Guia · Lei estadual dos EUA

UCPA: a lei de Utah explicada para quem tem anúncios

Utah tem uma das leis estaduais de privacidade mais leves dos Estados Unidos e só alcança empresas maiores. Mesmo assim, quem está dentro precisa explicar a publicidade direcionada e oferecer um jeito simples de recusar. Veja quando ela vale para o seu site e o que o Google faz com o sinal.

Auditar meu site para Utah Ler o guia

✓Baseado no texto oficial do Código de Utah
✓Exemplos pensados para sites com AdSense e Ad Manager
✓Auditoria somente leitura, sem alterar o site

US$ 25 mireceita anual mínima para a lei se aplicar, somada a um limite de consumidores

100 milconsumidores de Utah por ano, o limite de volume para empresas que passam do faturamento

30 diasprazo para corrigir uma falha depois do aviso por escrito do procurador-geral

US$ 7.500multa máxima por violação, além de danos reais aos consumidores

O que é

Uma lei enxuta, pensada para não pesar em empresas pequenas

A Utah Consumer Privacy Act, ou UCPA, está no capítulo 61 do título 13 do Código de Utah. Ela foi aprovada em 2022 e passou a valer em 31 de dezembro de 2023.

A UCPA segue a estrutura da lei da Virgínia, mas é mais leve. Não exige avaliações de proteção de dados, não obriga o site a respeitar sinais automáticos do navegador e permite tratar dados sensíveis com aviso e opção de recusa, em vez de consentimento prévio.

Também é a única entre as leis deste grupo que exige faturamento mínimo. Uma empresa só entra se tiver receita anual de pelo menos US$ 25 milhões e, além disso, um volume relevante de consumidores de Utah.

Para quem está dentro, a regra central não muda: o site precisa avisar que faz publicidade direcionada e oferecer um caminho claro para o visitante recusar.

Checklist

O que você precisa cumprir

Valem só para quem tem receita anual de US$ 25 milhões ou mais e também passa de um dos limites de volume.

Mostre com clareza como recusar
Quem vende dados ou faz publicidade direcionada precisa mostrar de forma clara e visível como o visitante recusa. A lei não define o texto do link.
Exemplo
Rodapé: Do Not Sell or Share My Personal Information
Publique um aviso de privacidade claro
O aviso lista as categorias de dados, as finalidades, como exercer os direitos, os dados repassados a terceiros e os tipos de terceiros.
Exemplo
Usamos dados de navegação para mostrar anúncios. Compartilhamos esses dados com redes de anúncios. Para recusar, use o link no rodapé.
Avise antes de usar dados sensíveis
Antes de tratar dados sensíveis, o site dá um aviso claro e a chance de recusar. Para criança conhecida, vale a lei COPPA.
Responda em 45 dias
Os pedidos têm resposta em até 45 dias. Se precisar de mais 45, o site avisa o visitante e diz quanto tempo a mais vai levar.
Atenda o pedido de correção
Desde 1º de julho de 2026, o visitante também pode pedir a correção de dados errados.

Use a seção US National com o Google

O Google não aceita a seção de Utah da string GPP. Para Utah, a CMP precisa enviar a US National, ou o site liga o RDP direto na tag.

// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

Corrija rápido se for notificado
O procurador-geral avisa por escrito e dá 30 dias para corrigir. Se a falha continuar, a multa chega a US$ 7.500 por violação.

Na prática

Certo e errado

ErradoO site faz publicidade direcionada e não mostra como recusar.
CertoO link de recusa aparece no rodapé e funciona em todas as páginas.
ErradoO site usa dados sensíveis sem aviso nenhum.
CertoAntes de usar um dado sensível, o site avisa com clareza e dá a chance de recusar.
ErradoNão há aviso de privacidade, ou ele não cita os anúncios.
CertoO aviso de privacidade lista dados, finalidades e terceiros, com link em todas as páginas.

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada para Utah. A mensagem de estados dos EUA do Google cobre Utah e grava a escolha na seção US National. Estes são os links oficiais.

A quem se aplica

Faturamento e volume, os dois ao mesmo tempo

A lei vale para quem faz negócios em Utah ou oferece produtos e serviços a moradores do estado e cumpre a condição de receita e uma das condições de volume.

Receita de US$ 25 milhões

Receita anual de US$ 25 milhões ou mais. Sem essa condição, a lei não se aplica, por maior que seja o tráfego.

100 mil consumidores

Além da receita, controlar ou processar dados de 100 mil consumidores de Utah ou mais em um ano civil.

Ou 25 mil e venda de dados

Ou processar dados de 25 mil consumidores e obter mais de 50% da receita bruta com a venda de dados pessoais.

Quem fica de fora

Órgãos públicos, entidades sem fins lucrativos, instituições de ensino superior e dados cobertos por leis federais de finanças e de saúde.

Definições

Os termos que importam para quem vende anúncios

Utah usa definições estreitas, parecidas com as da Virgínia.

Dado pessoal

Informação ligada ou que possa ser razoavelmente ligada a uma pessoa identificada ou identificável. Dados anonimizados e públicos ficam de fora.

Dado sensível

Origem racial ou étnica, religião, orientação sexual, situação migratória, histórico médico e de saúde, dados genéticos, biométricos e localização precisa.

Venda

Troca de dados pessoais por dinheiro com um terceiro. Como na Virgínia, só conta pagamento em dinheiro.

Publicidade direcionada

Anúncio escolhido com base em dados das atividades da pessoa ao longo do tempo em sites e apps de outras empresas. Anúncio contextual não entra.

Direitos

O que o visitante de Utah pode pedir

A empresa tem 45 dias para responder, com possibilidade de prorrogação. A lista de direitos é menor que nos outros estados.

Acesso

Confirmar se a empresa trata seus dados e ter acesso a eles.

Exclusão e portabilidade

Excluir os dados que ele mesmo forneceu e receber uma cópia num formato que possa levar a outro serviço.

Correção, desde 1º de julho de 2026

Uma alteração aprovada em 2025 acrescentou o direito de pedir a correção de dados errados, que a lei original não tinha.

Opt-out

Recusar o uso dos dados para publicidade direcionada e a venda de dados pessoais.

Obrigações do site

Aviso de privacidade, recusa e dados sensíveis

A empresa precisa de um aviso de privacidade acessível e claro. Ele deve listar as categorias de dados tratados, as finalidades, como exercer os direitos, as categorias de dados repassados a terceiros e as categorias desses terceiros.

Se o site vende dados ou faz publicidade direcionada, precisa mostrar de forma clara e visível como o visitante pode recusar. A lei não define o texto do link, mas ele precisa estar fácil de achar, como no rodapé.

Dados sensíveis só podem ser tratados depois de um aviso claro e da chance de recusar. Para dados de criança conhecida, vale a lei federal COPPA, com consentimento dos pais.

Utah não exige que o site respeite o Global Privacy Control nem outros sinais automáticos do navegador, e não exige avaliações de proteção de dados. Isso não impede a empresa de respeitar o GPC por escolha própria, o que simplifica a operação em vários estados.

Linha do tempo

As datas da lei de Utah

A UCPA mudou pouco desde que entrou em vigor.

2022
Lei aprovada
Utah aprova a sua lei ampla de privacidade do consumidor, a SB 227.
31 de dezembro de 2023
Entrada em vigor
Passam a valer os direitos, o aviso de privacidade e o opt-out de publicidade direcionada e venda.
2025
Alteração aprovada
A Assembleia de Utah aprova a inclusão do direito de correção.
1º de julho de 2026
Direito de correção em vigor
O visitante passa a poder pedir a correção de dados errados.

Fiscalização e multas

Procurador-geral, divisão de defesa do consumidor e prazo de 30 dias

O procurador-geral de Utah tem competência exclusiva para aplicar a lei. A Divisão de Proteção ao Consumidor do estado recebe reclamações, investiga e pode encaminhar o caso ao procurador-geral. O cidadão não pode processar a empresa com base na UCPA.

Antes de entrar com uma ação, o procurador-geral precisa mandar um aviso por escrito pelo menos 30 dias antes, apontando cada falha. Se a empresa corrigir dentro desse prazo e mandar uma declaração escrita de que corrigiu e não vai repetir, não há processo. Esse prazo de correção não tem data para acabar.

Se a falha continuar ou se repetir, o procurador-geral pode cobrar os danos reais dos consumidores e uma multa de até US$ 7.500 por violação.

Na prática, o prazo de 30 dias dá uma segunda chance, mas só para quem lê a notificação e corrige rápido. Ter o aviso e a recusa funcionando desde o início evita o problema.

AdSense e Ad Manager

Como o Google trata o visitante de Utah

O IAB Tech Lab criou uma seção própria de Utah na string GPP, mas o Google não a aceita. A página de suporte do AdSense lista a seção de Utah entre as strings não suportadas.

Para Utah, o Google lê a seção US National. Quando ela indica recusa de venda, de compartilhamento ou de publicidade direcionada, o Google ativa o processamento restrito de dados, o RDP, e mostra só anúncios não personalizados.

A Mensagem de privacidade para estados dos EUA, no AdSense e no Ad Manager, inclui Utah e grava a escolha na seção US National. Se você usa outra CMP, confira se ela envia a US National para visitantes de Utah, e não apenas a seção estadual.

Outra opção é ativar o RDP direto na tag de anúncios, por exemplo com restrictDataProcessing na GPT, para quem recusou. Lembre de levar a recusa também aos parceiros de header bidding, vídeo e pixels.

Na prática

O que pode e o que não pode em Utah

Exemplos para um site com anúncios que está acima dos limites da lei.

Pode

Mostrar anúncios personalizados sem pedir permissão antes, com link de recusa visível
Gravar a recusa de visitantes de Utah na seção US National da GPP
Respeitar o GPC por escolha própria, mesmo sem obrigação
Tratar dados sensíveis depois de aviso claro e opção de recusa
Mostrar anúncios contextuais a quem recusou

Não pode

Enviar só a seção de Utah e achar que o Google vai ler
Deixar a recusa escondida no meio da política de privacidade
Tratar dados de saúde ou localização precisa sem aviso e sem chance de recusa
Ignorar uma notificação do procurador-geral e perder o prazo de 30 dias
Negar a correção de dados errados depois de julho de 2026

Erros comuns

Onde os sites costumam errar com Utah

A lei é simples, mas a parte técnica costuma falhar.

Seção errada da GPP

A CMP envia só a seção de Utah, que o Google não aceita, e o pedido de anúncio segue sem RDP.

Política sem anúncios

A política fala em cookies, mas não diz que há publicidade direcionada nem como recusar.

Achar que Utah não importa

A empresa passa de US$ 25 milhões de receita e de 100 mil visitantes de Utah e não oferece recusa nenhuma.

Direitos desatualizados

A política não menciona o direito de correção que vale desde 1º de julho de 2026.

No ConsentMode

O que a auditoria confere sobre a UCPA

Abre o site como visitante de Utah e procura o link de recusa da publicidade direcionada em lugar visível.
Lê a string GPP nos pedidos de anúncio e mostra se ela traz a seção US National, que é a que o Google lê para Utah.
Identifica a CMP e confere se a recusa muda a string antes dos pedidos de anúncio e de header bidding.
Registra se o site respeita o GPC, o que não é exigido em Utah, mas é em outros estados.
Lê a política de privacidade e aponta se faltam finalidades, terceiros, direitos e o modo de recusar.

Fazer uma auditoria Ver tudo o que é conferido

Perguntas frequentes sobre a lei de Utah

Meu site fatura menos de US$ 25 milhões. A UCPA vale?

Não. A lei só se aplica a quem tem receita anual de pelo menos US$ 25 milhões e também passa de um dos limites de consumidores. Mesmo assim, os parceiros de anúncios podem pedir os sinais de recusa.

Preciso respeitar o GPC em Utah?

Não é obrigatório pela UCPA. Muitos sites respeitam mesmo assim, porque estados como Califórnia, Colorado, Connecticut e Oregon exigem.

Preciso de consentimento para dados sensíveis?

Utah pede aviso claro e chance de recusar antes do tratamento, e não consentimento prévio. Para crianças, vale a lei federal COPPA.

Qual seção da GPP devo enviar para Utah?

Para o Google, a US National. O AdSense informa que não aceita a seção de Utah.

O ConsentMode configura minha CMP?

Não. O ConsentMode não é CMP e não altera o site. Ele mostra qual seção está sendo enviada e o que ajustar.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Descubra se o Google está lendo a sua recusa

A auditoria abre o site como visitante de Utah e mostra a string enviada aos anúncios, sem alterar nada.

Começar a auditoria