Por que os EUA são diferentes da UE

Na UE, um único regulamento estabelece a base. Nos Estados Unidos não há uma lei federal de privacidade abrangente que cubra o rastreamento geral de sites, então um número crescente de estados individuais aprovou a sua própria. A Califórnia foi a primeira, e muitos outros a seguiram com leis parecidas, mas não idênticas.

Para um publisher com audiência nacional, a pergunta prática não é “qual lei única se aplica?”, e sim “qual é o conjunto comum de comportamentos que funciona para todas?”.

Opt-out versus opt-in: a diferença central

A maior parte do raciocínio ao estilo da UE parte do opt-in: nenhum rastreamento até que o usuário concorde. A maioria das leis estaduais dos EUA parte do opt-out: você pode tratar dados pessoais comuns, mas deve informar o que faz e permitir que as pessoas interrompam certas atividades.

• Publicidade direcionada — os usuários geralmente têm o direito de optar por sair.
• Venda ou compartilhamento de dados pessoais — os usuários geralmente têm o direito de optar por sair.
• Criação de perfis — muitas leis concedem um opt-out para a criação de perfis usada em decisões significativas.
• Dados sensíveis — a maioria dessas leis exige consentimento opt-in antes do tratamento, e é aí que o modelo se inverte.

Sempre confira a redação exata dos estados em que você tem tráfego relevante, porque as definições de “dados sensíveis” e “venda” diferem.

O que as leis têm em comum

Apesar das diferenças, os mesmos elementos aparecem repetidamente:

1. Um aviso de privacidade claro e acessível, descrevendo as categorias de dados, as finalidades e os destinatários.
2. Uma forma visível de optar por sair da publicidade direcionada e da venda ou compartilhamento, como um link no rodapé.
3. Respeitar sinais de preferência de opt-out nos estados que exigem, por exemplo o Global Privacy Control.
4. Um processo para lidar com solicitações de consumidores, como acesso, exclusão e correção.
5. Contratos com fornecedores que tratam dados em seu nome.

Os sinais de opt-out estão se tornando obrigatórios

Vários estados exigem que as empresas tratem um sinal universal de opt-out baseado no navegador como uma solicitação de opt-out válida. Na prática, isso significa que, se o navegador de um visitante enviar o sinal Global Privacy Control, o seu site deve aplicar o opt-out automaticamente, sem pedir ao visitante que clique em mais nada.

A consequência técnica é simples: a sua lógica de consentimento deve ler o sinal antes de carregar as tags de publicidade e de análise, e a configuração das suas tags precisa ter um estado que represente “opt-out”.

Limites e aplicabilidade

Muitas leis estaduais só se aplicam acima de certos limites, como o número de residentes cujos dados você trata ou a parcela da receita proveniente da venda de dados. Os limites variam e mudam com o tempo, então não presuma que um publisher pequeno está automaticamente fora do escopo. Peça a um advogado que confirme quais leis se aplicam ao seu negócio.

Repassando a escolha pela cadeia de anúncios

Para publishers de publicidade, coletar a escolha do usuário é apenas metade do trabalho. A escolha precisa chegar aos seus parceiros de anúncios. A Global Privacy Platform (GPP) do IAB foi criada para isso: ela transporta uma seção nacional dos EUA e seções específicas de cada estado em um único sinal, para que os fornecedores de ad tech possam ler o status do usuário. Se a sua stack ainda depende de sinais antigos de um único estado, planeje a migração para uma abordagem unificada à medida que surgirem mais estados.

Um modelo operacional prático

1. Liste os estados dos quais você recebe tráfego significativo.
2. Escolha o comportamento comum mais rigoroso e aplique-o amplamente se preferir simplicidade, ou localize por estado se precisar preservar a receita.
3. Coloque um ponto de acesso permanente ao opt-out em todas as páginas.
4. Teste se o opt-out e o sinal do navegador realmente interrompem as tags relevantes.
5. Mantenha registros das escolhas feitas pelos usuários.
6. Revise a lista de leis aplicáveis com regularidade, já que novas continuam surgindo.

Onde o FlexyConsent se encaixa

O FlexyConsent oferece suporte ao IAB GPP v1.1 com a seção Nacional dos EUA e 16 leis estaduais dos EUA, de modo que a escolha de opt-out do usuário pode ser repassada aos seus parceiros de anúncios em um único sinal padrão. O banner está disponível em 57 idiomas, o que ajuda com audiências hispanofalantes e outras audiências multilíngues nos EUA. É uma ferramenta para coletar e transmitir escolhas; o que a sua empresa deve fazer segundo cada lei é uma questão para a sua própria assessoria jurídica.

Principais conclusões

• As leis estaduais dos EUA são em sua maioria opt-out, com opt-in para dados sensíveis.
• O núcleo comum é o aviso, um opt-out visível, o respeito aos sinais de opt-out e o tratamento das solicitações de consumidores.
• Leia os sinais de opt-out antes de as tags serem disparadas, não depois.
• Use um sinal unificado como o GPP para repassar a escolha aos parceiros de anúncios.
• Confirme a aplicabilidade e os limites com um advogado e revise-os regularmente.