A Florida Digital Bill of Rights (FDBR, §§ 501.701 a 501.721), em vigor desde 1º de julho de 2024, tem exigências específicas para como esses rastreadores operam e o que precisa estar documentado sobre eles.

Este artigo foca exclusivamente no que a FDBR exige da Política de Cookies: o que o documento precisa conter, como o consentimento de rastreadores precisa funcionar, e o que os direitos específicos da lei implicam para a sua estratégia de cookies.

O banner de cookies é o elemento visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez. Precisa ser claro, oferecer opções reais, bloquear rastreadores não essenciais antes que disparem, e não usar dark patterns.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site: o que coleta, para que serve, com quem os dados são compartilhados, e por quanto tempo ficam armazenados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por meio de um link claro no próprio aviso de consentimento.

O § 501.71(2)(a) proíbe o processamento de dados para finalidades incompatíveis com as declaradas. E o § 501.711(1)(b) exige que a finalidade do processamento esteja no aviso de privacidade.

Para cookies, isso significa que cada categoria precisa ter uma descrição de finalidade específica, não genérica.

O que não funciona: "cookies para melhorar sua experiência". Não é uma finalidade. É uma descrição vaga que não protege a empresa.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, duração de sessões e origem do tráfego. Utilizados para identificar oportunidades de melhoria de conteúdo e priorizar correções de usabilidade."

"Cookies de publicidade: coletam dados comportamentais em sites afiliados e não afiliados ao longo do tempo para construir perfis de interesse e exibir anúncios personalizados. Incluem pixels de plataformas como Meta Ads, Google Ads e DSPs programáticas."

A Política precisa listar as categorias de rastreadores que operam no site com descrição do que cada uma faz. As principais:

Cookies necessários: essenciais para funcionamento básico. Autenticação, segurança de sessão. Não precisam de consentimento, mas precisam ser documentados.

Cookies de analytics: medem comportamento de navegação. Geralmente precisam de consentimento porque coletam dados que podem identificar o usuário por cruzamento de informações.

Cookies de publicidade: alimentam pixels de anúncio, constroem perfis comportamentais, habilitam retargeting. Precisam de consentimento explícito e divulgação específica obrigatória pela FDBR.

Cookies funcionais: lembram preferências do usuário. Podem precisar de consentimento dependendo da natureza dos dados.

Cookies de terceiros: disparados por serviços externos integrados ao site. A categorização correta de tags é o que permite documentar cada um com precisão.

A FDBR define publicidade segmentada (§ 501.702(33)) como anúncios baseados em dados de atividades do consumidor ao longo do tempo em sites afiliados ou não afiliados.

Esse é um ponto de diferença importante. A VCDPA da Virgínia, por exemplo, cobre apenas sites não afiliados. A FDBR inclui os afiliados, o que significa que mesmo rastreadores que operam dentro do ecossistema de empresas do mesmo grupo podem configurar publicidade segmentada sob a FDBR.

O § 501.711(4) exige divulgação clara e conspícua de qualquer venda de dados ou processamento para publicidade segmentada, junto com o mecanismo de opt-out. Isso precisa estar na Política de Cookies.

O § 501.702(29) define venda de dados como compartilhamento, divulgação ou transferência por contrapartida monetária ou outra contrapartida valiosa.

Isso é mais amplo do que a VCDPA, que menciona apenas contrapartida monetária. Uma empresa que troca dados de usuários com parceiros em troca de serviços, tecnologia ou outros benefícios pode estar realizando "venda" sob a FDBR. A Política de Cookies precisa avaliar se as integrações do site configuram essa definição.

O § 501.711(1)(d) e (e) exigem que o aviso de privacidade informe quais categorias de dados são compartilhadas com terceiros e quais categorias de terceiros as recebem.

Para cookies, isso se traduz em:

Se o Meta Pixel transfere dados comportamentais para a Meta, isso precisa estar documentado.

Se o Google Analytics envia dados de sessão para o Google, precisa estar declarado.

Se ferramentas de CRM recebem dados de navegação, precisam ser identificadas.

Cada fluxo de dados que sai do ambiente do controlador via cookie precisa estar categorizado.

O § 501.719(3) exige a adoção de cronograma de retenção que proíba o uso ou a retenção de dados após a finalidade inicial, o término do contrato, ou 2 anos após a última interação do consumidor.

Para cookies, a Política precisa documentar:

Por quanto tempo cada categoria de cookie fica ativa no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Como e quando os dados são excluídos respeitando o limite de 2 anos.

A FDBR tem um direito que não existe em outras leis estaduais: o consumidor pode exercer opt-out da coleta de dados sensíveis (§ 501.705(2)(f)), incluindo geolocalização precisa.

Se o site coleta dados de geolocalização precisa (dentro de 1.750 pés) via cookies ou scripts de localização, isso é dado sensível sob a FDBR (§ 501.702(31)(d)). O consumidor tem o direito de recusar essa coleta, e o mecanismo de opt-out precisa estar acessível na Política de Cookies.

O sétimo direito da FDBR (§ 501.705(2)(g)) garante ao consumidor o opt-out da coleta de dados via recursos de reconhecimento de voz ou facial.

Se o site usa qualquer tecnologia de reconhecimento de voz (chat de voz, comandos por áudio) ou reconhecimento facial (verificação de identidade, filtros de câmera), a Política de Cookies precisa mencionar essas tecnologias, para que servem, e como o consumidor pode exercer o opt-out.

O § 501.702(7) define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O padrão correto: cookies não essenciais desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

O que não é consentimento válido:

Aceitar termos gerais que contenham descrições de cookies junto a outras condições.

Passar o mouse sobre ou fechar um banner.

Qualquer concordância obtida por dark patterns.

Dark patterns são definidos no § 501.702(11) como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário, incluindo qualquer prática que a FTC classifique como dark pattern.

No contexto de cookies, os padrões mais comuns que a FDBR invalida:

Botão de "aceitar tudo" em destaque com o de recusar difícil de encontrar.

Cookies não essenciais ativados por padrão.

Linguagem confusa nas opções de escolha.

Cookie walls bloqueando conteúdo até aceitar todos os cookies.

Banners que reaparecem repetidamente até o usuário aceitar.

A FDBR define "criança conhecida" como qualquer indivíduo menor de 18 anos sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera (§ 501.702(17)).

Esse é um limiar muito mais alto do que o de outras leis americanas. Para crianças conhecidas:

Entre 13 e 18 anos: é necessária autorização afirmativa delas para processar dados sensíveis (§ 501.71(2)(d)).

Menores de 13: aplica-se a COPPA.

Se o site pode ter usuários menores de 18 anos que o controlador conhece, a Política de Cookies precisa descrever como esses dados são tratados de forma diferenciada, incluindo a proibição de uso de dark patterns para obter dados além do necessário (§ 501.1735(2)(g) para plataformas online predominantemente acessadas por crianças).

A proibição de dark patterns em contextos infantis é acompanhada de penalidades significativamente mais altas: as multas da FDBR por violações envolvendo crianças conhecidas são triplicadas automaticamente (§ 501.72(1)(a)).

O § 501.709 exige que o controlador estabeleça dois ou mais métodos para que os consumidores submetam solicitações. Isso inclui solicitações de opt-out.

A Política de Cookies precisa descrever pelo menos dois canais pelos quais o consumidor pode exercer o opt-out de publicidade segmentada, venda de dados, dados sensíveis e reconhecimento de voz/facial.

Uma plataforma de gestão de consentimentos integrada ao site pode ser um desses canais. O formulário de DSAR no site pode ser outro.

O § 501.711(1) exige atualização pelo menos anualmente. Além da revisão anual obrigatória, situações que exigem atualização imediata incluem:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics, heatmap ou gravação de sessão.

Novo plugin de chat, suporte ou engajamento.

Nova integração com CRM ou plataforma de e-mail.

Qualquer tecnologia nova que colete dados de voz, vídeo ou localização.

Parceiros novos que recebam dados comportamentais.

O mapeamento de dados contínuo é o que mantém essa sincronia entre o inventário de ferramentas e a Política de Cookies.

As violações de requisitos de cookies sob a FDBR são tratadas como prática comercial desleal, com penalidades de até US$ 50.000 por violação (§ 501.72).

As penalidades são triplicáveis (chegando a US$ 150.000 por violação) quando:

A violação envolve uma criança floridana conhecida.

A empresa continua a vender ou compartilhar dados após o consumidor exercer o opt-out.

Há falha em excluir dados após solicitação autenticada.

O cure period de 45 dias é discricionário e não se aplica a violações envolvendo crianças.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de escolha sem dark patterns, e documenta cada interação para auditoria.

O sistema suporta a configuração dos opt-outs específicos da FDBR, incluindo dados sensíveis e reconhecimento de voz/facial.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a FDBR? Fale com a nossa equipe.

Link visível no rodapé e no próprio banner de cookies.

Listagem de categorias de cookies com descrição do que cada uma faz.

Finalidade específica para cada categoria, sem descrições vagas (§ 501.711(1)(b)).

Divulgação de publicidade segmentada, incluindo sites afiliados (§ 501.702(33)), com opt-out acessível (§ 501.711(4)).

Venda de dados: declaração se ocorre, incluindo contrapartida não monetária (§ 501.702(29)).

Aviso de venda de dados sensíveis se aplicável (§ 501.711(2)).

Aviso de venda de dados biométricos se aplicável (§ 501.711(3)).

Categorias de dados compartilhados com terceiros via cookies (§ 501.711(1)(d)).

Categorias de terceiros que recebem dados via cookies (§ 501.711(1)(e)).

Opt-out de dados sensíveis e geolocalização precisamente descritos (§ 501.705(2)(f)).

Opt-out de reconhecimento de voz e facial descritos (§ 501.705(2)(g)).

Período de retenção de cada categoria, com o limite de 2 anos (§ 501.719(3)).

Cookies não essenciais desativados por padrão, sem dark patterns (§ 501.702(11)).

Proteção especial para crianças conhecidas menores de 18 anos (§ 501.702(17)).

Dois ou mais canais de submissão de solicitações descritos (§ 501.709).

Idioma acessível, sem juridiquês.

Ausência de cookie wall.

Atualização pelo menos anual do documento.

1. A FDBR exige um documento separado chamado "Política de Cookies"?
Não pelo nome. Os requisitos de divulgação de rastreadores estão distribuídos entre o aviso de privacidade (§ 501.711) e as obrigações específicas do controlador (§ 501.71). Uma Política de Cookies dedicada é a forma mais organizada de atender a todos esses requisitos em formato acessível para o usuário.

2. A definição de publicidade segmentada da FDBR é diferente das outras leis?
Sim. A FDBR (§ 501.702(33)) inclui anúncios baseados em dados de atividades em sites afiliados ou não afiliados, enquanto a VCDPA, por exemplo, cobre apenas não afiliados. Isso amplia o escopo das práticas de publicidade que requerem divulgação e opt-out. Uma campanha de retargeting dentro do ecossistema de empresas do mesmo grupo pode configurar publicidade segmentada sob a FDBR.

3. O que muda nos cookies quando o usuário é uma criança conhecida menor de 18 anos?
Para crianças conhecidas entre 13 e 18 anos, é necessária autorização afirmativa delas para processar dados sensíveis (§ 501.71(2)(d)). Para menores de 13, aplica-se a COPPA. O controlador que deliberadamente desconsidera a idade do usuário é tratado como tendo conhecimento real dela (§ 501.702(17)). As penalidades por violações envolvendo crianças conhecidas são triplicadas automaticamente.

4. A FDBR exige opt-out de geolocalização via cookies?
Sim. Dados de geolocalização precisa são dados sensíveis sob a FDBR (§ 501.702(31)(d)). O consumidor tem o direito de opt-out da coleta de dados sensíveis (§ 501.705(2)(f)). Se o site usa scripts de geolocalização que identificam a localização do usuário dentro de um raio de 1.750 pés, o opt-out desse rastreamento precisa estar disponível e descrito na Política de Cookies.

5. Quais são as penalidades específicas relacionadas a cookies sob a FDBR?
A FDBR não diferencia tipos de violação para fins de penalidade base: todas as violações podem resultar em até US$ 50.000 por violação (§ 501.72(1)). As penalidades são triplicáveis para violações envolvendo crianças conhecidas, continuação de compartilhamento ou venda de dados após opt-out do consumidor, e falha em excluir dados após solicitação autenticada. Um cookie que continua rastreando após opt-out pode resultar em penalidade triplicada por cada consumidor afetado.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a FDBR? Fale com a nossa equipe.