Se sua empresa coleta e-mails de clientes, opera um programa de fidelidade ou instala um único pixel de rastreamento em seu site, o dia 1º de julho de 2026 mudou silenciosamente suas obrigações legais — mesmo que você nunca tenha ouvido falar dos estatutos de privacidade de Connecticut, Arkansas ou Utah. O que começou como um punhado de leis de privacidade estaduais voltadas para as grandes empresas de tecnologia se transformou, em dois anos, em uma colcha de retalhos de mais de 20 estados que cada vez mais alcança empresas comuns de pequeno porte, e não apenas os gigantes corretores de dados.
A onda de meados de 2026 é diferente das rodadas anteriores em um aspecto importante: os limites que definem quem é considerado "abrangido" continuam caindo, e as categorias de dados "sensíveis" continuam se expandindo. Uma empresa que estava seguramente fora do radar em 2024 pode se encontrar hoje diretamente sob a lei. Veja a seguir o que realmente mudou, a quem se aplica e o que fazer a respeito.
O Que Mudou em 1º de Julho de 2026
Três estados — Connecticut, Arkansas e Utah — tiveram disposições importantes de suas leis de privacidade entrando em vigor em 1º de julho de 2026, somando-se às regras ampliadas de corretores de dados da Califórnia, que começaram a entrar em vigor no início do ano. Juntas, elas representam a atualização de privacidade de meio de ano mais significativa desde que os estados começaram a aprovar legislação abrangente de privacidade. Nenhuma dessas leis é idêntica, e nenhuma usa os mesmos limites ou definições, o que é exatamente o motivo pelo qual a conformidade tem ficado mais difícil, e não mais fácil, à medida que mais estados se somam a essa tendência.
Connecticut: O Limite Ficou Muito Mais Baixo
A Lei de Privacidade de Dados de Connecticut (CTDPA) foi alterada pelo SB 1295, e a principal mudança é o limite de aplicabilidade. Anteriormente, a lei só abrangia empresas que processavam dados pessoais de pelo menos 100.000 residentes de Connecticut por ano. A partir de 1º de julho, esse número cai para 35.000 residentes — uma redução de quase dois terços que traz um número significativo de pequenas empresas regionais e multiestaduais para o escopo da lei pela primeira vez.
Há um segundo gatilho, mais agressivo: se sua empresa processa qualquer "dado sensível" ou realiza qualquer venda de dados pessoais, você está abrangido pela lei independentemente do volume. Isso significa que uma empresa de cinco pessoas que processa informações sensíveis de até algumas centenas de clientes de Connecticut pode estar sujeita à lei.
Connecticut também expandiu sua definição de dados sensíveis para incluir documentos de identificação emitidos pelo governo, números de contas financeiras, números de Seguro Social e — notavelmente — dados neurais (informações geradas por dispositivos de interface cérebro-computador). Os dados sensíveis agora exigem consentimento explícito (opt-in) antes da coleta e não podem ser vendidos sem a aprovação expressa do consumidor.
A parte mais inovadora da emenda é um novo requisito de transparência em IA: as empresas devem divulgar em seus avisos de privacidade se coletam, usam ou vendem dados pessoais com o objetivo de treinar grandes modelos de linguagem. Se você licenciou dados de clientes para um fornecedor, usou uma plataforma de chatbot que treina com base em suas entradas, ou assinou um contrato com linguagem de "melhoria de modelo" escondida nos termos, agora você precisa declarar isso publicamente. Esse é o primeiro mandato estadual desse tipo, e espera-se que outros estados sigam o exemplo.
Arkansas: Uma Proibição Total de Anúncios Direcionados a Menores
A Lei de Proteção à Privacidade Online de Crianças e Adolescentes do Arkansas (ACTOPPA), também em vigor a partir de 1º de julho, adota uma postura mais rígida do que qualquer lei comparável já existente. Para crianças de até 12 anos, a lei exige consentimento parental verificável antes da coleta de dados pessoais. Para adolescentes de 13 a 16 anos, tanto o adolescente quanto um dos pais podem fornecer o consentimento.
A parte que pega as empresas de surpresa é a regra de publicidade: a publicidade direcionada a menores é totalmente proibida pela lei, sem exceção por consentimento, sem caminho de opt-in e sem alternativa parental. Se sua empresa realiza qualquer tipo de campanha de retargeting, público semelhante (lookalike) ou anúncios baseados em interesse, e seu público inclui usuários com menos de 17 anos, você precisa de salvaguardas adequadas à idade em sua pilha de anúncios — não apenas uma caixa de seleção nos seus termos de serviço.
A coleta de dados de menores também é limitada ao que for "razoavelmente necessário" para prestar o serviço, ecoando a linguagem de minimização de dados que vem aparecendo na nova onda de leis estaduais. Um ponto de alívio: apenas o Procurador-Geral do Arkansas pode fazer cumprir a ACTOPPA — não há direito de ação privada, o que reduz (mas não elimina) a exposição a litígios.
Utah: Direitos de Correção e Portabilidade em Redes Sociais
A contribuição de Utah, a HB 418, altera a Lei de Escolha Digital do estado com dois novos direitos do consumidor. Primeiro, um direito de corrigir dados pessoais imprecisos — os consumidores agora podem pedir a uma empresa que corrija informações erradas sobre eles, não apenas excluí-las ou optar por não vendê-las. Segundo, e mais específico para plataformas, novos requisitos de portabilidade de dados e interoperabilidade para serviços de redes sociais, destinados a permitir que os usuários movam seus dados entre plataformas concorrentes.
Para a maioria das pequenas empresas, o direito de correção é o que mais importa. Se você mantém registros de clientes — um CRM, uma lista de e-mails, um banco de dados de associados — você precisará de um fluxo de recebimento e verificação para solicitações de correção, semelhante ao que muitas empresas já construíram para solicitações de exclusão sob leis de privacidade anteriores.
Califórnia: Corretores de Dados Agora Precisam Identificar Nomes
As regras de corretores de dados da Califórnia, reforçadas pelo SB 361 e sendo implementadas ao longo de 2026, exigem que os corretores de dados registrados divulguem não apenas quais categorias de dados coletam, mas também se compartilharam ou venderam esses dados a atores estrangeiros, entidades governamentais, órgãos de aplicação da lei ou desenvolvedores de IA generativa. "Ator estrangeiro" captura especificamente entidades ligadas a nações adversárias, incluindo China, Rússia, Irã e Coreia do Norte.
Isso afeta principalmente empresas que se enquadram na definição legal de corretor de dados da Califórnia — empresas que vendem dados de consumidores a terceiros com quem não têm relação direta. Mas, se sua empresa trabalha com um corretor de dados como fornecedor, ou revende dados enriquecidos de clientes como parte de seu modelo de receita, vale a pena verificar se essa classificação se aplica a você antes do próximo prazo de registro anual da CPPA.
Essas Leis Realmente Se Aplicam a Você?
Essa é a pergunta que confunde a maioria dos proprietários de pequenas empresas, porque a resposta honesta é "depende de onde seus clientes moram, não de onde sua empresa está sediada". As leis de privacidade estaduais geralmente se aplicam com base na residência das pessoas cujos dados você processa, não no estado de origem ou no porte da sua empresa no sentido tradicional.
Alguns sinais práticos de que você pode estar dentro do escopo em algum lugar:
- Você tem clientes, assinantes de e-mail ou visitantes do site em Connecticut, e processa qualquer uma das categorias de dados sensíveis recém-expandidas (informações financeiras, documentos de identificação governamentais, dados de saúde).
- Seu marketing atinge usuários com menos de 17 anos no Arkansas — inclusive por meio de plataformas de anúncios de terceiros que você não construiu.
- Você mantém registros de clientes de residentes de Utah e ainda não criou um processo de solicitação de correção.
- Você usa algum corretor de dados, rede de anúncios ou fornecedor de aluguel de listas e nunca perguntou o que eles fazem com as informações.
Se nenhum desses casos se aplica a você, é possível que você esteja genuinamente fora do escopo por enquanto — mas o "por enquanto" carrega bastante peso nessa frase, dado o ritmo com que os limites vêm caindo.
Uma Lista Prática de Conformidade
Você não precisa de um departamento de conformidade para acertar o básico. Comece por aqui:
- Faça um inventário do que você coleta. Você não pode cumprir regras de categorias de dados que não mapeou. Liste todos os pontos por onde os dados de clientes entram na sua empresa — formulários do site, sistemas de ponto de venda, cadastros por e-mail, pixels de anúncios.
- Verifique seus contratos com fornecedores em busca de linguagem sobre treinamento de IA. Se você usa um CRM, chatbot ou ferramenta de análise, procure cláusulas sobre o uso de seus dados para "melhorar" ou "treinar" modelos. Connecticut agora exige que você divulgue isso publicamente.
- Atualize sua política de privacidade. Adicione linguagem de divulgação sobre treinamento de LLM, se aplicável, e certifique-se de que sua política realmente reflita o que você faz — os reguladores comparam cada vez mais a linguagem da política com a prática real.
- Crie um processo leve de solicitação. Um único endereço de e-mail ou formulário onde os clientes possam pedir a correção, exclusão ou a exclusão de venda de seus dados cobre a maioria das obrigações entre os estados.
- Segmente a segmentação de anúncios para menores, se aplicável. Se seu público tende a ser jovem, desative os anúncios baseados em interesse e retargeting para esse segmento, em vez de tentar criar uma exceção estado por estado.
Mantenha Seus Registros Financeiros Tão Organizados Quanto Sua Política de Dados
A conformidade com privacidade e o registro financeiro compartilham a mesma disciplina subjacente: saber exatamente o que você está coletando, onde isso está armazenado e quem pode ver. O Beancount.io traz essa mesma transparência para seus livros com contabilidade em texto puro, versionada, auditável e livre de aprisionamento a fornecedores — sem caixa-preta, sem adivinhação sobre o que mudou ou quando. Comece de graça e mantenha seus dados financeiros tão bem organizados quanto seu programa de conformidade.