Colorado

    Empresas passam a ter que aceitar sinais como o GPC.

  6. 1º de janeiro de 2025

    Connecticut e novos valores na Califórnia

    Connecticut passa a exigir respeito aos sinais de opt-out. A Califórnia corrige pela inflação limites e multas.

  7. 1º de janeiro de 2026

    Indiana, Kentucky e Rhode Island

    Três novas leis estaduais começam a valer. Na Califórnia, entram em vigor regras sobre decisões automatizadas, avaliações de risco e auditorias.

AdSense e Ad Manager

Como o Google trata os estados americanos

O Google oferece o processamento restrito de dados (RDP) desde 2019, criado para a CCPA, e o ampliou em janeiro de 2023 para as leis estaduais. Com o RDP ligado, o Google limita o uso de identificadores e só serve anúncios não personalizados para aquela visita.

O RDP pode ser ligado de três formas: por uma CMP que envia o sinal GPP, por configuração em cada solicitação de anúncio na tag do site, ou para todo o tráfego dos estados aplicáveis nas configurações de Privacidade e mensagens. A configuração por solicitação combina bem com um link de opt-out no rodapé.

No AdSense e no Ad Manager também existe o controle Revisar seus parceiros de anúncios, em Regulamentações dos estados dos EUA, para escolher quais compradores podem servir anúncios aos usuários desses estados. O Google recomenda migrar da string US Privacy para o GPP, embora ainda leia a string antiga por compatibilidade.

Diferente da Europa, o Google não exige CMP certificada para os Estados Unidos. Mas o editor continua responsável por oferecer o opt-out exigido pelas leis estaduais e por manter a política de privacidade correta.

O que fazer

Como configurar um site com tráfego americano

  1. Meça o tráfego por estadoVeja no Analytics quantos visitantes vêm da Califórnia e dos outros estados com lei. Isso ajuda a saber quais limites o site pode atingir.
  2. Atualize a política de privacidadeExplique quais dados os anúncios usam, quais parceiros recebem, quais direitos o visitante tem e como exercê-los, citando as leis estaduais aplicáveis.
  3. Coloque o link de opt-out no rodapéUse um texto aceito, como Do Not Sell or Share My Personal Information ou Your Privacy Choices, levando a uma página ou mensagem que funcione de verdade.
  4. Respeite o GPCConfigure a CMP ou o site para tratar o sinal GPC como opt-out automático, sem pedir nada a mais ao visitante.
  5. Passe a escolha para o GoogleUse GPP pela CMP, o RDP por solicitação ou a mensagem de estados dos EUA em Privacidade e mensagens.
  6. Revise os parceirosNo AdSense ou Ad Manager, confira em Regulamentações dos estados dos EUA quais parceiros podem servir anúncios nesses estados.

Na prática

O que pode e o que não pode para visitantes americanos

Exemplos com base no modelo de opt-out das leis estaduais.

Pode

  • Mostrar anúncios personalizados por padrão, oferecendo um opt-out claro
  • Usar um link Your Privacy Choices no rodapé de todas as páginas
  • Ligar o RDP do Google só para quem fez opt-out ou para os estados com lei
  • Tratar o GPC como opt-out sem abrir nenhum banner
  • Usar a mesma página de opt-out para todos os estados com lei
  • Enviar a escolha aos parceiros pela string GPP

Não pode

  • Link de opt-out que leva a uma página sem nenhuma ação real
  • Pedir cadastro ou login para o visitante fazer opt-out
  • Ignorar o sinal GPC de visitantes da Califórnia
  • Continuar enviando dados para remarketing depois do opt-out
  • Mostrar a mensagem europeia do TCF para o público americano
  • Mirar anúncios personalizados em conteúdo para crianças menores de 13 anos

No ConsentMode

O que a auditoria confere para visitantes dos EUA

  • Abre o site como um visitante da Califórnia e mostra em print se o link de opt-out aparece e para onde ele leva.
  • Repete a visita com o sinal GPC ligado e confere se o site e as tags mudam de comportamento.
  • Lê a string GPP ou a antiga US Privacy no código da página e identifica a CMP.
  • Confere se as solicitações de anúncio levam o sinal de processamento restrito depois do opt-out.
  • Lê a política de privacidade e aponta se faltam direitos, parceiros ou as leis estaduais.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre as leis dos EUA

Meu site é brasileiro. As leis americanas valem para mim?

Podem valer, se o site faz negócio com residentes do estado e atinge os limites da lei, como o volume de visitantes da Califórnia. Cada lei tem critérios próprios. Na dúvida, oferecer o opt-out e respeitar o GPC é uma configuração simples e segura.

Preciso de banner de cookies para os EUA?

Em regra, não no formato europeu. O modelo americano pede um link de opt-out e transparência na política de privacidade. Para dados sensíveis, alguns estados pedem consentimento.

O que acontece com a receita quando ligo o RDP?

As visitas com RDP recebem só anúncios não personalizados, que costumam pagar menos. Por isso o ideal é ligar o RDP para quem fez opt-out, e não para todo o tráfego do mundo.

Qual a diferença entre GPC e GPP?

O GPC é o sinal que o navegador do visitante envia dizendo não venda meus dados. O GPP é o formato que a CMP usa para passar a escolha do visitante às redes de anúncios.

Quais são as multas na Califórnia?

Desde 1º de janeiro de 2025, até US$ 2.663 por violação e até US$ 7.988 por violação intencional ou que envolva menores de 16 anos. As outras leis estaduais têm valores próprios, como até US$ 7.500 por violação na Virgínia.

Onde encontro os detalhes de cada estado?

O ConsentMode tem guias separados para os principais estados. Esta página resume o que eles têm em comum e o que muda no Google.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Teste o opt-out do seu site como um visitante americano

A auditoria confere link de opt-out, GPC, GPP e sinais enviados ao Google, e mostra o que corrigir.

Começar a auditoria