Abrir workspace

Guia · Lei estadual dos EUA

NDPA: a lei de Nebraska que não tem limite de volume

A Nebraska Data Privacy Act vale desde 1º de janeiro de 2025 e não usa limites de receita nem de número de consumidores. Neste guia você entende quem precisa cumprir, a regra que alcança até pequenas empresas, o opt-out por configuração do navegador e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUALer o guia
  • ✓Baseado na lei LB 1074 e no site do procurador-geral de Nebraska
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
30 diaspara corrigir a falha depois do aviso do procurador-geral
US$ 7.500de multa civil máxima por violação
45 diaspara responder pedidos, com uma prorrogação de mais 45 dias
60 diaspara responder o recurso de um consumidor que teve o pedido negado

O que é

Uma lei estadual que troca números por porte de empresa

A Nebraska Data Privacy Act, ou NDPA, é a lei geral de privacidade de Nebraska. Ela foi aprovada em 2024 pelo projeto LB 1074, fica nas seções 87-1101 a 87-1130 das leis do estado e vale desde 1º de janeiro de 2025.

O texto segue o modelo do Texas. Em vez de contar consumidores ou olhar a receita, a lei vale para quem faz negócios em Nebraska ou oferece produtos e serviços consumidos no estado, trata ou vende dados pessoais e não é uma pequena empresa pela definição federal americana.

Os direitos do visitante são os mesmos das leis mais completas: acesso, correção, exclusão, portabilidade e recusa de publicidade direcionada, de venda e de perfis automatizados. Dados sensíveis exigem consentimento.

Para um site com visitantes dos Estados Unidos, isso significa que o volume de tráfego de Nebraska não é a pergunta certa. A pergunta é o porte da empresa. E mesmo uma pequena empresa precisa de consentimento para vender dados sensíveis.

Checklist

O que você precisa cumprir

Se a sua empresa não é pequena pela lei federal e tem visitantes de Nebraska, esta é a lista básica.

  1. Publicar um aviso de privacidade completo

    O aviso precisa ser claro e fácil de achar. Ele lista os dados tratados, as finalidades, como exercer os direitos e recorrer, os dados repassados e as categorias de terceiros.

    Exemplo

    Link Política de privacidade no rodapé de todas as páginas, levando ao aviso completo.

  2. Dizer que há anúncio direcionado e como recusar

    Quem vende dados ou faz publicidade direcionada precisa dizer isso de forma clara e visível e explicar como recusar.

    Exemplo

    Link no rodapé: Do Not Sell or Share My Personal Information.

  3. Pedir consentimento para dados sensíveis

    Dados sensíveis só com consentimento. Até a pequena empresa precisa de consentimento antes de vender esses dados. Dado sensível de criança segue a COPPA.

  4. Aceitar a recusa enviada pelo navegador

    O visitante pode recusar por um agente autorizado, inclusive uma configuração global do aparelho. Atenda quando der para verificar o pedido. A configuração não pode vir ligada por padrão.

    Exemplo

    Visitante com GPC ligado: trate como se ele tivesse clicado em recusar.

  5. Receber pedidos sem exigir conta nova

    Ofereça dois ou mais canais seguros e não exija conta nova. Responda em até 45 dias e responda o recurso por escrito em até 60 dias.

  6. Fazer a avaliação de proteção de dados

    Anúncio direcionado, venda de dados e dados sensíveis exigem uma avaliação registrada. Ela é confidencial, mas o procurador-geral pode pedir.

  7. Levar a recusa até o Google

    O Google não exige CMP para os estados dos EUA. Use a mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, ou ligue o processamento restrito de dados, o RDP, na tag para quem recusou. Com GPP, o Google lê a seção US National para Nebraska.

    Exemplo

    AdSense ou Ad Manager: Privacidade e mensagens, cartão Regulamentos estaduais dos EUA, Criar. Em seguida escolha os sites e publique.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para as leis estaduais dos EUA. Você pode usar a mensagem do próprio Google ou ligar o RDP na tag.

Quem precisa cumprir

Sem limite de receita e sem número mínimo de consumidores

A lei vale para quem cumpre as três condições abaixo, ao mesmo tempo. Não importa quantos visitantes de Nebraska o site recebe.

Negócios ligados a Nebraska

Faz negócios em Nebraska ou produz um produto ou serviço consumido por moradores do estado. Um site com público americano costuma se encaixar aqui.

Trata ou vende dados

Trata dados pessoais ou participa da venda desses dados. Cookies e identificadores de anúncio contam como dados pessoais.

Não é pequena empresa

Não é pequena empresa segundo a lei federal americana de pequenas empresas, na versão de 1º de janeiro de 2024. Os critérios dessa lei variam por setor.

Pequena empresa também tem regra

Mesmo a pequena empresa não pode vender dados sensíveis sem consentimento prévio do consumidor, e pode ser multada se fizer isso.

Definições

As palavras da lei, em linguagem de quem tem site

As definições ficam na seção 2 da LB 1074 e acompanham as leis do Texas e da Virgínia.

Dado pessoal

Informação ligada ou que possa ser razoavelmente ligada a uma pessoa identificada ou identificável, inclusive dados sensíveis. No site, entram cookies, identificadores de aparelho, IP e e-mail.

Dado sensível

Origem racial ou étnica, crença religiosa, diagnóstico de saúde, orientação sexual, situação migratória, dados genéticos ou biométricos que identificam a pessoa, dados de criança conhecida e geolocalização precisa.

Venda

A troca de dados pessoais por dinheiro ou por outra contrapartida de valor com um terceiro. Repasses a operadores e a empresas do mesmo grupo ficam de fora.

Publicidade direcionada

Anúncio escolhido com dados da atividade do visitante em sites e apps de outras empresas. Anúncios pelo contexto da busca ou da visita atual não entram.

Direitos das pessoas

O que o morador de Nebraska pode pedir

A resposta deve sair em até 45 dias, com uma prorrogação de mais 45 se for avisada dentro do prazo inicial. O recurso contra uma negativa precisa ser decidido em até 60 dias.

Confirmar e acessar

Saber se a empresa trata dados dele e ter acesso a esses dados.

Corrigir

Pedir a correção de dados errados.

Excluir

Pedir a exclusão dos dados pessoais.

Portabilidade

Receber uma cópia dos dados num formato portátil.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos, inclusive por meio de um agente autorizado.

Recusar perfil automatizado

Recusar perfis que levem a decisões com efeito legal ou de impacto parecido.

Obrigações do site

O que a empresa coberta precisa ter funcionando

  1. Aviso de privacidadeO aviso precisa trazer as categorias de dados tratados, as finalidades, como exercer os direitos e recorrer, as categorias de dados compartilhados com terceiros e as categorias desses terceiros.
  2. Divulgar venda e anúncios direcionadosSe o site vende dados ou faz publicidade direcionada, precisa dizer isso de forma clara e visível e explicar como o visitante pode recusar.
  3. Consentimento para dados sensíveisDados sensíveis só com consentimento. Para a pequena empresa, a regra vale para a venda desses dados.
  4. Avaliação de proteção de dadosPublicidade direcionada, venda, perfis arriscados, dados sensíveis e outros tratamentos de risco elevado exigem avaliação registrada. Ela é confidencial, mas o procurador-geral pode pedi-la.
  5. Aceitar o agente autorizadoO consumidor pode indicar um agente para recusar anúncios direcionados e venda, inclusive por configuração do navegador. A empresa precisa atender quando conseguir verificar o pedido com esforço comercialmente razoável.
  6. Contratos com operadoresFornecedores que tratam dados em nome da empresa seguem as instruções dela, sob contrato com as regras do tratamento.

Fiscalização e multas

Quem fiscaliza e quanto custa errar

Só o procurador-geral de Nebraska fiscaliza a lei. O consumidor pode reclamar pelos canais do procurador-geral, mas não pode processar a empresa com base na NDPA.

30 dias para corrigir

Antes de abrir uma ação, o procurador-geral envia aviso por escrito e dá 30 dias para corrigir. A lei não prevê data para esse prazo acabar.

Declaração por escrito

Para encerrar o caso, a empresa precisa corrigir, mandar uma declaração por escrito e documentos que comprovem a correção.

Até US$ 7.500 por violação

Se a falha não for corrigida no prazo, ou se a empresa descumprir a declaração de correção, a multa civil pode chegar a US$ 7.500 por violação.

Canais de reclamação

O procurador-geral recebe reclamações de privacidade por formulário online, e-mail, correio e telefone.

Linha do tempo

As datas da NDPA

Nebraska aprovou a lei e deu poucos meses de preparo.

  1. 2024

    Lei aprovada

    A Assembleia de Nebraska aprova o projeto LB 1074, que cria a Data Privacy Act.

  2. 1º de janeiro de 2024

    Referência para pequena empresa

    A lei usa a definição federal de pequena empresa como ela existia nesta data.

  3. 1º de janeiro de 2025

    Entrada em vigor

    A lei passa a valer, com fiscalização do procurador-geral e prazo de correção de 30 dias.

  4. Setembro de 2025

    Google atualiza o GPP

    O Google passa a aceitar a versão 2 da seção US National do GPP, o caminho que ele lê para o opt-out de estados como Nebraska.

Sites com AdSense e Ad Manager

Opt-out pelo navegador e o caminho até o Google

Nebraska trata o sinal universal de um jeito próprio. O consumidor pode indicar um agente autorizado para recusar anúncios direcionados e venda usando uma tecnologia, como um link, uma configuração ou extensão do navegador ou uma configuração geral do aparelho. A tecnologia não pode vir ligada por padrão e precisa de uma escolha ativa do consumidor.

A empresa precisa atender quando consegue verificar o pedido com esforço comercialmente razoável. A lei lista exceções, por exemplo quando não dá para confirmar que o consumidor mora em Nebraska ou quando a empresa não atende pedidos parecidos de outros estados. Como o Global Privacy Control, ou GPC, é um sinal desse tipo, o caminho mais seguro é respeitá-lo para o tráfego dos EUA.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Nebraska está entre os estados atendidos. A recusa do visitante liga o processamento restrito de dados, chamado RDP. O Google também diz que o parceiro pode ligar o RDP ao receber um GPC de opt-out.

No GPP existe uma seção específica de Nebraska, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National, ou o RDP direto na tag, com o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense.

Na prática

O que pode e o que não pode em Nebraska

Exemplos para um site com visitantes de Nebraska que monetiza com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais para quem recusou a publicidade direcionada
  • Aplicar o opt-out quando o navegador do visitante envia GPC
  • Usar a mensagem de regulamentos estaduais do Google para oferecer o link de opt-out
  • Levar o opt-out ao Google pela seção US National do GPP
  • Usar avaliações de proteção de dados feitas para outros estados, se cobrirem o mesmo tratamento

Não pode

  • Concluir que está fora da lei só porque tem pouco tráfego de Nebraska
  • Vender geolocalização precisa ou outro dado sensível sem consentimento, mesmo sendo pequena empresa
  • Continuar com anúncios personalizados depois que o visitante recusou
  • Deixar a página de privacidade sem explicar como recusar a publicidade direcionada
  • Ignorar o recurso de um consumidor que teve o pedido negado

Erros comuns

Onde os sites tropeçam com a lei de Nebraska

A falta de números na lei confunde quem está acostumado a contar visitantes por estado.

Contar visitantes em vez de avaliar o porte

O site tem poucos visitantes de Nebraska e se considera fora. Mas a lei não tem limite de volume: o que importa é não ser pequena empresa.

Esquecer a regra dos dados sensíveis

A empresa é pequena, mas usa um parceiro que compra geolocalização precisa dos visitantes. Essa venda exige consentimento.

Opt-out que não chega aos anúncios

O link existe, mas os pedidos ao Google continuam sem RDP e sem opt-out no GPP.

Seção estadual sozinha no GPP

A CMP envia só a seção de Nebraska, que o Google não lê. Sem a US National, o Google não recebe a recusa.

GPC tratado só na Califórnia

A CMP aplica o GPC apenas para a Califórnia, e o sinal enviado por visitantes de Nebraska é ignorado.

Política genérica

A página de privacidade não cita categorias de dados, terceiros, venda, publicidade direcionada nem como recorrer.

No ConsentMode

O que a auditoria confere para Nebraska

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
  • Ativa o sinal GPC no navegador da auditoria e compara a página e os pedidos de anúncio com e sem o sinal.
  • Lê a string GPP e confere se a seção US National existe e registra o opt-out.
  • Identifica a CMP ou a mensagem de regulamentos estaduais do Google pelo código da página.
  • Confere se a página de privacidade cita categorias de dados, terceiros, venda, publicidade direcionada, direitos e recurso.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Quantos visitantes de Nebraska preciso ter para a lei valer?

Nenhum número mínimo. A lei vale para quem faz negócios no estado ou tem produtos consumidos lá, trata ou vende dados pessoais e não é pequena empresa pela definição federal americana.

Minha empresa é pequena. Estou livre?

Quase. A pequena empresa fica fora da maior parte da lei, mas não pode vender dados sensíveis sem consentimento prévio do consumidor. Os critérios de pequena empresa variam por setor, então vale confirmar com um advogado.

Nebraska exige respeitar o GPC?

A lei permite que o consumidor use uma configuração do navegador como agente para recusar anúncios direcionados e venda, e a empresa precisa atender quando consegue verificar o pedido. Na prática, respeitar o GPC é o caminho mais seguro.

O prazo de 30 dias para corrigir vai acabar?

A lei não prevê data para o fim desse prazo, diferente de estados como Minnesota e Nova Jersey.

O Google lê a seção de Nebraska no GPP?

A lista de seções aceitas pelo Google não inclui Nebraska. Use a seção US National, a mensagem de regulamentos estaduais do Google ou o RDP na tag.

O ConsentMode deixa meu site em conformidade?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o opt-out, o GPC, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Descubra se o opt-out do seu site funciona em Nebraska

A auditoria abre o site como visitante dos EUA, com e sem GPC, e mostra o que corrigir, sem alterar nada.

Começar a auditoria