A Utah Consumer Privacy Act (UCPA, Utah Code § 13-61-101) é a lei estadual de privacidade mais direta nos seus requisitos para o aviso de privacidade.

Não há exigência de canal de contato ativo e monitorado como na OCPA. Não há períodos de retenção obrigatórios como na CPRA. Não há descrição detalhada de como cada terceiro pode processar os dados como na OCPA. São cinco categorias de informações que precisam estar no documento, e ponto.

Mas simples não significa trivial. A lei ainda exige transparência real sobre o que está acontecendo com os dados dos consumidores do Utah.

Este artigo foca exclusivamente no que a UCPA exige da Política de Privacidade, com base no texto oficial da lei.

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem.

Utah Code § 13-61-302(1)(a) determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível e claro".

O aviso deve listar as categorias de dados pessoais que o controlador processa (§ 13-61-302(1)(a)(i)).

Dados pessoais sob a UCPA são informações vinculadas ou razoavelmente vinculáveis a um indivíduo identificado ou identificável. Isso inclui identificadores como nome, e-mail, endereço IP, histórico de navegação, dados de localização, e qualquer dado que permita rastrear uma pessoa.

Dados desidentificados, dados agregados, e informações publicamente disponíveis estão excluídos.

O aviso deve explicar para quê cada categoria de dados é processada (§ 13-61-302(1)(a)(ii)).

A UCPA não lista explicitamente que as finalidades precisam ser específicas no mesmo grau que outras leis como a VCDPA, mas o requisito de que o aviso seja "razoavelmente acessível e claro" implica que "melhorar serviços" não é suficiente. "Dados comportamentais para identificar oportunidades de melhoria de usabilidade" é o nível correto.

O aviso deve descrever como os consumidores podem exercer os direitos garantidos pela UCPA (§ 13-61-302(1)(a)(iii)).

Os quatro direitos sob a UCPA são:

Confirmação e acesso: saber se o controlador processa dados e acessar esses dados.

Exclusão: solicitar exclusão de dados que o consumidor forneceu ao controlador.

Portabilidade: obter cópia dos dados em formato portátil para transmissão a outro controlador.

Opt-out: recusar processamento para publicidade direcionada ou venda de dados.

Para cada direito, o aviso precisa descrever o canal de submissão de solicitações e o prazo de 45 dias para resposta.

O que a UCPA não exige que seja descrito: processo de apelação formal (a lei não tem esse mecanismo estruturado), direito de correção (a UCPA não o prevê), e direito de opt-out de perfilamento (não coberto pela lei).

Se a empresa compartilha dados com terceiros, o aviso precisa listar quais categorias de dados são compartilhadas (§ 13-61-302(1)(a)(iv)).

Isso abrange ferramentas de analytics, plataformas de publicidade, CRMs, processadores de pagamento, e qualquer serviço externo que receba dados dos usuários.

A UCPA usa o conceito de "venda" de dados, definida em § 13-61-101(31) como a troca de dados pessoais por contraprestação monetária a terceiros. Compartilhamento sem contraprestação monetária não configura "venda" sob a UCPA, ao contrário da CPRA que inclui o conceito de "compartilhamento" para publicidade comportamental mesmo sem pagamento.

Além das categorias de dados, o aviso precisa identificar as categorias de terceiros com quem os dados são compartilhados (§ 13-61-302(1)(a)(v)).

Categorias como "plataformas de análise de audiência", "ferramentas de automação de marketing" e "processadores de pagamento" são exemplos válidos.

A UCPA não exige o nível de detalhe que a OCPA exige (tipo de entidade e como cada terceiro pode processar os dados). Categorias identificáveis são suficientes.

Se a empresa vende dados ou usa dados para publicidade direcionada, Utah Code § 13-61-302(1)(b) exige divulgação clara e conspícua, junto com a forma como o consumidor pode exercer o opt-out.

Publicidade direcionada, conforme § 13-61-101(34), são anúncios selecionados com base em dados obtidos das atividades do consumidor ao longo do tempo em sites ou aplicações não afiliados. Anúncios baseados em atividades dentro do próprio site do controlador não se enquadram.

Se o site usa Meta Pixel, Google Ads, ou qualquer pixel que envia dados para redes de publicidade externas, a empresa está operando publicidade direcionada e precisa divulgar isso explicitamente.

Este é o ponto que mais diferencia a UCPA das outras leis estaduais. Utah Code § 13-61-302(3) exige que, antes de processar dados sensíveis, o controlador:

Apresente ao consumidor um aviso claro; e

Ofereça ao consumidor a oportunidade de opt-out.

Não é necessário obter consentimento prévio. A empresa pode processar dados sensíveis, desde que informe o consumidor e dê a ele a opção de recusar antes de começar.

Dados sensíveis sob a UCPA incluem: dados de saúde e médicos, dados genéticos e biométricos para identificação, dados de localização específica, origem racial ou étnica, crenças religiosas, orientação sexual, e cidadania ou status de imigração.

Para dados de crianças conhecidas (menores de 13 anos), a empresa precisa cumprir os requisitos da COPPA (§ 13-61-102(3)), o que na prática exige consentimento parental verificável.

A Política de Privacidade deve:

Identificar se a empresa processa dados sensíveis.

Descrever como o aviso sobre dados sensíveis é apresentado ao consumidor.

Explicar como o consumidor pode exercer o opt-out de processamento de dados sensíveis.

Para empresas que já têm políticas de privacidade escritas para outras leis estaduais, vale destacar o que a UCPA não exige:

Sem período de retenção obrigatório. A CPRA exige especificar por quanto tempo cada categoria de dado é retida. A UCPA não tem esse requisito.

Sem canal de contato ativo e monitorado. A OCPA exige um e-mail ou mecanismo online ativamente monitorado. A UCPA exige apenas que o aviso descreva como os consumidores podem exercer seus direitos.

Sem nível de detalhe sobre terceiros. A OCPA exige descrever como cada terceiro pode processar os dados. A UCPA exige apenas as categorias.

Sem direito de correção para descrever. Como a UCPA não prevê esse direito, a política não precisa descrevê-lo.

Sem processo de apelação formal. A UCPA não tem um mecanismo de apelação estruturado como OCPA e CTDPA.

Isso torna a política de privacidade da UCPA a mais simples de estruturar entre as leis estaduais americanas atuais.

Utah Code § 13-61-302(2) exige que o controlador estabeleça, implemente e mantenha práticas razoáveis de segurança administrativa, técnica e física, proporcionais ao tamanho, escopo, tipo e volume de dados processados.

A Política de Privacidade deve mencionar que a empresa implementa medidas de segurança adequadas para proteger os dados pessoais dos consumidores, mesmo que não precise detalhar cada medida específica.

Utah Code § 13-61-302(4) proíbe expressamente que a empresa discrimine consumidores que exercem seus direitos. Isso inclui negar bens ou serviços, cobrar preços diferentes, ou oferecer qualidade inferior.

A exceção são programas de fidelidade, recompensas, funcionalidades premium ou descontos onde a diferença está razoavelmente relacionada à participação voluntária do consumidor, ou quando o consumidor optou por sair da publicidade direcionada e a empresa ajustou o preço em consequência.

A Política de Privacidade deve mencionar essa política de não discriminação.

Utah Code § 13-61-301(2) exige que, antes de um processador realizar processamento em nome do controlador, as partes firmem contrato que inclua: instruções de processamento, natureza e finalidade, tipo de dados, duração, direitos e obrigações, dever de confidencialidade para cada pessoa que processa dados, e exigências similares para subcontratados.

A Política de Privacidade não precisa detalhar esses contratos, mas pode mencionar que a empresa usa processadores que processam dados em seu nome sob contratos adequados.

Antes de iniciar qualquer ação, o Attorney General do Utah é obrigado a notificar o controlador e conceder 30 dias para correção (§ 13-61-402(3)). Esse prazo é garantido permanentemente pela UCPA, ao contrário de outras leis que o eliminaram.

Uma Política de Privacidade desatualizada ou incompleta é uma das violações mais fáceis de identificar. Corrigi-la dentro de 30 dias após uma notificação é viável com os processos certos. Mas estruturar a política corretamente desde o início é sempre mais eficiente.

A AdOpt garante que o que está escrito na Política tem correspondência real com o que acontece no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A plataforma de gestão de consentimentos garante que o mecanismo de opt-out funciona conforme descrito.

O registro de cada interação fica documentado. Se o Attorney General pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a UCPA? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site.

Categorias de dados pessoais processados, com descrição suficiente para o consumidor entender (§ 13-61-302(1)(a)(i)).

Finalidades do processamento para cada categoria (§ 13-61-302(1)(a)(ii)).

Como exercer os 4 direitos garantidos pela UCPA: confirmação/acesso, exclusão, portabilidade e opt-out, com canal e prazo de 45 dias (§ 13-61-302(1)(a)(iii)).

Categorias de dados compartilhados com terceiros, se houver (§ 13-61-302(1)(a)(iv)).

Categorias de terceiros com quem os dados são compartilhados (§ 13-61-302(1)(a)(v)).

Divulgação de publicidade direcionada ou venda de dados com opt-out acessível (§ 13-61-302(1)(b)).

Tratamento de dados sensíveis: aviso claro e oportunidade de opt-out antes do processamento (§ 13-61-302(3)).

Tratamento de dados de crianças: conformidade com COPPA para crianças menores de 13 (§ 13-61-102(3)).

Política de não discriminação para consumidores que exercem direitos (§ 13-61-302(4)).

Gratuidade para a primeira solicitação por período de 12 meses (§ 13-61-203(4)(a)).

1. A Política de Privacidade da UCPA precisa especificar períodos de retenção de dados?
Não. A UCPA não exige que a Política de Privacidade especifique por quanto tempo cada categoria de dado é retida. Isso diferencia a UCPA da CPRA, que exige essa informação explicitamente. A UCPA exige apenas que a política descreva as categorias de dados processados e as finalidades, sem detalhar períodos de retenção.

2. Preciso descrever o direito de correção na Política de Privacidade da UCPA?
Não. A UCPA não garante o direito de correção de dados imprecisos, ao contrário da CPRA, OCPA, VCDPA e CTDPA. A política precisa descrever apenas os quatro direitos que a lei efetivamente garante: confirmação/acesso, exclusão (limitada a dados fornecidos pelo consumidor), portabilidade, e opt-out de publicidade direcionada e venda.

3. Como a UCPA trata dados sensíveis de forma diferente de outras leis?
Utah Code § 13-61-302(3) exige apenas aviso claro e oportunidade de opt-out antes de processar dados sensíveis. Leis como CPRA, OCPA, VCDPA e CTDPA exigem consentimento prévio ativo (opt-in) para dados sensíveis. Essa diferença é fundamental: sob a UCPA, a empresa pode processar dados sensíveis a menos que o consumidor ativamente recuse. Sob as outras leis, a empresa só pode processar com o consentimento ativo do consumidor.

4. A Política de Privacidade da UCPA precisa descrever um processo de apelação?
Não. A UCPA não define um processo de apelação formal para quando o controlador nega uma solicitação do consumidor. Ao contrário da OCPA (45 dias para apelação), CTDPA (60 dias) e VCDPA (60 dias), a UCPA não tem esse mecanismo estruturado. A Política precisa apenas descrever os quatro direitos e o canal de submissão de solicitações.

5. O que acontece se a Política de Privacidade estiver incompleta quando o Attorney General investigar?
O AG envia notificação identificando as violações e dá 30 dias para correção (§ 13-61-402(3)). Esse período de 30 dias é garantido permanentemente pela UCPA. Se a empresa corrigir a Política e fornecer declaração escrita de que a violação foi sanada e não se repetirá, nenhuma ação formal é iniciada. Se não corrigir ou descumprir a declaração, o AG pode buscar penalidades de até US$ 7.500 por violação. Uma Política desatualizada é uma das violações mais fáceis de identificar e de corrigir.

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a UCPA? Fale com a nossa equipe.