Abrir workspace

Guia · Lei estadual dos EUA

Florida Digital Bill of Rights explicado para quem vive de anúncios

A lei de privacidade da Flórida vale desde 1º de julho de 2024, mas a maior parte das regras só alcança empresas gigantes. Neste guia você entende esse alcance estreito, a regra de dados sensíveis que vale para muito mais empresas e o que o Google faz com o opt-out de quem visita seu site a partir da Flórida.

Auditar meu site para os EUALer o guia
  • ✓Baseado no texto das Florida Statutes, seções 501.701 a 501.722
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
US$ 1 bide receita bruta anual global: o limite para ser controlador na lei
50%ou mais da receita vinda da venda de anúncios online: uma das três portas de entrada
US$ 50 milde multa civil máxima por violação, que pode ser triplicada em certos casos
45 diaspara responder pedidos dos consumidores, com uma prorrogação de 15 dias

O que é

Uma lei de privacidade feita para as maiores empresas de tecnologia

O Florida Digital Bill of Rights, ou FDBR, é a lei de privacidade da Flórida. Ela foi sancionada em 6 de junho de 2023 e entrou em vigor em 1º de julho de 2024. A lei fica na parte V do capítulo 501 das Florida Statutes, nas seções 501.701 a 501.722.

Os direitos dados ao consumidor são parecidos com os de outros estados: acesso, correção, exclusão, portabilidade e recusa de publicidade direcionada, de venda e de perfil automatizado. A Flórida acrescenta direitos próprios, como recusar a coleta de dados por reconhecimento de voz ou de rosto.

O que torna a lei diferente é o alcance. A maior parte das obrigações só vale para controladores com receita global acima de US$ 1 bilhão que também se encaixam em um de três perfis bem específicos. Na prática, isso mira grandes plataformas de anúncios, assistentes de voz e lojas de aplicativos.

Mesmo assim, o site pequeno não deve ignorar a lei. Uma regra sobre venda de dados sensíveis vale para qualquer empresa com fins lucrativos que faz negócios na Flórida e coleta dados. E os parceiros de anúncios que recebem dados do seu site podem estar dentro da lei.

Checklist

O que você precisa cumprir

A maior parte da lei só vale para controladores gigantes, mas a regra dos dados sensíveis alcança muito mais sites.

  1. Não vender dado sensível sem consentimento

    A regra vale para empresa com fins lucrativos que faz negócios na Flórida e coleta dados, sem o limite de US$ 1 bilhão. A venda de dado sensível exige consentimento prévio.

    Exemplo

    Antes de repassar dados de saúde a um parceiro, peça permissão com as opções Permitir e Não permitir.

  2. Publicar a frase exata se vender dado sensível

    Quem vende dado sensível precisa publicar um aviso com texto fixo, em inglês.

    Exemplo

    NOTICE: This website may sell your sensitive personal data.

  3. Cuidar dos dados sensíveis de menores

    Se o dado sensível é de um menor conhecido entre 13 e 18 anos, a venda exige a autorização dele. Abaixo de 13 anos, vale a lei federal COPPA, com consentimento dos pais.

  4. Se for controlador: aviso revisado todo ano

    O aviso precisa ser claro e listar dados, finalidades, terceiros, direitos, recurso e canais de pedido. Ele deve ser atualizado pelo menos uma vez por ano.

  5. Se for controlador: frase para dado biométrico

    Quem vende dado biométrico também publica um aviso com texto fixo, em inglês.

    Exemplo

    NOTICE: This website may sell your biometric personal data.

  6. Se for controlador: dizer como recusar

    Quem vende dados ou faz publicidade direcionada precisa dizer isso de forma clara e visível e explicar como recusar.

    Exemplo

    Link no rodapé: Do Not Sell or Share My Personal Information.

  7. Levar a recusa até o Google

    O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. A Flórida tem seção própria no GPP, e o Google aceita essa seção.

    Exemplo

    AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag. A Flórida é um dos poucos estados com seção própria no GPP aceita pelo Google.

Quem precisa cumprir

O alcance estreito do controlador na Flórida

Para ser controlador, a empresa precisa ter fins lucrativos, fazer negócios na Flórida, coletar dados de consumidores, decidir como esses dados são usados, ter receita global acima de US$ 1 bilhão e se encaixar em pelo menos um dos perfis abaixo.

Receita vinda de anúncios

Metade ou mais da receita bruta anual global vem da venda de anúncios online, incluindo publicidade direcionada.

Assistente de voz

Opera um alto-falante inteligente ou serviço de comando de voz com assistente virtual ligado à nuvem e ativado sem as mãos. Sistemas de montadoras de veículos ficam de fora.

Loja de aplicativos

Opera uma loja de aplicativos ou plataforma de distribuição digital com pelo menos 250 mil aplicativos diferentes.

Empresas ligadas

Empresas que controlam um controlador, ou são controladas por ele, também entram na definição.

Regra dos dados sensíveis vale para mais gente

A proibição de vender dados sensíveis sem consentimento alcança qualquer empresa com fins lucrativos que faz negócios na Flórida e coleta dados, sem o limite de US$ 1 bilhão.

Quem é consumidor

Morador ou domiciliado na Flórida agindo como pessoa física ou em contexto doméstico. Quem age em contexto comercial ou de trabalho fica fora.

Definições

As palavras da lei, em linguagem de quem tem site

As definições ficam na seção 501.702 e seguem de perto o modelo das outras leis estaduais.

Dado pessoal

Qualquer informação ligada ou que possa ser razoavelmente ligada a uma pessoa identificada ou identificável, inclusive dados pseudônimos quando podem ser ligados à pessoa com informação adicional. Dados desidentificados e públicos ficam de fora.

Dado sensível

Origem racial ou étnica, crença religiosa, diagnóstico de saúde, orientação sexual, situação migratória, dados genéticos ou biométricos que identificam a pessoa, dados de criança conhecida e geolocalização precisa.

Venda

Compartilhar, divulgar ou transferir dados pessoais a um terceiro em troca de dinheiro ou de outra contrapartida de valor. Repasses a operadores e a pedido do consumidor ficam de fora.

Publicidade direcionada

Anúncio escolhido com base na atividade do consumidor ao longo do tempo em vários sites e apps. Anúncio pelo contexto de uma busca no próprio site não entra.

Direitos das pessoas

O que o consumidor da Flórida pode pedir

O controlador responde em até 45 dias e pode prorrogar uma vez por mais 15 dias, avisando o consumidor dentro do prazo inicial. Também precisa oferecer um caminho de recurso.

Acessar

Saber se a empresa trata dados dele e ver esses dados.

Corrigir e excluir

Corrigir dados errados e pedir a exclusão de parte ou de todos os dados pessoais.

Portabilidade

Receber uma cópia dos dados num formato que possa ser usado em outro serviço, quando isso for viável.

Recusar anúncios direcionados, venda e perfil

Recusar publicidade direcionada, a venda dos dados e perfis que levem a decisões com efeito legal ou parecido.

Recusar dados sensíveis

Recusar a coleta ou o tratamento de dados sensíveis, inclusive geolocalização precisa.

Recusar voz e rosto

Recusar a coleta de dados por recursos de reconhecimento de voz ou de reconhecimento facial.

Obrigações

O que o controlador precisa ter funcionando

  1. Aviso de privacidade revisado todo anoO aviso precisa ser acessível e claro e listar as categorias de dados tratados, inclusive sensíveis, a finalidade, como exercer os direitos e recorrer, as categorias de dados compartilhados, as categorias de terceiros e os canais para enviar pedidos. Ele deve ser atualizado pelo menos uma vez por ano.
  2. Avisos padronizados de vendaQuem vende dados sensíveis precisa publicar o aviso NOTICE: This website may sell your sensitive personal data. Quem vende dados biométricos precisa publicar NOTICE: This website may sell your biometric personal data.
  3. Divulgação de venda e anúncios direcionadosSe o controlador vende dados ou faz publicidade direcionada, precisa dizer isso de forma clara e visível e explicar como o consumidor pode recusar.
  4. Avaliação de proteção de dadosA lei exige avaliações registradas para tratamentos de maior risco, como publicidade direcionada, venda de dados, perfis e dados sensíveis.
  5. Contrato com operadoresFornecedores que tratam dados em nome do controlador seguem as instruções dele e precisam de contrato com as regras do tratamento.
  6. Consentimento para dados sensíveisNenhuma empresa coberta pela regra pode vender dados sensíveis sem consentimento prévio do consumidor. Para crianças, valem regras próprias e a lei federal COPPA.

Fiscalização e multas

As multas mais altas entre as leis estaduais

Quem fiscaliza é o Department of Legal Affairs, ligado ao procurador-geral da Flórida. A lei diz de forma expressa que não cria ação privada para o consumidor.

Até US$ 50 mil por violação

O valor máximo da multa civil é de US$ 50 mil por violação, além de outras medidas previstas na lei de práticas comerciais da Flórida.

Multa triplicada

O valor pode ser triplicado quando envolve criança conhecida, quando a empresa não apaga ou corrige dados após pedido válido, ou quando continua vendendo dados depois do opt-out.

45 dias para corrigir, se o órgão quiser

O órgão pode dar 45 dias para a empresa corrigir a falha, mas isso é uma decisão dele, não um direito da empresa. Violações com crianças não têm esse prazo.

Relatório público anual

Todo ano, até 1º de fevereiro, o órgão publica um relatório com reclamações, ações e multas aplicadas e recebidas.

Linha do tempo

As datas do FDBR

A lei teve um ano de preparação entre a sanção e a entrada em vigor.

  1. 6 de junho de 2023

    Sanção

    O governador aprova o projeto SB 262, que cria o Florida Digital Bill of Rights.

  2. 1º de julho de 2024

    Entrada em vigor

    A lei passa a valer. Controladores precisam responder pedidos, oferecer opt-out e publicar o aviso de privacidade.

  3. Todo 1º de fevereiro

    Relatório de fiscalização

    O Department of Legal Affairs publica no seu site o balanço anual de reclamações, ações e multas.

  4. Setembro de 2025

    Google atualiza o GPP

    O Google passa a aceitar a versão 2 da seção US National do GPP, mantendo também a seção específica da Flórida entre as aceitas.

Sites com AdSense e Ad Manager

Como o opt-out da Flórida chega ao Google

O FDBR não obriga o site a reconhecer sinais universais de opt-out, como o Global Privacy Control, ou GPC. O visitante precisa usar o caminho que o site oferece. Mesmo assim, honrar o GPC é uma boa prática e vale para estados onde ele é obrigatório.

O Google oferece uma mensagem de regulamentos estaduais dos EUA no AdSense e no Ad Manager, em Privacidade e mensagens. A Flórida está na lista de estados atendidos. A mensagem mostra o link Do Not Sell or Share, e a recusa do visitante liga o processamento restrito de dados, chamado RDP, que impede anúncios baseados no comportamento anterior.

Para quem usa uma CMP própria, a Flórida é um dos poucos estados com seção própria no GPP que o Google aceita. Nessa seção, a recusa de venda ou de publicidade direcionada liga o RDP. A seção US National também é aceita e funciona do mesmo jeito para venda, compartilhamento e publicidade direcionada.

Há ainda o caminho pela própria tag: o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense, usados só para quem pediu opt-out. Seja qual for o caminho, o teste é o mesmo: o pedido de anúncio precisa mudar depois da recusa.

Na prática

O que pode e o que não pode na Flórida

Exemplos para um site que recebe visitantes da Flórida e monetiza com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais para quem recusou a publicidade direcionada
  • Usar a seção da Flórida ou a seção US National do GPP para avisar o Google sobre o opt-out
  • Usar a mensagem de regulamentos estaduais do Google para oferecer o link de opt-out
  • Manter um único aviso de privacidade para os EUA, desde que traga o que a Flórida pede
  • Revisar e atualizar a página de privacidade pelo menos uma vez por ano

Não pode

  • Vender dados sensíveis, como geolocalização precisa, sem consentimento prévio, mesmo sendo uma empresa pequena
  • Vender dados sensíveis sem publicar o aviso padronizado exigido pela lei
  • Continuar vendendo ou compartilhando dados depois do opt-out, o caso que pode triplicar a multa
  • Deixar o link de opt-out escondido numa página que ninguém encontra
  • Supor que o parceiro de anúncios está fora da lei só porque o seu site é pequeno

Erros comuns

Onde os sites tropeçam com a lei da Flórida

O alcance estreito da lei faz muita gente achar que não precisa fazer nada. Estes são os deslizes mais comuns.

Ignorar a regra dos dados sensíveis

O site usa um SDK ou script que coleta geolocalização precisa e repassa a parceiros. Essa venda exige consentimento, mesmo sem o limite de US$ 1 bilhão.

Política de privacidade parada

A página de privacidade não muda há anos. A lei pede atualização pelo menos anual para quem é controlador.

Mensagem sem a Flórida

A mensagem de opt-out do Google foi ligada só para a Califórnia, e o tráfego da Flórida nunca vê o link.

Seção estadual errada no GPP

A CMP manda uma seção que o Google não aceita e deixa de fora a da Flórida e a US National. O opt-out não chega aos anúncios.

Opt-out que não para a venda

O visitante clica, mas os pedidos de anúncio continuam com dados para personalização. Na Flórida, isso pode triplicar a multa.

Esquecer menores de idade

Violações envolvendo criança conhecida não têm prazo de correção e podem ter multa triplicada.

No ConsentMode

O que a auditoria confere para a Flórida

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
  • Identifica a CMP ou a mensagem de regulamentos estaduais do Google pelo código da página.
  • Lê a string GPP e diz se ela traz a seção da Flórida ou a seção US National, e se muda depois do opt-out.
  • Ativa o sinal GPC no navegador da auditoria e mostra se a página e os pedidos de anúncio reagem.
  • Confere se a página de privacidade cita venda, publicidade direcionada, direitos, recurso e os avisos de venda de dados sensíveis quando houver.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Meu site é pequeno. A lei da Flórida se aplica a mim?

A maior parte das obrigações não, porque o controlador precisa ter receita global acima de US$ 1 bilhão e se encaixar em um dos três perfis da lei. Mas a regra que proíbe vender dados sensíveis sem consentimento vale para qualquer empresa com fins lucrativos que faz negócios na Flórida e coleta dados.

Por que então me preocupar com o opt-out da Flórida?

Porque os parceiros que compram e entregam anúncios no seu site podem ser controladores na lei, e porque outros estados com limites menores podem alcançar o seu negócio. Oferecer o opt-out para todo o tráfego dos EUA simplifica a operação.

A Flórida exige que eu respeite o GPC?

Não. A lei não prevê sinais universais de opt-out. Mesmo assim, muitas CMPs tratam o GPC em todos os estados, o que ajuda com as leis que exigem.

O Google lê a seção da Flórida no GPP?

Sim. A Flórida está na lista de seções aceitas pelo Google, junto com US National, Califórnia, Colorado, Connecticut e Virgínia. A recusa de venda ou de publicidade direcionada nessa seção liga o processamento restrito de dados.

O que é o aviso NOTICE que a lei pede?

É um texto padronizado em inglês que quem vende dados sensíveis ou biométricos precisa publicar. Ele avisa que o site pode vender esse tipo de dado. A maioria dos sites com anúncios não vende esse tipo de dado e não precisa do aviso.

O ConsentMode faz o meu site cumprir a lei da Flórida?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra, com prints, o que o site faz com o opt-out, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Descubra se o opt-out da Flórida chega aos seus anúncios

A auditoria abre o site como visitante dos EUA e mostra o que corrigir, sem alterar nada.

Começar a auditoria