A Iowa Consumer Data Protection Act (ICDPA, Iowa Code § 715D) tem requisitos de aviso de privacidade muito similares aos da UCPA do Utah, com uma diferença operacional importante: o prazo de resposta a solicitações é de 90 dias, não 45.

Para a Política de Privacidade, isso significa que o processo descrito no documento para exercício de direitos precisa refletir esse prazo mais longo. Consumidores do Iowa terão que esperar até três meses para receber uma resposta, e o processo descrito no aviso precisa ser claro sobre isso.

Este artigo foca exclusivamente no que a ICDPA exige da Política de Privacidade.

A lei usa o termo "privacy notice", aviso de privacidade. Conforme § 715D.4(5), o controlador deve fornecer um aviso "razoavelmente acessível, claro e significativo".

O aviso deve listar as categorias de dados pessoais que o controlador processa (§ 715D.4(5)(a)).

Dados pessoais sob a ICDPA são informações vinculadas ou razoavelmente vinculáveis a uma pessoa natural identificada ou identificável (§ 715D.1(18)). Isso inclui identificadores como nome, e-mail, endereço IP, histórico de navegação, e dados que permitam rastrear uma pessoa.

Dados desidentificados, dados agregados, e informações publicamente disponíveis estão excluídos.

O aviso deve explicar para quê os dados são processados (§ 715D.4(5)(b)).

A lei não especifica que as finalidades precisam ser altamente detalhadas, mas o requisito de que o aviso seja "claro e significativo" implica que generalidades como "melhorar serviços" são insuficientes.

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela ICDPA, incluindo como apelar de uma decisão do controlador (§ 715D.4(5)(c)).

Os quatro direitos sob a ICDPA são:

Confirmação e acesso: confirmar se o controlador processa dados e acessar esses dados (§ 715D.3(1)(a)).

Exclusão: solicitar exclusão de dados que o consumidor forneceu ao controlador (§ 715D.3(1)(b)).

Portabilidade: obter cópia dos dados em formato portátil (§ 715D.3(1)(c)).

Opt-out da venda: recusar a venda de dados pessoais (§ 715D.3(1)(d)).

O prazo que precisa estar descrito: 90 dias para resposta a partir do recebimento da solicitação, com possibilidade de extensão por mais 45 dias com notificação dentro do prazo inicial (§ 715D.3(2)(a)).

O processo de apelação: o aviso precisa descrever como o consumidor pode apelar de uma decisão de recusa, com prazo de resposta de 60 dias para a apelação (§ 715D.3(3)). Se a apelação for negada, o consumidor precisa ser informado sobre como contatar o Attorney General online.

O aviso deve identificar as categorias de dados pessoais que o controlador compartilha com terceiros, se houver (§ 715D.4(5)(d)).

O aviso deve identificar as categorias de terceiros com quem os dados são compartilhados, se houver (§ 715D.4(5)(e)).

A ICDPA não exige o nível de detalhe sobre como cada terceiro pode processar os dados que a OCPA exige. Categorias identificáveis são suficientes.

Se a empresa vende dados ou realiza publicidade direcionada, § 715D.4(6) exige divulgação clara e conspícua dessa atividade, com descrição do método pelo qual o consumidor pode exercer o opt-out de cada atividade.

Publicidade direcionada, conforme § 715D.1(28), são anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados.

Embora o opt-out de publicidade direcionada não seja listado como direito formal em § 715D.3, a obrigação de divulgação em § 715D.4(6) cria o requisito prático de oferecer esse opt-out no aviso de privacidade.

Conforme § 715D.4(7), o controlador deve estabelecer meios seguros e confiáveis para os consumidores submeterem solicitações de exercício de direitos, e descrever esses meios no aviso de privacidade.

Esses meios devem:

Considerar as formas como os consumidores normalmente interagem com o controlador.

Garantir comunicação segura e confiável.

Permitir autenticação da identidade do consumidor.

O controlador não pode exigir que o consumidor crie nova conta para exercer seus direitos. Pode exigir uso de conta existente (§ 715D.4(7)).

Conforme § 715D.4(2), o controlador não pode processar dados sensíveis sem antes apresentar ao consumidor aviso claro e oferecer oportunidade de opt-out.

Dados sensíveis incluem: origem racial ou étnica, crenças religiosas, diagnóstico de saúde mental ou física, orientação sexual, cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e geolocalização precisa.

Esse modelo de opt-out para dados sensíveis é idêntico ao da UCPA. É menos restritivo do que o opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA.

Para dados de crianças conhecidas, a empresa precisa cumprir os requisitos da COPPA (§ 715D.2(2)(r) e 715D.4(2)).

A Política de Privacidade deve:

Identificar se a empresa processa dados sensíveis.

Descrever como o aviso sobre dados sensíveis é apresentado.

Explicar como o consumidor pode exercer o opt-out de processamento de dados sensíveis.

Comparando com outras leis:

Sem período de retenção obrigatório. A CPRA exige especificar por quanto tempo cada categoria de dado é retida. A ICDPA não tem esse requisito.

Sem nível de detalhe sobre terceiros. A OCPA exige descrever como cada terceiro pode processar os dados. A ICDPA exige apenas categorias.

Sem direito de correção para descrever. Como a ICDPA não prevê esse direito, o aviso não precisa descrevê-lo.

O prazo de 90 dias precisa estar claramente descrito. Consumidores acostumados com a VCDPA, OCPA e CTDPA esperam respostas em 45 dias. Um aviso que deixa claro que o prazo da ICDPA é de 90 dias evita reclamações desnecessárias.

Conforme § 715D.4(3), a empresa não pode discriminar consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade diferente.

A exceção são programas de fidelidade voluntários ou situações onde o consumidor exerceu opt-out de publicidade direcionada e a empresa ajustou preços em consequência.

Antes de iniciar qualquer ação, o Attorney General do Iowa é obrigado a notificar o controlador e conceder 90 dias para correção (§ 715D.8(2)). Esse é o cure period mais longo de todas as leis estaduais americanas.

Uma Política de Privacidade desatualizada pode ser corrigida dentro de 90 dias com os processos certos. Mas estruturá-la corretamente desde o início é sempre mais eficiente.

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros. A plataforma de gestão de consentimentos garante que o mecanismo de opt-out funciona conforme descrito.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site.

Categorias de dados pessoais processados (§ 715D.4(5)(a)).

Finalidade do processamento para cada categoria (§ 715D.4(5)(b)).

Como exercer os 4 direitos com canal e prazo de 90 dias (§ 715D.4(5)(c)).

Processo de apelação com prazo de 60 dias para resposta (§ 715D.3(3)).

Como contatar o Attorney General se a apelação for negada (§ 715D.3(3)).

Categorias de dados compartilhados com terceiros (§ 715D.4(5)(d)).

Categorias de terceiros com quem dados são compartilhados (§ 715D.4(5)(e)).

Divulgação de venda de dados ou publicidade direcionada com método de opt-out (§ 715D.4(6)).

Canal de submissão de solicitações descrito, sem exigência de nova conta (§ 715D.4(7)).

Tratamento de dados sensíveis: aviso claro e opt-out antes do processamento (§ 715D.4(2)).

Conformidade com COPPA para dados de crianças (§ 715D.4(2)).

Política de não discriminação (§ 715D.4(3)).

Gratuidade para 2 solicitações por ano por consumidor (§ 715D.3(2)(c)).

1. Por que a Política de Privacidade da ICDPA precisa deixar claro o prazo de 90 dias?
A maioria dos consumidores que já interagiram com aviso de privacidade de outras jurisdições espera respostas em 45 dias. A ICDPA estabelece 90 dias como prazo padrão (§ 715D.3(2)(a)), o que é significativamente diferente. Uma Política que descreve claramente esse prazo ajuda a gerenciar expectativas e evita reclamações de consumidores que esperam uma resposta mais rápida. Descrever o prazo correto também demonstra que a empresa conhece suas obrigações legais específicas.

2. O aviso de privacidade precisa mencionar o processo de apelação da ICDPA?
Sim. A § 715D.4(5)(c) exige que o aviso descreva como os consumidores podem exercer seus direitos "incluindo como um consumidor pode apelar de uma decisão do controlador com relação à solicitação do consumidor." Isso significa que o processo de apelação, com prazo de 60 dias para resposta (§ 715D.3(3)), precisa estar descrito. Se a apelação for negada, o aviso também deve indicar como o consumidor pode contatar o Attorney General.

3. A ICDPA exige a mesma gratuidade de solicitações que a UCPA?
Não exatamente. A ICDPA garante gratuidade para 2 solicitações por consumidor por período de 12 meses (§ 715D.3(2)(c)). A UCPA garante gratuidade para apenas 1 solicitação por período de 12 meses. A VCDPA também garante 2 solicitações gratuitas por ano. A Política de Privacidade precisa refletir corretamente esse número, pois informar "1 vez gratuito por ano" quando a lei garante 2 seria uma imprecisão que poderia gerar reclamações.

4. A ICDPA tem o mesmo modelo de opt-out para dados sensíveis que a UCPA?
Sim. Tanto a ICDPA (§ 715D.4(2)) quanto a UCPA (§ 13-61-302(3)) exigem apenas aviso claro e oportunidade de opt-out antes de processar dados sensíveis, sem exigir consentimento prévio ativo. Esse modelo é diferente do opt-in exigido pela CPRA, OCPA, VCDPA e CTDPA. Uma empresa que já está adequada à UCPA e à ICDPA nesse ponto precisaria revisar o processo se quisesse também estar adequada às leis que exigem consentimento.

5. A ICDPA exige descrição de terceiros no mesmo nível de detalhe que a OCPA?
Não. A OCPA exige que a descrição dos terceiros seja em nível de detalhe que permita ao consumidor entender que tipo de entidade é e como pode processar os dados. A ICDPA (§ 715D.4(5)(d) e (e)) exige apenas as categorias de dados compartilhados com terceiros e as categorias de terceiros, sem o nível de detalhe adicional da OCPA. Categorias como "plataformas de publicidade digital" e "ferramentas de analytics" são suficientes sob a ICDPA.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a ICDPA? Fale com a nossa equipe.