A California Privacy Rights Act (CPRA) trouxe uma mudança que afeta diretamente qualquer site com pixels de publicidade instalados.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da CPRA e cookies.

A CCPA falava em "venda" de dados. A CPRA adicionou o "compartilhamento": a divulgação de dados pessoais para publicidade comportamental cruzada entre sites, mesmo que nenhum dinheiro mude de mãos diretamente.

Isso significa que o Meta Pixel no seu site pode configurar "compartilhamento" de dados pessoais sob a CPRA, mesmo que você não receba um centavo por esse compartilhamento específico.

Este artigo foca exclusivamente no que a CPRA exige da Política de Cookies: o que o documento precisa conter, como o opt-out deve funcionar, e o que muda para cada rastreador no seu site.

O banner de cookies é a interface de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados, e como exercer direitos sobre eles.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio aviso de consentimento.

A CPRA exige que as empresas coletem dados pessoais apenas para finalidades específicas, explícitas e legítimas, e que não processem dados de formas incompatíveis com essas finalidades (Civil Code § 1798.100(a)(2)).

Para cookies, cada categoria precisa de uma descrição de finalidade que seja concreta.

O que não funciona: "cookies para melhorar sua experiência."

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação incluindo páginas visitadas, origem do tráfego e duração de sessões, para identificar oportunidades de melhoria de conteúdo e experiência no site. Os dados são enviados ao Google Analytics e retidos por 14 meses."

"Cookies de publicidade: coletam identificadores comportamentais enviados ao Meta e ao Google para criação de audiências de publicidade e exibição de anúncios personalizados em outras plataformas. Isso configura compartilhamento de dados pessoais sob a CPRA. Os consumidores podem recusar esse compartilhamento pelo link 'Do Not Sell or Share My Personal Information' ou ativando o Global Privacy Control."

A Política precisa listar as categorias de rastreadores que operam no site:

Cookies estritamente necessários: essenciais para funcionamento básico. Não configuram venda ou compartilhamento. Precisam estar documentados.

Cookies de analytics: medem comportamento de navegação. Dependendo da ferramenta, podem configurar compartilhamento de dados pessoais se os dados são enviados para terceiros que os usam para publicidade em outros sites.

Cookies de publicidade e compartilhamento: alimentam pixels de anúncio, constroem perfis comportamentais para publicidade cruzada entre sites. Quase sempre configuram "compartilhamento" sob a CPRA. Exigem link de opt-out.

Cookies funcionais: lembram preferências do usuário. Geralmente não configuram venda ou compartilhamento.

Cookies de terceiros: disparados por serviços externos integrados ao site. A categorização correta de tags é o que permite documentar cada um com precisão.

Este é o conceito mais importante que diferencia a CPRA de outras leis para fins de cookies.

Venda é a troca de dados pessoais por contraprestação monetária ou outro valor valioso.

Compartilhamento é a divulgação de dados pessoais a terceiros para publicidade comportamental cruzada entre sites, independentemente de haver pagamento direto (Civil Code § 1798.140(ah)).

Na prática, isso significa que quando o Meta Pixel envia dados do comportamento do visitante no seu site para o Meta, esse envio pode configurar "compartilhamento" sob a CPRA, mesmo que a empresa não receba dinheiro especificamente por esses dados. O que o Meta faz com esses dados para exibir anúncios em outras plataformas é o critério.

Não configura venda ou compartilhamento: divulgação a prestadores de serviços que processam dados exclusivamente em nome da empresa, divulgação para fornecer o produto ou serviço solicitado pelo consumidor, e transferências em fusões e aquisições.

A Política precisa identificar as categorias de terceiros para os quais dados são vendidos ou compartilhados via cookies (Civil Code § 1798.130).

Isso inclui plataformas de publicidade digital (Meta, Google, TikTok, Pinterest), redes de publicidade programática, plataformas de analytics que usam dados para outros fins, e qualquer outro parceiro que receba dados comportamentais dos usuários do site.

A CPRA introduziu a exigência de informar os períodos de retenção de dados, que a CCPA original não tinha (Civil Code § 1798.130 a(5)(A)).

Para a Política de Cookies, isso significa documentar:

Por quanto tempo cada cookie fica ativo no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos servidores da empresa e/ou dos terceiros envolvidos.

Quando e como os dados são excluídos após o período de retenção.

A CPRA exige que esse link esteja visível na homepage e em qualquer página onde dados pessoais são coletados (Civil Code § 1798.120(a)).

Esse link precisa:

Ser claro e conspícuo, não enterrado em menus.

Levar a uma página onde o consumidor pode exercer o opt-out de venda e compartilhamento.

Não exigir que o consumidor crie uma conta ou passe por múltiplas etapas para exercer o opt-out.

A Política de Cookies deve identificar esse link e descrever como o opt-out funciona na prática: quais tecnologias são desativadas quando o consumidor clica no link.

O Global Privacy Control (GPC) é um sinal técnico que o consumidor ativa no navegador para solicitar automaticamente opt-out de venda e compartilhamento de dados em todos os sites visitados.

A CPPA (California Privacy Protection Agency) confirmou que o GPC constitui uma forma válida de exercer o opt-out de venda e compartilhamento sob a CPRA. Quando um visitante acessa o site com o GPC ativado, o site precisa tratar isso como se o consumidor tivesse clicado no link "Do Not Sell or Share My Personal Information".

A Política de Cookies deve mencionar que a empresa reconhece e honra o GPC.

Se o site coleta informações pessoais sensíveis via cookies (como dados de geolocalização precisa), a empresa precisa disponibilizar o link "Limit the Use of My Sensitive Personal Information" (Civil Code § 1798.121(a)).

Geolocalização precisa é uma das categorias de SPI mais relevantes para cookies: qualquer cookie ou tecnologia que capture a localização do dispositivo com precisão suficiente para identificar a posição do usuário dentro de um quarteirão pode configurar coleta de SPI.

Se o site coleta geolocalização precisa, a Política de Cookies precisa:

Identificar essa coleta como SPI.

Descrever a finalidade do uso.

Informar como o consumidor pode limitar esse uso ao link específico.

A CPRA usa um modelo de opt-out para a maioria dos dados pessoais: o processamento é permitido por padrão para a maioria das finalidades, e o consumidor tem o direito de recusar a venda e o compartilhamento.

Mas para informações pessoais sensíveis, o padrão é diferente: o uso de SPI além de finalidades essenciais precisa ser comunicado ao consumidor, que tem o direito de limitar esse uso.

E para menores de 16 anos, o padrão é opt-in: a empresa não pode vender ou compartilhar dados de menores sem opt-in ativo.

O que não é válido como opt-out: processos que exigem múltiplas etapas desnecessárias, exigência de criação de conta para exercer opt-out, e qualquer design que deliberadamente dificulte o exercício do direito.

A CPRA tem regras estritas para menores que precisam estar descritas na Política de Cookies.

Para menores de 16 anos: a empresa não pode vender ou compartilhar dados pessoais (incluindo via cookies de publicidade) sem opt-in ativo.

Para menores de 13 anos: o opt-in deve ser dado pelos pais ou responsáveis legais.

Se um menor de 16 anos recusar o consentimento, a empresa deve aguardar 12 meses antes de solicitar consentimento novamente.

As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas.

Se o site pode ter usuários nessas faixas etárias, a Política de Cookies deve descrever como cookies de publicidade são desativados para esse público e como o opt-in é obtido.

O Google Analytics, por exemplo, coleta dados de comportamento de navegação e os envia para os servidores do Google. Dependendo de como o Google usa esses dados para seus próprios fins de publicidade ou para fornecer serviços de publicidade a outros anunciantes, o envio desses dados pode configurar "compartilhamento" sob a CPRA.

O Guia Orientativo da ANPD sobre cookies já documentou como grandes provedores de analytics têm a capacidade de cruzar dados aparentemente anônimos com outros dados que possuem.

A abordagem mais segura: incluir o Google Analytics na categoria de cookies que podem configurar compartilhamento, oferecer opt-out, e documentar essa categorização na Política de Cookies.

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança nos períodos de retenção de qualquer categoria.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out ou nos links obrigatórios.

O mapeamento de dados contínuo é o que mantém o inventário de cookies sincronizado com o documento.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não necessários antes do aceite, apresenta categorias com descrições claras, honra o GPC automaticamente, e documenta cada interação para fins de auditoria.

A integração com o link "Do Not Sell or Share My Personal Information" garante que opt-outs sejam processados automaticamente e que os rastreadores correspondentes sejam desativados.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a CPRA? Fale com a nossa equipe.

Link visível no rodapé do site e no aviso de cookies.

Listagem das categorias de cookies com descrição do que cada uma faz no site.

Finalidade específica para cada categoria, incluindo se configura venda ou compartilhamento (Civil Code § 1798.100).

Identificação de cookies que configuram "compartilhamento" para publicidade comportamental cruzada (Civil Code § 1798.140(ah)).

Categorias de terceiros que recebem dados via cookies, incluindo plataformas de publicidade (Civil Code § 1798.130).

Período de retenção de cada categoria de cookie (Civil Code § 1798.130 a(5)(A)).

Link "Do Not Sell or Share My Personal Information" visível na homepage e em páginas de coleta de dados (Civil Code § 1798.120).

Link "Limit the Use of My Sensitive Personal Information" se SPI é coletada via cookies (Civil Code § 1798.121).

Reconhecimento e honra do GPC como opt-out válido.

Proteção para menores de 16 anos: opt-in obrigatório para venda e compartilhamento via cookies de publicidade.

Regra dos 12 meses após recusa de menores de 16 anos.

Idioma acessível, sem juridiquês.

Ausência de múltiplas etapas desnecessárias para exercer opt-out.

1. O que é "compartilhamento" de dados sob a CPRA e por que é diferente de "venda"?
A CCPA usava apenas o conceito de "venda" de dados (troca por contraprestação monetária). A CPRA adicionou o "compartilhamento", definido em Civil Code § 1798.140(ah) como a divulgação de dados pessoais a terceiros para fins de publicidade comportamental cruzada entre sites, independentemente de haver pagamento direto. Isso significa que quando o Meta Pixel envia dados do comportamento do visitante no seu site para o Meta, isso pode configurar "compartilhamento" sob a CPRA mesmo que a empresa não receba dinheiro especificamente por esses dados. A CPRA exige opt-out tanto de venda quanto de compartilhamento.

2. O GPC é obrigatório para sites que atendem consumidores da Califórnia?
Sim, na prática. A CPPA confirmou que o GPC constitui uma forma válida de exercer o opt-out de venda e compartilhamento de dados pessoais sob a CPRA. Isso significa que, se um visitante chega ao seu site com o GPC ativado no navegador, o site é obrigado a tratar esse sinal como um opt-out de venda e compartilhamento. Ignorar o GPC pode configurar violação da CPRA. Uma CMP bem configurada detecta e honra o GPC automaticamente.

3. Cookies de analytics como o Google Analytics configuram "compartilhamento" sob a CPRA?
Depende de como o provedor usa os dados. Se o Google Analytics apenas gera relatórios de uso para a empresa que instalou a ferramenta, pode ser configurado como prestador de serviços sem constituir "compartilhamento". Se os dados são usados pelo Google para seus próprios fins de publicidade ou para fornecer serviços de publicidade a outros anunciantes, pode configurar compartilhamento. A Google oferece configurações de privacy-safe no GA4 que podem reduzir esse risco. A abordagem mais segura é oferecer opt-out e consultar um especialista para avaliar a configuração específica.

4. O que precisa mudar na Política de Cookies para adequar da CCPA para a CPRA?
As principais mudanças são: substituir referências à "venda" de dados para incluir "venda e compartilhamento"; adicionar descrição do que configura compartilhamento para publicidade comportamental cruzada; atualizar o link de opt-out de "Do Not Sell My Personal Information" para "Do Not Sell or Share My Personal Information"; adicionar o link "Limit the Use of My Sensitive Personal Information" se SPI é coletada via cookies; incluir períodos de retenção para cada categoria de cookie; e adicionar menção ao GPC como forma válida de opt-out.

5. Se um menor de 16 anos recusar consentimento para cookies de publicidade, o que a empresa pode fazer?
Pode manter os cookies estritamente necessários ativos, pois esses não requerem consentimento. Deve desativar todos os cookies de publicidade e compartilhamento. E deve aguardar 12 meses antes de solicitar consentimento para cookies de publicidade novamente. Essa regra dos 12 meses é um dos elementos mais específicos da CPRA em comparação com outras leis estaduais americanas e europeia.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a CPRA? Fale com a nossa equipe.