A California Privacy Rights Act (CPRA) tem um conjunto de exigências para a política de privacidade que vai além do que qualquer outra lei estadual americana exige.

Esta página cobre uma parte do quadro. Para o escopo completo da CPRA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da CPRA e cookies.

Não é só sobre o que o documento precisa conter. É sobre dois links específicos que precisam estar visíveis em todas as páginas do site. É sobre descrever períodos de retenção de dados. É sobre uma categoria inteira de dados sensíveis com regras próprias.

Este artigo foca exclusivamente no que a CPRA exige da Política de Privacidade, com base no texto oficial da lei.

A lei usa o termo "privacy policy". Na Califórnia, a tradição legal exige que esse documento esteja acessível na homepage e em qualquer página onde dados pessoais são coletados.

A CPRA expande significativamente o que a CCPA exigia. Se a sua política de privacidade foi escrita para a CCPA original de 2020, ela provavelmente está desatualizada em vários pontos críticos.

O documento deve listar as categorias de informações pessoais que a empresa coleta (Civil Code § 1798.100).

Isso inclui: identificadores (nome, e-mail, IP), características protegidas por lei, informações comerciais, dados biométricos, atividade de internet, dados de geolocalização, dados de áudio ou visuais, informações profissionais, informações de educação, e inferências usadas para criar perfis sobre o consumidor.

Esta é a novidade da CPRA. O documento deve identificar especificamente se a empresa coleta informações pessoais sensíveis (Civil Code § 1798.121).

SPI inclui: geolocalização precisa, dados de contas financeiras com senhas, comunicações privadas, dados genéticos, dados biométricos, dados de saúde, vida sexual ou orientação sexual, origem racial ou étnica, crenças religiosas, e status sindical.

Se a empresa coleta SPI, a política precisa:

Listar as categorias de SPI coletadas.

Descrever as finalidades para as quais a SPI é usada.

Informar se o uso é limitado a finalidades essenciais ou se excede isso.

Explicar como o consumidor pode exercer o direito de limitação de uso de SPI.

O documento precisa descrever as finalidades para as quais as categorias de informações pessoais são coletadas e usadas (Civil Code § 1798.100).

As finalidades precisam ser específicas. "Melhorar nossos serviços" não é uma finalidade adequada. "Dados de comportamento de navegação coletados via cookies de analytics para identificar páginas com alta taxa de abandono e priorizar melhorias de usabilidade" é o nível correto.

Este é um requisito novo que a CCPA não tinha e que a CPRA introduziu explicitamente.

O documento deve informar por quanto tempo cada categoria de informação pessoal é retida pela empresa, ou os critérios usados para determinar esse período (Civil Code § 1798.130 a(5)(A)).

A CPRA proíbe a retenção de informações pessoais além do necessário para as finalidades declaradas. Esse requisito tem impacto direto em quantas empresas estavam simplesmente acumulando dados sem critério de limpeza.

O documento deve descrever todos os direitos garantidos pela CPRA e como o consumidor pode exercê-los (Civil Code § 1798.130).

Os direitos sob a CPRA são:

Direito de saber: categorias e informações específicas coletadas, fontes, finalidades e terceiros.

Direito de acesso: cópia das informações coletadas nos últimos 12 meses.

Direito de exclusão: solicitação de exclusão, com exceções.

Direito de correção: correção de informações imprecisas.

Direito de portabilidade: dados em formato utilizável.

Direito de opt-out de venda e compartilhamento: recusar venda e compartilhamento para publicidade comportamental cruzada.

Direito de limitar uso de SPI: limitar o uso de informações sensíveis a finalidades essenciais.

Direito de não discriminação: não sofrer penalidades por exercer direitos.

Para cada direito, a política precisa descrever o canal de submissão e o processo de resposta dentro de 45 dias.

O documento deve identificar as categorias de informações pessoais divulgadas a terceiros para fins comerciais, e as categorias de terceiros para as quais essas informações foram divulgadas (Civil Code § 1798.130).

Isso inclui plataformas de analytics, ferramentas de publicidade, CRMs, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários.

Se a empresa vende ou compartilha informações pessoais, a política deve identificar:

As categorias de informações pessoais vendidas ou compartilhadas.

As categorias de terceiros para os quais as informações foram vendidas ou compartilhadas.

Se a empresa vende ou compartilha informações de menores de 16 anos (com confirmação de que o opt-in foi obtido, quando aplicável).

"Compartilhamento" sob a CPRA significa a divulgação de dados para publicidade comportamental cruzada entre sites, mesmo sem pagamento direto. Isso inclui o compartilhamento de dados com redes de publicidade via pixels, mesmo que a empresa não receba dinheiro por esse compartilhamento específico.

Além do conteúdo da política, a CPRA exige dois links que precisam estar visíveis na homepage e em qualquer página onde dados pessoais são coletados:

"Do Not Sell or Share My Personal Information": para opt-out de venda e compartilhamento de dados para publicidade comportamental cruzada.

"Limit the Use of My Sensitive Personal Information": para que o consumidor possa limitar o uso de informações sensíveis a finalidades essenciais.

Esses links podem ser combinados em um único link se ambas as opções de opt-out estiverem disponíveis na mesma página de destino.

A política de privacidade deve descrever esses links e como eles funcionam.

A CPRA criou uma nova camada de controle para informações pessoais sensíveis que não existia na CCPA.

A empresa pode usar SPI apenas para finalidades essenciais, a menos que o consumidor não tenha exercido o direito de limitação. Finalidades essenciais incluem: fornecer o serviço ou produto solicitado, segurança e integridade, debugging, pesquisa interna razoável, e compliance legal.

Se a empresa usa SPI para finalidades além dessas, a política precisa deixar isso explícito e o consumidor precisa ter a opção de limitar esse uso adicional.

O período de retenção de SPI precisa ser especificado. E informações sensíveis não podem ser retidas além do necessário para a finalidade declarada.

A CPRA tem proteções específicas para menores que precisam estar refletidas na política de privacidade.

Para menores de 16 anos: a empresa não pode vender ou compartilhar informações pessoais sem opt-in ativo. A política deve descrever como esse opt-in é obtido.

Para menores de 13 anos: o consentimento precisa ser dado por pais ou responsáveis legais. A política deve descrever o processo de consentimento parental.

Se um menor de 16 anos recusar o consentimento para venda ou compartilhamento, a empresa deve aguardar 12 meses antes de solicitar consentimento novamente. A política deve mencionar essa regra.

As penalidades por violações envolvendo dados de menores são triplicadas. Isso deve motivar atenção especial a esse segmento na política.

A CPRA expandiu o conceito de "venda" para incluir "compartilhamento". Isso tem impacto direto em como a política de privacidade descreve o uso de cookies de publicidade.

Se o site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer pixel que envia dados de comportamento de navegação para redes de publicidade externas, isso pode configurar "compartilhamento" de dados pessoais sob a CPRA, mesmo sem pagamento direto por esses dados.

A política precisa:

Identificar os tipos de cookies e rastreadores usados.

Declarar se dados são compartilhados com terceiros para publicidade comportamental cruzada.

Descrever como o consumidor pode exercer o opt-out de compartilhamento (pelo link "Do Not Sell or Share" ou pelo GPC).

O aviso de cookies do site precisa estar alinhado com o que está descrito na política de privacidade.

A CPRA exige que empresas realizem avaliações periódicas de riscos de privacidade para atividades de alto risco, incluindo processamento de SPI, venda e compartilhamento de dados, e processamento que apresente risco significativo para os direitos do consumidor.

As avaliações não precisam ser publicadas na política, mas a política deve mencionar que a empresa realiza avaliações de risco de privacidade para atividades de alto risco como parte de seu programa de compliance.

A CPPA pode requisitar essas avaliações durante investigações.

A CPRA proíbe discriminação contra consumidores que exercem seus direitos, incluindo negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença de preço ou qualidade está razoavelmente relacionada ao valor que os dados representam para a empresa, desde que o consumidor participe voluntariamente.

A política de privacidade deve descrever essa política de não discriminação e as exceções aplicáveis.

A AdOpt garante que o que está escrito na política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A plataforma de gestão de consentimentos garante que os links de opt-out funcionam conforme descrito, que o GPC é honrado automaticamente, e que os registros de opt-out estão disponíveis para auditoria.

O registro de cada interação fica documentado. Se a CPPA pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a CPRA? Fale com a nossa equipe.

Link visível e acessível na homepage e em todas as páginas onde dados são coletados.

"Do Not Sell or Share My Personal Information": link visível na homepage (Civil Code § 1798.120).

"Limit the Use of My Sensitive Personal Information": link visível na homepage (Civil Code § 1798.121).

Categorias de informações pessoais coletadas, com descrição específica de cada categoria (Civil Code § 1798.100).

Categorias de informações pessoais sensíveis (SPI) coletadas, se aplicável (Civil Code § 1798.121).

Finalidades do processamento para cada categoria, sem descrições vagas.

Períodos de retenção para cada categoria de dados, ou critérios usados para determinar a retenção (Civil Code § 1798.130 a(5)(A)).

Todos os direitos do consumidor listados e com processo de exercício descrito.

Prazo de 45 dias para resposta a solicitações, extensível com notificação.

Gratuidade para até duas solicitações por ano por consumidor.

Categorias de informações vendidas ou compartilhadas e categorias de terceiros receptores.

Proteção para menores de 16 anos: opt-in obrigatório para venda e compartilhamento.

Proteção para menores de 13 anos: consentimento parental.

Regra dos 12 meses após recusa de menores de 16 anos.

Política de não discriminação para consumidores que exercem direitos.

Menção a avaliações de risco de privacidade para atividades de alto risco.

1. Minha política de privacidade foi escrita para a CCPA. Quais são as principais atualizações necessárias para a CPRA?
As principais atualizações são: adicionar a categoria de informações pessoais sensíveis (SPI) com suas regras específicas; descrever o novo direito de correção de dados; descrever o direito de limitar o uso de SPI; incluir os períodos de retenção de cada categoria de dado; atualizar a seção de "venda" para incluir "compartilhamento" para publicidade comportamental cruzada; incluir os dois links obrigatórios ("Do Not Sell or Share" e "Limit Use of SPI"); e mencionar a CPPA como agência reguladora em vez do Attorney General.

2. O que são os links "Do Not Sell or Share" e "Limit the Use of My Sensitive Personal Information"?
São dois links que a CPRA exige que estejam visíveis na homepage e em qualquer página onde dados pessoais são coletados. O primeiro ("Do Not Sell or Share My Personal Information") permite que o consumidor faça opt-out da venda e do compartilhamento de dados pessoais para publicidade comportamental cruzada. O segundo ("Limit the Use of My Sensitive Personal Information") permite que o consumidor restrinja o uso de informações pessoais sensíveis a finalidades essenciais. Os dois links podem ser combinados em um único link se ambas as opções estiverem na mesma página de destino.

3. Por que a CPRA exige especificar períodos de retenção de dados na política de privacidade?
A CPRA introduziu a proibição explícita de reter informações pessoais além do necessário para as finalidades declaradas. Como decorrência, a empresa precisa saber por quanto tempo retém cada categoria de dado e comunicar isso ao consumidor. Civil Code § 1798.130 a(5)(A) exige que a política especifique os períodos de retenção ou os critérios usados para determiná-los. Essa regra fecha uma brecha que existia na CCPA, onde empresas podiam acumular dados indefinidamente.

4. O que muda para dados de adolescentes de 13 a 15 anos com a CPRA?
A CCPA já exigia opt-in para venda de dados de menores de 16 anos. A CPRA adicionou uma regra nova: se um consumidor de 16 anos ou menos recusar o consentimento para venda ou compartilhamento de seus dados, a empresa precisa aguardar 12 meses antes de fazer um novo pedido de consentimento. Isso impede que as empresas reapresentem o pedido de consentimento repetidamente. As penalidades por violações envolvendo dados de menores de 16 são triplicadas e automáticas.

5. A CPRA tem direito de ação privada? Em que situações o consumidor pode processar diretamente a empresa?
Sim. A CPRA preserva e expande o direito de ação privada que existia na CCPA. O consumidor pode processar diretamente a empresa quando há uma violação de dados não autorizada que resulte em acesso, roubo, divulgação, uso, modificação ou destruição não autorizados de informações pessoais não criptografadas e não redactadas. As categorias incluem número do Seguro Social, credenciais de login de contas financeiras, dados de cartão de débito ou crédito, dados médicos, histórico de saúde, e outras categorias especificadas na lei. O dano mínimo por consumidor por incidente é de US$ 100 a US$ 750, ou o dano real, o que for maior.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a CPRA? Fale com a nossa equipe.