Cookies operam em silêncio.

Esta página cobre uma parte do quadro. Para o escopo completo da NHDPA — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da NHDPA e cookies.

Você instala um pixel de publicidade, configura o Google Analytics, adiciona um chat de suporte. Cada uma dessas ferramentas coloca alguma coisa no dispositivo do visitante e começa a coletar dados, geralmente antes que qualquer pergunta seja feita.

A New Hampshire Data Privacy Act (NHDPA, RSA 507-H), em vigor desde 1º de janeiro de 2025, quebrou esse silêncio de vez.

Este artigo é focado exclusivamente no que a NHDPA exige da Política de Cookies: o que precisa estar no documento, como o consentimento de rastreadores precisa funcionar, o que é proibido, e o que a lei diz especificamente sobre cada ponto.

O banner de cookies é o que o visitante vê ao acessar o site pela primeira vez. É a interface visual do consentimento, onde o usuário escolhe o que aceita. Precisa ser claro, oferecer opções reais, e bloquear rastreadores não consentidos antes de dispararem.

A Política de Cookies é o documento detalhado. É onde o usuário encontra as informações completas sobre cada tecnologia que opera no site.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política precisa estar acessível com um link simples no próprio aviso de consentimento.

O RSA 507-H:6, I, b proíbe o processamento de dados para finalidades incompatíveis com as declaradas ao consumidor, salvo novo consentimento. E o RSA 507-H:6, III, b exige que a finalidade do processamento esteja no aviso de privacidade.

Para cookies, isso se traduz em descrições específicas para cada categoria. Não funciona escrever "usamos cookies para melhorar sua experiência". Não é uma finalidade. É uma frase que não protege a empresa de nada.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas e origem do tráfego. Utilizados para identificar oportunidades de melhoria de conteúdo e experiência no site."

"Cookies de publicidade: coletam dados de comportamento em diferentes sites para construir perfis de interesse e exibir anúncios personalizados. Incluem pixels de plataformas como Meta Ads e Google Ads."

A Política precisa listar as categorias de rastreadores que operam no site. As principais:

Cookies necessários: essenciais para o funcionamento básico. Autenticação, segurança de sessão. Não precisam de consentimento, mas precisam ser documentados.

Cookies de analytics: medem comportamento de navegação. Google Analytics, Hotjar e similares. Precisam de consentimento porque coletam dados que podem identificar o usuário por cruzamento de informações.

Cookies de publicidade: alimentam pixels de anúncio, constroem perfis comportamentais, habilitam remarketing. Precisam de consentimento explícito sempre.

Cookies funcionais: lembram preferências do usuário. Podem precisar de consentimento dependendo da natureza dos dados.

Cookies de terceiros: disparados por serviços externos integrados ao site. A categorização correta de tags é o que permite documentar cada um com precisão.

O RSA 507-H:6, III, d e e exigem que a Política informe as categorias de dados compartilhados com terceiros e as categorias de terceiros que os recebem.

Se o site tem Meta Pixel, dados vão para a Meta. Se usa Google Analytics, para o Google. Se usa HubSpot, para o HubSpot. Cada fluxo precisa estar categorizado e declarado.

O RSA 507-H:6, IV vai além: se a empresa vende dados ou os processa para publicidade segmentada, essa prática precisa ser divulgada de forma clara e conspícua, junto com o mecanismo de opt-out.

O princípio de minimização do RSA 507-H:6, I, a exige que a coleta seja limitada ao que é adequado, relevante e razoavelmente necessário para as finalidades declaradas.

Para cookies, isso se traduz na necessidade de informar por quanto tempo os dados ficam armazenados, tanto no dispositivo do usuário quanto nos sistemas da empresa.

A NHDPA garante ao consumidor o direito de opt-out do processamento de dados para publicidade segmentada, conforme RSA 507-H:4, I, e.

O RSA 507-H:6, V, a, 1 exige especificamente um link claro e conspícuo no site direcionando a uma página onde o consumidor pode exercer esse opt-out.

Se o site usa Meta Pixel, Google Ads, TikTok Pixel ou qualquer ferramenta de mídia programática, você está operando publicidade segmentada. A Política precisa declarar isso e o opt-out precisa funcionar de verdade.

Uma plataforma de gestão de consentimentos bem configurada garante que quando o usuário exerce o opt-out, os rastreadores correspondentes param de disparar imediatamente.

O RSA 507-H:6, V, a, 1, B exige que a empresa respeite opt-out preference signals enviados por plataformas, tecnologias ou mecanismos indicando a intenção do consumidor de se opor ao processamento.

Mas há uma nuance importante diretamente no texto da lei: o sinal deve "require the consumer to make an affirmative, freely given, and unambiguous choice to opt-out". O GPC só é válido quando o consumidor o configurou de forma ativa e deliberada, não como configuração padrão automática do dispositivo ou navegador.

A Política de Cookies precisa mencionar que o site respeita o GPC quando configurado ativamente pelo usuário, não como padrão automático. E o funcionamento do aviso de cookies precisa estar configurado para detectar e honrar esse sinal corretamente.

O RSA 507-H:6, I, f é direto: após a revogação do consentimento, a empresa precisa cessar o processamento "as soon as practicable, but not later than 15 days after the receipt of such request".

Isso tem impacto operacional direto. Quando um usuário revoga o consentimento para cookies de publicidade ou analytics, os sistemas de marketing e rastreamento precisam ser atualizados em até 15 dias.

Uma CMP integrada com os sistemas da empresa automatiza boa parte desse processo.

O RSA 507-H:1, VII define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca.

O que não é consentimento válido:

Aceitar termos gerais que contenham descrições de tratamento de dados junto com outras informações.

Passar o mouse sobre, silenciar, pausar ou fechar um conteúdo.

Qualquer concordância obtida por meio de dark patterns.

O padrão correto: cookies necessários ligados, todos os outros desligados por padrão. O usuário escolhe o que ativa, não o que desativa.

Dark patterns são definidos no RSA 507-H:1, XII como interfaces projetadas com o efeito substancial de subverter ou prejudicar a autonomia, a tomada de decisão ou a escolha do usuário.

No contexto de cookies, exemplos comuns:

Botão de "aceitar tudo" em destaque, com o botão de recusar escondido ou com baixo contraste.

Cookies não essenciais ativados por padrão, obrigando o usuário a percorrer vários cliques para desativá-los.

Linguagem confusa nas opções de escolha.

Cookie wall: bloquear o acesso ao conteúdo até aceitar todos os cookies.

Janelas de consentimento que reaparecem até o usuário aceitar.

Qualquer um desses padrões invalida o consentimento obtido sob a NHDPA.

A resposta é: na maioria dos casos, sim.

A NHDPA define dados pessoais como qualquer informação vinculada ou razoavelmente vinculável a um indivíduo. Cookies analíticos de grandes plataformas coletam dados que, cruzados com outras informações, podem identificar um usuário específico.

O Guia Orientativo da ANPD já alertou sobre esse ponto no Brasil: grandes provedores têm capacidade de cruzar identificadores aparentemente anônimos com outros dados que possuem.

A abordagem mais segura: tratar cookies de analytics como não necessários no banner, bloquear antes do aceite, e documentar isso na Política de Cookies.

O RSA 507-H:6, I, g proíbe o uso de cookies para publicidade segmentada e a venda de dados sem consentimento quando o controlador sabe que o consumidor tem entre 13 e 15 anos.

Se o seu site pode ter usuários adolescentes, a Política de Cookies precisa mencionar essa proteção e como ela é implementada operacionalmente.

Sempre que o site passar a usar uma nova ferramenta que dispara cookies. O RSA 507-H:6, III, g exige que a data de última atualização esteja visível no documento.

Situações que exigem atualização:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics.

Novo plugin de chat ou suporte.

Nova integração com CRM ou plataforma de e-mail.

Qualquer parceiro novo que receba dados de comportamento.

O mapeamento de dados é o que mantém essa sincronia. Quando o inventário de ferramentas do site muda, a Política de Cookies precisa mudar junto.

Em 2025, havia garantia de 60 dias para correção antes de ação judicial. A partir de 2026, o período de cura é discricionário (RSA 507-H:11, III). Uma Política de Cookies inadequada pode resultar em ação direta sem garantia de prazo para corrigir.

As violações são enquadradas sob o RSA 358-A:2, com penalidades de referência de até US$ 10.000 por violação.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não necessários antes do aceite, apresenta categorias com descrições claras, oferece opções reais de escolha, respeita o GPC quando configurado ativamente pelo usuário, e documenta cada interação para auditoria.

A integração com os sistemas da empresa ajuda a processar revogações dentro do prazo de 15 dias exigido pela lei.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a NHDPA? Fale com a nossa equipe.

Link visível no rodapé e no próprio banner de cookies.

Listagem das categorias de cookies com descrição do que cada uma faz.

Finalidade específica para cada categoria, sem descrições vagas.

Categorias de dados compartilhados com terceiros e categorias de parceiros que os recebem (RSA 507-H:6, III, d e e).

Período de retenção de cada categoria.

Divulgação de publicidade segmentada com mecanismo de opt-out acessível via link conspícuo (RSA 507-H:6, IV e V, a, 1).

GPC respeitado quando configurado ativamente pelo usuário, com nuance de escolha afirmativa (RSA 507-H:6, V, a, 1, B).

Prazo de 15 dias para cessação do processamento após revogação (RSA 507-H:6, I, f).

Cookies não necessários desativados por padrão no banner, sem dark patterns (RSA 507-H:1, XII).

Proteção para adolescentes de 13 a 15 anos (RSA 507-H:6, I, g).

Data da última atualização do documento (RSA 507-H:6, III, g).

Ausência de cookie wall.

Idioma acessível, sem juridiquês.

1. A NHDPA exige um documento chamado "Política de Cookies"?
Não pelo nome. Mas o RSA 507-H:6, III, IV e V exigem que o aviso de privacidade cubra as práticas de coleta via cookies com finalidades específicas, informações sobre compartilhamento com terceiros, mecanismo de opt-out de publicidade segmentada e data de atualização. Uma Política de Cookies dedicada é a forma mais clara de organizar essas informações.

2. O prazo de 15 dias vale para qualquer revogação de consentimento?
Sim. O RSA 507-H:6, I, f determina que após receber a solicitação de revogação, a empresa deve cessar o processamento o mais rápido possível, no máximo em 15 dias. Isso vale para qualquer revogação de consentimento, incluindo opt-out de cookies não essenciais.

3. O GPC precisa ser respeitado automaticamente pelo site?
O RSA 507-H:6, V, a, 1, B exige respeito ao opt-out preference signal, mas com a condição de que ele represente uma escolha afirmativa e livre do consumidor, não uma configuração padrão automática. O site precisa estar configurado para detectar e honrar o GPC quando o usuário o ativou deliberadamente.

4. Cookies de analytics precisam de consentimento na NHDPA?
Na maioria dos casos, sim. Cookies analíticos de grandes plataformas coletam dados que podem identificar usuários por cruzamento de informações, enquadrando-se na definição de dados pessoais do RSA 507-H:1, XIX. Ferramentas com anonimização genuína e sem capacidade de identificação individual podem ser exceção.

5. O que mudou na fiscalização da NHDPA a partir de 2026?
Em 2025, o RSA 507-H:11, II garantia 60 dias de cura antes de ação judicial. A partir de 2026, o RSA 507-H:11, III tornou o período de cura discricionário. O Attorney General pode ou não concedê-lo, considerando fatores como número de violações, tamanho da empresa e probabilidade de dano ao público.

Tá na AdOpt, tá bem.

Pronto para colocar a Política de Cookies do seu site em conformidade com a NHDPA? Fale com a nossa equipe.