A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) tem requisitos mais simples para cookies do que a maioria das outras leis estaduais americanas.

Não há exigência de honrar o GPC. Não há modelo de opt-in para dados sensíveis. Não há link obrigatório com texto específico. É opt-out para publicidade direcionada e venda de dados, com aviso claro no aviso de privacidade.

Mas simples não significa descuidado. Qualquer site que usa Meta Pixel, Google Ads, ou qualquer pixel que envia dados para redes de publicidade externas está operando publicidade direcionada sob a UCPA e precisa oferecer opt-out.

Este artigo foca no que a UCPA exige da Política de Cookies: o que o documento precisa conter e como o opt-out deve funcionar.

O banner de cookies é a interface de consentimento. É o que o visitante vê ao acessar o site pela primeira vez.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia: o que coleta, para quê serve, com quem os dados são compartilhados.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa estar acessível por link claro no próprio aviso de consentimento.

Utah Code § 13-61-302(1)(a) exige que o aviso de privacidade inclua as finalidades para as quais as categorias de dados pessoais são processadas. Para cookies, isso se traduz em descrever a finalidade de cada categoria de rastreador com clareza suficiente para que o consumidor entenda o que está acontecendo.

O que não funciona: "cookies para melhorar sua experiência."

O que funciona: "Cookies de analytics: coletam dados de comportamento de navegação incluindo páginas visitadas e duração de sessões, para identificar oportunidades de melhoria de conteúdo. Os dados não são vendidos a terceiros."

"Cookies de publicidade: coletam identificadores comportamentais compartilhados com plataformas de anúncios para publicidade direcionada em sites não afiliados. Os consumidores podem exercer opt-out pelo mecanismo descrito no aviso de privacidade."

A Política precisa listar as categorias de rastreadores que operam no site:

Cookies necessários: essenciais para funcionamento básico. Autenticação, sessão, carrinho de compras. Não configuram publicidade direcionada ou venda. Precisam ser documentados.

Cookies de analytics: medem comportamento de navegação. Dependendo da ferramenta, podem configurar publicidade direcionada se os dados são enviados a terceiros que os usam para targeting em outros sites.

Cookies de publicidade: alimentam pixels de anúncio e constroem perfis para publicidade direcionada em sites não afiliados. Quase sempre configuram "publicidade direcionada" sob a UCPA. Exigem opt-out.

Cookies funcionais: lembram preferências do usuário. Geralmente não configuram publicidade direcionada ou venda.

Cookies de terceiros: disparados por serviços externos. A categorização correta de tags é o que permite documentar cada um com precisão.

Utah Code § 13-61-101(34) define publicidade direcionada como anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados.

O que não configura publicidade direcionada:

Anúncios baseados em atividades dentro do próprio site do controlador ou sites afiliados.

Anúncios baseados no contexto da busca atual ou visita atual do consumidor.

Anúncios em resposta a pedido de informação, produto, serviço ou feedback do consumidor.

Processamento de dados exclusivamente para medir desempenho, alcance ou frequência de anúncios.

Campanhas de retargeting que usam dados do comportamento do usuário em outros sites quase sempre configuram publicidade direcionada sob a UCPA.

Utah Code § 13-61-101(31) define venda como a troca de dados pessoais por contraprestação monetária a terceiros.

Diferença importante em relação à CPRA: a UCPA usa apenas "venda" por contraprestação monetária. Não inclui o conceito de "compartilhamento" para publicidade comportamental sem pagamento direto, como a CPRA faz. Isso significa que a troca de dados por serviços de publicidade, sem pagamento direto, pode não configurar "venda" sob a UCPA.

Não configura venda: divulgação a processadores, divulgação a afiliados, divulgação quando o contexto é consistente com as expectativas razoáveis do consumidor, divulgação dirigida pelo consumidor, e transferências em fusões e aquisições.

A Política precisa identificar as categorias de terceiros que recebem dados via cookies (§ 13-61-302(1)(a)(v)).

Isso inclui plataformas de publicidade digital, ferramentas de analytics, e qualquer outro parceiro que receba dados dos usuários do site via cookies.

A UCPA não exige que a Política de Cookies especifique períodos de retenção de dados. Esse é um dos requisitos que leis como a CPRA têm, mas a UCPA não.

Incluir informações de retenção é uma boa prática e facilita a conformidade com outras jurisdições, mas não é obrigatório pela lei do Utah.

Utah Code § 13-61-302(1)(b) exige que, se a empresa vende dados ou usa dados para publicidade direcionada, informe o consumidor de forma clara e conspícua e descreva como exercer o opt-out.

A UCPA não especifica o formato exato do mecanismo de opt-out. Pode ser:

Um link ou botão no aviso de cookies ou no banner.

Um link no rodapé do site levando a uma página de preferências.

Um formulário online descrito no aviso de privacidade.

O que a UCPA não exige: um texto específico para o link de opt-out (diferente da CPRA que exige "Do Not Sell or Share My Personal Information"). O controlador tem liberdade para definir a apresentação do opt-out.

Uma plataforma de gestão de consentimentos bem configurada garante que quando o usuário exerce o opt-out, todos os pixels e rastreadores de publicidade param de disparar automaticamente.

Utah Code § 13-61-101(32) define dados sensíveis para incluir, entre outros, dados de geolocalização específica e dados biométricos para identificação.

Se o site coleta dados de geolocalização precisa (dentro de 1.750 pés) via cookies ou tecnologia de rastreamento, isso é dado sensível sob a UCPA.

Para dados sensíveis, a UCPA exige (§ 13-61-302(3)):

Apresentar ao consumidor um aviso claro antes de processar.

Oferecer ao consumidor a oportunidade de opt-out do processamento.

Isso é diferente do opt-in exigido por outras leis. Sob a UCPA, a empresa pode iniciar o processamento de dados sensíveis após apresentar o aviso, a menos que o consumidor recuse.

A Política de Cookies deve identificar quais tipos de cookies podem coletar dados sensíveis e descrever o mecanismo de opt-out correspondente.

Utah Code § 13-61-101(9) define consentimento como um ato afirmativo de um consumidor que indica inequivocamente o acordo voluntário e informado para que uma pessoa processe dados pessoais relacionados ao consumidor.

Para cookies não necessários, o padrão correto é opt-out: tecnologias de publicidade direcionada podem estar ativas por padrão, mas o consumidor deve ter mecanismo fácil de opt-out.

Para dados sensíveis coletados via cookies, a UCPA exige aviso claro e oportunidade de opt-out antes de processar.

O que não é adequado: processar dados para publicidade direcionada sem qualquer mecanismo de opt-out descrito no aviso de privacidade.

Diferente da CPRA (Califórnia) e da CTDPA (Connecticut), a UCPA não menciona a obrigação de honrar sinais de opt-out universal como o Global Privacy Control (GPC).

No entanto, implementar o GPC é uma boa prática: serve para cumprir os requisitos de outras jurisdições onde o visitante pode estar, e demonstra compromisso com a privacidade que vai além do mínimo exigido.

Situações que exigem atualização:

Adição de novo pixel de publicidade ou rastreador.

Nova ferramenta de analytics que envia dados a terceiros para targeting.

Novo parceiro que recebe dados comportamentais dos usuários.

Mudança no uso de dados de cookies para novas finalidades.

Qualquer alteração nos mecanismos de opt-out.

O mapeamento de dados contínuo é o que mantém o inventário de cookies sincronizado com o documento.

O Attorney General deve conceder 30 dias garantidos para correção antes de iniciar qualquer ação (§ 13-61-402(3)). Uma Política de Cookies inadequada pode ser corrigida dentro desse prazo se a empresa tiver seus processos estruturados.

Se a violação continuar após os 30 dias, as penalidades podem chegar a US$ 7.500 por violação, com cada consumidor afetado podendo constituir violação separada.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não necessários, apresenta categorias com descrições claras, oferece opt-out de publicidade direcionada, e documenta cada interação para fins de auditoria.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a UCPA? Fale com a nossa equipe.

Link visível no rodapé do site e no banner de cookies.

Listagem das categorias de cookies com descrição do que cada uma faz no site.

Finalidade específica para cada categoria, sem descrições vagas (§ 13-61-302(1)(a)(ii)).

Identificação de cookies que configuram publicidade direcionada (§ 13-61-101(34)).

Identificação de cookies que configuram venda de dados (§ 13-61-101(31)).

Categorias de terceiros que recebem dados via cookies (§ 13-61-302(1)(a)(v)).

Mecanismo de opt-out de publicidade direcionada e venda, claro e conspícuo (§ 13-61-302(1)(b)).

Aviso claro e opt-out para dados sensíveis coletados via cookies (§ 13-61-302(3)).

Idioma acessível, sem juridiquês.

Ausência de impedimentos ao exercício do opt-out.

1. A UCPA exige um texto específico para o link de opt-out de publicidade direcionada?
Não. Ao contrário da CPRA, que exige o texto específico "Do Not Sell or Share My Personal Information", a UCPA apenas exige que a empresa informe o consumidor de forma clara e conspícua sobre como exercer o opt-out (§ 13-61-302(1)(b)). O controlador tem liberdade para definir o texto e o formato do mecanismo de opt-out, desde que seja acessível e claro.

2. Cookies de analytics configuram publicidade direcionada sob a UCPA?
Depende. Se os dados de analytics ficam internos ou são enviados ao provedor apenas para gerar relatórios sem uso para targeting em outros sites, geralmente não configuram publicidade direcionada. Se a ferramenta envia dados que são usados para segmentação de anúncios em outros sites não afiliados ao controlador, pode configurar. A definição da UCPA é "dados obtidos das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados" (§ 13-61-101(34)).

3. A UCPA exige que o site honre o Global Privacy Control (GPC)?
Não. A UCPA não menciona a obrigação de honrar sinais de opt-out universal como o GPC. Isso diferencia o Utah da Califórnia (CPRA) e do Connecticut (CTDPA), onde o GPC é reconhecido como opt-out válido. No entanto, implementar o GPC é uma boa prática para sites que também atendem consumidores dessas outras jurisdições.

4. Como a UCPA trata cookies que coletam dados de geolocalização precisa?
Dados de geolocalização específica (dentro de 1.750 pés) são dados sensíveis sob a UCPA (§ 13-61-101(32)(a)(iii) e 33). Para processá-los, a empresa precisa apresentar ao consumidor um aviso claro e oferecer a oportunidade de opt-out antes de iniciar o processamento (§ 13-61-302(3)). Diferente de outras leis que exigem consentimento prévio ativo (opt-in), a UCPA usa o modelo de opt-out para dados sensíveis.

5. A venda de dados via cookies na UCPA é diferente da CPRA?
Sim, significativamente. A CPRA inclui o conceito de "compartilhamento" para publicidade comportamental cruzada entre sites, mesmo sem pagamento direto. A UCPA usa apenas "venda", que exige contraprestação monetária (§ 13-61-101(31)). Isso significa que o compartilhamento de dados com redes de publicidade sem pagamento direto pode não configurar "venda" sob a UCPA, enquanto configuraria "compartilhamento" sob a CPRA. Para sites que atendem consumidores de ambos os estados, a definição mais ampla da CPRA deve ser usada como referência.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a UCPA? Fale com a nossa equipe.