Toda vez que um visitante do seu site preenche um formulário, aceita cookies, faz uma compra ou simplesmente navega pelas páginas, dados pessoais estão sendo gerados.

O que acontece com esses dados depois disso é o que a Política de Privacidade precisa responder.

Não de forma genérica. Não com parágrafos copiados da internet. De forma específica, clara e alinhada com as obrigações legais que se aplicam ao seu negócio.

Se o seu site atende residentes de Montana, a Montana Consumer Data Privacy Act (MCDPA, codificada em MCA 30-14-2801 et seq.) e as revisões do Senate Bill 297, em vigor desde 1º de outubro de 2025, definem exatamente o que precisa estar no seu aviso de privacidade.

Este artigo explica o que a lei exige, ponto a ponto, com paralelos com a LGPD e o GDPR para quem já gerencia conformidade em múltiplos mercados.

A MCDPA é a lei estadual de proteção de dados de Montana. Com as mudanças trazidas pelo SB 297, ela se tornou mais abrangente e com penalidades mais robustas.

A lei se aplica a empresas que conduzem negócios em Montana ou direcionam produtos e serviços a residentes do estado, e que controlam ou processam dados pessoais de 25.000 ou mais consumidores de Montana por ano. Se a empresa faz mais de 25% da sua receita com a venda de dados pessoais, o limite cai para 15.000 consumidores.

Isso não é sobre ter escritório físico em Montana. É sobre alcançar consumidores de lá.

Se o seu site tem visitantes de Montana e você coleta qualquer dado deles, a lei pode se aplicar a você. O mesmo raciocínio que a Lei Geral de Proteção de Dados usa no Brasil: o critério é onde está o titular dos dados, não onde está a empresa.

O SB 297 também revisou as isenções. Bancos, cooperativas de crédito, seguradoras e produtores de seguros têm isenções específicas. Organizações sem fins lucrativos que atuam exclusivamente na detecção e prevenção de fraudes com seguros também ficam de fora. Mas muitas corporações que antes se achavam isentas agora estão dentro do escopo.

A MTCDPA chama o documento central de transparência de Privacy Notice, o Aviso de Privacidade. É o equivalente ao que chamamos de política de privacidade no mercado brasileiro.

Uma das exigências mais práticas do SB 297: o Aviso precisa ser publicado online através de um hyperlink conspícuo usando a palavra "privacy" na página inicial do controlador. Não um link genérico no rodapé com fonte pequena. Um link visível, encontrável, usando especificamente a palavra "privacy".

Além disso, o Aviso precisa estar disponível em cada idioma no qual a empresa oferece produtos ou serviços, e ser razoavelmente acessível a pessoas com deficiência.

Isso é um nível de detalhe que a maioria das empresas ignora. Mas que o Procurador Geral de Montana não vai ignorar.

A lei é específica sobre o conteúdo obrigatório do documento. Vamos por partes.

O Aviso precisa listar as categorias de dados pessoais que a empresa coleta e processa, e para que cada categoria é usada.

Dados pessoais sob a MTCDPA é qualquer informação vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável. Isso inclui nome, endereço, e-mail, IP, histórico de navegação, dados de localização, histórico de compras, preferências, e qualquer dado que permita identificar uma pessoa, direta ou indiretamente.

Isso é idêntico à definição da LGPD no Art. 5º, I, e do GDPR no Art. 4(1). A convergência entre as leis modernas de privacidade é grande nesse ponto.

Para cada categoria de dado listada, a finalidade precisa ser específica. Não basta escrever "para melhorar nossos serviços". A lei exige finalidades legítimas, específicas e claramente informadas ao consumidor. Finalidades vagas ou genéricas não atendem à exigência.

Se você coleta e-mail para envio de newsletter: diga isso. Se usa o histórico de navegação para personalização de conteúdo: especifique. Se processa dados de localização para exibir ofertas regionais: declare.

A MTCDPA tem uma categoria especial de dados que exige mais cuidado.

Dados sensíveis incluem: origem racial ou étnica, crenças religiosas, diagnósticos de saúde mental ou física, vida sexual ou orientação sexual, status de cidadania ou imigração, dados genéticos ou biométricos usados para identificação individual, dados de geolocalização precisa, e dados pessoais de crianças menores de 13 anos.

O SB 297 é direto: dados sensíveis não podem ser processados sem obter o consentimento explícito do consumidor primeiro.

E vai além: se a empresa oferece um serviço online, produto ou funcionalidade a um consumidor que o controlador sabe ser menor de idade, ou deliberadamente ignora que pode ser, precisa tomar cuidado razoável para evitar risco elevado de dano ao menor causado por esse serviço, produto ou funcionalidade.

O Aviso de Privacidade precisa identificar se dados sensíveis são coletados e como o consentimento é obtido para cada categoria.

Esse princípio ecoa o Art. 11 da LGPD, que também exige consentimento específico e destacado para dados sensíveis, e o Art. 9(2) do GDPR.

Se a empresa compartilha dados com terceiros, o Aviso precisa listar as categorias de dados compartilhados e as categorias de terceiros que os recebem.

Isso inclui fornecedores de CRM, plataformas de e-mail marketing, ferramentas de analytics, redes de anúncios, parceiros comerciais, e qualquer outro serviço que receba dados dos seus usuários.

O SB 297 adicionou um requisito específico que vai além da lista: se a empresa vende dados pessoais a terceiros ou processa dados para publicidade segmentada, o Aviso precisa divulgar isso de forma clara e conspícua, e fornecer um mecanismo acessível para o consumidor fazer opt-out dessa prática.

Esse mecanismo de opt-out não pode estar enterrado em uma página de difícil acesso. Precisa estar no mesmo nível de visibilidade do restante do Aviso.

Para agências de marketing digital que gerenciam múltiplos clientes, essa exigência impacta diretamente os contratos de serviço: o site do cliente precisa ter essa divulgação, e a agência precisa garantir que a implementação está correta.

O Aviso precisa explicar como os consumidores podem exercer os direitos garantidos pela MTCDPA, incluindo o processo de apelação caso uma solicitação seja negada.

Os direitos garantidos pela lei incluem: confirmar se os dados estão sendo processados e acessá-los, corrigir imprecisões, solicitar a exclusão, obter portabilidade dos dados, fazer opt-out de publicidade segmentada, venda de dados e perfilamento com efeitos legais.

Não basta listar os direitos. O Aviso precisa descrever como o consumidor os exerce na prática: qual canal usar, como funciona a verificação de identidade, qual o prazo de resposta, e o que acontece se o pedido for negado.

O prazo de resposta é de 45 dias. O processo de apelação tem prazo de 60 dias. Tudo isso precisa estar comunicado no documento.

Uma boa referência para estruturar esse processo é entender o que é e como funciona um mapeamento de dados interno, porque sem saber onde os dados estão, não dá para respondê-las dentro do prazo.

O SB 297 exige que os controladores ofereçam um mecanismo efetivo para os consumidores exercerem seus direitos ou revogarem o consentimento, que seja pelo menos tão fácil de usar quanto o mecanismo utilizado para dar o consentimento.

O Aviso precisa descrever esses métodos. O mínimo são dois canais: geralmente um formulário online combinado com um endereço de e-mail dedicado.

O Aviso não pode exigir que o consumidor crie uma nova conta para exercer seus direitos. Pode usar uma conta existente para autenticação, mas não pode criar barreiras novas.

O SB 297 tornou obrigatório incluir a data em que o Aviso foi atualizado pela última vez.

Quando uma mudança material é feita nas práticas de tratamento de dados, a empresa precisa notificar os consumidores e dar uma oportunidade razoável para que retirem o consentimento antes que as novas práticas entrem em vigor.

Isso é operacionalmente relevante. Significa que adicionar uma nova ferramenta de analytics, um novo pixel de publicidade, ou um novo parceiro de dados que não estava no Aviso anterior configura uma mudança material. E exige atualização do documento com notificação aos usuários.

O tema de dados sensíveis merece atenção especial porque é onde o risco regulatório é mais alto.

A MTCDPA proíbe explicitamente processar dados sensíveis sem obter o consentimento do consumidor antes.

Isso significa que o fluxo de consentimento da sua empresa precisa ter um momento específico onde o consumidor autoriza o uso de dados sensíveis, antes que qualquer processamento aconteça. Não é possível coletar e depois pedir autorização retroativa.

O Aviso de Privacidade precisa informar:

Quais categorias de dados sensíveis são coletadas.

Para qual finalidade específica cada categoria é usada.

Como o consentimento é obtido para cada categoria.

Como o consumidor revoga esse consentimento.

Esse mesmo padrão aparece na LGPD no Art. 11, que exige consentimento específico e destacado para dados sensíveis, e no GDPR no Art. 9(2)(a), que também exige consentimento explícito separado do consentimento geral.

A MTCDPA tem definições claras de quem é o controlador e quem é o operador, e essas definições impactam o que precisa estar no Aviso de Privacidade.

O controlador é a entidade que determina a finalidade e os meios do processamento de dados pessoais. O operador é a entidade que processa dados em nome do controlador, seguindo suas instruções.

Entender essa diferença entre controlador e operador define quem assume a obrigação de publicar o Aviso de Privacidade, quem responde às solicitações dos consumidores, e quem precisa conduzir as avaliações de proteção de dados.

Se a sua empresa é o controlador, o Aviso de Privacidade é sua responsabilidade. Se você opera como operador processando dados em nome de outro controlador, você precisa auxiliar o controlador a cumprir suas obrigações, mas o Aviso público é responsabilidade dele.

Para agências digitais que gerenciam sites de clientes, essa distinção é crítica. O site do cliente é controlador. A agência geralmente é operadora. O contrato entre as partes precisa refletir isso.

Além do Aviso público, a MTCDPA exige que os controladores conduzam avaliações internas de proteção de dados para determinadas atividades.

Essas avaliações são obrigatórias quando a empresa processa dados para publicidade segmentada, quando vende dados pessoais, quando usa perfilamento que apresenta risco previsível de dano ao consumidor, quando processa dados sensíveis, e para qualquer atividade de processamento que apresente risco elevado de dano.

As avaliações não precisam ser publicadas no Aviso de Privacidade. Mas precisam ser documentadas internamente e disponibilizadas ao Procurador Geral do Estado mediante solicitação.

O conceito é parecido com o Relatório de Impacto à Proteção de Dados (RIPD) da LGPD e com a Data Protection Impact Assessment (DPIA) do GDPR. A lógica é a mesma: antes de processar dados de forma arriscada, avalie os riscos e documente.

A MTCDPA exige que os controladores estabeleçam, implementem e mantenham práticas razoáveis de segurança de dados, apropriadas ao volume e à natureza dos dados processados.

Isso não é um padrão técnico específico. É proporcionalidade: quanto mais dados sensíveis a empresa coleta, mais robustas precisam ser as medidas de segurança.

O Aviso de Privacidade deve informar de forma geral que medidas de segurança são adotadas para proteger os dados. Não é necessário detalhar a arquitetura técnica, mas o compromisso com a segurança precisa estar declarado.

Essa obrigação aparece de forma muito similar na LGPD no Art. 46, que exige medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e situações acidentais ou ilícitas.

O privacy by design é a abordagem que transforma essa exigência em prática real: construir a segurança desde a concepção do produto, não adicionar depois como remendo.

Se a empresa usa prestadores de serviço que processam dados em seu nome, como plataformas de e-mail, CRMs, ferramentas de analytics ou provedores de pagamento, esses são operadores.

A MTCDPA exige que o contrato entre controlador e operador cubra uma série de obrigações: instruções claras para o processamento, natureza e finalidade, tipos de dados, duração, direitos e obrigações de ambas as partes.

O contrato em si não precisa estar no Aviso de Privacidade. Mas o Aviso precisa informar que terceiros processam dados em nome da empresa e quais categorias de dados estão envolvidas.

O ROPA é a ferramenta que documenta internamente todas essas relações de processamento. Ter um ROPA atualizado facilita muito a elaboração e manutenção de um Aviso de Privacidade preciso.

A MTCDPA proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos de privacidade.

Isso significa que não é permitido negar serviços, cobrar preços diferentes, ou oferecer qualidade inferior a consumidores que fizeram opt-out de publicidade segmentada ou solicitaram a exclusão dos dados.

O Aviso de Privacidade precisa refletir esse compromisso. Os consumidores precisam saber que exercer seus direitos não terá consequências negativas sobre o serviço que recebem.

Isso está alinhado com o que a CCPA e a TDPSA também estabelecem, e é parte de um padrão que as leis americanas modernas de privacidade têm adotado de forma consistente.

A resposta direta é: sempre que houver mudança material nas práticas de tratamento de dados.

O SB 297 deixa claro que, quando o controlador faz uma mudança material no Aviso de Privacidade ou nas práticas de privacidade, precisa notificar os consumidores e dar uma oportunidade razoável para que retirem o consentimento.

Na prática, isso acontece quando a empresa:

Passa a usar uma nova ferramenta de analytics ou publicidade que não estava listada.

Adiciona um novo parceiro de dados ou categoria de terceiros que recebem informações.

Muda a finalidade de uso de uma categoria de dado já coletada.

Começa a processar dados sensíveis que antes não coletava.

Muda as práticas de retenção de dados.

Altera os canais de exercício de direitos.

O Aviso desatualizado que não reflete a realidade operacional da empresa é uma violação da lei. E é uma das violações mais fáceis de identificar em uma investigação do Procurador Geral.

Para quem já gerencia cookies e privacidade em múltiplos mercados, vale entender onde as exigências se alinham e onde diferem.

A estrutura central é a mesma nas três legislações: informar o que é coletado, para que é usado, com quem é compartilhado, por quanto tempo, como os direitos são exercidos, e como a empresa protege os dados.

As diferenças relevantes:

A LGPD exige que o documento informe a base legal de cada tratamento. A MTCDPA não tem um sistema explícito de bases legais, mas o princípio da necessidade e da limitação de finalidade estão presentes.

O GDPR exige que o Aviso informe o período de retenção de dados para cada categoria. A MTCDPA não especifica esse requisito no mesmo nível, mas o princípio de necessidade implica que os dados não podem ser mantidos por mais tempo do que necessário.

O SB 297 adicionou o requisito de data de última atualização, que não existe de forma explícita na versão original da MCDPA mas é exigido pelo GDPR e é boa prática reconhecida no mercado.

Para quem quer um Aviso que atenda múltiplas jurisdições, o caminho mais eficiente é construir com base no conjunto mais exigente de requisitos, geralmente o GDPR, e adaptar os elementos específicos de cada lei. Nosso comparativo entre as principais leis de privacidade mostra onde os requisitos se sobrepõem.

Um Aviso incompleto, genérico ou desalinhado com a prática real é uma violação da MTCDPA.

O SB 297 estabelece uma penalidade civil máxima de US$ 7.500 por violação. O Procurador Geral tem autoridade exclusiva para investigar e ajuizar ações, além de poder buscar injunção e honorários advocatícios.

O processo começa com notificação escrita ao infrator com 30 dias para corrigir. Se corrigir e documentar adequadamente, a ação pode não ser ajuizada. Se não corrigir, as sanções são aplicadas por violação.

Um Aviso ausente ou inadequado que afeta milhares de usuários de Montana pode gerar milhares de violações. A conta cresce rápido.

A MTCDPA não exige formalmente a nomeação de um DPO ou encarregado de dados. Mas a complexidade das obrigações da lei, especialmente as revisões do SB 297, torna praticamente obrigatório ter alguém responsável por isso dentro da empresa.

Essa pessoa precisa monitorar as mudanças operacionais que impactam o Aviso, coordenar as atualizações do documento, gerenciar as notificações aos consumidores quando há mudanças materiais, e garantir que o Aviso reflete a realidade do tratamento de dados a todo momento.

Sem esse responsável pela proteção de dados definido, o Aviso de Privacidade se torna um documento estático que rapidamente deixa de refletir a realidade da empresa.

A AdOpt não escreve o Aviso de Privacidade por você. Mas fornece a infraestrutura que faz o documento ter correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas no site, o que alimenta a lista de categorias de dados e terceiros que precisam estar no Aviso. A plataforma de gestão de consentimentos garante que o mecanismo de consentimento e opt-out funciona conforme descrito no documento.

O registro de consentimentos documenta cada interação do usuário com o aviso de cookies, o que é exatamente a evidência que você precisaria apresentar ao Procurador Geral em caso de investigação.

E quando a lei muda, como aconteceu com o SB 297, a plataforma atualiza para manter a conformidade sem que você precise reconfigurar do zero.

Mais de 60 mil sites já operam com a AdOpt. Desde o plano gratuito até soluções para grandes operações com audiência global.

Tá na AdOpt, tá bem.

Quer entender como estruturar o Aviso de Privacidade do seu site em conformidade com a MTCDPA e as demais legislações? Fale com a nossa equipe.

Hyperlink conspícuo com a palavra "privacy" na página inicial do site, conforme o SB 297.

Categorias de dados pessoais processados, com descrição específica de cada uma.

Finalidade do processamento para cada categoria, sem descrições vagas ou genéricas.

Identificação de dados sensíveis coletados e como o consentimento prévio é obtido para cada categoria.

Categorias de terceiros que recebem dados e quais categorias de dados são compartilhadas com eles.

Divulgação clara de venda de dados ou publicidade segmentada, com mecanismo de opt-out acessível, conforme o SB 297.

Como exercer os direitos garantidos pela MTCDPA, com descrição do processo para cada direito.

Dois ou mais canais para envio de solicitações, com informação sobre prazo de resposta de 45 dias.

Processo de apelação descrito e acessível, com prazo de 60 dias.

Compromisso de não discriminação para consumidores que exercem seus direitos.

Medidas gerais de segurança adotadas para proteção dos dados.

Tratamento de dados de crianças menores de 13 anos, com declaração de como o consentimento parental é obtido ou que dados de menores não são coletados intencionalmente.

Data da última atualização, conforme exigido pelo SB 297.

Disponibilidade em todos os idiomas nos quais o controlador oferece produtos ou serviços.

Acessibilidade para pessoas com deficiência, conforme a exigência da lei.

1. O que muda no Aviso de Privacidade com o SB 297 em relação à versão anterior da MCDPA?

O SB 297, em vigor desde 1º de outubro de 2025, trouxe mudanças importantes: a obrigação de incluir a data de última atualização no documento, a exigência de notificar consumidores quando há mudanças materiais com oportunidade de revogação do consentimento, a publicação via hyperlink conspícuo usando a palavra "privacy", disponibilidade em todos os idiomas de atendimento, acessibilidade para pessoas com deficiência, e a obrigação específica de divulgar práticas de venda de dados e publicidade segmentada com mecanismo de opt-out.

2. Minha empresa está fora dos EUA. Preciso de um Aviso de Privacidade para consumidores de Montana?

Se o seu site oferece produtos ou serviços a residentes de Montana e processa dados deles em escala que supera os limites da lei, sim. A MTCDPA tem alcance extraterritorial baseado em onde estão os consumidores, não onde está a empresa. A lógica é a mesma da LGPD brasileira.

3. O Aviso de Privacidade pode ser o mesmo documento para MTCDPA, LGPD e GDPR?

Com os ajustes corretos, sim. A estrutura central se sobrepõe bastante entre as três legislações. As diferenças estão em detalhes específicos como a base legal de cada tratamento (exigida pela LGPD e GDPR, não explicitamente pela MTCDPA), os avisos específicos sobre venda de dados sensíveis, e os prazos de resposta a solicitações. Uma política bem estruturada consegue atender os três mercados a partir de um único documento com seções adaptadas.

4. Com que frequência devo revisar o Aviso de Privacidade?

No mínimo anualmente. Mas a revisão precisa acontecer sempre que houver mudança material nas práticas de tratamento: nova ferramenta de analytics, novo parceiro de dados, nova categoria de dados coletada, mudança de finalidade. O encarregado de dados ou responsável pela conformidade precisa ter um processo para monitorar essas mudanças e acionar a atualização do documento.

5. O que acontece se o Procurador Geral de Montana identificar que meu Aviso está desatualizado?

O processo começa com uma notificação escrita com 30 dias para corrigir a violação. Se a empresa corrigir dentro do prazo, documentar e apresentar evidências, a ação pode não ser ajuizada. Se não corrigir, a penalidade pode chegar a US$ 7.500 por violação, com o Procurador Geral podendo ainda buscar injunção e honorários.

Privacidade não é um banner. É posicionamento.

Um Aviso de Privacidade funcional, honesto e atualizado não é só um requisito legal. É o documento que diz ao visitante do seu site: sabemos o que coletamos, para que usamos, e você tem controle sobre isso.

Tá na AdOpt, tá bem.

Pronto para estruturar o Aviso de Privacidade do seu site em conformidade com a MTCDPA e as demais leis globais de privacidade? Fale com a nossa equipe.