Na Flórida tem não uma, mas duas leis relevantes para quem trata dados de consumidores do estado.

E entender a diferença entre elas é o primeiro passo para saber se sua empresa está dentro do escopo de cada uma delas.

A Florida Digital Bill of Rights (FDBR), parte V do Capítulo 501 dos Estatutos da Flórida (§§ 501.701 a 501.721), entrou em vigor em 1º de julho de 2024. Ela é a lei de proteção de dados abrangente mais seletiva dos Estados Unidos: se aplica exclusivamente a empresas com receita global superior a US$ 1 bilhão que preenchem critérios específicos de negócio digital.

Quando o assunto é privacidade de dados na Flórida, dois nomes aparecem frequentemente: FDBR e FIPA. Elas coexistem, mas regulam coisas distintas e têm escopos de aplicação completamente diferentes.

A Florida Information Protection Act (FIPA), codificada no § 501.171 dos Estatutos da Flórida, foi promulgada em 2014. Ela é uma lei de segurança de dados e notificação de violações, não uma lei abrangente de privacidade no estilo GDPR ou LGPD.

A FIPA se aplica a qualquer empresa, agência governamental ou indivíduo que mantenha informações pessoais de residentes da Flórida em formato eletrônico. O escopo é amplo: se você tem nome, CPF, número de conta bancária, informações de saúde ou outros dados pessoais de floridanos armazenados digitalmente, a FIPA é aplicável.

As principais obrigações da FIPA são:

Implementar medidas razoáveis de segurança para proteger dados pessoais contra acesso não autorizado.

Notificar os consumidores afetados por violação de dados dentro de 30 dias após a descoberta.

Notificar o Departamento de Assuntos Jurídicos da Flórida se mais de 500 consumidores forem afetados.

Notificar agências de crédito nacionais se mais de 1.000 consumidores forem afetados.

As penalidades por atraso na notificação chegam a US$ 500.000.

A FIPA não garante direitos de acesso, correção ou exclusão de dados. Ela trata de segurança e transparência após incidentes, não de controle ativo do titular sobre seus dados.

A FDBR (Florida Digital Bill of Rights) é uma lei abrangente de privacidade no estilo das legislações modernas. Ela garante direitos aos consumidores floridanos, cria obrigações de conformidade para empresas que processam seus dados, e estabelece mecanismos de fiscalização.

A diferença fundamental: a FDBR tem um threshold de aplicabilidade altíssimo. Ela se aplica apenas a empresas que faturam mais de US$ 1 bilhão globalmente e atuam em setores específicos de tecnologia digital.

Uma empresa pode estar sujeita a ambas simultaneamente. Se uma Big Tech com presença na Flórida sofre uma violação de dados, a FIPA rege o processo de notificação. A FDBR rege tudo o que acontece antes: como os dados são coletados, processados, e quais direitos os consumidores têm sobre eles.

A Florida Digital Bill of Rights é a lei estadual de proteção de dados pessoais da Flórida. Ela pode ser citada como "Florida Digital Bill of Rights" conforme § 501.701 e integra a parte V do Capítulo 501 dos Estatutos da Flórida.

A lei cria uma estrutura de direitos e obrigações focada em transparência, consentimento e controle dos dados. Se você já conhece a LGPD ou o GDPR, a estrutura geral será familiar. O que a distingue é o critério de aplicabilidade extremamente seletivo.

A fiscalização é responsabilidade do Departamento de Assuntos Jurídicos da Flórida (Department of Legal Affairs). Não existe direito de ação privada.

Em 1º de julho de 2024.

O critério de aplicabilidade da FDBR é o mais restritivo entre todas as leis estaduais de privacidade dos Estados Unidos.

Conforme § 501.703 e § 501.702(9), a lei se aplica a controladores que:

1. Conduzem negócios na Flórida ou produzem produtos ou serviços usados por residentes do estado.

2. Processam ou realizam a venda de dados pessoais.

3. São organizados para fins de lucro ou benefício financeiro de seus acionistas ou proprietários.

4. Faturam mais de US$ 1 bilhão em receita bruta global anual.

5. Atendem a pelo menos um dos seguintes critérios adicionais:

Derivam 50% ou mais da receita bruta global anual da venda de anúncios online, incluindo publicidade segmentada.

Operam um serviço de smart speaker com comando de voz e assistente virtual integrado a serviço de computação em nuvem.

Operam uma loja de aplicativos ou plataforma de distribuição digital com pelo menos 250.000 aplicativos disponíveis para download.

Na prática, a FDBR foi desenhada para alcançar empresas como Google, Meta, Amazon, Apple e similares. Empresas menores, mesmo que atuem na Flórida e tratem dados de floridanos, não estão no escopo da FDBR (mas podem estar no escopo da FIPA).

Conforme § 501.703(2), estão isentos:

Agências governamentais estaduais e subdivisões políticas.

Instituições financeiras reguladas pelo Gramm-Leach-Bliley Act (Título V).

Entidades cobertas e associadas de negócios reguladas pela HIPAA.

Organizações sem fins lucrativos.

Instituições de ensino superior (postsecondary education institutions) que recebem recursos estaduais.

Também há isenções para dados protegidos pela HIPAA, FERPA, Fair Credit Reporting Act, Driver's Privacy Protection Act, Farm Credit Act, dados de funcionários e candidatos a emprego, e dados de transações de pagamento de curto prazo.

Conforme § 501.702(19), dado pessoal é qualquer informação, incluindo dados sensíveis, vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Inclui também dados pseudonimizados quando usados em conjunto com informações adicionais que vinculem razoavelmente os dados a um indivíduo.

Dados desidentificados e informações publicamente disponíveis estão excluídos.

Conforme § 501.702(31), dados sensíveis incluem:

Dados pessoais revelando origem racial ou étnica, crenças religiosas, diagnóstico de saúde física ou mental, orientação sexual, ou status de cidadania ou imigração.

Dados genéticos ou biométricos processados para identificar um indivíduo de forma única.

Dados pessoais coletados de crianças conhecidas.

Dados de geolocalização precisa (dentro de 1.750 pés).

A FDBR tem uma definição específica e importante de "criança conhecida" (§ 501.702(17)): qualquer indivíduo menor de 18 anos sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera. Esse é um limiar mais alto do que a maioria das leis americanas, que usam 13 anos.

A FDBR garante sete direitos aos residentes da Flórida, um a mais do que a maioria das leis estaduais americanas. Conforme § 501.705(2):

Direito de acesso e confirmação: saber se o controlador processa seus dados e obter uma cópia em formato acessível.

Direito de correção: corrigir imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento.

Direito de exclusão: solicitar a exclusão de qualquer ou todos os dados fornecidos ou obtidos sobre o consumidor.

Direito de portabilidade: obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, se os dados estiverem disponíveis em formato digital.

Direito de opt-out de processamento para publicidade segmentada, venda de dados, e perfilamento com efeitos legais ou igualmente significativos.

Direito de opt-out da coleta de dados sensíveis, incluindo dados de geolocalização precisa, ou do processamento de dados sensíveis.

Direito de opt-out da coleta de dados via recursos de reconhecimento de voz ou reconhecimento facial.

O sétimo direito, relacionado a reconhecimento de voz e facial, é exclusivo da FDBR entre as leis estaduais americanas.

O § 501.705(3) vai além dos direitos de opt-out e proíbe explicitamente que dispositivos com recursos de reconhecimento de voz, reconhecimento facial, gravação de vídeo, gravação de áudio, ou outros recursos eletrônicos, visuais, térmicos ou olfativos que coletam dados sejam usados para fins de vigilância quando não estão em uso ativo pelo consumidor, a menos que o consumidor tenha expressamente autorizado.

Conforme § 501.706, o controlador precisa responder sem demora indevida, no máximo em 45 dias após o recebimento da solicitação.

O prazo pode ser estendido uma única vez por 15 dias adicionais (não 45 como em outras leis) quando razoavelmente necessário, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa.

Após cumprir a solicitação, o controlador precisa fornecer aviso ao consumidor dentro de 60 dias confirmando o cumprimento.

O atendimento é gratuito pelo menos 2 vezes por ano por consumidor. Para solicitações manifestamente infundadas, excessivas ou repetitivas, pode cobrar taxa razoável ou recusar, mas o ônus de demonstrar o caráter excessivo é do controlador.

O § 501.709 exige que o controlador estabeleça dois ou mais métodos para que os consumidores submetam solicitações. Isso é diferente da maioria das outras leis estaduais, que exigem apenas um canal.

Os métodos precisam ser seguros, confiáveis, e claramente acessíveis. Também é obrigatório ter um mecanismo no site do controlador para submissão de solicitações.

A empresa não pode exigir criação de nova conta para exercício de direitos.

Conforme § 501.702(7), consentimento é um ato afirmativo claro que signifique a concordância livre, específica, informada e inequívoca do consumidor.

O que não é consentimento válido: aceitar termos gerais que contenham descrições de processamento junto a outras informações não relacionadas, passar o mouse sobre ou fechar um conteúdo, e qualquer concordância obtida por dark patterns.

Dark patterns são definidos no § 501.702(11) como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário, incluindo qualquer prática que a FTC classifique como dark pattern.

Conforme § 501.71, o controlador precisa:

Limitar a coleta ao que é adequado, relevante e razoavelmente necessário para as finalidades declaradas.

Implementar práticas razoáveis de segurança técnica, administrativa e física proporcionais ao volume e natureza dos dados.

Não processar dados para finalidades incompatíveis com as declaradas, salvo com consentimento.

Não processar dados em violação a leis antidiscriminação.

Não discriminar consumidores que exercem seus direitos.

Não processar dados sensíveis sem consentimento prévio, ou no caso de crianças conhecidas entre 13 e 18 anos, sem autorização afirmativa delas, ou seguindo a COPPA para menores de 13.

Para operadores de mecanismos de busca: disponibilizar descrição clara dos principais parâmetros de classificação dos resultados, incluindo se há priorização ou desprioritização de posicionamento político.

A FDBR define publicidade segmentada (§ 501.702(33)) como a exibição de anúncios baseados em dados obtidos das atividades do consumidor ao longo do tempo em sites e aplicações afiliados ou não afiliados.

Isso é diferente da maioria das outras leis estaduais. A VCDPA, por exemplo, cobre apenas sites não afiliados. A FDBR inclui também os afiliados, o que amplia o escopo das práticas de publicidade que requerem divulgação e opt-out.

O § 501.702(29) define venda de dados como compartilhamento, divulgação ou transferência de dados pessoais por contraprestação monetária ou outra contraprestação valiosa. Isso inclui trocas não monetárias, o que é mais abrangente do que a definição da VCDPA, que menciona apenas contraprestação monetária.

O § 501.711 exige que o controlador forneça aviso de privacidade razoavelmente acessível e claro, atualizado pelo menos anualmente.

Além dos elementos de conteúdo comuns às outras leis, a FDBR exige avisos específicos quando o controlador vende dados sensíveis ou biométricos. Se o site vende dados sensíveis, precisa exibir o aviso: "NOTICE: This website may sell your sensitive personal data." Se vende dados biométricos: "NOTICE: This website may sell your biometric personal data."

O § 501.719(3) exige que o controlador adote um cronograma de retenção que proíba o uso ou a retenção de dados pessoais após:

O cumprimento da finalidade inicial da coleta.

O vencimento ou encerramento do contrato.

2 anos após a última interação do consumidor com o controlador.

Esse limite de 2 anos é explícito e específico, algo que poucas outras leis estaduais americanas estabelecem diretamente.

Conforme § 501.72, o Departamento de Assuntos Jurídicos tem autoridade para fiscalizar a FDBR. Não existe direito de ação privada.

As penalidades chegam a US$ 50.000 por violação, significativamente mais altas do que as de outras leis estaduais como VCDPA (US$ 7.500) e NHDPA (US$ 10.000).

As penalidades podem ser triplicadas para:

Violações envolvendo crianças floridanas conhecidas (e o controlador que deliberadamente desconsidera a idade é tratado como tendo conhecimento real dela).

Falha em excluir ou corrigir dados após solicitação autenticada.

Continuação da venda ou compartilhamento de dados após o consumidor exercer o opt-out.

O Departamento pode conceder 45 dias para correção (cure period), mas esse prazo é discricionário, não garantido. E para violações envolvendo crianças, não há cure period disponível.

Se você não tem mais de US$ 1 bilhão em receita global e não opera app store, smart speaker ou publicidade online em larga escala, a FDBR provavelmente não se aplica. Mas a FIPA sim.

Entenda o que você coleta, para quê, como é usado e com quem é compartilhado. O mapeamento de dados é a base de qualquer programa de conformidade.

A FDBR exige pelo menos dois métodos seguros e acessíveis para os consumidores submeterem solicitações.

A atualização anual é obrigatória por lei. Inclua os avisos específicos exigidos para venda de dados sensíveis e biométricos.

Os dois direitos adicionais da FDBR precisam ter canais de exercício estruturados.

Os dados precisam ser deletados após 2 anos da última interação do consumidor, salvo as exceções legais.

Se sua empresa opera dispositivos com recursos de voz ou câmera, garanta que eles não coletam dados quando não estão em uso ativo sem autorização expressa.

Aplicar privacy by design desde a concepção dos produtos é o que torna a conformidade sustentável.

A AdOpt registra cada consentimento, bloqueia rastreadores antes do aceite, e gera o log auditável necessário em caso de investigação do Departamento de Assuntos Jurídicos.

O escaneamento automático identifica todos os rastreadores ativos no site, alimentando o inventário de dados para o aviso de privacidade e as avaliações de proteção de dados. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Pronto para adequar seu site à FDBR? Fale com a nossa equipe.

Para entender como essas legislações de privacidade se comparam em estrutura e impacto prático, nosso guia comparativo aprofunda o tema.

A adequação à FDBR se apoia em três documentos que precisam conversar entre si: a política de cookies, que declara cada rastreador e sua finalidade; a política de privacidade, que explica o que você faz com os dados; e o portal do titular, onde a pessoa exerce seus direitos e você guarda o registro disso.

1. Qual a diferença entre a FDBR e a FIPA?
A FIPA (2014) é uma lei de segurança de dados e notificação de violações que se aplica a qualquer empresa que mantém dados de floridanos. A FDBR (2024) é uma lei abrangente de direitos do consumidor que se aplica apenas a empresas com mais de US$ 1 bilhão em receita global que operam em setores específicos de tecnologia digital. Uma empresa pode estar sujeita a ambas simultaneamente: a FIPA regula o que acontece após uma violação de dados, e a FDBR regula como os dados são coletados, processados e quais direitos os consumidores têm sobre eles.

2. Quem está realmente no escopo da FDBR?
Na prática, a FDBR foi desenhada para alcançar Big Techs como Google, Meta, Amazon e Apple. O critério de US$ 1 bilhão em receita global combinado com os requisitos adicionais (publicidade online, smart speakers ou app stores com 250K apps) exclui a grande maioria das empresas do escopo. Empresas menores que tratam dados de floridanos continuam sujeitas à FIPA para questões de segurança e notificação de violações (§ 501.702(9)).

3. Quais são os direitos exclusivos da FDBR que outras leis não têm?
A FDBR garante sete direitos, dois dos quais são exclusivos: o direito de opt-out da coleta de dados sensíveis (incluindo geolocalização precisa) e o direito de opt-out da coleta via reconhecimento de voz ou facial (§ 501.705(2)(f) e (g)). A proibição de vigilância por dispositivos quando não em uso ativo também é uma exigência exclusiva da FDBR.

4. Quais são as penalidades por descumprimento da FDBR?
O Departamento de Assuntos Jurídicos pode impor penalidades de até US$ 50.000 por violação, triplicáveis para violações envolvendo crianças conhecidas, falha em excluir ou corrigir dados após solicitação autenticada, e continuação da venda de dados após opt-out do consumidor. O cure period de 45 dias é discricionário, não garantido, e não se aplica a violações envolvendo crianças (§ 501.72).

5. Como a FDBR define publicidade segmentada de forma diferente das outras leis?
A FDBR (§ 501.702(33)) define publicidade segmentada como anúncios baseados em dados de atividades do consumidor ao longo do tempo em sites afiliados ou não afiliados. Isso é mais amplo do que a VCDPA, por exemplo, que cobre apenas sites não afiliados. Além disso, a definição de "venda" na FDBR inclui contrapartida não monetária, enquanto a VCDPA menciona apenas contrapartida monetária.

Tá na AdOpt, tá bem.

Quer adequar seu site à FDBR? Fale com a nossa equipe.