Quando um site instala um pixel de publicidade, esse pixel coleta dados sobre o comportamento do usuário e os envia para a plataforma de anúncios. Isso configura "compartilhamento" de dados para publicidade comportamental contextual cruzada sob o California Consumer Privacy Act (CCPA), conforme emendado pelo California Privacy Rights Act (CPRA). E compartilhamento exige opt-out.

Este artigo foca exclusivamente no que a CCPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento e o opt-out precisam funcionar, e o que os requisitos específicos da lei implicam para cada rastreador do seu site.

O banner de cookies é a interface visual. É o que o visitante vê ao acessar o site e onde faz escolhas sobre o que aceita.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site: o que coleta, para quê serve, com quem os dados são compartilhados, por quanto tempo ficam retidos, e como exercer os direitos.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa ser acessível pelo link no próprio aviso de consentimento.

A distinção criada pela CPRA é fundamental para entender o que a CCPA exige no contexto de cookies.

Venda (§ 1798.140(ad)): transferência de dados por contrapartida monetária ou outro valor valioso a terceiros.

Compartilhamento (§ 1798.140(ah)): transferência de dados para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária.

Publicidade comportamental contextual cruzada (§ 1798.140(k)) são anúncios baseados em dados obtidos das atividades do consumidor em diferentes empresas, sites e aplicações de marcas distintas.

Na prática, se o seu site tem um pixel que leva dados do comportamento do usuário para uma plataforma de anúncios para exibir anúncios em outros sites, isso é "compartilhamento" sob a CCPA/CPRA, mesmo que você não receba dinheiro diretamente por isso. E compartilhamento exige:

O link "Do Not Sell or Share My Personal Information" na página inicial.

Divulgação clara e conspícua no aviso de privacidade.

Respeito ao opt-out quando exercido.

O § 1798.100(a)(1) exige que a empresa informe, no ponto de coleta, as categorias de dados coletados e as finalidades para as quais são coletados ou usados, e se essas informações são vendidas ou compartilhadas.

Para cookies, isso significa que cada categoria de rastreador precisa ter descrição de finalidade específica. Não funciona escrever "cookies para melhorar sua experiência". Não é uma finalidade.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, origem do tráfego e duração de sessões. Utilizados para identificar oportunidades de melhoria de conteúdo. Esses dados não são vendidos ou compartilhados com terceiros para publicidade."

"Cookies de publicidade: coletam identificadores de comportamento de navegação que são compartilhados com plataformas de anúncios para publicidade comportamental contextual cruzada. Os dados são compartilhados com parceiros como Meta Ads e Google Ads. Os consumidores podem exercer o opt-out pelo link 'Do Not Sell or Share My Personal Information'."

A Política precisa listar as categorias de rastreadores:

Cookies necessários: essenciais para o funcionamento básico. Não configuram venda ou compartilhamento e não precisam do link de opt-out. Mas precisam estar documentados.

Cookies de analytics: dependem da configuração. Se os dados ficam apenas nos sistemas da empresa e não são enviados a terceiros para fins de targeting, geralmente não configuram "venda" ou "compartilhamento". Mas a maioria das ferramentas de analytics de grandes plataformas envia dados para o provedor, o que pode configurar divulgação para fins de negócios.

Cookies de publicidade e retargeting: quase sempre configuram "compartilhamento" sob a CCPA/CPRA. Meta Pixel, Google Ads, TikTok Pixel, pixels de DSPs programáticas: todos enviam dados para plataformas que usam esses dados para exibir anúncios comportamentais ao usuário em outros sites.

Cookies funcionais: lembram preferências do usuário. Geralmente não configuram venda ou compartilhamento se os dados ficam internos.

Cookies de terceiros: disparados por serviços externos. A categorização correta de tags é o que permite documentar cada um com precisão.

A Política precisa identificar as categorias de terceiros que recebem dados via cookies.

O § 1798.115(a) exige que, quando o consumidor solicita, a empresa divulgue as categorias de terceiros para quem vendeu ou compartilhou dados, por categoria de dado.

Para cookies, isso significa documentar que, por exemplo: dados de comportamento de navegação foram compartilhados com plataformas de anúncios digitais; dados de sessão foram divulgados a prestadores de serviços de analytics; identificadores de usuário foram compartilhados com redes de anúncios programáticos.

O § 1798.100(a)(3) exige que a empresa informe o período de tempo que pretende reter cada categoria de dado, ou os critérios usados para determinar esse período.

Para cookies, a Política deve documentar:

Por quanto tempo cada cookie fica ativo no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Se e quando os dados são excluídos.

O § 1798.135(b) permite que a empresa cumpra os requisitos de opt-out honrando o sinal de preferência de opt-out enviado por plataformas, tecnologias ou mecanismos com o consentimento do consumidor.

O Global Privacy Control (GPC) é o mecanismo mais conhecido que implementa essa funcionalidade. Quando o usuário ativa o GPC no navegador, o site deve interpretar esse sinal como opt-out de venda e compartilhamento.

A Política de Cookies deve mencionar se o site respeita o GPC e como esse mecanismo funciona.

Uma plataforma de gestão de consentimentos configurada corretamente detecta e honra o GPC automaticamente.

Dados de geolocalização precisa (raio de 1.850 pés ou menos) são informações pessoais sensíveis sob a CCPA/CPRA (§ 1798.140(ae)(1)(C)).

Se o site coleta dados de geolocalização precisa via cookies ou scripts de localização para fins além do necessário para fornecer o produto ou serviço solicitado, o consumidor tem o direito de limitar esse uso via o link "Limit the Use of My Sensitive Personal Information" (§ 1798.121).

A Política de Cookies precisa identificar se dados de geolocalização precisa são coletados, para quê são usados, e como o consumidor pode limitar esse uso.

O § 1798.120(c) proíbe a venda ou compartilhamento de dados de consumidores com menos de 16 anos sem autorização afirmativa.

Para consumidores entre 13 e 15 anos: a própria autorização do consumidor.

Para consumidores com menos de 13 anos: autorização do responsável legal.

Se o site pode ter usuários menores de 16 anos, a Política de Cookies precisa descrever como dados desses usuários são tratados de forma diferenciada, incluindo como cookies de publicidade são bloqueados sem a autorização adequada.

O § 1798.130(a)(5) exige atualização do aviso de privacidade pelo menos uma vez a cada 12 meses. Para a Política de Cookies, isso significa revisão anual obrigatória.

Situações que exigem atualização imediata:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics que envia dados a terceiros.

Novo plugin de chat ou suporte.

Nova integração com CRM ou plataforma de e-mail.

Qualquer parceiro novo que receba dados comportamentais.

O mapeamento de dados contínuo é o que mantém o inventário de cookies sincronizado com o documento.

O § 1798.190 prevê que transações ou séries de etapas criadas intencionalmente para evitar a definição de "venda" ou "compartilhamento", incluindo eliminar a contrapartida monetária para se esquivar da lei, serão desconsideradas.

Isso significa que estruturar acordos de troca de dados sem contrapartida monetária para evitar o opt-out não é uma estratégia válida. A CCPA/CPRA olha para a substância da transação, não apenas para a forma.

A California Privacy Protection Agency (CPPA) pode aplicar multas administrativas de até US$ 2.500 por violação e até US$ 7.500 por violação intencional ou envolvendo menores. O Attorney General pode buscar penalidades civis nos mesmos valores.

Não há prazo garantido de correção antes de ações da CPPA. A agência tem discricionariedade para investigar e agir.

Além disso, o § 1798.150 garante ao consumidor o direito de ação privada por violações de segurança: de US$ 100 a US$ 750 por consumidor por incidente.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de opt-out, respeita o GPC automaticamente, e documenta cada interação para auditoria.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.

Link visível no rodapé e no próprio banner de cookies.

Listagem de categorias de cookies com descrição do que cada uma faz.

Finalidade específica para cada categoria, incluindo declaração se os dados são vendidos ou compartilhados.

Identificação de cookies que configuram "venda" ou "compartilhamento" conforme definição da CCPA/CPRA.

Categorias de terceiros que recebem dados via cookies.

Link "Do Not Sell or Share My Personal Information" na página inicial quando há venda ou compartilhamento.

Link "Limit the Use of My Sensitive Personal Information" quando dados de geolocalização precisa são coletados para fins além do necessário.

Global Privacy Control (GPC): declaração de que o site respeita o sinal quando enviado pelo usuário.

Período de retenção de cada categoria de cookie.

Proteção para menores de 13 a 15 anos e menores de 13 anos.

Atualização anual obrigatória do documento.

Idioma acessível, sem juridiquês.

Ausência de design manipulativo (dark patterns) nos mecanismos de opt-out.

1. Um pixel de publicidade sempre configura "compartilhamento" sob a CCPA/CPRA?
Quase sempre, sim. A CCPA/CPRA define "compartilhamento" como transferência de dados para publicidade comportamental contextual cruzada, com ou sem contrapartida monetária. Um pixel que envia dados de comportamento do usuário no seu site para uma plataforma que usa esses dados para exibir anúncios ao mesmo usuário em outros sites configura compartilhamento. O site precisa do link "Do Not Sell or Share My Personal Information" e deve honrar o opt-out.

2. O Google Analytics configura "compartilhamento" sob a CCPA/CPRA?
Depende da configuração. O Google Analytics na configuração padrão envia dados para o Google, que tem suas próprias políticas de uso. Se esses dados são usados pelo Google para targeting de anúncios em outros sites (o que pode ocorrer dependendo das configurações), há risco de configurar compartilhamento. A abordagem mais segura é usar o GA com configurações de privacidade reforçadas e verificar os termos de processamento de dados com o Google.

3. O que é o Global Privacy Control (GPC) e o site precisa respeitá-lo?
O GPC é um sinal de navegador que o usuário pode ativar para indicar sua preferência de opt-out de venda e compartilhamento de dados. O § 1798.135(b) permite que a empresa cumpra os requisitos de opt-out honrando o GPC, em vez de manter os links "Do Not Sell or Share" e "Limit Sensitive PI" no site. Ambas as abordagens são válidas: links visíveis no site ou honrar o GPC. A empresa pode escolher uma das duas estratégias.

4. Cookies de analytics precisam do link "Do Not Sell or Share" na CCPA/CPRA?
Depende de como os dados são usados. Se os dados do analytics ficam apenas nos sistemas da empresa e não são enviados a terceiros para fins de targeting, geralmente não configuram "venda" ou "compartilhamento". Mas se a ferramenta de analytics é de um grande provedor que pode usar os dados para outros fins, incluindo targeting, há risco. Consultar os termos de processamento de dados da ferramenta é essencial.

5. O que acontece se o consumidor exercer o opt-out e o site continuar compartilhando dados?
A continuação da venda ou compartilhamento após opt-out é uma violação direta do § 1798.120(d). A CPPA pode investigar e aplicar multas de até US$ 2.500 por violação ou US$ 7.500 por violação intencional. Além disso, o consumidor afetado pode ter base para ação judicial. A empresa deve aguardar pelo menos 12 meses antes de solicitar novamente o consentimento do consumidor para venda ou compartilhamento.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a CCPA/CPRA? Fale com a nossa equipe.