Cada ferramenta que você instala no seu site coloca algo no dispositivo do visitante antes que qualquer pergunta seja feita.

Um pixel de publicidade começa a rastrear o comportamento assim que a página carrega. O Google Analytics começa a medir sessões antes do primeiro clique. O chat de suporte já sabe de onde o usuário veio antes de qualquer mensagem.

A Virginia Consumer Data Protection Act (VCDPA, Va. Code § 59.1-575 et seq.), em vigor desde 1º de janeiro de 2023, mudou a relação entre esses rastreadores e o consentimento do usuário.

Este artigo foca exclusivamente no que a VCDPA exige da Política de Cookies: o que o documento precisa conter, como o consentimento de rastreadores precisa funcionar, e o que a lei diz sobre cada ponto.

O banner de cookies é o elemento visual de consentimento. É o que o visitante vê ao acessar o site pela primeira vez. Precisa ser claro, apresentar opções reais, e bloquear rastreadores não essenciais antes que eles disparem.

A Política de Cookies é o documento detalhado. É onde o usuário encontra informações completas sobre cada tecnologia que opera no site, suas finalidades, os dados que coleta, com quem os compartilha, e por quanto tempo os retém.

Os dois precisam existir. Os dois precisam estar alinhados. E a Política de Cookies precisa ser acessível por meio de um link claro no próprio aviso de consentimento.

O Va. Code § 59.1-578 A, 2 proíbe o processamento de dados para finalidades incompatíveis com as divulgadas, salvo novo consentimento. E o Va. Code § 59.1-578 C, 2 exige que a finalidade do processamento esteja no aviso de privacidade.

Para cookies, isso significa que cada categoria precisa ter uma descrição de finalidade que seja específica o suficiente para que o consumidor entenda o que está concordando.

O que não funciona: "usamos cookies para melhorar sua experiência". Não é uma finalidade. É uma descrição vaga que não gera conformidade e não protege a empresa.

O que funciona:

"Cookies de analytics: coletam dados de comportamento de navegação, incluindo páginas visitadas, duração de sessões e origem do tráfego. Utilizados para identificar oportunidades de melhoria de conteúdo e experiência no site."

"Cookies de publicidade: coletam dados de comportamento em sites não afiliados ao longo do tempo para construir perfis de interesse e exibir anúncios personalizados em outras plataformas. Incluem pixels de plataformas como Meta Ads, Google Ads e TikTok."

A Política precisa listar as categorias de rastreadores que operam no site. As principais:

Cookies necessários: essenciais para o funcionamento básico. Autenticação, segurança de sessão, carrinho de compras. Não precisam de consentimento, mas precisam estar documentados.

Cookies de analytics: medem comportamento de navegação. Google Analytics, Hotjar, Clarity e similares. Precisam de consentimento na maioria dos casos porque coletam dados que podem identificar o usuário por cruzamento de informações.

Cookies de publicidade: alimentam pixels de anúncio, constroem perfis comportamentais, habilitam remarketing. Precisam de consentimento explícito e, se usados para publicidade segmentada conforme definida pela VCDPA, exigem divulgação específica e opt-out.

Cookies funcionais: lembram preferências do usuário, como idioma selecionado ou itens visualizados recentemente. Podem precisar de consentimento dependendo da natureza dos dados retidos.

Cookies de terceiros: disparados por serviços externos integrados ao site. A categorização correta de tags é o que permite documentar cada um com precisão e manter o inventário atualizado.

A VCDPA tem um requisito que vai além da Política de Privacidade geral. O Va. Code § 59.1-578 D exige que se a empresa processa dados para publicidade segmentada, ela deve divulgar isso de forma clara e conspícua, com o mecanismo de opt-out acessível.

Publicidade segmentada, conforme Va. Code § 59.1-575, são anúncios baseados em dados coletados das atividades do consumidor ao longo do tempo e em sites ou aplicações não afiliados. Isso engloba qualquer pixel de retargeting, audiência personalizada em plataformas de anúncios, ou qualquer tecnologia que leve dados do seu site para uma rede de publicidade externa.

O que não configura publicidade segmentada pela VCDPA:

Anúncios baseados em atividades dentro do próprio site do controlador.

Anúncios contextuais baseados na busca atual ou na visita atual do usuário.

Anúncios em resposta a uma solicitação direta do consumidor.

Dados processados exclusivamente para medir desempenho, alcance ou frequência de anúncios.

Se o seu site tem qualquer pixel que leva dados para uma rede externa de publicidade, você está operando publicidade segmentada sob a definição da VCDPA. A Política de Cookies precisa declarar isso explicitamente e o opt-out precisa funcionar.

O Va. Code § 59.1-578 C, 4 e 5 exigem que o aviso de privacidade informe quais categorias de dados são compartilhadas com terceiros e quais categorias de terceiros as recebem.

Para cookies, isso se traduz em declarar claramente:

Se o Meta Pixel transfere dados comportamentais para a Meta, isso precisa estar documentado.

Se o Google Analytics envia dados de sessão para o Google, precisa estar declarado.

Se ferramentas de CRM recebem dados de formulários preenchidos no site, precisam ser identificadas.

Cada fluxo de dados que sai do ambiente do controlador precisa estar categorizado e descrito.

O Va. Code § 59.1-578 A, 1 exige que a coleta seja limitada ao que é adequado, relevante e razoavelmente necessário para as finalidades declaradas. O princípio de minimização implica a necessidade de informar por quanto tempo os dados ficam armazenados.

Para a Política de Cookies, isso significa documentar:

Por quanto tempo cada categoria de cookie permanece ativa no dispositivo do usuário.

Por quanto tempo os dados coletados via cookie são retidos nos sistemas da empresa.

Quando e como os dados são excluídos após o período de retenção.

A VCDPA garante ao consumidor o direito de opt-out do processamento de dados para publicidade segmentada, conforme Va. Code § 59.1-577 A, 5.

O Va. Code § 59.1-578 D exige que a divulgação de publicidade segmentada venha acompanhada do mecanismo de opt-out. A Política de Cookies precisa descrever como o consumidor pode exercer esse opt-out e o link deve ser acessível.

Uma plataforma de gestão de consentimentos bem configurada garante que quando o usuário exerce o opt-out de publicidade segmentada, todos os pixels e rastreadores correspondentes param de disparar automaticamente.

O Va. Code § 59.1-575 define consentimento como um ato afirmativo claro que signifique concordância livre, específica, informada e inequívoca. Pode ser uma declaração escrita, inclusive eletrônica, ou qualquer outra ação afirmativa inequívoca.

O padrão correto para cookies: tecnologias não essenciais desligadas por padrão. O usuário escolhe o que ativa, não o que desativa.

Aceitar termos gerais de uso que contenham descrições de rastreamento misturadas a outras condições.

Continuar navegando no site sem qualquer ação explícita.

Interfaces que usam design para dificultar a recusa em comparação ao aceite.

Banners que reaparecem até o usuário aceitar.

Cookie walls que bloqueiam o acesso ao conteúdo até a aceitação de todos os cookies.

A VCDPA não usa o termo "dark patterns" explicitamente como a NHDPA, mas o princípio de consentimento livre, específico, informado e inequívoco torna inválidos os mesmos padrões de design manipulativo.

Na maioria dos casos, sim.

A VCDPA define dados pessoais como qualquer informação vinculada ou razoavelmente vinculável a um indivíduo. Cookies analíticos de grandes plataformas coletam identificadores que, cruzados com outros dados que o provedor possui, podem identificar um usuário específico.

O Guia Orientativo da ANPD sobre cookies já sinalizou esse ponto: grandes provedores têm capacidade de cruzar identificadores aparentemente anônimos com outros dados que possuem para reidentificação.

A abordagem mais segura: tratar cookies de analytics como não necessários no banner, bloqueá-los antes do aceite, e documentar essa categorização na Política de Cookies.

O Va. Code § 59.1-578 F estabelece proteções específicas para dados de crianças conhecidas menores de 13 anos:

Proibição de processamento para publicidade segmentada, venda de dados e perfilamento com efeitos significativos.

Processamento apenas quando razoavelmente necessário para fornecer o serviço, produto ou funcionalidade online.

Sem uso dos dados para finalidades além das divulgadas no momento da coleta.

Retenção apenas pelo tempo necessário para fornecer o serviço.

Para plataformas de redes sociais, a proteção se estende a menores de 16 anos a partir de janeiro de 2026 (Va. Code § 59.1-577.1), com limite de 1 hora de uso diário.

Se o seu site pode ter usuários menores de 13 anos, a Política de Cookies precisa descrever como esses dados são tratados de forma diferenciada.

Sempre que o site passar a usar uma nova ferramenta que dispara cookies ou rastreadores. O inventário de tecnologias do site precisa estar sincronizado com o documento.

Situações que exigem atualização:

Adição de novo pixel de publicidade.

Nova ferramenta de analytics ou heatmap.

Novo plugin de chat, suporte ou engajamento.

Nova integração com CRM ou plataforma de e-mail marketing.

Qualquer parceiro novo que receba dados comportamentais dos usuários do site.

O mapeamento de dados contínuo é o que mantém essa sincronia. Quando o inventário de ferramentas muda, a Política de Cookies precisa mudar junto.

O Attorney General deve dar 30 dias garantidos de prazo para correção antes de iniciar qualquer ação (Va. Code § 59.1-584 B). Uma Política de Cookies inadequada pode ser corrigida dentro desse prazo desde que a empresa tenha os processos estruturados.

No entanto, se a violação continuar ou a empresa descumprir a declaração de correção fornecida, as penalidades podem chegar a US$ 7.500 por violação, com cada consumidor afetado podendo constituir uma violação separada.

O escaneamento automático da AdOpt identifica todas as tecnologias ativas no site, alimentando a lista de categorias que precisa estar na Política de Cookies.

O aviso de cookies configurado pela AdOpt bloqueia rastreadores não essenciais antes do aceite, apresenta categorias com descrições claras, oferece opções reais de escolha, e documenta cada interação para fins de auditoria.

A integração com os sistemas da empresa garante que opt-outs de publicidade segmentada sejam processados automaticamente.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Cookies do seu site em conformidade com a VCDPA? Fale com a nossa equipe.

Link visível no rodapé do site e no próprio banner de cookies.

Listagem das categorias de cookies com descrição do que cada uma faz no site.

Finalidade específica para cada categoria, sem descrições vagas (Va. Code § 59.1-578 C, 2).

Divulgação de publicidade segmentada com mecanismo de opt-out acessível (Va. Code § 59.1-578 D).

Categorias de dados compartilhados com terceiros via cookies (Va. Code § 59.1-578 C, 4).

Categorias de terceiros que recebem dados via cookies (Va. Code § 59.1-578 C, 5).

Período de retenção de cada categoria de cookie.

Cookies não necessários desativados por padrão no banner, sem padrões de design manipulativos.

Proteção para dados de crianças menores de 13 anos com fluxo diferenciado (Va. Code § 59.1-578 F).

Proteção para menores de 16 anos em plataformas de redes sociais quando aplicável (Va. Code § 59.1-577.1, vigência jan/2026).

Idioma acessível, sem juridiquês.

Ausência de cookie wall.

1. A VCDPA exige um documento separado chamado "Política de Cookies"?
Não pelo nome. Os requisitos de divulgação de rastreadores estão distribuídos entre o aviso de privacidade (Va. Code § 59.1-578 C) e a exigência de divulgação clara de publicidade segmentada (Va. Code § 59.1-578 D). Uma Política de Cookies dedicada é a forma mais organizada de atender a todos esses requisitos de forma acessível ao usuário.

2. Cookies de analytics sempre precisam de consentimento sob a VCDPA?
Na maioria dos casos, sim. Cookies analíticos de grandes plataformas coletam dados que podem identificar usuários por cruzamento com outras informações que o provedor possui, enquadrando-se na definição de dado pessoal do Va. Code § 59.1-575. Ferramentas com anonimização genuína e sem capacidade técnica de reidentificação podem ser exceção. A abordagem mais segura é tratá-los como não necessários no banner.

3. O opt-out de publicidade segmentada precisa ser processado em quanto tempo?
A VCDPA não especifica um prazo de cessação após o opt-out diferente do prazo geral de 45 dias para resposta a solicitações (Va. Code § 59.1-577 B, 1). Isso difere da NHDPA, que tem um prazo específico de 15 dias para cessação do processamento após revogação. Na VCDPA, o critério é "without undue delay" (sem demora indevida), o que na prática significa a maior agilidade tecnicamente razoável.

4. Pixel de publicidade de terceiros configura "venda de dados" sob a VCDPA?
Depende da estrutura. A VCDPA define venda como a troca de dados por contraprestação monetária. Se o pixel envia dados para uma plataforma de anúncios e em troca a empresa recebe serviços de publicidade pagos, há posições divergentes na literatura jurídica sobre se isso configura venda. O mais seguro é tratar como publicidade segmentada (que também requer opt-out) e divulgar explicitamente na Política de Cookies.

5. O que muda para plataformas de redes sociais a partir de janeiro de 2026?
O Va. Code § 59.1-577.1 entra em vigor em 1º de janeiro de 2026 e impõe às plataformas de redes sociais a obrigação de determinar se usuários são menores de 16 anos, limitar o uso a 1 hora por dia para esses usuários, e permitir que pais alterem esse limite via consentimento parental verificável. A Política de Cookies deve descrever como os dados de identificação de idade são coletados e usados exclusivamente para essa finalidade, sem aplicação a outros processamentos.

Tá na AdOpt, tá bem.

Pronto para estruturar a Política de Cookies do seu site em conformidade com a VCDPA? Fale com a nossa equipe.