Guia · Lei estadual dos EUA

NJDPA: a lei de Nova Jersey explicada sem juridiquês

A New Jersey Data Privacy Act vale desde 15 de janeiro de 2025 e exige que o site respeite o GPC desde julho de 2025. Neste guia você entende quem precisa cumprir, o que conta como dado sensível, as multas, a situação da regulamentação e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUA Ler o guia

✓Baseado nas perguntas frequentes da Divisão de Assuntos do Consumidor
✓Exemplos práticos para sites com anúncios
✓Auditoria somente leitura, sem alterar o site

100 milconsumidores de Nova Jersey por ano: o limite principal da lei

25 milconsumidores bastam se a empresa ganha dinheiro com a venda de dados pessoais

US$ 10 milde multa máxima pela primeira violação

US$ 20 milde multa máxima por violação repetida

O que é

Uma lei de privacidade sem isenção para quem não tem fins lucrativos

A New Jersey Data Privacy Act, ou NJDPA, é a lei geral de privacidade de Nova Jersey. Ela foi sancionada em janeiro de 2024 e passou a valer em 15 de janeiro de 2025. As empresas cobertas e os operadores que trabalham para elas precisam cumprir a lei desde essa data.

O modelo segue o de Connecticut, com alguns pontos mais rígidos. Dados financeiros e a condição de pessoa trans ou não binária são dados sensíveis. Entidades sem fins lucrativos e pequenas empresas não estão isentas se passarem dos limites. E o site precisa respeitar sinais universais de opt-out, como o GPC, desde 15 de julho de 2025.

A lei manda a Divisão de Assuntos do Consumidor criar uma regulamentação, e uma proposta de regras chegou a ser apresentada para comentários públicos. Mas a obrigação de cumprir a lei não depende dessas regras: empresas e operadores precisam cumprir desde 15 de janeiro de 2025. Antes de seguir qualquer detalhe de regulamentação, confira no site da Divisão o que está de fato em vigor.

Para um site com visitantes dos Estados Unidos, Nova Jersey pesa pelo tamanho do público. O estado é populoso, então um portal com tráfego americano relevante pode passar de 100 mil consumidores sem perceber.

Checklist

O que você precisa cumprir

Se o seu site passa dos limites da NJDPA, estes pontos precisam estar funcionando.

1
Respeitar o GPC
Desde 15 de julho de 2025, o site precisa aceitar sinais universais de opt-out, como o GPC. Quem chega com o sinal ligado deve ser tratado como quem recusou a venda e os anúncios direcionados.
Exemplo
Visitante com GPC ligado: o site liga o processamento restrito de dados do Google só para ele, sem pedir outro clique.
```

<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});
```
Mostrar um caminho claro para recusar
Quem vende dados ou faz publicidade direcionada precisa oferecer um jeito claro de recusar. O aviso de privacidade deve explicar como o visitante usa esse direito.
Exemplo
A mensagem de regulamentos estaduais do Google mostra o link Do Not Sell or Share My Personal Information.
Aviso de privacidade completo
O aviso diz quais dados o site trata, para quê, com quem compartilha e como o visitante pede acesso, correção, exclusão ou recorre.
Exemplo
Para pedir acesso, correção ou exclusão dos seus dados, escreva para privacidade@seusite.com.
Política com as frases que o Google exige
O AdSense exige que a política de privacidade avise sobre os cookies de anúncios do Google e de outros fornecedores. Ela também precisa dizer como o visitante recusa os anúncios personalizados.
Exemplo
Fornecedores terceiros, incluindo o Google, usam cookies para mostrar anúncios com base em visitas anteriores ao seu site ou a outros sites. Você pode desativar a publicidade personalizada nas Configurações de anúncios do Google.
Consentimento para dados sensíveis
Dados sensíveis só podem ser tratados com consentimento. Em Nova Jersey, a lista inclui informações financeiras.
Exemplo
Um simulador de crédito pergunta antes: Podemos usar suas respostas para mostrar ofertas? Sim ou Não.
Consentimento de adolescentes
Se você sabe ou deveria saber que o visitante tem de 13 a 16 anos, a Divisão diz que é preciso o consentimento dele antes de tratar os dados pessoais.
Avaliação de proteção de dados
Ao tratar dados sensíveis ou fazer atividades de risco elevado, registre por escrito uma avaliação de riscos e benefícios.

Na prática

Certo e errado

ErradoO site ignora o GPC e continua pedindo anúncios personalizados para esse visitante.
CertoO navegador manda o GPC e o site trata o sinal como recusa de venda e de anúncios direcionados.
ErradoO site faz publicidade direcionada e não oferece nenhum caminho para recusar.
CertoO rodapé mostra o link Do Not Sell or Share My Personal Information e a recusa muda o pedido de anúncio.
ErradoUm simulador repassa a renda do visitante aos parceiros de anúncio sem perguntar.
CertoO site pede consentimento antes de usar dados financeiros que o visitante digitou.
ErradoA política é vaga e não diz como pedir exclusão nem como recusar a venda.
CertoA política explica dados, finalidades, terceiros e direitos, com link fácil de achar.

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para Nova Jersey, então você pode usar a mensagem do próprio Google ou uma CMP com GPP.

Quem precisa cumprir

Os limites que colocam seu site dentro da NJDPA

A lei vale para quem faz negócios em Nova Jersey ou oferece produtos e serviços direcionados aos moradores do estado e, num ano civil, passa de um dos limites abaixo.

100 mil consumidores

Controla ou trata dados pessoais de pelo menos 100 mil consumidores de Nova Jersey durante o ano.

25 mil e venda de dados

Controla ou trata dados de pelo menos 25 mil consumidores e ganha dinheiro com a venda de dados pessoais, nas palavras da Divisão de Assuntos do Consumidor.

Sem fins lucrativos também

Entidades sem fins lucrativos e pequenas empresas não estão excluídas. Se passarem dos limites, precisam cumprir a lei.

Operadores também

Fornecedores que tratam dados em nome de uma empresa coberta também têm deveres, como seguir as instruções e o contrato.

Definições

As palavras da lei, em linguagem de quem tem site

As definições de Nova Jersey são parecidas com as de Connecticut, com uma lista de dados sensíveis mais ampla.

Dado pessoal

Informação que identifica ou pode identificar uma pessoa específica. No site, entram cookies, identificadores de aparelho, IP e e-mail de newsletter.

Dado sensível

Origem racial ou étnica, crença religiosa, condição de saúde, informações financeiras, vida e orientação sexual, situação migratória, condição de pessoa trans ou não binária, dados genéticos ou biométricos, geolocalização precisa e dados de criança.

Venda

A troca de dados pessoais por dinheiro ou por outra contrapartida de valor com um terceiro. Repasses a operadores ficam de fora.

Publicidade direcionada

Anúncio escolhido com dados da atividade do visitante ao longo do tempo em sites e apps de outras empresas. Anúncio pelo contexto da página não entra.

Direitos das pessoas

O que o morador de Nova Jersey pode pedir

O consumidor não pode processar a empresa com base nesta lei, mas pode reclamar à Divisão de Assuntos do Consumidor. A empresa precisa responder os pedidos e oferecer recurso.

Confirmar e acessar

Saber se a empresa trata dados dele e ter acesso a esses dados.

Corrigir

Pedir a correção de dados errados.

Excluir

Pedir a exclusão dos dados pessoais.

Portabilidade

Receber uma cópia dos dados num formato que possa levar para outro serviço.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos, inclusive por sinal universal como o GPC.

Recusar perfil automatizado

Recusar perfis que levem a decisões com efeito legal ou de impacto parecido.

Obrigações do site

O que o site coberto precisa ter funcionando

Aviso de privacidade completoO aviso precisa explicar quais categorias de dados são tratadas, para quê, como exercer os direitos e recorrer, quais dados vão para terceiros e quais tipos de terceiros recebem esses dados.
Opt-out claro e GPCQuem vende dados ou faz publicidade direcionada precisa mostrar um caminho claro para recusar e, desde 15 de julho de 2025, aceitar sinais universais de opt-out, como o GPC.
Consentimento para dados sensíveisDados sensíveis, inclusive informações financeiras, só podem ser tratados com consentimento do visitante.
Proteção para adolescentesPara consumidores de 13 a 16 anos, a empresa precisa de consentimento antes de usar os dados para publicidade direcionada, venda ou perfis. Para menores de 13, vale a lei federal COPPA.
Avaliação de proteção de dadosAntes de tratamentos de risco elevado, como venda de dados, dados sensíveis e perfis que possam causar tratamento injusto ou dano, a empresa precisa avaliar riscos e benefícios por escrito.
Contratos com operadoresFornecedores que tratam dados em nome da empresa seguem as instruções dela, sob contrato com as regras do tratamento.

Fiscalização e multas

Multas por violação e o fim do prazo de correção

A lei é fiscalizada pela Procuradoria-Geral de Nova Jersey e pela Divisão de Assuntos do Consumidor, com as ferramentas da lei estadual contra fraudes ao consumidor.

US$ 10 mil na primeira

A multa pode chegar a US$ 10 mil pela primeira violação.

US$ 20 mil nas seguintes

Violações repetidas podem custar até US$ 20 mil cada. A Procuradoria também pode pedir ordem judicial e indenização para as vítimas.

Prazo de correção acabou

Até 1º de julho de 2026, a Divisão avisava a empresa e dava 30 dias para corrigir falhas que tinham conserto. Esse período terminou.

Reclamação do consumidor

O consumidor registra a reclamação no site da Divisão de Assuntos do Consumidor. Ele não pode processar a empresa com base nesta lei.

Linha do tempo

As datas da NJDPA

Em novembro de 2026, a lei está em vigor, o GPC é obrigatório, o prazo de correção acabou e a regulamentação ainda deve ser conferida no site da Divisão.

Janeiro de 2024
Sanção
Nova Jersey aprova a lei geral de privacidade.
15 de janeiro de 2025
Entrada em vigor
Empresas cobertas e operadores passam a cumprir a lei.
2025
Proposta de regulamentação
A Divisão de Assuntos do Consumidor apresenta uma proposta de regras para comentários públicos. A lei já vale independentemente dela.
15 de julho de 2025
GPC obrigatório
O site coberto precisa respeitar sinais universais de opt-out, como o Global Privacy Control.
1º de julho de 2026
Fim do prazo de correção
Termina o período em que a Divisão dava 30 dias para corrigir antes de agir.

Sites com AdSense e Ad Manager

GPC obrigatório e o caminho do opt-out até o Google

Desde 15 de julho de 2025, o site coberto precisa respeitar sinais universais de opt-out. As próprias perguntas frequentes da Divisão citam o Global Privacy Control, ou GPC, como exemplo. Para o visitante que chega com GPC ligado, o site deve agir como se ele tivesse clicado no link de opt-out.

O Google oferece no AdSense e no Ad Manager uma mensagem de regulamentos estaduais dos EUA, em Privacidade e mensagens, e Nova Jersey está entre os estados atendidos. A mensagem mostra o link Do Not Sell or Share. A recusa liga o processamento restrito de dados, chamado RDP, e o Google deixa de usar o comportamento anterior para escolher anúncios.

Sobre o GPC, o Google diz que o parceiro que implementou o sinal pode escolher ligar o RDP ao receber um GPC de opt-out. A configuração fica com o site ou com a CMP, e pode ser feita na tag, com o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense.

No GPP existe uma seção específica de Nova Jersey, mas ela não está na lista de seções aceitas pelo Google. Para o Google, o caminho é a seção US National, em que a recusa de venda, compartilhamento ou publicidade direcionada liga o RDP.

Na prática

O que pode e o que não pode em Nova Jersey

Exemplos para um site com tráfego de Nova Jersey que monetiza com anúncios programáticos.

Pode

Mostrar anúncios contextuais para quem recusou ou chegou com GPC ligado
Usar a mensagem de regulamentos estaduais do Google para oferecer o link de opt-out
Levar o opt-out ao Google pela seção US National do GPP
Aplicar o GPC para todo o tráfego dos EUA, para simplificar a configuração
Seguir cumprindo a lei mesmo sem regulamentação adotada, com base no texto legal

Não pode

Ignorar o GPC e continuar pedindo anúncios personalizados para esse visitante
Tratar informações financeiras do visitante, como dados de um simulador de crédito, sem consentimento
Usar dados de adolescentes de 13 a 16 anos para anúncios direcionados sem consentimento
Achar que a sua ONG ou associação está fora só por não ter fins lucrativos
Contar com 30 dias para corrigir depois de um aviso: esse período terminou em julho de 2026

Erros comuns

Onde os sites tropeçam com a NJDPA

Estes problemas aparecem em sites que configuraram a privacidade dos EUA olhando só para a Califórnia.

Esquecer dados financeiros

Sites de finanças coletam renda ou dívidas em formulários e calculadoras e repassam a parceiros. Em Nova Jersey, isso é dado sensível e exige consentimento.

GPC só na Califórnia

A CMP aplica o GPC apenas para a Califórnia, e o sinal de visitantes de Nova Jersey é ignorado.

Esperar a regulamentação

A empresa adiou os ajustes esperando as regras finais. A lei vale desde janeiro de 2025, com ou sem regulamentação.

Opt-out que não muda os anúncios

O visitante recusa, mas os pedidos de anúncio continuam sem RDP e sem opt-out na string GPP.

Seção estadual sozinha no GPP

A CMP envia só a seção de Nova Jersey, que o Google não lê. Sem a US National, o opt-out não chega ao Google.

Política sem terceiros

A página de privacidade não diz quais tipos de terceiros, como redes de anúncios e parceiros de medição, recebem os dados.

No ConsentMode

O que a auditoria confere para Nova Jersey

Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
Ativa o sinal GPC no navegador da auditoria e compara a página e os pedidos de anúncio com e sem o sinal.
Lê a string GPP e confere se a seção US National existe e registra o opt-out.
Identifica a CMP ou a mensagem de regulamentos estaduais do Google pelo código da página.
Confere se a página de privacidade traz categorias de dados, finalidades, terceiros, direitos e recurso.

Fazer uma auditoria Ver tudo o que é conferido

Perguntas frequentes

A regulamentação de Nova Jersey já está valendo?

Uma proposta de regras foi apresentada para comentários públicos, mas confira no site da Divisão de Assuntos do Consumidor se há regras finais em vigor antes de seguir qualquer detalhe delas. A lei em si vale desde 15 de janeiro de 2025, com ou sem regulamentação.

Sou obrigado a respeitar o GPC?

Sim, se a lei se aplica ao seu site. Desde 15 de julho de 2025, sinais universais de opt-out, como o GPC, precisam ser respeitados.

Minha associação não tem fins lucrativos. Estou fora?

Não. Em Nova Jersey, entidades sem fins lucrativos e pequenas empresas precisam cumprir a lei se passarem dos limites.

Vender dados em pequena quantidade já me coloca no limite de 25 mil?

Pode colocar. Segundo a Divisão de Assuntos do Consumidor, o segundo limite vale para quem trata dados de pelo menos 25 mil consumidores e ganha dinheiro com a venda de dados pessoais. A Divisão não cita um valor mínimo de receita, então vale confirmar o seu caso com um advogado.

Ainda tenho prazo para corrigir depois de um aviso?

O prazo de 30 dias valia até 1º de julho de 2026. Depois disso, a Divisão pode agir sem dar esse prazo.

O ConsentMode deixa meu site em conformidade?

O ConsentMode não é CMP nem escritório de advocacia. A auditoria mostra o que o site faz de fato com o opt-out, o GPC, o GPP e a página de privacidade, para você corrigir com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o seu site respeita o GPC em Nova Jersey

A auditoria abre o site como visitante dos EUA, com e sem GPC, e mostra o que corrigir, sem alterar nada.

Começar a auditoria