A Florida Digital Bill of Rights (FDBR) garante sete direitos aos consumidores floridanos. Para cada um desses direitos, existe uma obrigação correspondente do seu lado: um canal para receber a solicitação, um prazo para responder, um processo de apelação estruturado, e documentação de todo o fluxo.

Este artigo cobre tudo isso: o que é uma DSAR sob a FDBR, quais são os sete direitos garantidos, como processar cada tipo de solicitação, os prazos específicos da lei, e o que acontece quando o processo não funciona como deveria.

DSAR é a sigla para Data Subject Access Request, Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal de um consumidor floridano para exercer os direitos que a FDBR (§§ 501.701 a 501.721) garante sobre os próprios dados.

A FDBR garante sete direitos, dois dos quais são exclusivos desta lei. Isso significa que o Portal do Titular de uma empresa no escopo da FDBR precisa cobrir mais cenários do que portais configurados para a maioria das outras leis estaduais americanas.

Se você já conhece o portal do titular da LGPD, a estrutura é familiar. A lógica é a mesma: o consumidor precisa de um canal funcional para exercer os direitos que a lei garante.

Conforme § 501.705(2), os residentes da Flórida têm os seguintes direitos:

O consumidor pode confirmar se a empresa processa seus dados e obter uma cópia dos dados pessoais que ela mantém, conforme § 501.705(2)(a).

A resposta precisa ser fornecida em formato acessível.

O consumidor pode solicitar a correção de imprecisões nos dados pessoais, considerando a natureza dos dados e os propósitos do processamento, conforme § 501.705(2)(b).

A empresa pode, se mantiver um mecanismo de autocorreção funcional, direcionar o consumidor a corrigir os dados por esse sistema. Mas precisa avisar o consumidor dessa opção dentro do prazo de resposta (§ 501.706(3)).

O consumidor pode solicitar a exclusão de qualquer ou todos os dados fornecidos ou obtidos sobre ele, conforme § 501.705(2)(c).

A FDBR permite duas formas de cumprimento quando os dados foram obtidos de terceiros (§ 501.706(6)):

Excluir os dados, reter apenas o registro da solicitação e o mínimo necessário para garantir que o dado permaneça excluído, sem usar esses dados retidos para nenhuma outra finalidade.

Optar o consumidor para fora do processamento daquele dado para qualquer finalidade não isenta pela lei.

O consumidor pode obter cópia dos dados em formato portátil e, quando tecnicamente viável, prontamente utilizável, se os dados estiverem disponíveis em formato digital, conforme § 501.705(2)(d).

O consumidor pode recusar o processamento de dados para publicidade segmentada, venda de dados, e perfilamento em apoio a decisões com efeitos legais ou igualmente significativos (§ 501.705(2)(e)).

O consumidor pode exercer opt-out da coleta de dados sensíveis, incluindo dados de geolocalização precisa, ou do processamento de dados sensíveis, conforme § 501.705(2)(f).

Esse é um direito exclusivo da FDBR. Dados sensíveis incluem origem racial ou étnica, crenças religiosas, diagnóstico de saúde, orientação sexual, status de imigração, dados genéticos ou biométricos, dados de crianças conhecidas, e geolocalização precisa (§ 501.702(31)).

O consumidor pode exercer opt-out da coleta de dados via recursos de reconhecimento de voz ou facial, conforme § 501.705(2)(g).

Esse é o direito mais exclusivo da FDBR. Se a empresa opera tecnologias de reconhecimento de voz (assistentes virtuais, comandos por áudio) ou reconhecimento facial (verificação de identidade, análise de expressões), o consumidor tem o direito de recusar a coleta de dados via esses recursos.

O § 501.705(3) vai além dos direitos de opt-out. Dispositivos com recursos de voz, vídeo, reconhecimento facial, áudio, ou outros sensores de coleta de dados não podem usar esses recursos para vigilância quando não estão em uso ativo pelo consumidor, a menos que ele tenha autorizado expressamente.

A FDBR tem prazos que diferem das outras leis estaduais americanas.

45 dias a partir do recebimento da solicitação autenticada para responder (§ 501.706(2)).

O prazo pode ser estendido uma vez por 15 dias adicionais quando razoavelmente necessário, considerando complexidade e número de solicitações, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa. O prazo de extensão da FDBR é de 15 dias, não 45 como em outras leis.

Após cumprir a solicitação, o controlador precisa fornecer aviso ao consumidor dentro de 60 dias confirmando o cumprimento (§ 501.706(4)).

60 dias para responder a apelações (§ 501.707(3)).

O atendimento é gratuito pelo menos duas vezes por ano por consumidor (§ 501.706(5)).

O § 501.709 exige que o controlador estabeleça dois ou mais métodos para submissão de solicitações. Essa é uma exigência exclusiva da FDBR entre as leis estaduais americanas.

Os métodos precisam ser:

Seguros e confiáveis.

Claramente e conspicuamente acessíveis.

Adequados para as formas como os consumidores normalmente interagem com o controlador.

Capazes de suportar autenticação da identidade do consumidor.

Além disso, o controlador precisa obrigatoriamente disponibilizar um mecanismo no próprio site para submissão de solicitações (§ 501.709(3)). Empresas que operam exclusivamente online e têm relação direta com o consumidor podem adicionalmente aceitar solicitações por e-mail.

A empresa não pode exigir criação de nova conta para exercício de direitos. Pode exigir uso de conta existente.

Conforme § 501.707, o controlador precisa estabelecer um processo de apelação que seja:

Conspicuamente disponível, fácil de encontrar.

Semelhante ao processo de submissão das solicitações originais.

Capaz de resultar em resposta por escrito dentro de 60 dias, com a decisão e a justificativa.

A FDBR não menciona explicitamente que o consumidor deve ser informado sobre como contatar o Departamento de Assuntos Jurídicos após apelação negada, diferente da VCDPA. Mas a empresa deve informar os canais disponíveis ao consumidor para escalação.

A empresa precisa verificar se quem está submetendo a solicitação é o titular dos dados. Mas o processo não pode ser uma barreira desproporcional.

Conforme § 501.706(3), se a empresa não consegue autenticar a solicitação, não é obrigada a cumpri-la, mas deve fazer esforços razoáveis para pedir informações adicionais razoavelmente necessárias.

Na prática:

Para dados de baixo risco: confirmação por e-mail pode ser suficiente.

Para dados sensíveis ou alto risco: segundo fator de verificação pode ser justificado.

O que nunca é aceitável: barreiras desproporcionais ao tipo de dado envolvido, exigência de criação de nova conta, ou solicitação de mais dados pessoais do que o necessário para autenticar.

O atendimento de solicitações é gratuito pelo menos duas vezes por ano por consumidor (§ 501.706(5)). Para solicitações além desse limite, ou que sejam manifestamente infundadas, excessivas ou repetitivas, a empresa pode cobrar taxa razoável ou recusar. O ônus de demonstrar o caráter excessivo é do controlador.

Receba e autentique a identidade do titular.

Localize todos os dados pessoais que a empresa mantém sobre esse consumidor em todos os sistemas.

Prepare cópia em formato legível e acessível.

Inclua: categorias de dados, finalidades, terceiros que receberam os dados, período de retenção.

Envie dentro do prazo de 45 dias.

Envie aviso de cumprimento dentro de 60 dias (§ 501.706(4)).

Receba e autentique.

Identifique o dado impreciso e em quais sistemas está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique terceiros que receberam o dado.

Confirme ao consumidor que a correção foi realizada.

Se a empresa mantém mecanismo de autocorreção, pode dirigir o consumidor a ele, mas deve avisar dentro do prazo.

Receba e autentique.

Verifique se há exceção legal que permite reter o dado.

Para dados obtidos de terceiros, escolha entre as duas opções do § 501.706(6): excluir de fato ou optar o consumidor para fora do processamento.

Notifique terceiros que receberam os dados quando aplicável.

Confirme ao consumidor.

Receba e autentique.

Gere arquivo com os dados do consumidor em formato portátil, quando disponível em formato digital.

Entregue ao consumidor de forma segura dentro do prazo.

Receba e autentique.

Cesse o processamento para publicidade segmentada, venda de dados e perfilamento com efeitos significativos sem demora indevida.

Configure os sistemas para garantir que esse consumidor não seja incluído nessas práticas.

Atenção: a continuação de venda ou compartilhamento de dados após opt-out sujeita a empresa à penalidade triplicada (§ 501.72(1)(c)).

Uma plataforma de gestão de consentimentos integrada aos sistemas automatiza boa parte desse fluxo.

Receba e autentique.

Identifique todos os pontos de coleta de dados sensíveis no site ou no produto.

Cesse a coleta de dados sensíveis para esse consumidor conforme solicitado.

Se a geolocalização precisa estava sendo coletada, garanta que essa coleta pare imediatamente.

Receba e autentique.

Identifique todos os recursos de coleta via voz e câmera no produto.

Configure o sistema para não coletar dados de reconhecimento de voz ou facial desse consumidor.

Documente a ação tomada.

A empresa pode negar uma solicitação quando:

Não consegue autenticar a identidade do consumidor com esforços razoáveis.

O pedido é manifestamente infundado ou excessivo.

Há exceção legal que justifica o processamento continuado.

Em todos os casos, a recusa precisa ser comunicada ao consumidor dentro do prazo de 45 dias (§ 501.706(3)), com:

A justificativa da recusa.

Instruções sobre como apelar da decisão.

O processo de apelação precisa resultar em resposta por escrito dentro de 60 dias.

O § 501.71(2)(c) proíbe que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar produtos ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção: programas de incentivo financeiro, incluindo pagamentos ao consumidor como compensação pelo processamento de dados, são permitidos se o consumidor der consentimento prévio claro sobre os termos, e desde que não sejam injustos, coercitivos ou abusivos.

A FDBR usa um limiar diferente de outras leis. "Criança conhecida" (§ 501.702(17)) é qualquer indivíduo menor de 18 anos sobre cuja idade o controlador tem conhecimento real ou que deliberadamente desconsidera.

Um controlador que deliberadamente ignora a idade de um usuário é tratado como tendo conhecimento real dela.

Para solicitações de crianças conhecidas: os pais ou responsáveis legais podem exercer os direitos em nome da criança (§ 501.705(1)).

As penalidades por violações envolvendo crianças conhecidas são triplicadas automaticamente pela FDBR (§ 501.72(1)(a)).

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação (incluindo qual dos sete direitos foi exercido).

Processo de autenticação realizado.

Ação tomada.

Data do aviso de cumprimento enviado.

Em caso de recusa: justificativa registrada.

Em caso de apelação: histórico completo e decisão final.

Essa documentação é o que protege a empresa em caso de investigação do Departamento de Assuntos Jurídicos. As penalidades por falha em excluir ou corrigir dados após solicitação autenticada são triplicadas (§ 501.72(1)(b)).

O Departamento de Assuntos Jurídicos pode conceder 45 dias para correção antes de iniciar ação (§ 501.72(2)), mas esse prazo é discricionário, não garantido.

E há uma exceção crítica: violações envolvendo crianças floridanas conhecidas não têm cure period disponível (§ 501.72(2)). O Departamento pode iniciar ação imediata.

Empresas sem processo estruturado de DSAR quando recebem uma notificação do Departamento enfrentam grande dificuldade de corrigir em 45 dias o que deveria ter sido implementado desde o início.

A AdOpt registra cada interação de consentimento e opt-out com timestamp e identificador único. Quando o consumidor exerce o opt-out de publicidade segmentada, dados sensíveis ou reconhecimento de voz/facial via Portal do Titular, o sistema atualiza automaticamente os disparadores correspondentes.

O log auditável da AdOpt serve como evidência de que os processos foram cumpridos conforme determinado pela FDBR. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a FDBR? Fale com a nossa equipe.

Dois ou mais canais de submissão seguros e claramente acessíveis (§ 501.709).

Mecanismo no site para submissão de solicitações (§ 501.709(3)).

Cobertura dos 7 direitos garantidos pela FDBR, incluindo opt-out de dados sensíveis e reconhecimento de voz/facial.

Processo de apelação conspicuamente disponível e semelhante ao processo original (§ 501.707).

Prazo de 45 dias para resposta, com extensão de mais 15 dias quando necessário (§ 501.706(2)).

Aviso de cumprimento enviado ao consumidor dentro de 60 dias (§ 501.706(4)).

Prazo de 60 dias para resposta a apelações (§ 501.707(3)).

Processo de autenticação com esforços comercialmente razoáveis (§ 501.706(3)).

Atendimento gratuito pelo menos duas vezes por ano por consumidor (§ 501.706(5)).

Registro documentado de cada solicitação, incluindo o tipo de direito exercido.

Tratamento diferenciado para crianças conhecidas menores de 18 anos (§ 501.702(17)).

Pais e responsáveis podem exercer direitos em nome de crianças conhecidas (§ 501.705(1)).

Proteção contra discriminação de consumidores que exercem seus direitos (§ 501.71(2)(c)).

Tipo de solicitação	Prazo de resposta	Extensão possível
Todos os 7 direitos	45 dias	+15 dias (não +45)
Aviso de cumprimento	60 dias após cumprimento	Não se aplica
Apelação de decisão	60 dias	Não especificado
Cure period (violações gerais)	45 dias (discricionário)	Não há extensão
Cure period (violações com crianças)	Não existe	Não há

1. Por que a FDBR exige dois ou mais canais de DSAR enquanto outras leis exigem apenas um?
O § 501.709 exige explicitamente dois ou mais métodos para submissão de solicitações, sinalizando que o legislador floridano considerou que um único canal pode não ser suficiente para atender a diferentes perfis de consumidores. Os métodos precisam ser seguros, confiáveis e claramente acessíveis, considerando as formas como os consumidores normalmente interagem com o controlador. Uma empresa pode usar, por exemplo, um formulário no site como primeiro canal e um endereço de e-mail dedicado como segundo.

2. O prazo de extensão da FDBR é realmente apenas 15 dias adicionais?
Sim. O § 501.706(2) permite extensão de apenas 15 dias adicionais além dos 45 dias iniciais. Outras leis estaduais como a VCDPA e a NHDPA permitem extensão de 45 dias adicionais. Isso significa que o prazo máximo total de resposta na FDBR é de 60 dias, versus até 90 dias em outras leis. As empresas no escopo da FDBR precisam ter processos mais ágeis para garantir conformidade.

3. A FDBR tem cure period garantido como a VCDPA?
Não. O cure period de 45 dias da FDBR é discricionário (§ 501.72(2)): o Departamento de Assuntos Jurídicos pode ou não concedê-lo, considerando o número e frequência das violações, a probabilidade substancial de dano ao público, e a segurança de pessoas ou bens. Além disso, violações envolvendo crianças floridanas conhecidas não têm cure period disponível. O AG pode iniciar ação imediata nesses casos.

4. Como a FDBR trata crianças de forma diferente das outras leis no contexto de DSARs?
A FDBR usa um limiar de 18 anos para "criança conhecida" (§ 501.702(17)), não 13 como a maioria das leis americanas. Pais e responsáveis podem exercer os sete direitos em nome de crianças conhecidas (§ 501.705(1)). Violações envolvendo crianças conhecidas não têm cure period e as penalidades são triplicadas automaticamente (§ 501.72(1)(a)). O controlador que deliberadamente desconsidera a idade do usuário é tratado como tendo conhecimento real dela.

5. O que acontece se a empresa continuar vendendo dados após o consumidor exercer o opt-out?
O § 501.72(1)(c) lista a continuação da venda ou compartilhamento de dados após opt-out do consumidor como uma das violações que resultam em penalidades triplicadas. Cada consumidor afetado pode ser contado como violação individual, o que eleva o impacto financeiro rapidamente. A penalidade base chega a US$ 50.000 por violação, triplicável para US$ 150.000. Para empresas com grande base de usuários, isso pode representar exposição financeira significativa.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a FDBR? Fale com a nossa equipe.