Um residente da Califórnia acessa o seu site, consome seu conteúdo, e em algum momento decide exercer os direitos que a lei garante a ele. Quer saber o que você tem sobre ele. Quer corrigir uma informação. Quer que você pare de compartilhar seus dados com redes de publicidade.

A California Privacy Rights Act (CPRA) define com precisão o que precisa acontecer: o canal para receber a solicitação, os prazos para responder, o que é gratuito e o que não é, e o que acontece quando a empresa não cumpre.

A grande novidade em relação à CCPA original: o direito de correção de dados, o direito de limitar o uso de informações pessoais sensíveis, e multas automáticas triplicadas para violações envolvendo menores de 16 anos.

Este artigo cobre tudo isso.

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. É qualquer pedido formal de um consumidor californiano para exercer os direitos que a CPRA garante sobre os próprios dados.

Conforme Civil Code § 1798.130, o consumidor exerce seus direitos por meios estabelecidos pelo negócio e descritos na política de privacidade.

Se você já conhece o portal do titular da LGPD, a lógica é familiar. A CPRA adiciona novos direitos e reforça as proteções para menores.

Conforme o Civil Code § 1798.100 a § 1798.125, os residentes da Califórnia têm os seguintes direitos:

O consumidor pode solicitar que a empresa informe:

As categorias de informações pessoais coletadas sobre ele.

As categorias específicas de fontes de onde as informações foram coletadas.

A finalidade comercial ou de negócios para coletar, vender ou compartilhar as informações.

As categorias de terceiros para os quais a empresa divulga as informações.

As informações pessoais específicas coletadas sobre o consumidor.

O consumidor pode obter uma cópia das informações pessoais específicas que a empresa coletou nos últimos 12 meses (Civil Code § 1798.100(a)).

O consumidor pode solicitar a exclusão de suas informações pessoais, com algumas exceções (Civil Code § 1798.105). As exceções incluem: completar a transação, segurança, debugging, pesquisa interna, e compliance legal.

Este é um direito novo que a CCPA não tinha (Civil Code § 1798.106). O consumidor pode solicitar que a empresa corrija informações pessoais imprecisas que mantém sobre ele, considerando a natureza das informações e os propósitos do processamento.

O consumidor pode obter as informações pessoais em formato portátil e utilizável (Civil Code § 1798.100(a)).

O consumidor pode recusar a venda de informações pessoais e o compartilhamento para publicidade comportamental cruzada entre sites (Civil Code § 1798.120). Esse direito é exercido pelo link "Do Not Sell or Share My Personal Information".

Este é outro direito novo da CPRA (Civil Code § 1798.121). O consumidor pode limitar o uso e a divulgação de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança e integridade, e compliance legal. Esse direito é exercido pelo link "Limit the Use of My Sensitive Personal Information".

A empresa não pode discriminar consumidores que exercem seus direitos, incluindo negar produtos, cobrar preços diferentes, ou oferecer qualidade inferior (Civil Code § 1798.125).

Conforme Civil Code § 1798.130(a)(2):

45 dias para responder a partir do recebimento da solicitação verificada.

Extensão de +45 dias quando razoavelmente necessário, considerando complexidade e volume de solicitações, com notificação ao consumidor dentro do prazo inicial.

Gratuito até 2 vezes por ano por consumidor. A partir da terceira solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável, demonstrando o caráter repetitivo.

O prazo de 45 dias é igual para solicitações de saber/acesso, exclusão, correção, portabilidade, e para confirmação de que opt-outs e limitações foram aplicados.

A CPRA é explícita: a empresa não pode exigir que o consumidor crie uma conta ou passe por mais de dois passos para exercer o opt-out de venda e compartilhamento (Civil Code § 1798.120(c)).

O processo de opt-out precisa:

Ser direto e acessível pelo link "Do Not Sell or Share My Personal Information".

Não exigir criação de nova conta.

Não passar por mais de dois passos até a confirmação do opt-out.

Honrar o Global Privacy Control (GPC) como forma válida de opt-out.

Ser gratuito.

Para solicitações de acesso, exclusão, correção e portabilidade, a empresa pode verificar a identidade do consumidor usando métodos razoavelmente projetados para verificar que a pessoa que faz a solicitação é o consumidor sobre quem os dados foram coletados (Civil Code § 1798.130(a)(2)).

A verificação precisa ser proporcional ao tipo de dado envolvido. Para dados de baixo risco, uma confirmação por e-mail pode ser suficiente. Para dados mais sensíveis, pode ser justificado um segundo fator de verificação.

O que nunca é aceitável: exigir mais informações do que o necessário para verificar a identidade, ou criar processos deliberadamente trabalhosos para desencorajar solicitações.

A empresa não pode exigir que o consumidor forneça sua senha para exercer seus direitos.

O consumidor pode designar um agente autorizado para submeter solicitações em seu nome (Civil Code § 1798.130(a)(2)(C)).

Para solicitações de opt-out: a empresa deve respeitar a solicitação do agente autorizado se o consumidor deu ao agente autorização por escrito assinada, ou mediante verificação razoável da identidade do consumidor e da autoridade do agente.

O Global Privacy Control (GPC) funciona como uma forma de agente autorizado tecnológico: ao ativar o GPC, o consumidor está designando sua configuração de navegador como agente para transmitir o opt-out.

A empresa pode negar quando:

Não consegue verificar a identidade do consumidor.

A solicitação se aplica a informações coletadas antes de janeiro de 2022 (para o enforcement da CPRA, exceto direito de acesso).

Há exceção legal que justifica a retenção.

Em todos os casos, a recusa precisa ser comunicada ao consumidor, com:

Justificativa da recusa.

Informação de como apelar da decisão ou contatar a CPPA para registrar reclamação.

A CPRA tem regras específicas para menores que afetam diretamente o Portal do Titular.

Para menores de 16 anos, a empresa não pode vender ou compartilhar dados pessoais sem opt-in ativo. Se a empresa receber um DSAR de opt-out de um menor de 16 anos, isso é irrelevante porque o opt-in nunca deveria ter ocorrido sem permissão.

Se um menor de 16 anos recusou ou revogou o opt-in, a empresa deve aguardar 12 meses antes de solicitar novamente o consentimento para venda ou compartilhamento.

Para menores de 13 anos, o consentimento foi dado pelos pais ou responsáveis. DSARs de menores de 13 anos precisam ser processados em conjunto com os pais ou responsáveis.

As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas: até US$ 7.500 por violação, sem necessidade de provar intencionalidade.

A CPRA preserva e expande o direito de ação privada que a CCPA introduziu. Esse é um diferencial importante em relação a outras leis estaduais americanas como VCDPA, OCPA e CTDPA, que não têm direito de ação privada.

O consumidor pode processar diretamente a empresa quando há uma violação de segurança de dados não autorizada que resulte em acesso, roubo, divulgação, uso, modificação ou destruição não autorizados de informações pessoais não criptografadas e não redactadas nas categorias específicas definidas pela lei.

O dano mínimo é de US$ 100 a US$ 750 por consumidor por incidente, ou o dano real, o que for maior. Ações coletivas são permitidas.

Civil Code § 1798.125 proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença está razoavelmente relacionada ao valor que os dados representam para a empresa, desde que o consumidor participe voluntariamente.

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação e direito exercido.

Processo de verificação de identidade realizado.

Ação tomada (cumprida, recusada, ou alternativa adotada).

Data e forma de resposta ao consumidor.

Em caso de recusa: justificativa registrada.

Essa documentação é o que protege a empresa em caso de investigação da CPPA.

A AdOpt registra cada interação de consentimento, opt-out de venda e compartilhamento, e limitação de uso de SPI, com timestamp e identificador único. Quando o consumidor exerce o opt-out pelo link no site ou via GPC, o sistema atualiza automaticamente os rastreadores correspondentes.

O log auditável da AdOpt serve como evidência de conformidade para a CPPA. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.

Canal de submissão de solicitações descrito na política de privacidade (Civil Code § 1798.130).

Link "Do Not Sell or Share My Personal Information" visível na homepage e em páginas de coleta (Civil Code § 1798.120).

Link "Limit the Use of My Sensitive Personal Information" se SPI é coletada (Civil Code § 1798.121).

GPC honrado como forma válida de opt-out de venda e compartilhamento.

Cobertura de todos os direitos: saber, acesso, exclusão, correção, portabilidade, opt-out de venda/compartilhamento, limitação de SPI, não discriminação.

Direito de correção descrito com processo e prazo de 45 dias (Civil Code § 1798.106).

Direito de limitação de SPI descrito com processo e prazo de 45 dias (Civil Code § 1798.121).

Opt-out sem múltiplas etapas desnecessárias (máximo 2 passos até confirmação).

Agentes autorizados aceitos para submissão de solicitações (Civil Code § 1798.130 a(2)(C)).

Prazos: 45 dias para resposta (+45 ext.); para apelações, prazo razoável.

Gratuidade para até 2 solicitações por ano por consumidor (Civil Code § 1798.130 a(3)).

Registro documentado de cada solicitação, ação tomada e resposta enviada.

Proteção para menores de 16 anos: opt-in obrigatório para venda/compartilhamento.

Regra dos 12 meses após recusa de menores de 16 anos.

Informação sobre CPPA para registrar reclamações em caso de negativa.

Tipo de solicitação	Prazo de resposta	Extensão possível
Saber, acesso, exclusão, correção, portabilidade	45 dias	+45 dias com notificação
Opt-out de venda e compartilhamento	Sem prazo específico	Imediato recomendado
Limitação de uso de SPI	Sem prazo específico	Imediato recomendado
Gratuidade por ano	2 vezes por consumidor	Taxa razoável a partir da 3ª

1. Qual é o novo direito de correção de dados da CPRA e como o Portal do Titular precisa contemplá-lo?
O direito de correção (Civil Code § 1798.106) foi adicionado pela CPRA e não existia na CCPA. Permite que o consumidor solicite a correção de informações pessoais imprecisas mantidas pela empresa. O Portal do Titular precisa ter uma opção específica para solicitar correção de dados, descrever o processo de verificação e correção, e responder dentro de 45 dias informando se a correção foi realizada ou justificando por que não foi possível. A empresa pode manter os dados originais se acreditar que são precisos, mas deve registrar a solicitação de correção e comunicar ao consumidor.

2. Como funciona o direito de limitar o uso de informações pessoais sensíveis (SPI)?
O direito de limitação de SPI (Civil Code § 1798.121) permite que o consumidor instrua a empresa a limitar o uso de suas informações pessoais sensíveis a finalidades essenciais: fornecer o produto ou serviço solicitado, segurança, debugging, pesquisa interna e compliance. O Portal do Titular precisa ter um mecanismo para receber essa solicitação, ou a empresa deve disponibilizar o link "Limit the Use of My Sensitive Personal Information" que leva a uma página onde esse direito pode ser exercido sem múltiplas etapas.

3. Por que o GPC é uma forma válida de opt-out sob a CPRA?
A CPPA confirmou em suas orientações que o Global Privacy Control (GPC) é uma forma tecnológica de opt-out de venda e compartilhamento de dados pessoais válida sob a CPRA. Ao ativar o GPC, o consumidor está instruindo automaticamente cada site visitado a não vender ou compartilhar seus dados. Ignorar o GPC quando um visitante o tem ativado equivale a ignorar um opt-out explícito, o que configura violação da CPRA. Uma CMP bem configurada detecta o GPC e bloqueia automaticamente os rastreadores de publicidade para visitantes que o têm ativado.

4. A CPRA tem direito de apelação para consumidores que tiveram solicitações negadas?
A CPRA não tem um processo de apelação formal e estruturado como a OCPA e a CTDPA. Quando a empresa nega uma solicitação, deve informar ao consumidor que pode registrar uma reclamação junto à California Privacy Protection Agency (CPPA). O processo de reclamação na CPPA é a principal via de recurso para consumidores cujas solicitações foram negadas sem justificativa adequada.

5. Como o Portal do Titular deve lidar com solicitações de pais em nome de filhos menores?
Para menores de 13 anos, os pais ou responsáveis legais são os detentores do direito de consentimento. Um DSAR submetido por um pai em nome de um filho menor de 13 anos deve ser processado da mesma forma que uma solicitação do próprio consumidor, após verificação razoável da relação entre pai/responsável e a criança. Para adolescentes de 13 a 15 anos, a empresa pode exigir que o próprio adolescente submeta a solicitação, já que a lei reconhece a capacidade do adolescente de exercer seus próprios direitos, enquanto o opt-in para venda/compartilhamento permanece necessário.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a CPRA? Fale com a nossa equipe.