Você coleta dados de consumidores de New Hampshire. Mas quando uma dessas pessoas pede para saber o que você tem sobre ela, o que acontece?

Essa pergunta deixa muita empresa sem resposta. E a New Hampshire Data Privacy Act (NHDPA, RSA 507-H), em vigor desde 1º de janeiro de 2025.

A lei garante direitos claros e concretos para os consumidores do estado. E para cada um desses direitos, existe uma obrigação correspondente do seu lado. Este artigo cobre tudo isso: o que é uma DSAR, quais são os direitos garantidos pela NHDPA, como processar cada tipo de solicitação, quais prazos aplicar, e o que acontece quando algo dá errado.

DSAR é a sigla em inglês para Data Subject Access Request, ou Solicitação de Acesso do Titular dos Dados. Na prática, é qualquer pedido formal feito por um consumidor para exercer os direitos que a lei garante a ele sobre os próprios dados.

Isso inclui pedir para ver o que você coletou, corrigir uma informação errada, solicitar a exclusão dos dados, pedir uma cópia portátil, recusar o uso dos dados para publicidade, ou contestar uma decisão da sua empresa sobre um pedido anterior.

Se você já conhece a LGPD, a estrutura do Portal do Titular vai soar bastante familiar. A NHDPA segue a mesma lógica: o titular precisa de um canal funcional para exercer os direitos que a lei garante.

O Portal do Titular é a interface digital que centraliza esse processo.

Conforme RSA 507-H:4, os residentes de New Hampshire têm seis direitos principais:

O consumidor pode pedir confirmação de que a empresa processa os dados dele e obter uma cópia dos dados pessoais que ela tem sobre ele, conforme RSA 507-H:4, I, a.

A cópia precisa estar em formato legível. Se o processamento é feito por meios eletrônicos, o formato também precisa ser portátil.

O consumidor pode solicitar a correção de dados pessoais imprecisos, considerando a natureza e a finalidade do processamento, conforme RSA 507-H:4, I, b.

Isso inclui qualquer dado desatualizado, incompleto ou incorreto. A empresa não pode ignorar esse pedido alegando que o dado é antigo ou que já foi usado para uma finalidade específica.

O consumidor pode pedir a exclusão dos dados pessoais que ele forneceu ou que foram coletados sobre ele, conforme RSA 507-H:4, I, c.

Há exceções. A empresa pode recusar se o processamento for necessário para cumprir obrigação legal, para defesa em processos judiciais, ou para finalidades protegidas expressamente pela lei. Mas a recusa precisa ser justificada.

O consumidor pode obter uma cópia dos dados em formato portátil e tecnicamente utilizável quando o processamento é realizado por meios automatizados, conforme RSA 507-H:4, I, d. Isso facilita a transferência dos dados para outro serviço.

O consumidor pode recusar o processamento dos seus dados para três finalidades específicas (RSA 507-H:4, I, e):

Publicidade segmentada.

Venda de dados pessoais a terceiros.

Perfilamento com efeitos legais ou igualmente significativos sobre o consumidor.

O opt-out para publicidade segmentada e venda de dados precisa ser acessível via link claro e conspícuo no site, conforme exigido pelo RSA 507-H:6, V, a, 1. A empresa não pode criar obstáculos para que o consumidor exerça esse direito.

Se a empresa negar um pedido, o consumidor tem o direito de apelar da decisão, conforme RSA 507-H:4, II. A empresa precisa fornecer um processo de apelação que seja conveniente e comparável ao mecanismo de envio original.

O prazo para resposta de apelações é de 60 dias, conforme RSA 507-H:4, II, b.

Se a apelação também for negada, a empresa precisa informar como o consumidor pode registrar uma reclamação com o Attorney General de New Hampshire.

A NHDPA é clara nos prazos e não há muito espaço para interpretação.

45 dias a partir do recebimento de uma solicitação autenticada para responder (RSA 507-H:4, III, a).

O prazo pode ser estendido por mais 45 dias em casos de volume elevado ou complexidade, desde que o consumidor seja notificado dentro do prazo inicial com a justificativa da extensão (RSA 507-H:4, III, a).

60 dias para responder a apelações (RSA 507-H:4, II, b).

Esses prazos começam a contar quando a solicitação é recebida e autenticada. Se a empresa solicitar informações adicionais para verificar a identidade do solicitante, o prazo fica suspenso até que essa verificação seja concluída, desde que o pedido de informações seja razoável e proporcional.

Para fins de contagem do prazo, o recebimento da solicitação acontece quando a empresa tem a informação necessária para identificar o consumidor e processar o pedido.

Se o processo de verificação de identidade ainda estiver pendente, o prazo começa a contar apenas após a confirmação. Por isso, o processo de verificação precisa ser ágil e proporcional ao tipo de dado envolvido.

Conforme RSA 507-H:6, V, o controlador precisa disponibilizar pelo menos um mecanismo seguro e confiável para que os consumidores enviem solicitações de exercício de direitos.

Esse mecanismo precisa atender a dois requisitos fundamentais:

Não pode exigir que o consumidor crie uma nova conta para exercer os direitos garantidos pela lei (RSA 507-H:6, V, b).

Precisa incluir um link claro e conspícuo para uma página onde o consumidor pode exercer especificamente o opt-out de publicidade segmentada e venda de dados (RSA 507-H:6, V, a, 1).

Um Portal do Titular bem estruturado oferece:

Formulário de submissão de solicitações com categorias claras (acesso, correção, exclusão, portabilidade, opt-out).

Processo de verificação de identidade proporcional e não discriminatório.

Confirmação automática de recebimento com protocolo de acompanhamento.

Registro de cada solicitação e resposta para fins de auditoria.

Canal de apelação para casos de recusa.

O consentimento no site e o Portal do Titular precisam estar integrados para que as preferências do consumidor sejam refletidas em tempo real nos sistemas da empresa.

A empresa precisa verificar se quem está enviando a solicitação é realmente o titular dos dados. Mas esse processo não pode ser uma barreira.

A NHDPA não especifica um método único de verificação, mas o padrão geral é que a verificação deve ser proporcional à sensibilidade dos dados envolvidos e ao risco de dano ao consumidor.

Na prática, isso significa:

Para dados de baixo risco: um e-mail de confirmação pode ser suficiente.

Para dados sensíveis ou com risco de dano elevado: pode ser necessário um segundo fator de verificação.

O que nunca é aceitável: exigir documentos que vão além do razoável para verificar a identidade, como documentos de identidade físicos para acesso a dados simples de navegação.

A empresa também não pode exigir criação de nova conta, uso de plataformas de terceiros sem relação com o serviço original, ou fornecer mais dados pessoais do que os necessários para identificação.

Conforme RSA 507-H:4, III, c, o atendimento de solicitações é gratuito uma vez por ano por consumidor.

A partir da segunda solicitação dentro do mesmo período de 12 meses, a empresa pode cobrar uma taxa razoável ou recusar o atendimento se a solicitação for manifestamente infundada, excessiva ou repetitiva.

Mas o ônus da prova é da empresa. Ou seja, se você quiser cobrar ou recusar, precisa conseguir demonstrar que a solicitação é de fato excessiva. Não basta a avaliação subjetiva.

Cada tipo de solicitação tem um fluxo específico. Veja como processar cada uma.

Receba a solicitação e autentique o titular.

Localize todos os dados pessoais que a empresa tem sobre esse consumidor nos seus sistemas.

Prepare uma cópia em formato legível.

Inclua na resposta: categorias de dados, finalidades do processamento, terceiros com quem os dados foram compartilhados, e período de retenção.

Envie dentro do prazo de 45 dias.

O mapeamento de dados atualizado é o que torna esse processo viável. Sem um inventário claro de onde os dados estão, a localização fica manual e propensa a erros.

Receba e autentique.

Identifique qual dado está impreciso e onde ele está armazenado.

Corrija nos sistemas primários e, quando aplicável, notifique os terceiros que receberam o dado para que façam a correção do lado deles.

Confirme ao titular que a correção foi realizada.

Receba e autentique.

Verifique se há uma exceção legal que permita reter os dados (obrigação legal, defesa judicial, finalidade protegida pela lei).

Se não houver exceção: exclua os dados de todos os sistemas onde eles estão armazenados, incluindo backups quando tecnicamente viável.

Notifique terceiros que receberam os dados para que também os excluam quando aplicável.

Confirme ao titular com o detalhamento do que foi excluído e o que eventualmente foi retido com a justificativa legal.

Receba e autentique.

Gere um arquivo com os dados do titular em formato portátil e legível por máquina (como JSON ou CSV).

Entregue ao titular de forma segura dentro do prazo.

Esse é o mais urgente de todos. Quando o consumidor exerce o opt-out de publicidade segmentada, venda de dados, ou perfilamento com efeitos significativos, os sistemas precisam ser atualizados imediatamente.

E há um prazo específico para isso: conforme RSA 507-H:6, I, f, após a revogação do consentimento, a empresa tem no máximo 15 dias para cessar o processamento.

Isso significa que os sistemas de CRM, plataformas de e-mail marketing, pixels de publicidade e ferramentas de analytics precisam ser configurados para aceitar e processar esse comando em até 15 dias. Não é opcional.

Uma plataforma de gestão de consentimentos integrada aos sistemas da empresa automatiza boa parte desse fluxo.

A empresa pode negar uma solicitação quando:

Não consegue verificar a identidade do titular.

O pedido é manifestamente infundado ou excessivo.

O processamento é necessário por razão legal ou contratual que prevalece sobre o direito de exclusão.

Em todos os casos, a recusa precisa ser comunicada ao titular dentro do prazo de 45 dias. A comunicação deve:

Informar a razão da recusa de forma clara.

Explicar como o titular pode apelar da decisão.

Indicar o processo de apelação disponível.

O processo de apelação precisa ser acessível e prático. A empresa tem 60 dias para responder à apelação (RSA 507-H:4, II, b). Se a apelação também for negada, o titular deve ser informado de que pode registrar reclamação com o Attorney General.

A NHDPA proíbe expressamente que a empresa discrimine consumidores que exercem os direitos garantidos pela lei (RSA 507-H:6, II).

Isso significa que a empresa não pode:

Negar produtos ou serviços ao consumidor que exerceu o opt-out.

Cobrar preços diferentes por ter exercido um direito.

Oferecer qualidade inferior de serviço como retaliação por uma solicitação.

Há uma exceção específica: programas de fidelidade ou benefícios que oferecem valor em troca do uso de dados são permitidos, desde que os benefícios sejam razoavelmente relacionados ao valor que os dados representam para a empresa.

O RSA 507-H:6, I, g traz uma proteção adicional que impacta o Portal do Titular: quando a empresa tem conhecimento real de que um consumidor tem entre 13 e 15 anos, ela não pode processar os dados dessa pessoa para publicidade segmentada nem vendê-los sem consentimento explícito.

Se o seu portal recebe solicitações de usuários nessa faixa etária, o processo precisa ter tratamento diferenciado para garantir que esse consentimento existe ou não existe, conforme o caso.

Cada solicitação processada precisa estar documentada. Isso inclui:

Data e hora de recebimento.

Tipo de solicitação.

Processo de verificação de identidade realizado.

Ação tomada.

Data e forma de resposta ao titular.

Em caso de recusa: justificativa registrada.

Em caso de apelação: todo o histórico da apelação e decisão.

Essa documentação é o que protege a empresa em caso de investigação do Attorney General. Sem registro, não há como provar que o processo foi cumprido dentro dos prazos.

O ROPA atualizado é o documento central dessa trilha de auditoria.

Em 2025, antes de iniciar um processo, o Attorney General era obrigado a notificar a empresa e dar 60 dias para corrigir qualquer violação (RSA 507-H:11, II). A partir de 2026, esse período de cura passou a ser discricionário (RSA 507-H:11, III).

Isso impacta diretamente o Portal do Titular: uma empresa sem processo estruturado para atender DSARs pode ser alvo de ação direta, sem garantia de prazo para corrigir.

As violações são enquadradas sob o RSA 358-A:2 (Consumer Protection Act), com penalidades de referência de até US$ 10.000 por violação.

A AdOpt registra cada interação de consentimento e revogação com timestamp e identificador único. Quando o consumidor revoga o consentimento via Portal do Titular, o sistema atualiza automaticamente os disparadores de cookies e rastreadores, dentro do prazo de 15 dias exigido pela NHDPA.

O log auditável da AdOpt serve como evidência de que o processo foi cumprido conforme determinado pela lei. E quando a legislação muda, a plataforma atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar o Portal do Titular do seu site em conformidade com a NHDPA? Fale com a nossa equipe.

Canal de submissão de solicitações sem exigência de criação de nova conta (RSA 507-H:6, V, b).

Cobertura dos 6 direitos garantidos pela NHDPA: acesso, correção, exclusão, portabilidade, opt-out e apelação.

Link conspícuo de opt-out de publicidade segmentada e venda de dados (RSA 507-H:6, V, a, 1).

Prazo de 45 dias para resposta, com possibilidade de extensão por mais 45 com notificação (RSA 507-H:4, III, a).

Prazo de 60 dias para resposta a apelações (RSA 507-H:4, II, b).

Processo de verificação de identidade proporcional e não discriminatório.

Resposta gratuita uma vez por ano por consumidor (RSA 507-H:4, III, c).

Cessação de processamento em até 15 dias após revogação de consentimento (RSA 507-H:6, I, f).

Registro documentado de cada solicitação, ação tomada e resposta enviada.

Processo de apelação acessível com informação sobre reclamação ao Attorney General em caso de segunda recusa.

Proteção contra discriminação de consumidores que exercem seus direitos (RSA 507-H:6, II).

Tratamento diferenciado para consumidores de 13 a 15 anos (RSA 507-H:6, I, g).

Notificação a terceiros quando aplicável para exclusão ou correção dos dados compartilhados.

Tipo de solicitação	Prazo de resposta	Extensão possível
Acesso, correção, exclusão, portabilidade	45 dias	+45 dias com notificação
Opt-out (publicidade, venda, perfilamento)	45 dias	+45 dias com notificação
Cessação após revogação de consentimento	15 dias	Não há extensão
Apelação de decisão	60 dias	Não especificado

Outros estados dos EUA com legislações similares, como a TDPSA do Texas e a TIPA do Tennessee, seguem estruturas parecidas com variações nos prazos e critérios de aplicação.

1. A NHDPA exige obrigatoriamente um Portal do Titular separado?
Não pelo nome. O RSA 507-H:6, V exige que o controlador disponibilize pelo menos um mecanismo seguro e confiável para submissão de solicitações. Um Portal do Titular dedicado é a forma mais organizada de atender a esse requisito, mas um formulário de contato bem estruturado ou um endereço de e-mail ativo e monitorado também podem cumprir a exigência, desde que atendam a todos os critérios da lei.

2. Qual é o prazo para processar um opt-out de publicidade segmentada?
Existem dois prazos distintos que precisam ser observados. O prazo geral de resposta à solicitação é de 45 dias a partir do recebimento autenticado, conforme RSA 507-H:4, III, a. Mas o prazo para cessação efetiva do processamento após revogação do consentimento é de 15 dias, conforme RSA 507-H:6, I, f. Os dois prazos correm simultaneamente e precisam ser atendidos de forma independente.

3. A empresa pode cobrar pelo atendimento de uma DSAR?
O atendimento é gratuito uma vez por ano por consumidor, conforme RSA 507-H:4, III, c. A partir da segunda solicitação no mesmo período de 12 meses, a empresa pode cobrar taxa razoável ou recusar se a solicitação for manifestamente infundada, excessiva ou repetitiva. O ônus de provar o caráter excessivo é da empresa.

4. O que acontece se a empresa negar uma solicitação sem justificativa adequada?
O consumidor pode apelar da decisão no prazo de 60 dias, conforme RSA 507-H:4, II. Se a apelação for negada, pode registrar reclamação com o Attorney General de New Hampshire. A partir de 2026, o Attorney General pode iniciar ação direta sem garantia de período de cura para a empresa (RSA 507-H:11, III), com penalidades de referência de até US$ 10.000 por violação sob o RSA 358-A:2.

5. Como lidar com solicitações de adolescentes entre 13 e 15 anos?
O RSA 507-H:6, I, g exige tratamento especial para consumidores nessa faixa etária. Quando a empresa tem conhecimento real de que o solicitante tem entre 13 e 15 anos, o processamento de dados para publicidade segmentada e a venda de dados sem consentimento explícito são proibidos. O Portal do Titular precisa ter fluxo específico para identificar e tratar essas solicitações de forma diferenciada, garantindo que as restrições adicionais sejam aplicadas automaticamente.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal do Titular do seu site em conformidade com a NHDPA? Fale com a nossa equipe.