Esse é o peso regulatório de um DSAR (Solicitação de Acesso do Titular dos Dados) sob a Lei de Privacidade de Montana.

A maioria das marcas subestima isso porque um pedido individual parece um simples tíquete de suporte. A dor de cabeça vem do sistema como um todo. Lidar com milhares de consumidores e dezenas de fontes de informação exige cuidado. Um mapeamento de dados falho transforma o prazo de 45 dias em um pesadelo operacional.

Este artigo mostra como construir e fortalecer uma Política de DSAR da MTCDPA que seja defensável e segura na prática. Não estamos falando apenas da descrição pública no seu aviso de cookies, mas da máquina que roda nos bastidores o tempo todo.

Vamos cobrir os direitos em si, os prazos, a verificação de identidade e o fluxo operacional completo. Entender as penalidades que esse tipo de legislação carrega ajuda a dar a devida importância para esses processos de conformidade diários.

Se esse projeto está no seu radar, trate este material como um documento de trabalho. Use o texto para desenhar e testar o seu programa de adequação. Escolher uma boa CMP facilita essa rotina e tira o peso das costas da sua equipe técnica em poucas horas.

Nota: este artigo forma um trio com os guias sobre Políticas de Cookies e de Privacidade da MTCDPA. Esses três documentos são os pilares públicos de um programa de conformidade em Montana. A política de privacidade é o guarda-chuva que cobre todas essas iniciativas de proteção ao consumidor.

Uma solicitação de acesso do titular é um pedido oficial do consumidor para exercer seus direitos sobre os dados que uma empresa possui sobre ele.

O processo reflete o que a LGPD já estabeleceu no Brasil e o GDPR na Europa: o cidadão tem o direito de saber o que existe sobre ele, corrigir, excluir e controlar como seus dados são usados.

Sob as regras de Montana, conforme o Montana Consumer Data Privacy Act (MCDPA, codificado em MCA 30-14-2801 et seq.) e as revisões trazidas pelo Senate Bill 297, que entrou em vigor em 1º de outubro de 2025, esses direitos incluem os pilares abaixo.

O direito de confirmar se um controlador processa seus dados e ter acesso a eles.

O direito de corrigir imprecisões no cadastro de forma ágil.

O direito de excluir dados pessoais e rastros de navegação.

O direito de obter uma cópia em formato portátil e utilizável.

O direito de recusar a venda de perfis para terceiros.

O direito de recusar o processamento para campanhas de marketing segmentado.

O direito de recusar perfilamento que produza efeitos legais relevantes.

O direito de recorrer de um pedido negado.

Uma Política de DSAR da MTCDPA é a engrenagem que lida com essas solicitações do início ao fim. Ela é muito mais do que um parágrafo nos seus termos de uso. É o fluxo de trabalho, a tecnologia e a equipe operando juntos.

Sem um encarregado de dados ou responsável designado focado nisso, a máquina engasga no primeiro chamado do mês.

Por que a lei se importa tanto com essas requisições? Porque direitos sem mecanismo prático são teoria vazia. Uma norma que garante acesso à informação, mas não oferece ferramentas funcionais, não serve ao cidadão. Por isso, aplicar o conceito de privacy by design conecta esses direitos com obrigações reais na operação do dia a dia.

A lei se aplica a entidades que fazem negócios em Montana ou direcionam produtos e serviços comerciais a residentes do estado.

Com as revisões do SB 297, os limites de volume foram atualizados: a lei vale para empresas que controlam ou processam dados pessoais de 25.000 consumidores de Montana ou mais (antes eram 50.000). Se a empresa faz mais de 25% da sua receita com a venda de dados pessoais, o limite cai para 15.000 consumidores (antes eram 25.000).

A lógica é parecida com os cenários que já conhecemos ao falar de cookies e privacidade no Brasil. Se você controla rastros de 25.000 consumidores de Montana, está na mira da lei.

O SB 297 também revisou as isenções. Bancos, cooperativas de crédito, seguradoras e produtores de seguros mantiveram isenções específicas. Organizações sem fins lucrativos que detectam e previnem fraudes em conexão com seguros também têm tratamento diferenciado. Mas muitas corporações que antes se achavam isentas agora caíram no escopo da lei.

Um programa construído às pressas após a primeira reclamação vai sofrer. Um fluxo estruturado de forma preventiva, com processos integrados, opera com muito mais segurança. Entender as diferenças entre as principais legislações globais de privacidade traz uma visão valiosa sobre como esses limites protegem o negócio em qualquer mercado.

Cada direito listado pela MTCDPA tem um perfil operacional único dentro da sua empresa. Vamos destrinchar cada um sem juridiquês.

Conhecer a diferença entre controlador e operador facilita muito a distribuição de responsabilidades nesses momentos de pressão.

Um consumidor pede para confirmar se você processa os dados dele e quer uma cópia.

O fluxo precisa verificar a identidade sem criar atrito excessivo. Depois, a equipe busca em todos os sistemas e gera um arquivo organizado. Uma boa plataforma de gestão de consentimentos automatiza boa parte dessa busca.

Esse é o direito mais exigente operacionalmente porque exige cobertura completa. Uma busca que esquece um sistema secundário entrega resposta parcial ao consumidor, o que é uma falha. Um ROPA bem estruturado evita essas lacunas perigosas na infraestrutura.

O usuário exige a correção de imprecisões no seu cadastro.

O sistema precisa confirmar a identidade, receber a proposta de correção e validar no banco de dados. Propagar esse ajuste para todos os sistemas integrados é o grande desafio. Se isso falhar, suas ações de marketing digital sairão com informações desatualizadas e sem efeito.

O visitante exige a exclusão definitiva dos seus dados dos servidores da empresa.

O fluxo identifica todos os locais de armazenagem e exclui com segurança. Isso precisa ser balanceado com obrigações de retenção por motivos legais, como contratos ativos ou prevenção de fraudes. Todo esse equilíbrio precisa estar explicado na sua declaração de privacidade.

O consumidor pede uma cópia dos dados em formato portátil para levar para outro fornecedor.

A equipe compila os registros em arquivos legíveis por máquina e entrega via canal seguro. A portabilidade vai além do acesso simples: exige formatos que realmente possam ser utilizados em outros sistemas. Uma ferramenta de consentimento bem integrada agiliza esse processo do primeiro clique até a entrega.

O consumidor quer ficar fora de qualquer negociação comercial com o seu perfil.

O sistema captura o sinal de recusa e propaga para toda a cadeia de parceiros. Esse direito funciona como um interruptor de eficácia imediata. É especialmente relevante para quem trabalha com compra e distribuição de audiências em uma agência de marketing digital.

A recusa de publicidade segmentada segue a mesma lógica do bloqueio de vendas.

Abrange pixels, construtores de público e fornecedores de mídia programática. Identificar quais rotinas cruzam essas linhas evita problemas sérios. Revisar os processos de marketing com regularidade protege a operação.

O SB 297 reforça que controladores que vendem dados pessoais a terceiros ou os processam para publicidade segmentada precisam divulgar isso de forma clara e conspícua, e oferecer um mecanismo acessível de opt-out. Esse mecanismo precisa ser tão fácil de usar quanto o processo de dar o consentimento.

O consumidor pode recusar o uso dos seus dados em processos automatizados que produzam decisões com efeitos legais ou significativos sobre ele, como crédito, habitação, emprego ou acesso a serviços essenciais.

Um consumidor que teve o pedido negado tem o direito de recorrer da decisão.

A empresa precisa receber essa solicitação por um canal de ouvidoria claro e reavaliar com imparcialidade. O prazo segue valendo para a entrega do resultado final. Ter um responsável pela proteção de dados garante que nenhuma reclamação se perca nas planilhas.

A MTCDPA concede ao controlador 45 dias a partir do recebimento da solicitação para despachar a resposta oficial.

O prazo pode ganhar uma extensão em casos de extrema complexidade, mas a empresa precisa avisar o consumidor com antecedência, deixando claro os motivos do atraso. Atualizar os seus termos de uso para refletir esses prazos demonstra transparência logo no primeiro acesso.

Para o fluxo diário, o relógio dispara no exato dia em que o pedido entra na fila. Documente a data de recebimento e defina internamente o que configura um pedido complexo de verdade.

Não use a extensão de prazo como padrão para ganhar dias de folga. A tecnologia de uma plataforma de gestão de consentimentos rastreia e organiza os chamados de forma automática.

Perder um prazo isolado gera um problema regulatório pontual. Perder prazos em série cria um padrão de conduta que atrai a atenção do Procurador Geral do Estado rapidamente. O SB 297 estabelece uma penalidade civil máxima de US$ 7.500 por violação, além de permitir ao Procurador Geral buscar injunção e honorários advocatícios. Estruturar o atendimento de forma preventiva é a única forma de evitar esse tipo de exposição.

A validação de identidade é a barreira de segurança primária contra solicitações fraudulentas.

Errar nessa etapa significa entregar dados sensíveis para a pessoa errada. A lei espera que a empresa use métodos razoáveis sem onerar o consumidor que fez a petição. Um mecanismo robusto de consentimento no site diminui o risco de inconsistências desde o primeiro contato.

Para titulares com conta ativa, aproveite a sessão de login da plataforma. O usuário acessa o painel de opções e envia a solicitação de lá, com trilha de auditoria completa registrada automaticamente.

Para visitantes não cadastrados, envie códigos temporários ou exija confirmação de interações recentes validadas no sistema. Mantenha o grau de dificuldade proporcional à sensibilidade dos dados envolvidos no pedido.

Se não for possível confirmar com clareza quem é o solicitante, bloqueie a entrega com justificativa clara e oriente sobre como o consumidor pode comprovar sua identidade. O papel do DPO é monitorar de perto esses registros.

Toda solicitação precisa chegar por um caminho acessível para o consumidor médio, inclusive pelo celular.

O SB 297 estabelece que os controladores precisam oferecer um mecanismo efetivo para os consumidores exercerem seus direitos ou revogarem o consentimento, que seja pelo menos tão fácil de usar quanto o mecanismo utilizado para dar o consentimento.

Na prática, o link de acesso precisa estar visível no rodapé da página ou integrado ao banner de cookies na primeira visita. Um botão no painel nativo da interface da marca é a saída mais eficiente.

Libere sempre um endereço de e-mail com a tag "privacy@" para colher pedidos formais. O formulário de submissão do site precisa registrar os dados de verificação e entregar uma confirmação rastreável ao solicitante.

Vamos percorrer o caminho completo de uma solicitação, desde a entrada até o arquivamento.

Etapa 1: Abertura. O pedido entra pelo formulário ou e-mail. O sistema cria automaticamente um ticket com data, tipo de solicitação e dados do solicitante.

Etapa 2: Confirmação de chegada. O consumidor recebe imediatamente uma resposta com o prazo de retorno, cortando a ansiedade da espera.

Etapa 3: Verificação de identidade. A equipe valida a autenticidade da solicitação com os métodos proporcionais ao tipo de dado envolvido.

Etapa 4: Distribuição interna. O ticket vai para o setor responsável pelo tipo de dado em questão. É aqui que o inventário de dados bem estruturado faz toda a diferença na agilidade da resposta.

Etapa 5: Empacotamento da resposta. A equipe localiza todos os dados relevantes nos sistemas integrados e organiza a resposta em conformidade com as exigências da MTCDPA.

Etapa 6: Execução de opt-out quando aplicável. Para solicitações de recusa de venda ou publicidade segmentada, o time propaga os sinais pelos sistemas de marketing digital e parceiros integrados.

Etapa 7: Entrega ao titular. A resposta final é enviada de forma segura pelo canal escolhido pelo consumidor, com confirmação de recebimento registrada no sistema.

Todo esse fluxo precisa rodar com precisão, do recebimento ao arquivamento. O cuidado com os prazos protege a operação e blinda a empresa contra exposições regulatórias desnecessárias.

O volume de DSARs oscila conforme o perfil da sua base de usuários e o contexto do mercado.

Em períodos tranquilos, empresas digitais com boas práticas de privacidade recebem um volume gerenciável de solicitações, muitas delas resolvidas de forma simples pelo painel de preferências do próprio site.

Em períodos de incidentes de segurança ou exposição midiática, o volume pode escalar significativamente. Planejar a capacidade do time de atendimento para esses cenários é parte do programa de conformidade, não um extra.

Ter uma ferramenta CMP que automatize o rastreamento e o registro das solicitações transforma o que seria um caos operacional em um processo gerenciável.

Todo processo de DSAR precisa de trilha documental completa, do recebimento até o encerramento.

Isso inclui: data de recebimento, tipo de solicitação, método de autenticação utilizado, decisão tomada, prazo cumprido, e comunicação enviada ao consumidor.

Essa documentação é o que você apresenta ao Procurador Geral em caso de investigação. O registro de atividades de tratamento é o documento que sustenta a conformidade da sua operação diante das autoridades.

Os dados dos seus consumidores frequentemente estão distribuídos entre múltiplos fornecedores: plataformas de e-mail, CRMs, ferramentas de analytics, provedores de pagamento.

Quando um DSAR de exclusão chega, você precisa propagar a solicitação para todos esses sistemas. Isso exige contratos claros com cada fornecedor, estabelecendo as obrigações de cada parte no processo.

O SB 297 estabelece que o processador deve aderir às instruções do controlador e auxiliá-lo no cumprimento das suas obrigações sob a MTCDPA, incluindo responder a solicitações de consumidores e fornecer as informações necessárias para as avaliações de proteção de dados.

Dominar a fronteira de responsabilidades entre controlador e operador é o que define quem responde pelo quê em caso de falha.

Empresas em crescimento têm duas opções: construir um sistema interno do zero ou usar uma plataforma de conformidade já estruturada.

Construir internamente dá controle total, mas exige tempo de desenvolvimento, manutenção contínua e atualização a cada mudança legislativa. Comprar uma solução pronta entrega velocidade de implementação, atualizações automáticas e suporte especializado.

Para a maioria das empresas digitais, a lógica do 80/20 se aplica aqui também: uma boa plataforma de privacidade resolve a maior parte das obrigações de conformidade com muito menos esforço interno.

A AdOpt cuida do aviso de cookies, do registro de consentimentos, do bloqueio de rastreadores antes do aceite, e da documentação de cada interação do consumidor. Tudo isso construído sobre os fundamentos do privacy by design, com atualizações automáticas conforme as legislações evoluem.

Tratar solicitações de acesso como chamados de suporte de baixa prioridade é um erro frequente e perigoso.

Usar modelos genéricos de resposta sem personalizar para o tipo de solicitação gera comunicações que não respondem ao que o consumidor pediu. Use templates estruturados por tipo de direito exercido.

Não ter processo de apelação documentado é outra falha recorrente. A lei exige que o mecanismo de recurso seja tão acessível quanto o mecanismo de solicitação original.

Deixar de propagar o opt-out para sistemas de terceiros é talvez o erro mais perigoso do ponto de vista regulatório. O banner de cookies e os sistemas de marketing precisam estar integrados para que a recusa se reflita em tempo real em todos os pontos de contato.

Uma agência digital que audita regularmente os processos do cliente consegue identificar e corrigir esses pontos cegos antes que virem problemas legais.

Para quem já gerencia DSARs sob a LGPD, o processo da MTCDPA vai soar familiar.

A estrutura central é a mesma: receber, verificar, responder dentro do prazo, documentar tudo. As diferenças estão nos detalhes.

O prazo da MTCDPA é de 45 dias, com extensão possível. A LGPD trabalha com prazos definidos pela ANPD. O GDPR tem 30 dias como regra geral.

As penalidades da MTCDPA chegam a US$ 7.500 por violação com o SB 297, alinhadas com o que CCPA e TDPSA já praticam no cenário americano.

Quem opera em múltiplos mercados precisa de um sistema que consiga gerenciar as peculiaridades de cada lei sem criar processos paralelos para cada jurisdição. Quanto mais unificado o processo, mais sustentável a operação a longo prazo.

Qual o prazo para responder um DSAR sob a MTCDPA?

45 dias a partir do recebimento da solicitação. O prazo pode ser estendido uma vez por mais 45 dias em casos de complexidade justificada, desde que o consumidor seja informado dentro do prazo inicial. Perder esse prazo sem comunicação configura violação da lei e pode resultar em penalidades de até US$ 7.500 por violação, conforme o SB 297.

O que fazer quando não consigo verificar a identidade do solicitante?

A lei não obriga a empresa a entregar dados para solicitantes que não consigam ser autenticados com esforços razoáveis. Bloqueie o atendimento de forma gentil, explique os motivos e oriente o consumidor sobre como pode comprovar sua identidade. Documente a tentativa e a decisão no sistema de controle de DSARs.

A MTCDPA se aplica à minha empresa fora dos EUA?

Se a sua empresa faz negócios em Montana ou produz produtos e serviços direcionados a residentes do estado, a lei pode se aplicar, independente de onde a empresa está sediada. O critério é o alcance sobre os consumidores de Montana, não a localização da empresa. Assim como a LGPD se aplica a qualquer empresa que trate dados de pessoas no Brasil.

Preciso de um portal dedicado ou um e-mail resolve?

A lei exige um mecanismo pelo menos tão fácil de usar quanto o processo de dar o consentimento. Para empresas que operam exclusivamente online com relacionamento direto com o consumidor, um e-mail pode ser suficiente. Para operações mais complexas, um portal dedicado é a solução mais robusta e auditável.

O que muda com o SB 297 em relação à versão anterior da MTCDPA?

O SB 297, em vigor desde 1º de outubro de 2025, reduziu os limites de volume de consumidores para aplicabilidade da lei, revisou as isenções eliminando a isenção para instituições financeiras e limitando a isenção para organizações sem fins lucrativos, adicionou o requisito de data de última atualização no aviso de privacidade, e elevou a penalidade máxima para US$ 7.500 por violação. Quem já estava adequado à versão anterior precisa revisar os documentos de privacidade e os limites de aplicabilidade.

Quem tem um processo de DSAR funcionando não está só evitando multa. Está dizendo para o consumidor: os seus dados são seus. E quando você quiser saber o que temos, corrigir, ou apagar tudo, a gente responde. Dentro do prazo. Sem complicação.

Tá na AdOpt, tá bem.

Quer estruturar o Portal de Privacidade do seu site e estar em conformidade com a MTCDPA e demais legislações? Fale com a nossa equipe.