Abrir workspace

Guia · Lei estadual dos EUA

TIPA: a lei de privacidade do Tennessee sem juridiquês

A Tennessee Information Protection Act vale desde 1º de julho de 2025 e alcança só empresas grandes. Neste guia você entende quem precisa cumprir, quais direitos o visitante ganhou, como funciona a defesa baseada no NIST e o que muda para um site com AdSense ou Ad Manager.

Auditar meu site para os EUALer o guia
  • ✓Baseado no texto da lei e no resumo do procurador-geral do Tennessee
  • ✓Exemplos práticos para sites com anúncios
  • ✓Auditoria somente leitura, sem alterar o site
US$ 25 mide receita anual: abaixo disso a empresa fica fora da lei
175 milconsumidores do Tennessee por ano: o principal limite de volume
60 diasde prazo para corrigir depois do aviso do procurador-geral, sem data para acabar
45 diaspara responder os pedidos dos consumidores, com explicação e recurso quando houver negativa

O que é

Uma lei estadual de privacidade com foco em empresas grandes

A TIPA é a lei geral de privacidade do estado do Tennessee, nos Estados Unidos. Ela foi aprovada em 2023 e entrou em vigor em 1º de julho de 2025. A lei dá aos moradores do estado direitos sobre seus dados e cria deveres para as empresas que usam esses dados.

O modelo segue o das leis da Virgínia e do Colorado. O visitante pode pedir acesso, correção e exclusão dos dados e pode recusar a venda dos dados, a publicidade direcionada e certos tipos de perfil automatizado. Dados sensíveis só podem ser usados com consentimento.

Duas coisas fazem a TIPA ser diferente. A primeira é o limite alto: só empresas com receita anual acima de US$ 25 milhões entram na lei. A segunda é a defesa baseada no NIST: a empresa que mantém um programa de privacidade escrito, alinhado ao Privacy Framework do NIST, pode usar isso como defesa num processo.

Para o dono de um site brasileiro com visitantes nos Estados Unidos, a pergunta prática é simples: o seu negócio passa dos limites? Se passa, o site precisa de aviso de privacidade completo, um caminho claro para o opt-out e cuidado com o que os parceiros de anúncios fazem com os dados.

Checklist

O que você precisa cumprir

Se a sua empresa passa dos limites da TIPA, estes pontos precisam estar funcionando.

  1. Caminho para recusar venda e anúncios

    O morador do Tennessee pode recusar a publicidade direcionada, a venda dos dados e certos perfis. O site precisa oferecer esse caminho e fazer a recusa mudar o pedido de anúncio.

    Exemplo

    A mensagem de regulamentos estaduais do Google mostra o link Do Not Sell or Share My Personal Information para visitantes do Tennessee.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Aviso de privacidade acessível

    A empresa precisa de um aviso de privacidade razoavelmente acessível. Ele explica como o visitante exerce os direitos e como recorre de uma resposta negativa.

    Exemplo

    Um link Privacidade no rodapé de todas as páginas, levando ao aviso completo.

  3. Política com as frases que o Google exige

    O AdSense exige que a política de privacidade avise sobre os cookies de anúncios do Google e de outros fornecedores. Ela também precisa dizer como o visitante recusa os anúncios personalizados.

    Exemplo

    Fornecedores terceiros, incluindo o Google, usam cookies para mostrar anúncios com base em visitas anteriores ao seu site ou a outros sites. Você pode desativar a publicidade personalizada nas Configurações de anúncios do Google.

  4. Resposta em até 45 dias

    Pedidos de acesso, correção, exclusão, portabilidade e opt-out precisam de resposta em até 45 dias depois de recebidos.

    Exemplo

    Um e-mail de privacidade com controle da data de chegada de cada pedido.

  5. Consentimento para dados sensíveis

    Dados sensíveis só podem ser tratados com consentimento do visitante.

    Exemplo

    Um site de saúde pergunta antes de usar o tema lido para escolher anúncios: Aceita? Sim ou Não.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem GPP para o Tennessee, então você pode usar a mensagem do próprio Google ou uma CMP com GPP.

Quem precisa cumprir

Os limites que colocam uma empresa dentro da TIPA

A lei vale para quem faz negócios no Tennessee ou oferece produtos e serviços direcionados aos moradores do estado. Mas só se a empresa passar pelos dois filtros abaixo.

Receita acima de US$ 25 milhões

É o primeiro filtro e é obrigatório. Uma empresa com receita anual menor que isso fica fora da TIPA, mesmo que tenha muitos visitantes do Tennessee.

175 mil consumidores

Além da receita, a empresa precisa controlar ou tratar dados de pelo menos 175 mil consumidores do Tennessee num ano civil.

Ou 25 mil e venda de dados

A outra porta de entrada: dados de pelo menos 25 mil consumidores e metade ou mais da receita bruta vinda da venda de informações pessoais.

Quem fica fora

Órgãos públicos, instituições financeiras, entidades de saúde cobertas pela HIPAA, organizações sem fins lucrativos e instituições de ensino superior estão isentos.

Definições

As palavras da lei, em linguagem de quem tem site

A TIPA usa o termo informação pessoal no lugar de dado pessoal. O sentido é o mesmo das outras leis estaduais, com uma diferença importante na definição de venda.

Informação pessoal

Qualquer informação ligada ou que possa ser ligada a uma pessoa identificada ou identificável. No dia a dia de um site, isso inclui cookies, identificadores de anúncio, endereço IP e e-mail de newsletter.

Informação sensível

Origem racial ou étnica, crença religiosa, diagnóstico de saúde, orientação sexual, situação migratória, dados genéticos e biométricos, dados de criança e geolocalização precisa, num raio de 1.750 pés.

Venda

Na TIPA, venda é a troca de informação pessoal por dinheiro com um terceiro. A lei não fala em outra contrapartida de valor, como fazem estados como Delaware e Montana.

Publicidade direcionada

Anúncio escolhido com base no comportamento do visitante ao longo do tempo em sites e apps de outras empresas. Anúncio pelo contexto da página não entra nessa definição.

Direitos das pessoas

O que o morador do Tennessee pode pedir ao seu site

Os pedidos precisam ser respondidos em até 45 dias. Se a empresa negar, precisa explicar o motivo e oferecer um caminho de recurso.

Confirmar e acessar

Saber se a empresa trata dados dele e receber acesso a esses dados.

Corrigir

Pedir a correção de dados errados, levando em conta o tipo de dado e a finalidade do uso.

Excluir

Pedir que os dados fornecidos por ele ou obtidos sobre ele sejam apagados. Dados agregados ou desidentificados ficam de fora.

Portabilidade

Receber uma cópia dos dados num formato que possa ser levado para outro serviço, quando isso for tecnicamente possível.

Recusar anúncios direcionados e venda

Pedir que os dados não sejam usados para publicidade direcionada e não sejam vendidos. É o direito que mais afeta sites com anúncios.

Recusar perfil automatizado

Recusar o uso dos dados em perfis que levem a decisões com efeito legal ou de impacto parecido, como crédito, moradia ou emprego.

Obrigações do site

O que a empresa coberta precisa ter funcionando

  1. Aviso de privacidade completoO aviso precisa dizer para que os dados são usados, quais categorias são tratadas, quais categorias são vendidas a terceiros, como exercer os direitos e como recorrer de uma resposta negativa. Também deve explicar o direito de recusar a venda.
  2. Coletar só o necessárioA coleta deve se limitar ao que é razoavelmente necessário para as finalidades informadas. Usar os dados para outra finalidade exige consentimento.
  3. Consentimento para dados sensíveisDados sensíveis só podem ser tratados com consentimento. Dados de crianças menores de 13 anos seguem as regras da lei federal COPPA.
  4. Avaliação de proteção de dadosAntes de usar dados para publicidade direcionada, venda, perfis arriscados ou dados sensíveis, a empresa precisa registrar uma avaliação de riscos e benefícios. A regra vale para atividades criadas ou geradas a partir de 1º de julho de 2024.
  5. Contratos com operadoresFornecedores que tratam dados em nome da empresa precisam de contrato escrito com confidencialidade, devolução ou exclusão dos dados, ajuda nas avaliações e as mesmas regras para subcontratados.
  6. Segurança razoávelA empresa precisa manter práticas de segurança adequadas ao volume e à sensibilidade dos dados, e não pode tratar dados de forma que viole leis contra discriminação.

Fiscalização e defesa pelo NIST

Quem fiscaliza, o prazo de correção e o programa que pode servir de defesa

Só o procurador-geral do Tennessee pode fiscalizar a TIPA, e o consumidor não pode processar a empresa com base nessa lei. Antes de abrir uma ação, o procurador-geral precisa enviar um aviso por escrito e dar 60 dias para a empresa corrigir. Se a empresa corrigir e informar por escrito, o caso para, a menos que a falha se repita. Diferente de outros estados, esse prazo não tem data para acabar.

Se a falha não for corrigida no prazo, o procurador-geral pode levar o caso à Justiça e pedir as sanções civis previstas na lei. O procurador-geral pode agir a partir de investigações próprias ou de reclamações de consumidores, que podem ser enviadas pelo site, por e-mail ou por correio. Os valores exatos das multas estão no texto da lei, e vale conferi-los com um advogado.

A TIPA também traz uma defesa afirmativa. A empresa que mantém e segue um programa de privacidade escrito, razoavelmente de acordo com o Privacy Framework do NIST, o instituto americano de padrões e tecnologia, ou com um modelo comparável, pode usar isso como defesa. O programa precisa dar ao consumidor os direitos da lei e ser atualizado em até dois anos depois de cada nova versão do framework. A certificação Global CBPR também pode ser levada em conta.

Não basta ter um documento na gaveta. O porte do programa é medido pelo tamanho da empresa, pelo tipo de atividade e pela sensibilidade dos dados. Para quem vive de anúncios, documentar quais dados o site coleta, quais parceiros recebem esses dados e como o opt-out funciona já é o começo desse programa.

Linha do tempo

As datas da TIPA

A lei teve um prazo longo de adaptação. Em novembro de 2026 ela já está em vigor há mais de um ano.

  1. 2023

    Lei aprovada

    O Tennessee aprova a Tennessee Information Protection Act e entra na lista de estados com lei geral de privacidade.

  2. 1º de julho de 2024

    Marco das avaliações

    Atividades de tratamento criadas ou geradas a partir desta data entram na regra das avaliações de proteção de dados. Atividades anteriores não são alcançadas.

  3. 1º de julho de 2025

    Entrada em vigor

    A TIPA passa a valer. As empresas cobertas precisam responder pedidos, oferecer opt-out e manter o aviso de privacidade completo.

  4. 2025

    Material do procurador-geral

    O procurador-geral publica um resumo da lei, perguntas frequentes para consumidores e empresas e um canal para reclamações sobre privacidade.

Sites com AdSense e Ad Manager

Como o opt-out do Tennessee chega ao Google

A TIPA não obriga a empresa a reconhecer sinais universais de opt-out, como o Global Privacy Control, ou GPC, enviado por alguns navegadores. O visitante precisa usar o caminho que o site oferece. Mesmo assim, honrar o GPC é uma boa prática e evita problemas com estados onde ele é obrigatório.

O Google oferece uma mensagem de regulamentos estaduais dos EUA no AdSense e no Ad Manager, na área Privacidade e mensagens. Ela inclui o Tennessee entre os estados atendidos e mostra o link Do Not Sell or Share. Quando o visitante recusa, o Google ativa o processamento restrito de dados, chamado RDP, e passa a entregar anúncios que não usam o histórico de comportamento.

Quem usa uma CMP própria pode passar a escolha pelo GPP, o protocolo da IAB Tech Lab. Existe uma seção específica do Tennessee no GPP, mas a lista de seções aceitas pelo Google não a inclui. Para o Google, o caminho é a seção US National: recusa de venda, compartilhamento ou publicidade direcionada nessa seção liga o RDP.

Também é possível ligar o RDP direto na tag, com o parâmetro restrictDataProcessing do GPT ou o atributo data-restrict-data-processing do AdSense, só para quem pediu opt-out. O importante é que a recusa do visitante realmente mude o pedido de anúncio.

Na prática

O que pode e o que não pode com a TIPA

Exemplos para uma empresa que passa dos limites da lei e monetiza sites com anúncios programáticos.

Pode

  • Mostrar anúncios contextuais, escolhidos pelo assunto da página, para quem pediu opt-out
  • Usar a mensagem de regulamentos estaduais do Google para oferecer o link Do Not Sell or Share
  • Manter um único aviso de privacidade para todos os estados, desde que cubra o que a TIPA pede
  • Aproveitar avaliações de risco feitas para outras leis estaduais, se forem comparáveis
  • Usar o programa de privacidade baseado no NIST como defesa, se ele estiver escrito e atualizado

Não pode

  • Continuar enviando dados para anúncios personalizados depois que o visitante recusou
  • Coletar geolocalização precisa para anúncios sem consentimento
  • Deixar a página de privacidade sem dizer como recorrer de um pedido negado
  • Exigir que o visitante crie conta para pedir exclusão ou opt-out
  • Tratar o NIST como selo: sem programa seguido de verdade, não há defesa

Erros comuns

Onde os sites tropeçam com a TIPA

Estes problemas aparecem com frequência em sites que já cuidam do GDPR e da Califórnia, mas esquecem do Tennessee.

Mensagem só para a Califórnia

A mensagem de opt-out foi configurada anos atrás só para a Califórnia. Visitantes do Tennessee nunca veem o link.

Link que não faz nada

O rodapé tem o link de opt-out, mas ele leva a uma página de texto. O pedido de anúncio continua igual depois do clique.

Aviso sem venda e anúncios

A política de privacidade fala de cookies, mas não diz que dados são usados para publicidade direcionada nem como recusar.

GPP sem a seção US National

A CMP gera só seções estaduais que o Google não lê. O opt-out existe, mas não chega aos anúncios do Google.

Avaliação nunca feita

A empresa usa dados para anúncios direcionados desde 2024, mas não tem nenhuma avaliação de proteção de dados registrada.

Achar que é pequena demais

O grupo soma vários sites e passa de US$ 25 milhões de receita, mas cada site é tratado como se estivesse fora da lei.

No ConsentMode

O que a auditoria confere para o Tennessee

  • Abre o site como visitante dos Estados Unidos e procura o link de opt-out no rodapé, no menu e na mensagem de privacidade.
  • Identifica a CMP ou a mensagem do Google pelo código da página.
  • Lê a string GPP nos pedidos de anúncio e confere se a seção US National existe e muda depois do opt-out.
  • Ativa o sinal GPC no navegador da auditoria e mostra se o comportamento da página e dos pedidos de anúncio muda.
  • Confere se a página de privacidade cita venda, publicidade direcionada, direitos, recurso e forma de contato.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes

Meu site brasileiro tem visitantes do Tennessee. Preciso cumprir a TIPA?

Só se a sua empresa passar dos limites: receita anual acima de US$ 25 milhões e dados de pelo menos 175 mil consumidores do estado, ou 25 mil consumidores com metade ou mais da receita vinda da venda de dados. A maioria dos sites pequenos fica fora. Ainda assim, estados com limites menores, como Delaware, Maryland e Nebraska, podem alcançar o seu negócio, então vale oferecer o opt-out para todo o tráfego dos EUA.

A TIPA obriga a respeitar o GPC?

Não. A lei não exige o reconhecimento de sinais universais de opt-out. Mas vários outros estados exigem, então a maior parte das CMPs já trata o GPC para todo o tráfego dos EUA.

O que acontece com a receita quando o visitante recusa?

O Google passa a usar o processamento restrito de dados e entrega anúncios que não usam o histórico do visitante. A receita por mil impressões costuma ser menor para esse público, mas o anúncio continua aparecendo.

A TIPA exige banner de cookies?

Não. A lei funciona no modelo de opt-out: o site pode usar dados para anúncios até o visitante recusar. A exceção são os dados sensíveis, que exigem consentimento prévio.

Preciso de um programa NIST para cumprir a lei?

Não. O programa baseado no NIST é uma defesa opcional. Ele ajuda se houver uma investigação, mas a empresa precisa cumprir a lei de qualquer forma.

O ConsentMode resolve a conformidade com a TIPA?

O ConsentMode não é escritório de advocacia nem CMP. A auditoria mostra o que o site faz de fato com o opt-out, o GPP e a página de privacidade, para que você corrija com o seu fornecedor e o seu advogado.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja se o opt-out do seu site chega aos anúncios

A auditoria abre o site como visitante dos EUA e mostra o que corrigir, sem alterar nada.

Começar a auditoria