Saiba o que é uma DSAR sob a CCPA/CPRA, quais são os direitos garantidos, como estruturar o Portal do Titular, os prazos exatos, e o que acontece quando a empresa não cumpre.

DSAR é a sigla para Data Subject Access Request, ou Solicitação do Consumidor na linguagem da CCPA. É qualquer pedido formal de um residente da Califórnia para exercer os direitos que a lei garante sobre os próprios dados.

Sob a CCPA/CPRA, o consumidor pode fazer solicitações verificáveis para exercer seis direitos principais, mais o direito de ação privada por violações de segurança, que tem fluxo próprio.

Se você já conhece a LGPD, a estrutura do Portal do Titular é familiar. A CCPA/CPRA usa o termo "verifiable consumer request" para descrever solicitações autenticadas.

O consumidor pode solicitar que a empresa confirme se processa seus dados e divulgue:

As categorias de informações pessoais coletadas.

As categorias de fontes.

A finalidade comercial ou de negócios para coleta, venda ou compartilhamento.

As categorias de terceiros com quem os dados foram compartilhados.

As peças específicas de informações pessoais coletadas sobre o consumidor.

A resposta deve cobrir os 12 meses anteriores ao recebimento da solicitação.

Se a empresa vende ou compartilha dados, a solicitação também cobre:

As categorias de dados vendidos ou compartilhados, por categoria de terceiro.

As categorias de dados divulgados para fins de negócios, separadamente.

O consumidor pode solicitar a exclusão de qualquer informação pessoal que a empresa coletou sobre ele.

A empresa deve excluir os dados dos próprios registros e notificar prestadores de serviço, contratistas e terceiros para também excluirem, a menos que isso seja impossível ou envolva esforço desproporcional.

A empresa pode manter um registro confidencial de solicitações de exclusão apenas para evitar que o dado do consumidor que pediu exclusão seja revendido.

Há exceções que permitem reter os dados mesmo após solicitação de exclusão, incluindo: completar transações em andamento, garantir segurança, depurar erros, exercer liberdade de expressão, cumprir a lei, realizar pesquisa pública aprovada, e cumprir obrigação legal.

Adicionado pela CPRA. O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas, considerando a natureza dos dados e os propósitos do processamento.

A empresa deve usar esforços comercialmente razoáveis para corrigir os dados conforme instruído pelo consumidor.

O consumidor pode, a qualquer momento, ordenar à empresa que não venda ou compartilhe suas informações pessoais com terceiros.

Após receber a direção do consumidor, a empresa não pode vender ou compartilhar os dados a menos que o consumidor posteriormente forneça consentimento.

A empresa deve aguardar pelo menos 12 meses antes de solicitar novamente que o consumidor autorize a venda ou compartilhamento (§ 1798.135(c)(4)).

Para consumidores menores de 16 anos que não consentiram com a venda ou compartilhamento, a empresa deve aguardar pelo menos 12 meses antes de solicitar o consentimento novamente, ou até o consumidor completar 16 anos (§ 1798.135(c)(5)).

Adicionado pela CPRA. O consumidor pode ordenar à empresa que limite o uso das informações pessoais sensíveis ao que é necessário para fornecer os produtos ou serviços razoavelmente esperados.

Após receber a direção do consumidor, a empresa não pode usar as informações sensíveis para outros fins a menos que o consumidor forneça novo consentimento.

O consumidor não pode ser discriminado por exercer qualquer direito garantido pela CCPA/CPRA. A empresa não pode negar produtos ou serviços, cobrar preços diferentes, oferecer qualidade inferior, ou sugerir tratamento diferenciado.

A exceção são programas de incentivo financeiro voluntários onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa.

Esse direito tem um fluxo diferente dos demais. O consumidor cujos dados não criptografados e não redigidos forem acessados ou expostos em uma violação de segurança pode entrar com ação judicial para recuperar de US$ 100 a US$ 750 por consumidor por incidente, ou danos reais quando maiores, além de medidas cautelares.

Antes de iniciar qualquer ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência, identificando as violações específicas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita de que não ocorrerão mais violações, nenhuma ação pode ser iniciada.

A CCPA/CPRA é específica nos prazos.

45 dias a partir do recebimento de uma solicitação verificável do consumidor (§ 1798.130(a)(2)(A)).

O prazo pode ser estendido por mais 45 dias quando razoavelmente necessário, considerando a complexidade e o número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa e a razão do atraso (§ 1798.145(h)(1)).

O atendimento é gratuito. A empresa não é obrigada a atender ao mesmo consumidor mais de duas vezes em um período de 12 meses (§ 1798.130(b)).

A CCPA/CPRA usa o termo "verifiable consumer request" (§ 1798.140(ak)) para descrever solicitações que a empresa pode verificar que foram feitas pelo próprio consumidor, por um filho menor, por representante autorizado, ou por detentor de procuração.

A empresa pode autenticar a solicitação usando métodos comercialmente razoáveis. Pode exigir autenticação proporcional à natureza das informações solicitadas, mas não pode exigir que o consumidor crie uma nova conta para fazer a solicitação. Se o consumidor já tem conta, pode exigir o uso dela.

Os dados coletados para verificação de identidade só podem ser usados para essa finalidade, não para outros propósitos (§ 1798.130(a)(7)).

O § 1798.130(a)(1) exige dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito.

Empresas que operam exclusivamente online com relação direta com o consumidor podem se limitar a um endereço de e-mail.

Se a empresa mantém um site, deve disponibilizá-lo como canal de submissão.

A empresa não pode exigir que o consumidor crie uma nova conta, mas pode exigir uso de conta existente.

Um Portal do Titular estruturado oferece:

Formulário de submissão com categorias claras (saber/acessar, excluir, corrigir, opt-out de venda/compartilhamento, limitar uso de dados sensíveis).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento.

Registro de cada solicitação, ação tomada e resposta enviada.

O consumidor pode autorizar outra pessoa a exercer os direitos em seu nome, incluindo por meio do sinal de preferência de opt-out do GPC (§ 1798.135(e)).

Um agente autorizado pode submeter solicitações. A empresa pode exigir prova de que o agente foi devidamente autorizado pelo consumidor.

Pais ou responsáveis podem exercer direitos em nome de filhos menores.

O atendimento é gratuito (§ 1798.130(a)(2)(A)). Mas a empresa não é obrigada a fornecer as mesmas informações ao mesmo consumidor mais de duas vezes em um período de 12 meses (§ 1798.130(b)).

Para solicitações manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar. O ônus de demonstrar o caráter excessivo é da empresa (§ 1798.145(h)(3)).

Receba e autentique a identidade do consumidor.

Localize todos os dados pessoais coletados sobre esse consumidor nos 12 meses anteriores em todos os sistemas.

Prepare resposta cobrindo: categorias de dados, categorias de fontes, finalidades, categorias de terceiros, e as peças específicas de informação.

Se a empresa vendeu ou compartilhou dados: liste por categoria de dado e categoria de terceiro (em listas separadas para "vendidos/compartilhados" e "divulgados para fins de negócios").

Entregue em formato prontamente utilizável que permita transmissão de uma entidade para outra sem obstáculos.

Envie dentro do prazo de 45 dias.

Receba e autentique.

Verifique se há exceção legal que permita reter os dados.

Se não houver exceção: exclua dos próprios registros e notifique prestadores de serviço, contratistas e terceiros para também excluírem.

Mantenha apenas o registro confidencial da solicitação para evitar futura revenda.

Confirme ao consumidor.

Receba e autentique.

Identifique qual dado está impreciso e em quais sistemas está armazenado.

Use esforços comercialmente razoáveis para corrigir conforme instruído pelo consumidor.

Confirme a correção.

Se a solicitação for de correção de informações de saúde e a empresa rejeitar por considerar os dados precisos, o consumidor tem o direito de incluir um adendo de até 250 palavras ao registro.

Receba a solicitação (pode ser via link "Do Not Sell or Share", via GPC, ou via representante autorizado).

Cesse imediatamente a venda e o compartilhamento dos dados desse consumidor.

Não solicite novamente o consentimento por pelo menos 12 meses.

Notifique quaisquer terceiros que receberam os dados recentemente sobre o opt-out.

Receba via link "Limit the Use of My Sensitive Personal Information" ou outro mecanismo.

Cesse o uso das informações pessoais sensíveis do consumidor para fins além do necessário para fornecer os produtos ou serviços razoavelmente esperados.

Notifique prestadores de serviço sobre a limitação para que também cessem usos não autorizados.

O § 1798.125 proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. A empresa não pode:

Negar produtos ou serviços.

Cobrar preços ou taxas diferentes.

Fornecer qualidade diferente de produtos ou serviços.

Sugerir que o consumidor receberá tratamento diferenciado.

Retaliar funcionários, candidatos a emprego, ou contratistas independentes que exercem seus direitos.

A exceção são programas de incentivos financeiros voluntários. A empresa pode oferecer compensação financeira, descontos ou benefícios em troca do uso dos dados, desde que o consumidor consinta expressamente e os incentivos não sejam injustos, irrazoáveis, coercitivos ou abusivos.

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de autenticação realizado.

Ação tomada.

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA ou do Attorney General.

A California Privacy Protection Agency (CPPA) tem poder administrativo para:

Investigar empresas por conta própria ou com base em reclamações.

Aplicar multas de até US$ 2.500 por violação e até US$ 7.500 por violação intencional ou envolvendo menores.

O Attorney General da Califórnia pode buscar penalidades civis nos mesmos valores em ação civil.

Não há prazo garantido de correção antes de ações da CPPA. A agência decide por discricionariedade se e quando inicia uma investigação.

A AdOpt registra cada interação de consentimento, opt-out e limitação de uso com timestamp e identificador único. Quando o consumidor exerce o opt-out de venda e compartilhamento, o sistema atualiza automaticamente os rastreadores correspondentes.

O GPC é respeitado automaticamente. O log auditável da AdOpt serve como evidência de conformidade. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.

Dois ou mais métodos de submissão, incluindo número de telefone gratuito (§ 1798.130(a)(1)).

Site disponível como canal de submissão se a empresa mantém um site.

Cobertura dos 6 direitos da CCPA/CPRA: acesso/informação, exclusão, correção, opt-out de venda/compartilhamento, limitação de dados sensíveis, e não discriminação.

Lookback de 12 meses para solicitações de acesso (§ 1798.130(a)(2)(B)).

Prazo de 45 dias para resposta, com extensão de +45 dias com notificação (§ 1798.130(a)(2)(A)).

Atendimento gratuito mas limitado a duas vezes por consumidor em 12 meses (§ 1798.130(b)).

Processo de autenticação proporcional à natureza dos dados, sem exigência de nova conta.

Aceitação de solicitações de representantes autorizados, incluindo pais de menores.

Link "Do Not Sell or Share My Personal Information" no site quando há venda ou compartilhamento.

Link "Limit the Use of My Sensitive Personal Information" quando aplicável.

Respeito ao GPC quando enviado pelo usuário.

Prazo de 12 meses antes de solicitar novamente consentimento após opt-out.

Notificação de terceiros para exclusão dos dados quando a solicitação de exclusão é atendida.

Registro confidencial de solicitações de exclusão para garantir não-revenda.

Documentação de cada solicitação, ação e resposta.

Tipo de solicitação	Prazo de resposta	Extensão possível
Acesso/informação, exclusão, correção	45 dias	+45 dias com notificação
Opt-out de venda/compartilhamento	Imediato após recebimento	Não se aplica
Limitação de dados sensíveis	Imediato após recebimento	Não se aplica
Recontato após opt-out	12 meses mínimo	Não há extensão
Notificação pré-ação privada (segurança)	30 dias para empresa corrigir	Não há extensão

1. A CCPA exige um número de telefone gratuito para o Portal do Titular?
Sim. O § 1798.130(a)(1) exige que a empresa disponibilize dois ou mais métodos designados para submissão de solicitações, incluindo no mínimo um número de telefone gratuito. A exceção são empresas que operam exclusivamente online com relação direta com o consumidor, que podem se limitar a um endereço de e-mail. Para a maioria das empresas com um site, o número gratuito é obrigatório.

2. O que é o "lookback de 12 meses" e como ele afeta as solicitações de acesso?
O § 1798.130(a)(2)(B) determina que a resposta a uma solicitação de acesso deve cobrir os 12 meses anteriores ao recebimento da solicitação. Isso significa que o Portal do Titular precisa ser capaz de recuperar dados coletados nos 12 meses anteriores à data de cada solicitação, o que exige sistemas de rastreamento e retenção adequados.

3. Quantas vezes por ano a empresa precisa atender gratuitamente?
Duas vezes em um período de 12 meses por consumidor, conforme § 1798.130(b). Para solicitações além desse limite, ou que sejam manifestamente infundadas ou repetitivas, a empresa pode cobrar taxa razoável pelos custos administrativos ou recusar, demonstrando o caráter excessivo.

4. Como funciona o direito de ação privada na CCPA e o que o Portal do Titular tem a ver com isso?
O § 1798.150 garante ao consumidor o direito de entrar com ação por violações de segurança de dados. Antes de iniciar ação por danos estatutários, o consumidor deve notificar a empresa por escrito com 30 dias de antecedência. O Portal do Titular deve ser o canal por onde essas notificações são recebidas e processadas. Se a empresa corrigir dentro do prazo e fornecer declaração escrita adequada, nenhuma ação pode ser iniciada.

5. A empresa precisa notificar terceiros quando atende a uma solicitação de exclusão?
Sim. O § 1798.105(c)(1) exige que a empresa notifique qualquer prestador de serviço ou contratista para excluir os dados, e também notifique todos os terceiros para quem os dados foram vendidos ou compartilhados, a menos que isso seja impossível ou envolva esforço desproporcional. A empresa também pode manter um registro confidencial da solicitação de exclusão apenas para garantir que os dados do consumidor que pediu exclusão não sejam revendidos.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.