Mais um estado americano entrou no mapa da privacidade de dados. E dessa vez com algumas regras que você provavelmente ainda não viu em nenhuma outra legislação estadual dos EUA.

A Tennessee Information Protection Act, conhecida como TIPA, entrou em vigor em 1º de julho de 2025. Ela garante direitos de privacidade para os residentes do Tennessee e cria obrigações claras para as empresas que coletam e processam dados dessas pessoas.

Se o seu site atende consumidores do Tennessee, seja diretamente ou através de campanhas de tráfego, este guia é para você.

Vamos direto ao ponto, sem juridiquês.

A Tennessee Information Protection Act (Tenn. Code Ann. § 47-18-3201 et seq.) é a lei estadual de proteção de dados pessoais do Tennessee. Foi aprovada em maio de 2023 e entrou em vigor em 1º de julho de 2025, dando às empresas mais de dois anos para se preparar.

Ela segue a mesma lógica das principais leis de privacidade modernas: devolver às pessoas o controle sobre os dados que as empresas coletam delas. Se você já conhece a LGPD, o GDPR ou a CCPA, a estrutura da TIPA vai soar familiar. A diferença está nos detalhes, e alguns desses detalhes são bem importantes.

A TIPA entrou em vigor em 1º de julho de 2025.

Essa é a primeira pergunta que todo gestor faz. E a resposta envolve três critérios combinados.

A lei se aplica a entidades que conduzem negócios no Tennessee ou produzem produtos ou serviços direcionados a residentes do estado, com receita bruta anual superior a US$ 25 milhões, e que durante um ano civil atendam pelo menos uma das seguintes condições:

Controlam ou processam dados pessoais de pelo menos 175.000 consumidores, ou

Controlam ou processam dados pessoais de pelo menos 25.000 consumidores e obtêm mais de 50% da receita bruta com a venda de dados pessoais.

Repare que os três critérios precisam se combinar: a receita anual acima de US$ 25 milhões mais um dos dois volumes de consumidores. Esse filtro combinado é o que diferencia a TIPA de leis como a MTCDPA de Montana, que não tem requisito de receita.

Nem todo mundo cai no escopo. A TIPA isenta:

Agências estatais e subdivisões políticas.

Instituições financeiras reguladas pela Gramm-Leach-Bliley Act.

Companhias de seguros, o que é um diferencial em relação à maioria das leis estaduais americanas.

Entidades reguladas pela HIPAA e HITECH.

Organizações sem fins lucrativos.

Instituições de ensino superior.

Dados desidentificados são explicitamente excluídos da definição de dados pessoais sob a TIPA.

Antes de avançar, vale entender alguns termos-chave que aparecem em toda discussão sobre a lei.

Qualquer informação que possa ser usada sozinha ou em combinação com outros dados para identificar, contatar ou localizar uma pessoa. Isso inclui nome, e-mail, telefone, endereço, IP e qualquer outro identificador digital que permita rastrear alguém de volta a uma pessoa real.

Consentimento precisa ser um ato afirmativo claro. Não pode ser presumido ou implícito. O usuário precisa tomar uma ação deliberada e inequívoca, como clicar em "eu concordo". Caixas pré-marcadas e continuação da navegação não contam como consentimento válido.

Dados sensíveis são uma categoria especial que exige proteção extra. Na TIPA, isso inclui:

Origem racial ou étnica, crenças religiosas, diagnósticos de saúde mental ou física, orientação sexual ou vida sexual, status de cidadania ou imigração.

Dados genéticos ou biométricos usados para identificação individual.

Dados de geolocalização precisa.

Dados pessoais de crianças menores de 13 anos.

Informações financeiras, números de seguro social e identificadores de risco similar.

Dados sensíveis não podem ser processados sem obter o consentimento explícito do consumidor antes. Esse ponto é inegociável na TIPA.

O principal tomador de decisões sobre os dados pessoais. É quem decide a finalidade e os meios do tratamento. Se a sua empresa decide o que fazer com os dados que coleta, ela é controladora. Esse papel carrega as principais responsabilidades de conformidade.

Qualquer pessoa ou entidade que processa dados em nome do controlador, seguindo suas instruções. O operador não decide como os dados são usados. Entender bem a diferença entre controlador e operador é fundamental para distribuir corretamente as responsabilidades contratuais.

A transferência de informações pessoais para terceiros por consideração monetária ou outro valor. Essa definição impacta diretamente quem compartilha dados com parceiros de anúncios, data brokers ou qualquer outra parte comercial.

A exibição de anúncios personalizados com base em dados coletados das atividades de um indivíduo ao longo do tempo e em sites ou aplicativos diferentes. A TIPA exige que os usuários sejam informados e possam se opor a esse tipo de uso dos seus dados.

Cookies são arquivos de texto pequenos que os sites colocam no dispositivo do visitante. Eles alimentam tudo, desde a memória de sessão e login persistente até o rastreamento comportamental e a publicidade personalizada.

Sob a TIPA, cookies que armazenam informações pessoais ou permitem a identificação do usuário precisam ser tratados com cuidado. As empresas precisam informar os usuários sobre os cookies que usam e obter consentimento antes de colocar cookies não essenciais no dispositivo do visitante.

Uma plataforma de gestão de consentimentos é a ferramenta prática para gerenciar isso. Ela exibe um aviso de cookies ao visitante, coleta e registra as preferências dele, e garante que nenhum cookie ou rastreador não essencial seja carregado antes do aceite.

A TIPA também exige que as empresas respeitem o sinal do Global Privacy Control (GPC). Se um visitante chega ao seu site com o GPC ativado no navegador, o sistema precisa reconhecer esse sinal e aplicá-lo automaticamente como opt-out de publicidade segmentada e venda de dados. Isso é gerenciado no nível do aviso de consentimento e da CMP.

A TIPA garante cinco direitos principais aos residentes do Tennessee sobre seus dados pessoais. Qualquer pedido formal para exercer um desses direitos é chamado de DSAR, Data Subject Access Request, ou Solicitação de Acesso do Titular dos Dados.

Direito de confirmar e acessar: O consumidor pode perguntar se a empresa está processando seus dados e solicitar uma cópia deles.

Direito de corrigir: O consumidor pode pedir a correção de dados imprecisos ou desatualizados.

Direito de excluir: O consumidor pode solicitar a exclusão de dados fornecidos por ele ou coletados sobre ele, com exceções para retenção legalmente obrigatória.

Direito de portabilidade: O consumidor pode pedir seus dados em formato portátil, legível por máquina, que permita transferência para outro prestador de serviço.

Direito de opt-out: O consumidor pode se opor ao uso dos seus dados para publicidade segmentada, venda de dados pessoais e perfilamento com efeitos legais ou igualmente significativos.

Os controladores precisam responder a solicitações autenticadas em até 45 dias. O prazo pode ser estendido uma vez por mais 45 dias em casos de alta complexidade, com notificação ao consumidor dentro do prazo inicial. Para recursos de pedidos negados, o prazo de resposta é de 60 dias.

As respostas precisam ser gratuitas pelo menos duas vezes por ano por consumidor.

Se o controlador negar um pedido, o consumidor tem o direito de recorrer. O processo de recurso precisa ser conspicuamente disponível e tão fácil de usar quanto o processo original de solicitação. Se o recurso for negado, a empresa precisa informar como o consumidor pode contatar o Procurador Geral do Tennessee para registrar uma reclamação.

A TIPA proíbe que as empresas discriminem consumidores que exercem seus direitos de privacidade. Negar serviços, cobrar preços diferentes ou oferecer qualidade inferior para quem recusou compartilhar dados ou exerceu seus direitos é explicitamente vedado.

Aqui está a característica que torna a TIPA única entre todas as leis estaduais de privacidade dos EUA atualmente em vigor.

A TIPA permite que uma empresa alegue defesa afirmativa em uma ação do Procurador Geral se conseguir demonstrar que mantém e implementa um programa abrangente de conformidade de privacidade que razoavelmente se alinha ao NIST Privacy Framework ou ao padrão ISO 27701.

Isso não é uma isenção de responsabilidade. É um mecanismo de redução de risco. Uma empresa com programa de conformidade bem documentado e alinhado a frameworks internacionais reconhecidos reduz significativamente sua exposição regulatória, mesmo que uma violação seja alegada.

Essa lógica incentiva as empresas a investirem em privacy by design desde a concepção dos produtos e processos, não apenas como remendo depois do problema.

Os dados coletados só podem ser usados para as finalidades específicas, explícitas e legítimas para as quais foram coletados. Processamento posterior incompatível com essas finalidades originais é proibido sem novo consentimento.

Os controladores precisam limitar a coleta de dados pessoais ao que é adequado, relevante e razoavelmente necessário em relação às finalidades informadas. Coletar dados "por precaução" não é conformidade.

A TIPA exige medidas técnicas e organizacionais de segurança apropriadas ao volume e à natureza dos dados tratados. O nível de proteção precisa ser proporcional ao risco envolvido.

Os controladores precisam conduzir uma Data Protection Assessment antes de iniciar atividades de alto risco, incluindo publicidade segmentada, venda de dados, perfilamento com impacto significativo, e processamento de dados sensíveis. Essa avaliação precisa ser documentada internamente e pode ser solicitada pelo Procurador Geral em uma investigação.

Esse conceito é parecido com o Relatório de Impacto à Proteção de Dados (RIPD) da LGPD e com a DPIA do GDPR.

As empresas precisam fornecer informações claras e acessíveis sobre como processam dados pessoais, geralmente através de uma política de privacidade de linguagem simples e fácil acesso.

Quando a empresa terceiriza o processamento de dados, contratos vinculativos precisam definir as obrigações do operador, a natureza e finalidade do processamento, os tipos de dados envolvidos e a duração do contrato. O ROPA é o documento que organiza esse registro internamente.

Gerenciar o banner de cookies de forma adequada sob a TIPA envolve três coisas funcionando juntas.

Primeiro, consentimento informado e afirmativo dos usuários antes que qualquer cookie não essencial seja colocado no dispositivo.

Segundo, informações claras e acessíveis sobre quais cookies estão ativos, a qual categoria pertencem e para qual finalidade servem. A categorização correta de tags e rastreadores é o que torna essa informação precisa.

Terceiro, um mecanismo fácil para que os usuários retirem o consentimento a qualquer momento, tão simples quanto o mecanismo usado para dá-lo.

Uma CMP como a AdOpt cuida dos três automaticamente. Escaneia o site para identificar rastreadores ativos, exibe um aviso de cookies em conformidade, gerencia as preferências de consentimento, bloqueia rastreadores não consentidos antes de dispararem, e documenta cada consentimento para fins de auditoria.

Comece entendendo o que a sua empresa coleta, onde esses dados estão armazenados, como são usados e com quem são compartilhados. Um mapeamento de dados bem feito é a base de todas as outras etapas de conformidade.

Sua política de privacidade precisa refletir a realidade do seu tratamento de dados. Ela deve informar as categorias de dados coletados, as finalidades do processamento, como os direitos são exercidos e por quanto tempo os dados são retidos.

Crie canais claros e acessíveis para receber DSARs, controle os prazos e gerencie as respostas. Um processo de gestão de consentimentos bem estruturado facilita muito o atendimento dentro do prazo de 45 dias.

As equipes de marketing, jurídico e tecnologia precisam entender o que a TIPA exige e como os processos de marketing digital se relacionam com essas obrigações.

Se o seu site usa qualquer cookie não essencial, você precisa de uma plataforma que colete, registre e aplique o consentimento do usuário de forma automática e auditável.

Para poder invocar a defesa afirmativa da TIPA, a empresa precisa de um programa de privacidade documentado, alinhado ao NIST Privacy Framework ou ISO 27701. Isso significa políticas, procedimentos, avaliações de risco e monitoramento contínuo.

O Procurador Geral do Tennessee tem autoridade exclusiva para fiscalizar a TIPA. Não existe direito de ação privada, ou seja, consumidores individuais não podem processar diretamente as empresas com base nessa lei.

Antes de ajuizar uma ação, o Procurador Geral precisa enviar uma notificação escrita com 30 dias para a empresa corrigir a violação. Se a empresa corrigir e documentar adequadamente dentro desse prazo, a ação pode não ser ajuizada.

Se não corrigir, as penalidades podem chegar a US$ 7.500 por violação, mais honorários advocatícios e custos de investigação.

A penalidade é calculada por violação, não por processo. Uma CMP ausente ou mal configurada que afeta milhares de consumidores do Tennessee pode gerar milhares de violações individuais.

A TIPA se destaca nesse grupo de três formas. O filtro combinado de receita mais volume é mais preciso do que leis sem requisito de receita. A isenção explícita para seguradoras é única entre as leis estaduais americanas. E a defesa afirmativa vinculada a frameworks reconhecidos internacionalmente como NIST e ISO 27701 não existe em nenhuma outra lei dessa lista.

Comparada à LGPD no Brasil e ao GDPR na Europa, a TIPA segue a mesma lógica estrutural: direitos do consumidor, obrigações do controlador, requisitos de consentimento e fiscalização com penalidades reais. As diferenças estão nos limiares, nos direitos específicos e nos mecanismos de fiscalização. Para um comparativo completo entre as principais legislações globais de privacidade, vale checar nosso guia.

A AdOpt é a infraestrutura que transforma conformidade em prática operacional, não só teoria.

O escaneamento automático do site identifica cada rastreador ativo. O aviso de cookies coleta e registra as preferências do visitante. A plataforma bloqueia cookies não consentidos antes de dispararem. Cada interação fica registrada como evidência de consentimento, disponível para auditoria e para suportar a defesa afirmativa.

Quando um consumidor faz opt-out de publicidade segmentada, a plataforma de gestão de consentimentos propaga essa escolha em tempo real para todas as ferramentas integradas. E quando a lei muda, a plataforma se atualiza automaticamente.

Mais de 60 mil sites já operam com a AdOpt. Desde o plano gratuito até soluções para grandes operações com audiência global.

Privacidade não é um banner. É posicionamento.

Pronto para estruturar a conformidade com a TIPA no seu site? Fale com a nossa equipe.

A adequação à TIPA se apoia em três documentos que precisam conversar entre si: a política de cookies, que declara cada rastreador e sua finalidade; a política de privacidade, que explica o que você faz com os dados; e o portal do titular, onde a pessoa exerce seus direitos e você guarda o registro disso.

1. O que é a TIPA e quando ela entrou em vigor?

A Tennessee Information Protection Act é a lei estadual de proteção de dados pessoais do Tennessee. Foi aprovada em maio de 2023 e entrou em vigor em 1º de julho de 2025. Ela garante direitos de privacidade aos residentes do estado e impõe obrigações de conformidade às empresas que processam dados dessas pessoas.

2. Minha empresa está fora dos EUA. A TIPA se aplica a mim?

Se a sua empresa produz produtos ou serviços direcionados a residentes do Tennessee e atende os limiares de receita e volume de consumidores da lei, a TIPA pode se aplicar independente de onde você está sediado. É o mesmo princípio de alcance extraterritorial que a LGPD usa no Brasil e o GDPR na Europa.

3. O que é a defesa afirmativa da TIPA e como ela funciona?

Se a empresa mantém e implementa um programa de conformidade de privacidade razoavelmente alinhado ao NIST Privacy Framework ou ao padrão ISO 27701, ela pode usar isso como defesa afirmativa em uma ação do Procurador Geral do Tennessee. Não é uma isenção de responsabilidade, mas reduz significativamente a exposição regulatória da empresa.

4. Quais são as penalidades por descumprimento da TIPA?

Até US$ 7.500 por violação, mais honorários advocatícios e custos de investigação. A fiscalização é exclusiva do Procurador Geral do Tennessee. Não existe direito de ação privada. Antes de ajuizar, o Procurador Geral precisa dar 30 dias para a empresa corrigir a violação.

5. Como a TIPA trata cookies e rastreadores?

Cookies que armazenam dados pessoais ou permitem identificação do usuário precisam de consentimento afirmativo antes de serem colocados no dispositivo do visitante, exceto cookies estritamente necessários para o funcionamento do site. A TIPA também exige que as empresas respeitem o sinal do Global Privacy Control (GPC), que comunica automaticamente as preferências de privacidade do usuário.

Tá na AdOpt, tá bem.

Quer entender como implementar a conformidade com a TIPA no seu site? Fale com a nossa equipe.