A CCPA é a lei de privacidade dos Estados Unidos. Se o teu negócio opera em qualquer ponto dos EUA, é provável que tenhas visitantes da Califórnia. Se recolhes os dados deles através de formulários, a CCPA aplica-se. Mas a CCPA não é a única lei de privacidade. Mais de uma dúzia de estados dos EUA têm agora regulamentos de privacidade semelhantes, e há novos a caminho.
A CCPA e outras leis estaduais de privacidade são os equivalentes norte-americanos do RGPD europeu. Perceber que leis de privacidade se aplicam aos teus formulários e o que cada uma exige é essencial para manteres a conformidade nas diferentes regiões dos EUA.
O que vais aprender: o que é a CCPA e como difere do RGPD, que outros estados dos EUA têm leis de privacidade, o que estas leis exigem dos formulários, como saber que leis se aplicam ao teu negócio e como criar formulários que cumprem vários regulamentos ao mesmo tempo.
O que é a CCPA?
A CCPA (California Consumer Privacy Act) é uma lei de privacidade que se aplica a empresas com fins lucrativos que recolhem informações pessoais de residentes na Califórnia. Entrou em vigor a 1 de janeiro de 2020 e desde então foi reforçada por regulamentos adicionais.
A CCPA aplica-se aos teus formulários se:
- O teu negócio recolhe dados de pessoas na Califórnia
- Geras uma receita anual acima de 25 milhões de dólares, ou
- Recolhes dados de 100 000 ou mais residentes (ou agregados familiares), ou
- Vendes dados de consumidores como prática comercial
Mesmo as pequenas empresas cumprem muitas vezes estes limiares sem se aperceberem. Se tens um formulário de contacto e recolheste informação de algumas centenas de residentes da Califórnia, é provável que estejas abrangido.
Principais requisitos da CCPA para formulários
Divulgação num aviso de privacidade
Tens de disponibilizar um aviso de privacidade que informe os visitantes da Califórnia sobre:
- Que categorias de informação pessoal recolhes (nome, email, histórico de compras, etc.)
- Porque as recolhes (para responder a pedidos, para prestar serviços, para marketing)
- De onde vêm os dados (diretamente do consumidor num formulário, de terceiros, de estatísticas)
- Durante quanto tempo os guardas
- Com quem os partilhas (prestadores de serviços, outras empresas, etc.)
O aviso de privacidade tem de ser fácil de encontrar. Uma ligação no rodapé ou uma página de política escondida não chega. Põe-no onde os visitantes o vejam antes de preencherem o teu formulário.
O direito de saber
Os residentes na Califórnia podem pedir para saber que informação pessoal recolheste sobre eles. Tens de conseguir fornecer esta informação em 45 dias. Isto significa que precisas de sistemas para acompanhar que dados tens sobre cada pessoa e de um processo para responder a estes pedidos.
O direito de apagar
Os residentes na Califórnia podem pedir-te que apagues a informação pessoal deles. Tens de cumprir, a menos que tenhas uma razão legal para a manter (como registos fiscais ou prevenção de fraude). Isto aplica-se a todos os envios de formulários e dados de clientes que tens sobre eles.
O direito de recusar vendas
Se vendes dados pessoais a outras empresas (mesmo que não pienses nisso como "vender"), os residentes na Califórnia podem recusar. Segundo a CCPA, "vender" inclui partilhar dados com terceiros em troca de dinheiro, serviços ou outros benefícios valiosos. Tens de disponibilizar no teu website uma ligação "Não vender as minhas informações pessoais" (Do Not Sell My Personal Information).
O direito de corrigir
Os consumidores podem pedir-te que corrijas informação pessoal incorreta sobre eles. Não és obrigado a alterar tudo o que pedem, mas tens de ter um processo para rever e responder a estes pedidos.
Sem discriminação
Não podes discriminar alguém por exercer os direitos da CCPA. Se alguém pede que os seus dados sejam apagados, não podes recusar servi-lo nem cobrar-lhe mais pelos teus serviços.
CCPA e RGPD: diferenças principais
A CCPA e o RGPD protegem ambos os dados pessoais, mas têm diferenças importantes:
| Característica | RGPD | CCPA | | - | - | - | | Aplica-se a | Dados de residentes na UE, de qualquer empresa | Dados de residentes na Califórnia, de empresas maiores | | Consentimento | Exige adesão explícita (opt-in), exceto para dados essenciais | Modelo de recusa (opt-out): os dados são recolhidos, a menos que se peça o contrário | | Direito ao esquecimento | Sim | Sim, mas com mais exceções | | Coimas | Até 20 milhões de euros ou 4% da receita | Até 2500 por infração, até 7500 por infração intencional | | Venda de dados | Não permitida sem consentimento | Permitida, a menos que o consumidor recuse |A diferença principal é que o RGPD exige que peças permissão antes de recolher dados. A CCPA exige que digas às pessoas que podem recusar.
Outras leis de privacidade estaduais dos EUA
Mais de uma dúzia de outros estados aprovaram leis de privacidade semelhantes à CCPA. Eis as principais:
Virgínia (VCDPA)
A Virginia Consumer Data Protection Act aplica-se a empresas com fins lucrativos que tratam dados pessoais de residentes na Virgínia. Exige direitos dos consumidores de acesso, eliminação e correção de dados e de recusa de vendas.
Colorado (CPA)
A Colorado Privacy Act abrange empresas que tratam dados de residentes no Colorado. Semelhante à CCPA, mas com algumas diferenças de âmbito e de aplicação.
Connecticut (CTDPA)
A Connecticut Data Privacy Act, em vigor desde julho de 2024. Direitos dos consumidores semelhantes aos da CCPA e da VCDPA.
Utah (UCPA)
A Utah Consumer Privacy Act é notoriamente menos rigorosa do que as outras, mas continua a exigir direitos de recusa aos consumidores.
Montana, Delaware, Iowa e outros
Outros estados aprovaram ou estão a considerar leis de privacidade. A maioria segue o modelo da CCPA de direitos de recusa dos consumidores, com alguma variação nos requisitos.
Como saber que leis se aplicam aos teus formulários
Para perceberes com que leis de privacidade tens de cumprir:
- Identifica de onde vêm os teus visitantes. Usa as estatísticas para ver que estados e regiões estão representados.
- Procura a lei de cada região. Nos estados dos EUA, consulta o site do procurador-geral do estado. Noutros países, pesquisa as leis de privacidade deles.
- Verifica os requisitos de limiar. A tua empresa atinge os limiares de dimensão? Tens clientes suficientes nessa região?
- Consulta um advogado se tiveres dúvidas. A lei da privacidade é complexa e varia consoante a região. Se o teu negócio recolhe quantidades significativas de dados, fala com um advogado.
Criar formulários que cumprem várias leis de privacidade
Se os teus visitantes vêm de estados e países diferentes, tens de seguir as regras mais rigorosas que se aplicam.
Assume as regras do RGPD para todos
Se tens algum visitante da UE, segue as regras do RGPD. O RGPD é uma das leis de privacidade mais rigorosas, por isso cumprir o RGPD significa muitas vezes que também cumpres outras leis.
Usa consentimento explícito para dados sensíveis
Em vez de tentares seguir regras diferentes para visitantes diferentes, usa consentimento explícito (a norma do RGPD) para tudo. É mais limpo e mais protetor. Torna as escolhas de consentimento claras, específicas e separadas para os diferentes usos dos dados.
Mostra o aviso de privacidade no formulário
Inclui na página do formulário um resumo claro e legível das tuas práticas de dados. Liga à tua política de privacidade completa. Isto satisfaz os requisitos de divulgação de várias leis ao mesmo tempo.
Facilita a recusa
Dá às pessoas uma forma de cancelar a subscrição de emails de marketing ou de pedir a eliminação dos seus dados. Inclui isto em todos os emails de marketing que enviares (é exigido por lei) e no teu website (é uma boa prática).
Mantém bons registos
Documenta que dados recolhes, porque os recolhes, durante quanto tempo os guardas e quem tem acesso a eles. Isto ajuda-te a responder depressa a pedidos de dados e prova que cumpres, se um regulador perguntar.
Coimas e sanções das leis de privacidade
A CCPA e as leis de privacidade estaduais preveem sanções financeiras:
- CCPA (Califórnia): até 2500 dólares por infração, 7500 dólares por infração intencional. O procurador-geral do estado aplica-a e, em certos casos, os consumidores também podem processar.
- Virgínia, Colorado, Connecticut, etc.: as coimas vão de 2500 a 10 000 dólares por infração e algumas leis também permitem que os consumidores processem.
Embora estas coimas sejam mais baixas do que as do RGPD, somam-se depressa quando há várias infrações ou quando uma fuga de dados afeta milhares de pessoas.
O que o WEMASY faz pelo cumprimento das leis de privacidade
Os formulários do WEMASY incluem ferramentas para te ajudar a cumprir as leis de privacidade estaduais e federais. Podes acrescentar avisos de privacidade aos teus formulários, acompanhar que versão dos teus termos de consentimento cada visitante aceitou e dar à tua equipa processos para tratar pedidos de acesso e eliminação de dados. O WEMASY também regista que dados estão guardados e quando foram enviados, ajudando-te a manter os registos de que precisas para auditorias de conformidade.
Vê que funcionalidades de conformidade de privacidade estão disponíveis no teu plano na página de preços.