Iowa tem o prazo de resposta a solicitações de consumidores mais longo de todas as leis estaduais americanas de privacidade.

A Iowa Consumer Data Protection Act (ICDPA), Iowa Code § 715D, entrou em vigor em 1º de janeiro de 2025. Foi sancionada pela governadora Kim Reynolds em março de 2023, dando às empresas quase dois anos para se adequar.

O diferencial que mais chama atenção: 90 dias para responder a uma solicitação de consumidor, com possibilidade de extensão por mais 45. E o cure period de 90 dias garantido antes de qualquer ação do Attorney General, o mais longo entre as leis estaduais vigentes.

A ICDPA é a lei estadual de proteção de dados pessoais do Iowa. Ela garante direitos aos residentes do estado e cria obrigações para as empresas que processam seus dados.

A lei segue o modelo de outras leis estaduais americanas, com estrutura próxima à VCDPA da Virgínia e à UCPA do Utah. Mas tem prazos consideravelmente mais longos para empresas responderem.

A fiscalização é responsabilidade exclusiva do Attorney General do Iowa. Não há direito de ação privada (§ 715D.8(4)).

Em 1º de janeiro de 2025.

A lei foi sancionada em março de 2023, com quase dois anos de prazo para as empresas se adequarem.

Conforme Iowa Code § 715D.2(1), a lei se aplica a pessoas que conduzem negócios no Iowa ou produzem produtos ou serviços direcionados a consumidores residentes do estado e que, durante um ano civil:

Controlam ou processam dados pessoais de pelo menos 100.000 consumidores; ou

Controlam ou processam dados pessoais de pelo menos 25.000 consumidores e derivam mais de 50% da receita bruta da venda de dados pessoais.

Diferença importante em relação à UCPA do Utah: a ICDPA não exige receita mínima de US$ 25 milhões como critério adicional. Se a empresa controla ou processa dados de 100.000 consumidores do Iowa, está no escopo, independentemente do faturamento. Isso pode trazer empresas menores para o escopo da ICDPA que estariam fora do escopo da UCPA.

Entender a distinção entre controlador e operador é fundamental para definir as responsabilidades de cada parte.

Conforme § 715D.2(2) e (3), estão isentos:

O estado do Iowa e suas subdivisões políticas.

Instituições financeiras, afiliadas, e dados sujeitos ao Gramm-Leach-Bliley Act.

Entidades sujeitas e em conformidade com a HIPAA.

Organizações sem fins lucrativos.

Instituições de ensino superior.

Informações de saúde protegidas pela HIPAA e registros de saúde.

Dados de pesquisa clínica regulada.

Dados de crédito regulados pelo Fair Credit Reporting Act.

Dados regulados pelo Driver's Privacy Protection Act.

Dados regulados pelo FERPA.

Dados regulados pelo Farm Credit Act.

Dados de funcionários, candidatos a emprego e agentes em contexto de emprego.

Dados processados em conformidade com a COPPA.

Conforme § 715D.1(18), dado pessoal é qualquer informação vinculada ou razoavelmente vinculável a uma pessoa natural identificada ou identificável.

Não são dados pessoais: dados desidentificados, dados agregados, e informações publicamente disponíveis.

Conforme § 715D.1(26), dados sensíveis incluem:

Origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, ou cidadania ou status de imigração (exceto quando usados para evitar discriminação com base em classe protegida).

Dados genéticos ou biométricos processados para identificação única de pessoa natural.

Dados pessoais coletados de crianças conhecidas (menores de 13 anos).

Dados de geolocalização precisa.

Modelo de dados sensíveis: tal qual a UCPA, a ICDPA usa o modelo de opt-out para dados sensíveis. O controlador não pode processar dados sensíveis sem antes apresentar aviso claro e oferecer oportunidade de opt-out (§ 715D.4(2)). Não é necessário consentimento prévio.

Conforme § 715D.1(19), geolocalização precisa são informações derivadas de tecnologia, incluindo coordenadas GPS, que identificam a localização específica de uma pessoa natural com precisão dentro de um raio de 1.750 pés.

Conforme § 715D.3(1), os residentes do Iowa têm quatro direitos:

Confirmação e acesso: confirmar se o controlador processa dados pessoais e acessar esses dados (§ 715D.3(1)(a)).

Exclusão: solicitar a exclusão dos dados pessoais que o consumidor forneceu ao controlador (§ 715D.3(1)(b)). Assim como na UCPA, o escopo é limitado a dados fornecidos pelo consumidor.

Portabilidade: obter cópia dos dados em formato portátil e utilizável, quando tecnicamente praticável, para transmissão a outro controlador sem obstáculos (§ 715D.3(1)(c)).

Opt-out da venda: recusar a venda de dados pessoais (§ 715D.3(1)(d)).

Diferença em relação à UCPA: a ICDPA lista apenas o opt-out de venda como direito formal em § 715D.3(1)(d), não o opt-out de publicidade direcionada. No entanto, a Seção § 715D.4(6) exige que, se o controlador vende dados ou realiza publicidade direcionada, informe o consumidor e descreva como exercer o opt-out de ambas as atividades. Isso significa que o opt-out de publicidade direcionada precisa existir na prática, mesmo que não seja listado como direito formal.

Sem direito de correção de dados imprecisos (igual à UCPA).

Sem opt-out de perfilamento (igual à UCPA).

Sem processo de apelação formal estruturado (tem, mas com 60 dias).

Este é o diferencial mais marcante da ICDPA. Conforme § 715D.3(2)(a):

90 dias para responder a partir do recebimento da solicitação.

Extensão de +45 dias quando razoavelmente necessário por complexidade ou volume, com notificação dentro do prazo inicial.

Comparativo de prazos:

Gratuidade: até 2 vezes por ano por consumidor (§ 715D.3(2)(c)). A partir da terceira solicitação no mesmo período de 12 meses, o controlador pode cobrar taxa razoável ou recusar, se a solicitação for manifestamente infundada, excessiva, repetitiva, tecnicamente inviável, ou se o objetivo principal não for exercer um direito.

Conforme § 715D.3(3), o controlador precisa estabelecer um processo de apelação. O processo precisa ser conspicuamente disponível e similar ao método de submissão original. Dentro de 60 dias do recebimento da apelação, o controlador deve informar o consumidor por escrito de qualquer ação tomada ou não tomada, com explicação dos motivos.

Se a apelação for negada, o controlador deve fornecer ao consumidor um mecanismo online para contatar o Attorney General e registrar reclamação.

Conforme § 715D.4, o controlador precisa:

Adotar e implementar práticas razoáveis de segurança administrativa, técnica e física, proporcionais ao volume e natureza dos dados.

Não processar dados sensíveis sem apresentar aviso claro e oferecer opt-out antes.

Não discriminar consumidores que exercem seus direitos.

Fornecer aviso de privacidade razoavelmente acessível, claro e significativo com os cinco elementos exigidos.

Divulgar de forma clara e conspícua se vende dados ou realiza publicidade direcionada, com método de opt-out para cada atividade.

Estabelecer meios seguros e confiáveis para submissão de solicitações de direitos, descritos no aviso de privacidade.

Não exigir que o consumidor crie nova conta para exercer direitos.

Cookies que coletam dados pessoais ou permitem identificação de usuários estão no escopo da ICDPA.

O site precisa exibir um aviso de cookies claro, oferecer opt-out de venda de dados e de publicidade direcionada, e descrever no aviso de privacidade como os consumidores podem exercer seus direitos.

A categorização correta de tags é o que permite identificar quais cookies configuram publicidade direcionada ou venda de dados.

A ICDPA define publicidade direcionada em § 715D.1(28) como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Anúncios baseados em atividades dentro do próprio site ou sites afiliados não se enquadram.

A ICDPA usa "venda" como contraprestação monetária (§ 715D.1(25)), sem incluir o conceito de "compartilhamento" para publicidade comportamental sem pagamento, como a CPRA faz.

Conforme § 715D.8, o Attorney General do Iowa tem autoridade exclusiva de enforcement.

Cure period: 90 dias garantidos. Antes de iniciar qualquer ação, o AG deve notificar o controlador por escrito identificando as violações e concedendo 90 dias para correção (§ 715D.8(2)). Esse é o cure period mais longo de todas as leis estaduais americanas.

Se o controlador corrigir a violação dentro dos 90 dias e fornecer declaração escrita expressa de que as violações foram sanadas e não se repetirão, nenhuma ação é iniciada.

Se a violação continuar ou o controlador descumprir a declaração fornecida, o AG pode iniciar ação e buscar:

Injunção para cessar as violações.

Penalidades civis de até US$ 7.500 por violação (§ 715D.8(3)).

A AdOpt registra cada consentimento e opt-out, bloqueia rastreadores antes do aceite, e gera o log auditável que você precisaria apresentar em uma investigação do Attorney General.

O escaneamento automático identifica todos os rastreadores ativos no site, alimentando o inventário de dados necessário para o aviso de privacidade. E quando a lei muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Pronto para adequar seu site à ICDPA do Iowa? Fale com a nossa equipe.

A adequação à ICDPA se apoia em três documentos que precisam conversar entre si: a política de cookies, que declara cada rastreador e sua finalidade; a política de privacidade, que explica o que você faz com os dados; e o portal do titular, onde a pessoa exerce seus direitos e você guarda o registro disso.

1. O que é a ICDPA e qual é o seu principal diferencial?
A Iowa Consumer Data Protection Act (Iowa Code § 715D) é a lei estadual de proteção de dados pessoais do Iowa. Entrou em vigor em 1º de janeiro de 2025. Seu principal diferencial é o prazo de resposta a solicitações de consumidores: 90 dias, com possibilidade de extensão por mais 45. É o prazo mais longo de todas as leis estaduais americanas vigentes, comparado com 45 dias nas leis da Virgínia, Oregon, Utah, Connecticut e demais estados. O cure period de 90 dias garantido antes de qualquer ação do AG também é o mais longo entre as leis estaduais.

2. Por que a ICDPA tem prazo de 90 dias em vez de 45 como as outras leis?
A ICDPA foi projetada com prazos mais amplos para reduzir a carga operacional sobre as empresas. O § 715D.3(2)(a) estabelece explicitamente o prazo de 90 dias, que é o dobro do padrão de 45 dias adotado pela maioria das leis estaduais americanas. Isso significa que, na prática, as empresas têm mais tempo para organizar seus processos de DSAR, autenticar solicitações e preparar respostas. Mas o prazo mais longo para as empresas responderem também significa que os consumidores esperam mais para receber uma resposta.

3. O que diferencia o threshold da ICDPA do da UCPA do Utah?
A UCPA exige que a empresa satisfaça tanto o requisito de receita de US$ 25 milhões quanto um dos thresholds de volume de dados (operador duplo). A ICDPA não tem esse requisito de receita mínima. Se a empresa controla ou processa dados de 100.000 consumidores do Iowa, está no escopo, independentemente do faturamento. Isso pode trazer empresas menores para o escopo da ICDPA que estariam fora do escopo da UCPA. O threshold de 25.000 consumidores + 50% de receita da venda de dados é idêntico nas duas leis.

4. A ICDPA tem opt-out de publicidade direcionada como direito formal?
A ICDPA lista o opt-out de venda de dados como direito formal em § 715D.3(1)(d), mas não lista o opt-out de publicidade direcionada como direito formal da mesma forma. No entanto, a Seção § 715D.4(6) exige que, se o controlador realiza publicidade direcionada, informe o consumidor e descreva o método de opt-out. Na prática, o controlador precisa oferecer opt-out de publicidade direcionada no aviso de privacidade, mesmo que seja uma obrigação de divulgação e não um direito listado formalmente.

5. Qual é a penalidade por descumprimento da ICDPA?
O Attorney General pode buscar injunção e penalidades civis de até US$ 7.500 por violação (§ 715D.8(3)). Antes de iniciar qualquer ação, o AG é obrigado a notificar o controlador e conceder 90 dias para correção. Esse período de 90 dias é garantido pela lei e é o mais longo entre as leis estaduais americanas. Se o controlador corrigir e fornecer declaração escrita, nenhuma ação é iniciada. Não há direito de ação privada para consumidores (§ 715D.8(4)).

Quer adequar seu site à ICDPA do Iowa? Fale com a nossa equipe.