Abrir workspace

Guia · Lei estadual dos EUA

ICDPA: a lei de privacidade de Iowa, a mais enxuta dos EUA

A Iowa Consumer Data Protection Act vale desde 1º de janeiro de 2025 e é conhecida por dar menos direitos que as outras leis estaduais. Neste guia você entende quem precisa cumprir, o que o visitante pode pedir, como fica a publicidade direcionada e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUALer o guia
  • ✓Baseado no capítulo 715D do Código de Iowa
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
100 milconsumidores de Iowa por ano: o limite principal da lei
90 diaspara responder pedidos, o prazo mais longo entre as leis estaduais
90 diaspara corrigir a falha depois do aviso do procurador-geral
US$ 7.500de multa civil máxima por violação

O que é

Uma lei de privacidade com o mínimo de obrigações

A Iowa Consumer Data Protection Act, ou ICDPA, é a lei geral de privacidade de Iowa. Ela foi sancionada em 2023, fica no capítulo 715D do Código de Iowa e entrou em vigor em 1º de janeiro de 2025.

A lei segue o modelo da Virgínia, mas cortou várias peças. Não há direito de corrigir dados. Não há exigência de avaliação de proteção de dados. Não há obrigação de aceitar sinais universais de opt-out. E os dados sensíveis funcionam no modelo de aviso e recusa, não de consentimento prévio.

Isso não quer dizer que a lei seja inofensiva para sites com anúncios. Quem passa dos limites precisa dizer, de forma clara e visível, se vende dados ou faz publicidade direcionada, e precisa explicar como o visitante pode recusar essas atividades.

Para quem tem visitantes de vários estados, Iowa raramente é o estado mais exigente. Mas é bom conhecer as diferenças para não prometer na página de privacidade direitos que o seu processo não entrega, nem esquecer o que a lei de fato pede.

Checklist

O que você precisa cumprir

Se o site passa dos limites da ICDPA, esta é a lista básica. Iowa pede menos do que outros estados.

  1. Dizer que há venda ou anúncio direcionado

    Quem vende dados ou faz publicidade direcionada precisa dizer isso de forma clara e visível e explicar como o visitante recusa.

    Exemplo

    Link no rodapé: Do Not Sell or Share My Personal Information, levando a uma tela de recusa.

  2. Publicar um aviso de privacidade completo

    O aviso precisa ser claro e fácil de achar. Ele lista os dados tratados, as finalidades, os direitos, como recorrer, os dados repassados e as categorias de terceiros.

    Exemplo

    Inclua no aviso os canais para pedidos, como um formulário e um e-mail.

  3. Avisar antes de usar dado sensível

    Iowa não pede consentimento para dados sensíveis. Pede um aviso claro e a chance de recusar antes do uso. Dado sensível de criança segue a COPPA.

    Exemplo

    Antes de usar a localização precisa, mostre um aviso com a opção Não usar minha localização.

  4. Responder pedidos em até 90 dias

    Responda em até 90 dias, com uma prorrogação de mais 45 se avisar o motivo. Não exija conta nova para o pedido.

  5. Ter um processo de recurso

    Quem teve o pedido negado pode recorrer. Responda o recurso por escrito em até 60 dias e, se negar, indique um caminho online para falar com o procurador-geral.

  6. Manter a segurança dos dados

    A lei pede práticas razoáveis de segurança administrativa, técnica e física para os dados pessoais.

  7. Levar a recusa até o Google

    O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. Com GPP, o Google lê a seção US National para Iowa.

    Exemplo

    AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag.

Quem precisa cumprir e definições

Os limites da ICDPA e as palavras-chave da lei

A lei vale para quem faz negócios em Iowa ou oferece produtos e serviços direcionados aos moradores do estado e, num ano civil, passa de um dos dois limites abaixo. Consumidor é o morador de Iowa agindo como pessoa física, fora do contexto comercial ou de emprego. As definições ficam na seção 715D.1.

100 mil consumidores

Controla ou trata dados pessoais de pelo menos 100 mil consumidores de Iowa.

25 mil e venda de dados

Controla ou trata dados de pelo menos 25 mil consumidores e tira mais de 50% da receita bruta da venda de dados pessoais.

Dado pessoal

Informação ligada ou que possa ser razoavelmente ligada a uma pessoa física identificada ou identificável. Dados desidentificados, agregados e públicos ficam de fora.

Dado sensível

Origem racial ou étnica, crença religiosa, diagnóstico de saúde, orientação sexual, situação migratória, dados genéticos ou biométricos que identificam a pessoa, dados de criança conhecida e geolocalização precisa.

Venda

Só a troca de dados pessoais por dinheiro com um terceiro. Outras contrapartidas de valor não contam, e repasses a operadores, empresas do mesmo grupo ou a pedido do consumidor ficam de fora.

Publicidade direcionada

Anúncio escolhido com dados da atividade do visitante ao longo do tempo em sites e apps de outras empresas. Anúncios contextuais, anúncios próprios e a medição de desempenho ficam de fora.

Direitos das pessoas

O que o morador de Iowa pode pedir, e o que não pode

A lista de direitos de Iowa é a mais curta entre as leis estaduais. A resposta pode levar até 90 dias, com uma prorrogação de mais 45 dias se for necessária e avisada no prazo inicial. Dois pedidos por ano são gratuitos.

Confirmar e acessar

Saber se a empresa trata dados dele e ter acesso a esses dados.

Excluir o que ele forneceu

Pedir a exclusão dos dados que o próprio consumidor forneceu. Dados obtidos de outras fontes não estão no texto desse direito.

Portabilidade

Receber uma cópia dos dados que forneceu, num formato portátil, quando o tratamento for automatizado.

Recusar a venda

Pedir que os dados não sejam vendidos. É o único direito de recusa que aparece na lista de direitos da lei.

Sem direito de correção

Iowa não dá ao consumidor o direito de pedir correção de dados errados, ao contrário da maioria dos estados.

Recurso

Se o pedido for negado, o consumidor pode recorrer. A empresa responde por escrito em até 60 dias e, se negar de novo, mostra como reclamar ao procurador-geral.

Publicidade direcionada

Não está na lista de direitos, mas o opt-out precisa existir

Uma dúvida comum sobre Iowa é se o visitante pode recusar a publicidade direcionada. A lista de direitos da seção 715D.3 traz apenas a recusa da venda de dados. Não há um direito separado de recusar anúncios direcionados, como existe na Virgínia ou no Colorado.

Mas a seção 715D.4 cria um dever para a empresa: quem vende dados pessoais a terceiros ou faz publicidade direcionada precisa divulgar isso de forma clara e visível, e também a maneira como o consumidor pode recusar essa atividade. Na prática, o site coberto precisa mostrar o caminho de opt-out para os anúncios direcionados.

Os dados sensíveis seguem a mesma lógica de aviso e recusa. Antes de tratar dados sensíveis para uma finalidade não isenta, a empresa precisa dar um aviso claro e a oportunidade de recusar. Dados de crianças conhecidas seguem a lei federal COPPA.

Por isso, a configuração prática de um site com anúncios fica parecida com a de outros estados: link de opt-out visível, página de privacidade explicando o uso de dados para anúncios e a recusa realmente desligando a personalização.

Obrigações do site

O que a empresa coberta precisa ter funcionando

  1. Aviso de privacidadeO aviso precisa trazer as categorias de dados tratados, a finalidade, como exercer os direitos e recorrer, as categorias de dados compartilhados com terceiros e as categorias desses terceiros.
  2. Divulgar venda e anúncios direcionadosSe o site vende dados ou faz publicidade direcionada, precisa dizer isso de forma clara e visível e explicar como o visitante pode recusar.
  3. Canal seguro para pedidosA empresa precisa oferecer um ou mais meios seguros e confiáveis para os pedidos, sem exigir que o consumidor crie uma conta nova.
  4. Aviso antes de dados sensíveisTratar dados sensíveis exige aviso claro e oportunidade de recusar, e dados de crianças seguem a COPPA.
  5. Segurança e não discriminaçãoA empresa precisa manter práticas de segurança razoáveis e não pode tratar pior quem exerce seus direitos.
  6. Contratos com operadoresFornecedores que tratam dados em nome da empresa seguem as instruções dela, sob contrato com as regras do tratamento.

Fiscalização e multas

O prazo de correção mais longo do país

Só o procurador-geral de Iowa pode fiscalizar a lei. O consumidor não pode processar a empresa com base nela.

90 dias para corrigir

Antes de qualquer ação, o procurador-geral envia um aviso por escrito apontando as violações. A empresa tem 90 dias para corrigir.

Declaração por escrito

Para encerrar o caso, a empresa precisa corrigir e declarar por escrito que corrigiu e que a falha não vai se repetir.

Até US$ 7.500 por violação

Se a falha continuar, o procurador-geral pode pedir ordem judicial e multa civil de até US$ 7.500 por violação.

Investigação

O procurador-geral pode exigir documentos e informações da empresa durante a investigação.

Linha do tempo

As datas da ICDPA

Iowa deu quase dois anos de preparo entre a sanção e a entrada em vigor.

  1. 2023

    Sanção

    Iowa se torna um dos primeiros estados, depois da Califórnia, Virgínia, Colorado, Utah e Connecticut, a aprovar uma lei geral de privacidade.

  2. 1º de janeiro de 2025

    Entrada em vigor

    A lei passa a valer, com a fiscalização exclusiva do procurador-geral.

  3. Setembro de 2025

    Google atualiza o GPP

    O Google passa a aceitar a versão 2 da seção US National do GPP, o caminho que ele lê para o opt-out de estados como Iowa.

Sites com AdSense e Ad Manager

Como o opt-out de Iowa chega ao Google

Iowa não obriga o site a reconhecer sinais universais de opt-out, como o Global Privacy Control, ou GPC. Mesmo assim, honrar o GPC para todo o tráfego dos EUA é uma boa prática, porque vários estados exigem e porque simplifica a configuração da CMP.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Iowa está entre os estados atendidos. A mensagem mostra o link Do Not Sell or Share. Quando o visitante recusa, o Google liga o processamento restrito de dados, chamado RDP, e deixa de usar o comportamento anterior para escolher anúncios.

Existe uma seção específica de Iowa no GPP da IAB Tech Lab, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National: a recusa de venda, compartilhamento ou publicidade direcionada nessa seção liga o RDP.

Outra opção é ligar o RDP na própria tag, com o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense, só para quem pediu opt-out. O teste final é sempre o mesmo: o pedido de anúncio precisa mudar depois da recusa.

Na prática

O que pode e o que não pode em Iowa

Exemplos para uma empresa que passa dos limites da lei e monetiza com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais para quem recusou a venda ou a publicidade direcionada
  • Usar a mensagem de regulamentos estaduais do Google para oferecer o link de opt-out
  • Responder pedidos em até 90 dias, avisando antes se precisar de mais 45
  • Cobrar por pedidos repetitivos ou claramente sem fundamento, provando que são abusivos
  • Aplicar a mesma política de opt-out e GPC para todo o tráfego dos EUA

Não pode

  • Fazer publicidade direcionada sem dizer isso na página de privacidade e sem explicar como recusar
  • Exigir criação de conta para o visitante pedir acesso ou exclusão
  • Tratar dados sensíveis sem aviso claro e sem oportunidade de recusa
  • Ignorar o recurso de um consumidor que teve o pedido negado
  • Prometer na política direitos que Iowa não dá e que o seu processo não atende

Erros comuns

Onde os sites tropeçam com a lei de Iowa

A lei mais enxuta também tem armadilhas, principalmente para quem lê só a lista de direitos.

Achar que não há opt-out de anúncios

Como o direito não aparece na lista, o site não oferece recusa de publicidade direcionada. Mas o dever de divulgar e explicar como recusar existe.

Política sem anúncios direcionados

A página de privacidade fala de cookies em geral, mas não diz que os dados são usados para publicidade direcionada.

Mensagem só para a Califórnia

A mensagem de opt-out do Google foi configurada só para a Califórnia, e o tráfego de Iowa nunca vê o link.

Seção de Iowa sozinha no GPP

A CMP envia só a seção estadual de Iowa, que o Google não lê. Sem a US National, o opt-out não chega aos anúncios do Google.

Link de opt-out que não muda nada

O visitante clica, mas os pedidos de anúncio continuam iguais, sem RDP e sem opt-out no GPP.

Contar mal o volume

O site considera só cadastrados. Cookies e identificadores de anúncio também identificam pessoas e entram na contagem.

No ConsentMode

O que a auditoria confere para Iowa

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
  • Identifica a CMP ou a mensagem de regulamentos estaduais do Google pelo código da página.
  • Lê a string GPP e confere se a seção US National existe e registra o opt-out depois do clique.
  • Ativa o sinal GPC no navegador da auditoria e mostra se a página e os pedidos de anúncio reagem.
  • Confere se a página de privacidade diz que há publicidade direcionada ou venda de dados e explica como recusar.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Em Iowa o visitante pode recusar a publicidade direcionada?

A lista de direitos de Iowa traz só a recusa da venda. Mas a lei exige que quem faz publicidade direcionada divulgue isso de forma clara e explique como o consumidor pode recusar essa atividade. Na prática, o site coberto precisa oferecer esse caminho.

Iowa exige que eu respeite o GPC?

Não. A lei não prevê sinais universais de opt-out. Mas outros estados exigem, e a maior parte das CMPs trata o GPC para todo o tráfego dos EUA.

Preciso fazer avaliação de proteção de dados para Iowa?

Não. A lei de Iowa não exige avaliações de proteção de dados. Se você está em outros estados que exigem, a avaliação feita para eles continua necessária.

Quanto tempo tenho para responder um pedido?

Até 90 dias, com uma prorrogação de mais 45 dias se for necessária e avisada dentro do prazo inicial. Dois pedidos por ano de cada consumidor devem ser gratuitos.

Iowa exige banner de consentimento?

Não. A lei usa o modelo de opt-out até para dados sensíveis, com aviso e oportunidade de recusa. Para crianças, vale a lei federal COPPA.

O ConsentMode resolve a conformidade com Iowa?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o link de opt-out, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Confira se o opt-out do seu site funciona para Iowa

A auditoria abre o site como visitante dos EUA e mostra o que corrigir, sem alterar nada.

Começar a auditoria