Abrir workspace

Guia · Lei estadual dos EUA

MTCDPA: a lei de Montana ficou mais rígida em 2025

A Montana Consumer Data Privacy Act vale desde 1º de outubro de 2024 e foi reforçada por uma emenda que começou a valer em 1º de outubro de 2025. Neste guia você entende os novos limites, o fim do prazo de correção, o sinal universal de opt-out e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUALer o guia
  • ✓Baseado no Código de Montana e no Departamento de Justiça do estado
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
25 milconsumidores de Montana por ano: o limite desde a emenda de 2025
15 milconsumidores bastam se mais de 25% da receita bruta vier da venda de dados
45 diaspara responder pedidos, com uma prorrogação de mais 45 dias
US$ 7.500de multa civil máxima por violação, incluída pela emenda de 2025

O que é

Uma lei de privacidade que já passou por uma reforma

A Montana Consumer Data Privacy Act, ou MTCDPA, é a lei geral de privacidade de Montana. Ela foi aprovada em 2023, fica no Título 30, capítulo 14, parte 28 do Código de Montana e entrou em vigor em 1º de outubro de 2024.

O modelo segue o de Connecticut. O visitante pode acessar, corrigir, apagar e levar seus dados, e pode recusar a venda, a publicidade direcionada e certos perfis automatizados. Dados sensíveis só podem ser usados com consentimento. E o site coberto precisa aceitar sinais universais de opt-out, como o GPC.

Em 2025, o estado aprovou a emenda SB 297, sancionada em maio de 2025 e em vigor desde 1º de outubro de 2025. Ela baixou os limites de aplicação, acabou com o prazo de correção antes da fiscalização, fixou multa de até US$ 7.500 por violação e criou regras novas para menores de 18 anos.

Para um site com visitantes dos Estados Unidos, Montana virou um estado de atenção. Com 25 mil consumidores por ano já é possível estar dentro da lei, e não há mais aviso prévio garantido antes de uma ação do procurador-geral.

Checklist

O que você precisa cumprir

Se o site passa dos limites da MTCDPA, esta é a lista básica, do mais urgente para o menos.

  1. Ligar o aviso na página inicial com a palavra privacy

    O aviso de privacidade precisa de um link visível na página inicial que use a palavra privacy.

    Exemplo

    Rodapé da página inicial: Privacy Policy.

  2. Ter um caminho de recusa fora do aviso

    Quem vende dados ou faz publicidade direcionada precisa de um caminho claro de recusa fora do aviso de privacidade.

    Exemplo

    Link no rodapé: Your Opt-Out Rights ou Your Privacy Rights.

  3. Aceitar o sinal de preferência do navegador

    Desde 1º de janeiro de 2025, o site precisa aceitar a recusa enviada por um sinal de preferência. Se o sinal contrariar uma escolha anterior, vale o sinal.

    Exemplo

    Visitante com GPC ligado: pare a venda e o anúncio direcionado para ele.

  4. Pedir consentimento para sensíveis e adolescentes

    Dados sensíveis só com consentimento. Se a empresa sabe, ou ignora de propósito, que o visitante tem de 13 a 15 anos, anúncio direcionado e venda também exigem consentimento.

  5. Manter o aviso completo e atualizado

    O aviso lista dados, finalidades, terceiros, direitos e um e-mail ativo, com a data da última atualização. Ele precisa existir em cada idioma em que o site oferece o serviço.

    Exemplo

    No topo do aviso: Última atualização em 3 de novembro de 2026.

  6. Não exigir conta e facilitar a retirada

    O visitante não pode ser obrigado a criar conta nova para exercer direitos. Retirar o consentimento precisa ser tão fácil quanto dar.

  7. Fazer a avaliação de proteção de dados

    Anúncio direcionado, venda, perfis de risco e dados sensíveis exigem uma avaliação registrada, que o procurador-geral pode pedir.

  8. Levar a recusa até o Google

    O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. Com GPP, o Google lê a seção US National para Montana.

    Exemplo

    AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag.

Quem precisa cumprir

Os limites depois da emenda de 2025

A lei vale para quem faz negócios em Montana ou oferece produtos e serviços direcionados aos moradores do estado e passa de um dos limites abaixo.

25 mil consumidores

Controla ou trata dados de pelo menos 25 mil consumidores de Montana. Dados usados só para concluir um pagamento não contam. Antes da emenda, o limite era de 50 mil.

15 mil e venda de dados

Controla ou trata dados de pelo menos 15 mil consumidores e tira mais de 25% da receita bruta da venda de dados pessoais. Antes, eram 25 mil consumidores.

Regras de menores sem limite

As regras de proteção de menores valem para qualquer empresa que faz negócios em Montana ou mira seus moradores, sem exigência de volume mínimo.

Isenções mais estreitas

A emenda limitou a isenção de entidades sem fins lucrativos às que combatem fraudes de seguro e trocou a isenção ampla de instituições financeiras por isenções específicas para bancos, cooperativas de crédito e seguradoras.

Definições

As palavras da lei, em linguagem de quem tem site

As definições ficam na seção 30-14-2802 do Código de Montana.

Consumidor e menor

Consumidor é o morador de Montana fora do contexto comercial ou de emprego. Adulto é quem tem 18 anos ou mais. Menor é o consumidor com menos de 18 anos.

Dado sensível

Origem racial ou étnica, religião, saúde física ou mental, vida sexual, orientação sexual, situação migratória, dados genéticos ou biométricos que identificam a pessoa, dados de criança conhecida e geolocalização precisa.

Venda

A troca de dados pessoais por dinheiro ou por outra contrapartida de valor com um terceiro. Repasses a operadores, a empresas do mesmo grupo e em fusões ficam de fora.

Publicidade direcionada

Anúncio escolhido com dados obtidos ou deduzidos da atividade do visitante ao longo do tempo em sites e apps de outras empresas. Anúncios pelo contexto da busca ou da visita não entram.

Direitos das pessoas

O que o morador de Montana pode pedir

A resposta deve sair em até 45 dias, com prorrogação de mais 45 se for necessária e avisada no prazo inicial. Se negar, a empresa oferece recurso e responde por escrito em até 60 dias.

Confirmar e acessar

Saber se a empresa trata dados dele e ter acesso a esses dados, sem que a empresa precise revelar segredo comercial.

Corrigir

Pedir a correção de dados errados.

Excluir

Pedir a exclusão dos dados pessoais sobre ele.

Portabilidade

Receber em formato portátil os dados que forneceu, quando o tratamento for automatizado.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos. Pode ser feito por sinal universal, como o GPC.

Recusar perfil automatizado

Recusar perfis que levem a decisões com efeito legal ou de impacto parecido.

Obrigações do site

O que o site coberto precisa ter funcionando

  1. Aviso de privacidade completoO aviso precisa trazer as categorias de dados tratados, as finalidades, as categorias de dados vendidos ou compartilhados, as categorias de terceiros, um e-mail ativo ou outro contato, a explicação dos direitos e do recurso, e a data da última atualização.
  2. Link com a palavra privacyDepois da emenda, o aviso precisa estar ligado na página inicial por um link visível com a palavra privacy e estar disponível em cada idioma em que o site oferece seus serviços.
  3. Opt-out fora do avisoQuem vende dados ou faz publicidade direcionada precisa oferecer um caminho claro de recusa fora do aviso de privacidade, como um link chamado your opt-out rights ou your privacy rights.
  4. Consentimento para sensíveis e adolescentesDados sensíveis só com consentimento. Se a empresa sabe, ou ignora de propósito, que o visitante tem entre 13 e 15 anos, também precisa de consentimento para publicidade direcionada e venda.
  5. Cuidado com menores de 18Serviços online usados por menores conhecidos precisam de cuidado razoável para evitar risco elevado de dano e de avaliações específicas desse risco.
  6. Avaliação de proteção de dadosPublicidade direcionada, venda, perfis arriscados e dados sensíveis exigem avaliação registrada, que o procurador-geral pode pedir numa investigação.

Fiscalização e multas

Sem prazo de correção desde outubro de 2025

Só o procurador-geral de Montana fiscaliza a lei. O consumidor não pode processar a empresa com base nela, mas pode reclamar no canal do Departamento de Justiça.

Fim do prazo de correção

A lei original dava 60 dias para corrigir antes de uma ação. A emenda de 2025 tirou essa garantia, que acabaria só em 2026.

Até US$ 7.500 por violação

A emenda fixou multa civil de até US$ 7.500 por violação. O procurador-geral também pode pedir ordem judicial e o reembolso de custos.

Investigação com avaliações

Numa investigação, o procurador-geral pode pedir documentos e as avaliações de proteção de dados da empresa.

Canal de reclamação

A lei obriga o procurador-geral a publicar informações sobre os deveres das empresas e um canal online para reclamações.

Linha do tempo

As datas da MTCDPA

Em pouco mais de dois anos, Montana aprovou, colocou em vigor e reformou a própria lei.

  1. 2023

    Lei aprovada

    Montana aprova a Consumer Data Privacy Act.

  2. 1º de outubro de 2024

    Entrada em vigor

    A lei passa a valer, com limites de 50 mil consumidores, ou 25 mil com venda de dados, e prazo de correção de 60 dias.

  3. 1º de janeiro de 2025

    Sinal universal obrigatório

    O site coberto precisa aceitar o opt-out de venda e de publicidade direcionada enviado por sinal de preferência, como o GPC.

  4. Maio de 2025

    Emenda sancionada

    O governador sanciona a SB 297, que reforma a lei.

  5. 1º de outubro de 2025

    Emenda em vigor

    Valem os limites de 25 mil e 15 mil consumidores, as regras para menores, a multa de US$ 7.500 e o fim do prazo de correção.

Sites com AdSense e Ad Manager

GPC obrigatório e o caminho do opt-out até o Google

Desde 1º de janeiro de 2025, o site coberto precisa aceitar o opt-out de venda e de publicidade direcionada enviado por um sinal de preferência, com o consentimento do visitante. O exemplo mais conhecido é o Global Privacy Control, ou GPC. Se o sinal entrar em conflito com uma configuração anterior do visitante, vale o sinal.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Montana está entre os estados atendidos. A mensagem mostra o link Do Not Sell or Share, e a recusa liga o processamento restrito de dados, chamado RDP, que impede anúncios baseados no comportamento anterior.

Sobre o GPC, o Google diz que o parceiro que implementou o sinal pode escolher ligar o RDP ao receber um GPC de opt-out. A configuração fica com o site ou com a CMP. Uma forma direta é a tag: o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense.

No GPP da IAB Tech Lab existe uma seção específica de Montana, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National, em que a recusa de venda, compartilhamento ou publicidade direcionada liga o RDP.

Na prática

O que pode e o que não pode em Montana

Exemplos para um site com tráfego de Montana que monetiza com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais para quem recusou ou chegou com GPC ligado
  • Usar um link no rodapé chamado your privacy rights para o opt-out, separado da política
  • Usar a seção US National do GPP para levar o opt-out ao Google
  • Manter um único aviso de privacidade para os EUA, com data de atualização visível
  • Pedir confirmação ao visitante quando o GPC conflita com uma escolha anterior, sem deixar de aplicar o sinal

Não pode

  • Ignorar o GPC e continuar pedindo anúncios personalizados para esse visitante
  • Esconder o opt-out dentro do texto da política de privacidade
  • Usar dados de adolescentes de 13 a 15 anos para anúncios direcionados sem consentimento
  • Publicar a política só em inglês se o site é oferecido também em outro idioma
  • Esperar um aviso de 60 dias antes de corrigir: essa garantia acabou em outubro de 2025

Erros comuns

Onde os sites tropeçam com a lei de Montana

A emenda de 2025 pegou muitos sites com configurações feitas para a versão antiga da lei.

Usar os limites antigos

O site se achava fora por ter menos de 50 mil consumidores de Montana. Com o novo limite de 25 mil, pode estar dentro.

GPC ignorado

A CMP lê o GPC só para a Califórnia. Montana exige o mesmo desde janeiro de 2025.

Política sem data

A página de privacidade não mostra quando foi atualizada, item que a emenda tornou obrigatório.

Link sem a palavra privacy

A política fica escondida num link genérico como termos ou jurídico, sem a palavra privacy na página inicial.

Seção estadual que o Google não lê

A CMP envia só a seção de Montana no GPP e deixa a US National de fora. O opt-out não chega ao Google.

Opt-out que não muda os anúncios

O visitante recusa, mas os pedidos de anúncio continuam sem RDP e sem opt-out na string GPP.

No ConsentMode

O que a auditoria confere para Montana

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out e o link com a palavra privacy na página inicial.
  • Ativa o sinal GPC no navegador da auditoria e compara a página e os pedidos de anúncio com e sem o sinal.
  • Lê a string GPP e confere se a seção US National existe e registra o opt-out.
  • Identifica a CMP ou a mensagem de regulamentos estaduais do Google pelo código da página.
  • Confere se a página de privacidade traz categorias de dados, terceiros, direitos, recurso, contato e data da última atualização.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

O que mudou em Montana em 2025?

A emenda SB 297, em vigor desde 1º de outubro de 2025, baixou os limites para 25 mil consumidores, ou 15 mil com mais de 25% da receita vinda de venda de dados, acabou com o prazo de correção, fixou multa de até US$ 7.500 por violação, exigiu mais itens no aviso de privacidade e criou regras para menores de 18 anos.

Sou obrigado a respeitar o GPC em Montana?

Sim, se a lei se aplica ao seu site. Desde 1º de janeiro de 2025, o opt-out de venda e de publicidade direcionada enviado por sinal de preferência precisa ser aceito.

Ainda tenho 60 dias para corrigir depois de um aviso?

Não. A emenda tirou do procurador-geral a obrigação de oferecer prazo de correção. Ele pode agir direto.

Meu site não é para crianças. As regras de menores me afetam?

Podem afetar se você sabe, ou ignora de propósito, que um visitante é menor. Para adolescentes de 13 a 15 anos, publicidade direcionada e venda exigem consentimento. As regras de menores valem sem limite de volume.

O Google lê a seção de Montana no GPP?

A lista de seções aceitas pelo Google não inclui Montana. Para levar o opt-out ao Google, use a seção US National, a mensagem de regulamentos estaduais do Google ou o RDP na tag.

O ConsentMode deixa meu site em conformidade?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o opt-out, o GPC, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o seu site está pronto para a nova lei de Montana

A auditoria abre o site como visitante dos EUA, com e sem GPC, e mostra o que corrigir, sem alterar nada.

Começar a auditoria