Mais um estado americano entrou no mapa da privacidade de dados.

A Tennessee Information Protection Act (TIPA) entrou em vigor em 1º de julho de 2025. E com ela, qualquer empresa que atende consumidores do Tennessee precisa ter um processo estruturado para receber, verificar e responder solicitações de acesso do titular dos dados.

Esse processo tem um nome: DSAR. Data Subject Access Request.

Se você já gerencia DSARs por conta da LGPD, da CCPA ou da TDPSA, a lógica central vai soar familiar. Mas a TIPA tem pelo menos um diferencial que a separa da maioria das leis estaduais americanas: a possibilidade de treble damages em casos de violação intencional, ou seja, até três vezes o valor do dano causado.

Isso muda a conversa sobre o risco de não ter um processo de DSAR funcionando.

Este artigo explica como a TIPA regula as solicitações de acesso, o que é um Portal de Privacidade, o que ele precisa ter, e como estruturar um fluxo que proteja a empresa e respeite o consumidor.

A Tennessee Information Protection Act (Tenn. Code Ann. § 47-18-3201 et seq.) foi aprovada em 2023 e entrou em vigor em 1º de julho de 2025.

A lei se aplica a pessoas que conduzem negócios no Tennessee ou produzem produtos ou serviços direcionados a residentes do estado, e que durante um ano civil:

Controlam ou processam dados pessoais de 25.000 ou mais consumidores do Tennessee, ou

Controlam ou processam dados pessoais de 10.000 ou mais consumidores e obtêm mais de 50% da receita bruta da venda de dados pessoais.

Importante: o conceito de "consumidor" na TIPA é uma pessoa natural residente no Tennessee atuando apenas em contexto individual ou doméstico. Não inclui pessoas agindo em contexto comercial ou de emprego. Esse detalhe importa na hora de filtrar quais solicitações de DSAR precisam ser atendidas nos termos da lei.

A fiscalização é exclusiva do Attorney General do Tennessee. Não existe direito de ação privada sob a TIPA.

DSAR é a solicitação formal de um consumidor para exercer seus direitos de privacidade sobre os dados que uma empresa possui sobre ele.

A TIPA garante aos consumidores do Tennessee os seguintes direitos:

Direito de confirmar se a empresa está processando seus dados e de acessá-los.

Direito de corrigir imprecisões nos dados pessoais.

Direito de excluir dados pessoais fornecidos pelo consumidor ou obtidos sobre ele.

Direito de obter uma cópia dos dados em formato portátil e utilizável.

Direito de opt-out do processamento para fins de publicidade segmentada, venda de dados pessoais, e perfilamento com efeitos legais ou similares significativos.

Esses direitos são muito próximos dos que a LGPD garante no Art. 18, com algumas diferenças de escopo e prazo. A estrutura central de receber, verificar e responder é a mesma.

A TIPA tem duas características que a distinguem claramente das demais leis estaduais americanas.

A primeira é a possibilidade de treble damages. Se o Attorney General comprovar que a violação foi intencional ou consciente, a penalidade pode ser de até três vezes o valor dos danos causados, além de honorários advocatícios e custos do processo.

Isso coloca a TIPA em um patamar de risco superior a leis como a TDPSA do Texas ou a MTCDPA de Montana, que têm penalidades fixas de até US$ 7.500 por violação. Na TIPA, o cálculo depende do dano real causado multiplicado por três.

A segunda é a defesa afirmativa. A TIPA é uma das poucas leis estaduais americanas que permite ao controlador alegar defesa afirmativa se mantiver e implementar um programa de conformidade de privacidade razoável, alinhado ao NIST Privacy Framework ou ao padrão ISO 27701.

Isso não é uma isenção. É uma redução de risco. Se a empresa tiver um programa documentado, isso pode servir como defesa em uma ação do Attorney General.

Para quem já trabalha com privacy by design e mantém documentação estruturada de conformidade, a TIPA reconhece esse esforço de forma explícita.

A TIPA estabelece que o controlador precisa responder a uma solicitação de exercício de direitos sem demora indevida, e no máximo em 45 dias após receber o pedido.

O prazo pode ser estendido por mais 45 dias quando necessário, levando em conta a complexidade e o número de solicitações. Mas o consumidor precisa ser informado sobre a extensão dentro do prazo inicial de 45 dias, com a justificativa.

A resposta precisa ser gratuita para o consumidor. Mas se a solicitação for manifestamente infundada, excessiva ou repetitiva, a empresa pode cobrar uma taxa razoável para cobrir os custos administrativos, ou recusar o atendimento. O ônus de provar que a solicitação é excessiva é da empresa.

Se a empresa recusar uma solicitação, precisa informar o consumidor dentro do prazo de 45 dias, com justificativa e instruções sobre como recorrer.

A TIPA exige que os controladores estabeleçam um processo de apelação para os casos em que recusam uma solicitação.

Esse processo precisa ser conspicuamente disponível e funcionar de forma similar ao processo de solicitação original.

O prazo para responder a uma apelação é de 60 dias.

Se a apelação for negada, a empresa precisa informar o consumidor de como ele pode contatar o Attorney General do Tennessee para registrar uma reclamação.

Esse mecanismo de apelação precisa estar descrito no Portal de Privacidade. Não basta ter o processo interno. O consumidor precisa saber que ele existe e como usá-lo.

A TIPA não usa o termo "Portal de Privacidade" literalmente. Mas exige que os controladores ofereçam mecanismos claros e conspícuos para que os consumidores possam exercer seus direitos.

Um Portal de Privacidade é a forma mais eficiente de cumprir essa exigência. É uma interface centralizada, geralmente uma página dedicada no site, onde o consumidor pode:

Conhecer seus direitos sob a TIPA.

Enviar solicitações de forma segura.

Exercer o opt-out de publicidade segmentada e venda de dados.

Acompanhar o status de suas solicitações.

Revogar consentimentos dados anteriormente.

O aviso de cookies e o Portal de Privacidade precisam estar conectados. Quando o usuário clica em "gerenciar preferências" no banner de cookies, o Portal é o destino natural para o exercício completo dos seus direitos.

O Portal precisa oferecer pelo menos dois meios seguros e confiáveis para que o consumidor envie sua solicitação. A combinação mais comum é formulário online mais endereço de e-mail dedicado.

A empresa não pode exigir que o consumidor crie uma nova conta para exercer seus direitos. Pode exigir o uso de uma conta existente para autenticação.

A TIPA permite que a empresa recuse uma solicitação se não conseguir verificar a identidade do consumidor com esforços comercialmente razoáveis. Mas o processo de autenticação não pode ser uma barreira projetada para dificultar o exercício dos direitos.

O processo de verificação precisa ser proporcional à sensibilidade dos dados envolvidos. Para solicitações de acesso ou portabilidade de dados sensíveis, a autenticação pode ser mais robusta. Para opt-outs de publicidade, pode ser mais simples.

O mapeamento de dados interno é o que torna o processo de verificação e busca ágil. Sem saber onde os dados estão, autenticar o consumidor não adianta muito.

O Portal precisa explicar em linguagem acessível o que cada direito significa na prática. O Attorney General do Tennessee publicou orientações específicas sobre isso: os consumidores precisam entender o que estão solicitando antes de solicitar.

O conceito de transparência real, e não apenas formal, está no coração da TIPA. Isso converge com o que a LGPD exige no Art. 9º: informações disponibilizadas de forma clara, adequada e ostensiva.

A TIPA garante ao consumidor o direito de opt-out do processamento de dados para publicidade segmentada e venda de dados a terceiros.

Isso precisa ser fácil. O Attorney General do Tennessee deixou claro nas orientações publicadas que empresas como Google, Facebook e TikTok serão obrigadas a informar os consumidores sobre quais dados estão sendo coletados sobre eles e como eles são usados.

O Portal precisa ter um mecanismo de opt-out que funcione de verdade: quando o consumidor desativa publicidade segmentada, os pixels e tags correspondentes precisam ser bloqueados em tempo real.

Uma plataforma de gestão de consentimentos bem configurada automatiza essa integração, garantindo que o opt-out se reflita imediatamente no comportamento dos rastreadores do site.

O processo de apelação de solicitações negadas precisa estar descrito no Portal, com o mesmo nível de visibilidade do processo de solicitação original.

O consumidor precisa saber: como recorrer, em quanto tempo receberá resposta (60 dias), e como contatar o Attorney General se a apelação for negada.

A TIPA tem uma obrigação específica em relação a menores de 13 anos. O controlador que oferece serviço online a um consumidor que sabe ser menor precisa tomar cuidado razoável para evitar riscos elevados de dano causados por esse serviço.

O Portal precisa deixar claro que dados de menores não são coletados intencionalmente ou como o consentimento parental é obtido quando aplicável.

O consumidor quer saber se você tem dados sobre ele e quer vê-los.

O fluxo precisa verificar a identidade, consultar todos os sistemas onde dados desse consumidor podem existir, compilar as informações e entregar em formato legível.

É aqui que o inventário de dados bem estruturado faz toda a diferença. Se a empresa não sabe onde seus dados estão distribuídos, responder dentro de 45 dias vira um pesadelo.

O consumidor identificou que um dado está incorreto e quer a correção.

A empresa verifica a identidade, avalia se a correção é procedente levando em conta a natureza dos dados, realiza a correção e confirma ao consumidor. Essa confirmação precisa ser propagada para todos os sistemas integrados.

O consumidor quer que os dados sejam deletados.

A empresa localiza todos os dados em todos os sistemas, verifica se há obrigação legal de retenção que impeça a exclusão imediata, e realiza a exclusão do que for possível. Mantém um registro mínimo da solicitação para garantir que os dados não retornem à base.

Esse direito é similar ao que a LGPD prevê no Art. 18, IV e VI, com as mesmas exceções para retenção legalmente obrigatória.

O consumidor quer uma cópia dos dados em formato que possa usar em outro serviço.

A empresa compila os dados em formato estruturado, portátil e utilizável, como CSV ou JSON, e entrega de forma segura. O formato precisa ser legível por máquina, não apenas um PDF estático.

O consumidor não quer que seus dados sejam usados para exibir anúncios personalizados com base no seu comportamento de navegação em diferentes sites.

O Portal processa o opt-out e o sistema propaga o sinal para todas as ferramentas de publicidade integradas. O funcionamento do aviso de cookies precisa estar configurado para bloquear os rastreadores correspondentes automaticamente.

O consumidor não quer que seus dados sejam vendidos a terceiros por consideração monetária ou outra de valor.

A empresa processa o opt-out e garante que os sistemas de compartilhamento de dados com parceiros comerciais reflitam essa escolha. Esse direito impacta diretamente os processos de marketing que dependem de bases de dados compradas ou vendidas.

O consumidor pode recusar o uso dos seus dados em processos automatizados de decisão que produzam efeitos legais ou igualmente significativos sobre ele.

Se qualquer dos direitos acima for negado, o consumidor pode recorrer. O processo de apelação precisa estar disponível e ser tão fácil de usar quanto o processo original de solicitação.

Etapa 1: Recebimento. A solicitação entra pelo Portal via formulário ou e-mail dedicado. O sistema registra data, tipo de solicitação e dados do solicitante, abrindo o prazo de 45 dias.

Etapa 2: Confirmação imediata. O consumidor recebe confirmação de recebimento com o prazo de resposta. Isso interrompe a ansiedade da espera e documenta que o prazo começou.

Etapa 3: Verificação de identidade. A equipe autentica a solicitação com métodos proporcionais à sensibilidade dos dados envolvidos. Se não conseguir verificar, comunica ao consumidor e solicita informações adicionais.

Etapa 4: Busca nos sistemas. O ticket é distribuído para os setores responsáveis pelos dados em questão. O ROPA atualizado é o mapa que guia essa busca.

Etapa 5: Decisão e execução. A empresa decide atender, atender parcialmente ou recusar. Para atendimento, executa a ação (acesso, correção, exclusão, portabilidade, opt-out). Para recusa, prepara a justificativa e as instruções de apelação.

Etapa 6: Comunicação ao consumidor. A resposta é enviada de forma segura pelo canal escolhido pelo consumidor, com confirmação de recebimento registrada no sistema.

Etapa 7: Registro e arquivamento. Toda a solicitação, evidências de autenticação, ação tomada e comunicação enviada ficam documentados. Esses registros são a defesa da empresa em caso de investigação do Attorney General.

A TIPA não exige formalmente um DPO. Mas a complexidade do processo de DSAR torna necessário ter alguém responsável por coordenar tudo.

Essa pessoa precisa monitorar os prazos, garantir que as buscas nos sistemas sejam completas, tomar as decisões de atendimento ou recusa, e garantir que o Portal de Privacidade está atualizado e funcionando.

Sem um encarregado de dados ou responsável designado, o processo de DSAR se torna reativo e propenso a falhas. E uma falha na TIPA pode custar três vezes o dano causado.

Esse é o diferencial da TIPA que merece atenção especial para quem está construindo um programa de conformidade.

Se a empresa mantiver e implementar um programa razoável de conformidade de privacidade que incorpora os princípios do NIST Privacy Framework ou do padrão ISO 27701, ela pode alegar defesa afirmativa em uma ação do Attorney General.

Na prática, isso significa que ter documentação de conformidade estruturada, processos internos de avaliação de risco, e políticas alinhadas a frameworks reconhecidos internacionalmente reduz o risco regulatório de forma significativa.

O privacy by design aplicado desde a concepção dos produtos e processos é o fundamento dessa defesa. A AdOpt foi construída sobre esses mesmos princípios, o que facilita a construção da evidência de conformidade para os clientes.

O processo de fiscalização começa com o Attorney General do Tennessee, que precisa notificar a empresa por escrito e dar 30 dias para corrigir antes de ajuizar ação.

Se a empresa corrigir dentro do prazo e documentar adequadamente, a ação pode não ser ajuizada.

Se não corrigir, ou se a violação for considerada intencional ou consciente, as penalidades podem incluir até três vezes o dano causado, além de honorários advocatícios e custos do processo.

Esse modelo de treble damages é diferente das outras leis estaduais americanas que têm penalidade fixa de US$ 7.500 por violação. Na TIPA, o risco financeiro depende da escala do dano causado multiplicada por três.

Para empresas com grandes bases de dados de consumidores do Tennessee, o risco potencial é significativamente maior.

A estrutura central de DSARs é a mesma em todas as leis modernas de privacidade: receber, verificar, responder dentro do prazo, documentar.

As diferenças relevantes da TIPA em relação às outras leis:

Prazo: 45 dias, com extensão de mais 45. Igual a TDPSA e MTCDPA. A LGPD tem prazos diferentes definidos pela ANPD.

Penalidades: Treble damages para violações intencionais. Esse modelo é único entre as leis estaduais americanas com as quais trabalhamos.

Defesa afirmativa: Programa de conformidade alinhado a NIST ou ISO 27701 pode servir como defesa. Nenhuma outra lei estadual americana tem esse mecanismo explícito.

Escopo: Consumidores residentes no Tennessee atuando em contexto individual. Exclui explicitamente contexto comercial e de emprego, assim como a TDPSA e a MTCDPA.

Para quem quer entender melhor como as principais legislações globais de privacidade se comparam em termos de estrutura, nosso guia comparativo explora isso em detalhe.

A AdOpt registra cada consentimento e interação do consumidor com o aviso de consentimento do site. Isso cria a trilha de auditoria que a empresa precisa para responder DSARs de forma ágil e documentar conformidade perante o Attorney General.

Quando um consumidor faz opt-out de publicidade segmentada, a plataforma de gestão de consentimentos bloqueia os rastreadores correspondentes automaticamente, sem intervenção manual, garantindo que a execução do opt-out seja imediata e rastreável.

O escaneamento automático do site identifica todos os rastreadores e tags ativos, o que alimenta o inventário de dados e facilita a resposta a solicitações de acesso.

E a defesa afirmativa da TIPA fica mais fácil de construir quando a empresa tem documentação clara de um programa de conformidade operando com as melhores práticas do mercado.

Mais de 60 mil sites já usam a AdOpt. Desde o plano gratuito até soluções para grandes operações.

Tá na AdOpt, tá bem.

Quer estruturar o Portal de Privacidade do seu site em conformidade com a TIPA e as demais legislações? Fale com a nossa equipe.

Dois ou mais canais de envio de solicitações, como formulário online mais e-mail dedicado.

Mecanismo de verificação de identidade proporcional à sensibilidade dos dados.

Descrição clara de cada direito garantido pela TIPA, em linguagem acessível para o consumidor comum.

Mecanismo de opt-out de publicidade segmentada, integrado ao sistema de rastreadores do site.

Mecanismo de opt-out de venda de dados pessoais, com propagação para parceiros e sistemas integrados.

Prazo de resposta de 45 dias comunicado e monitorado automaticamente pelo sistema.

Processo de apelação conspicuamente disponível, com prazo de 60 dias e informação sobre como contatar o Attorney General.

Ausência de barreiras artificiais ao exercício dos direitos, como exigência de criação de nova conta.

Registro documentado de cada solicitação com data, ação tomada, evidência de autenticação e comunicação enviada.

Tratamento especial de dados de menores de 13 anos, com declaração clara no Portal.

Política de não discriminação para consumidores que exercem seus direitos.

Gratuidade garantida para atendimento de solicitações, com exceção documentada para casos excessivos.

Link visível no site, preferencialmente no rodapé e no banner de cookies, direcionando ao Portal.

Integração com o sistema de privacidade interno, incluindo ROPA atualizado e avaliações de proteção de dados para atividades de risco.

Documentação de programa de conformidade alinhado ao NIST Privacy Framework ou ISO 27701 para suportar a defesa afirmativa.

1. A TIPA exige um Portal de Privacidade dedicado?

Não pelo nome. A lei exige que os controladores ofereçam mecanismos claros e conspícuos para o exercício dos direitos. Um Portal dedicado é a forma mais eficiente de cumprir essa exigência, mas a combinação de e-mail dedicado, formulário no site e link claro na política de privacidade pode ser suficiente para operações menores.

2. O que são treble damages e como isso afeta minha empresa?

Treble damages significa que, em casos de violação intencional ou consciente da TIPA, o Attorney General pode buscar até três vezes o valor dos danos causados, além de honorários advocatícios. Isso diferencia a TIPA da maioria das leis estaduais americanas que têm penalidade fixa. Para empresas com grandes bases de dados de consumidores do Tennessee, o risco potencial é proporcional à escala do dano causado.

3. O que é a defesa afirmativa da TIPA e como me beneficia?

Se a empresa mantiver um programa de conformidade de privacidade alinhado ao NIST Privacy Framework ou ao padrão ISO 27701, pode usar isso como defesa afirmativa em uma ação do Attorney General. Não é uma isenção de responsabilidade, mas reduz significativamente o risco regulatório. Ter documentação de conformidade estruturada é essencial para invocar essa defesa.

4. Em quanto tempo preciso responder a um DSAR de um consumidor do Tennessee?

45 dias a partir do recebimento. O prazo pode ser estendido uma vez por mais 45 dias em casos complexos, desde que o consumidor seja informado dentro do prazo inicial. Para apelações, o prazo é de 60 dias. A resposta precisa ser gratuita, com exceção para solicitações manifestamente excessivas ou repetitivas.

5. A TIPA se aplica a empresas fora dos Estados Unidos?

Se a empresa produz produtos ou serviços direcionados a residentes do Tennessee e processa dados deles em escala que atinge os limites da lei, a TIPA pode se aplicar independente de onde a empresa está sediada. É o mesmo princípio de alcance extraterritorial que a LGPD usa no Brasil e o GDPR na Europa.

Quem tem um processo de DSAR funcionando não está apenas evitando multa. Está dizendo para o consumidor do Tennessee: seus dados são seus. E quando você quiser saber o que temos, corrigir, ou apagar tudo, a gente responde. Dentro do prazo. Sem complicação.

Tá na AdOpt, tá bem.

Pronto para estruturar o Portal de Privacidade do seu site em conformidade com a TIPA? Fale com a nossa equipe.