Se sua empresa já alugou uma lista de e-mails, vendeu análises agregadas de clientes para um parceiro de marketing ou administrou um programa de fidelidade que compartilha dados de compra com uma rede de varejo, você já pode ser um "corretor de dados" sob a lei de Vermont — e desde este verão, esse rótulo ficou muito mais caro de se obter.
Em 16 de junho de 2026, o Governador Phil Scott sancionou a H.211 (agora Lei 138), uma reforma abrangente da lei de registro de corretores de dados de Vermont — a primeira do tipo no país quando foi originalmente aprovada em 2018. As alterações não entram em vigor até 1º de janeiro de 2027, mas o prazo para conformidade é mais curto do que parece, uma vez que você entende o quão mais amplas são as novas definições. Muitas pequenas empresas que nunca se consideraram "corretoras de dados" estão prestes a descobrir que são.
O Que Realmente É a Lei de Corretagem de Dados de Vermont
Vermont foi o primeiro estado a exigir que empresas que negociam dados de consumidores se registrassem junto ao governo, bem antes de Califórnia, Texas, Oregon e alguns outros estados seguirem com suas próprias versões. A ideia central sempre foi simples: se você coleta intencionalmente e depois vende ou licencia informações pessoais sobre pessoas com as quais não tem relação direta, o estado quer saber quem você é, o que está vendendo e quanto dado é transferido.
Desde 2018, isso significa um registro anual junto ao Secretário de Estado de Vermont, uma taxa de US$ 100 e alguns requisitos básicos de divulgação. Por quase oito anos, esse registro tem sido principalmente uma reflexão tardia para o punhado de empresas grandes o suficiente para se encaixar claramente no rótulo de "corretor de dados" — pense em empresas de verificação de antecedentes, agregadores de dados de marketing e sites de busca de pessoas.
A H.211 muda esse cálculo para um conjunto muito mais amplo de empresas.
O Que Realmente Mudou
A definição de "relação direta" ficou mais restrita — e essa é a parte que pega as pessoas desprevenidas. Sob a lei antiga, simplesmente coletar informações diretamente de um consumidor geralmente era suficiente para estabelecer uma "relação direta" e ficar fora da definição de corretor de dados. A lei alterada exige que o consumidor interaja intencionalmente com seu negócio. Essa distinção especificamente atrai empresas que operam nos bastidores de uma transação — processadores de pagamento, fornecedores de programas de fidelidade e provedores de plataforma de marca branca são exemplos nomeados nos comentários legislativos. Se a relação de um consumidor é realmente com o varejista, restaurante ou aplicativo que ele pensa estar usando — e sua empresa é a infraestrutura capturando silenciosamente seus dados em segundo plano — você pode não mais se qualificar para a isenção de relação direta só porque tecnicamente coletou os dados por conta própria.
"Informações pessoais intermediadas" também ficou muito mais ampla. A lei antiga listava categorias específicas de dados que contavam. A nova lei substitui essa lista por um padrão geral: qualquer informação que esteja vinculada ou razoavelmente vinculável a um indivíduo identificado ou identificável — ou a um dispositivo doméstico — incluindo dados derivados e identificadores únicos. Isso é um alinhamento deliberado com o tipo de definições amplas usadas em leis estaduais abrangentes de privacidade, e abrange coisas como IDs de dispositivos, perfis comportamentais e atributos inferidos que a lista enumerada original não alcançava claramente.
Novas obrigações de due diligence entram em vigor antes que você possa vender ou licenciar dados. Os corretores de dados agora têm que identificar quem está recebendo informações pessoais intermediadas, entender o que pretendem fazer com elas e obter certificação de que não as usarão para mais nada. Se um corretor tiver motivos razoáveis para acreditar que os dados serão mal utilizados — ou usados ilegalmente — ele é obrigado a recusar a transação. Esta é uma obrigação operacional real, não apenas um exercício burocrático: significa um processo documentado de recepção e verificação para cada parceiro de compartilhamento de dados, não um arquivamento de registro único.
Uma isenção útil: a exceção de afiliadas. Compartilhar dados com afiliadas corporativas é agora explicitamente excluído da definição de "venda", o que alinha Vermont com a forma como o Texas trata o compartilhamento de dados intraempresarial. Se a movimentação de seus dados estiver confinada a entidades sob controle comum, esta alteração provavelmente o mantém fora do escopo para essa atividade específica — embora valha a pena confirmar se sua estrutura corporativa realmente se qualifica antes de confiar nisso.
A Parte Financeira Ficou Séria
A estrutura de taxas e penalidades é onde a H.211 deixa de ser um incômodo de conformidade e se torna uma rubrica orçamentária real:
| Requisito | Antigo | Novo |
|---|---|---|
| Taxa de registro anual | US$ 100 | US$ 900 |
| Fiança | Nenhuma especificada | US$ 20.000 |
| Falha em se registrar | — | US$ 200/dia |
| Registro incompleto (após 30 dias) | — | US$ 1.000/dia |
| Informações materialmente incorretas | — | US 1.000/dia após o prazo de correção |
Uma taxa anual de US 20.000 não são os tipos de valores que uma pequena empresa absorve sem notar. E a estrutura de penalidades diárias significa que um erro de registro deixado sem correção não fica apenas parado — ele acumula, da mesma forma que uma obrigação fiscal não paga acumula juros, enquanto não for resolvido.
O Secretário de Estado de Vermont também é obrigado a estudar a viabilidade de uma plataforma centralizada de solicitação de exclusão de dados do consumidor, com um relatório devido em dezembro de 2028 — um sinal de que esta é muito provavelmente a primeira de várias rodadas de aperto, não a última.
Quem Deveria Realmente se Preocupar
Grandes empresas de busca de pessoas e dados de marketing já sabem que são corretoras de dados. As empresas que devem prestar mais atenção são aquelas que nunca pensaram que o rótulo se aplicava a elas:
- Empresas de comércio eletrônico e assinatura que compartilham o histórico de compras ou dados de engajamento do cliente com uma rede de anúncios, plataforma de influenciadores ou parceiro de co-marketing em troca de dinheiro ou dados recíprocos.
- Plataformas SaaS e desenvolvedores de aplicativos que monetizam dados de uso agregados ou "anonimizados" — lembre-se, o novo padrão cobre qualquer coisa "razoavelmente vinculável" a uma pessoa ou dispositivo doméstico, o que é uma barra muito mais baixa do que a maioria das equipes de engenharia presume quando chama os dados de "anonimizados".
- Operadores de programas de fidelidade e facilitadores de pagamento que ficam entre um consumidor e o varejista com quem ele pensa estar lidando — exatamente o cenário que a definição restrita de "relação direta" visa.
- Profissionais de marketing afiliado e empresas de geração de leads cujo modelo inteiro é capturar as informações de um consumidor e vender ou licenciar o acesso a elas para outras empresas.
- Programas de indicação e recompensas que compartilham dados de membros com parceiros de varejo ou hospitalidade como parte de um acordo de promoção cruzada.
Nenhuma dessas empresas se descreveria como "corretora de dados" em uma conversa informal. Sob a lei alterada de Vermont, várias delas podem legalmente ser uma de qualquer maneira — e a ignorância da classificação não faz a penalidade de US$ 200 por dia desaparecer.
O Que Fazer Antes de 1º de Janeiro de 2027
- Mapeie todos os lugares onde os dados do cliente saem da sua empresa. Não apenas vendas de dados óbvias — integrações de fornecedores, acordos de co-marketing, pixels de redes de anúncios e parcerias de "compartilhamento de dados" que não envolvem troca de dinheiro, mas envolvem acesso recíproco a informações do consumidor.
- Teste cada fluxo de dados contra o novo padrão de "relação direta". Pergunte honestamente: o consumidor interagiu intencionalmente com sua empresa, ou você é a infraestrutura por trás da loja de outra pessoa?
- Verifique se a exceção de afiliada realmente cobre sua estrutura. Ela se aplica apenas a dados compartilhados dentro de um relacionamento genuíno de afiliada corporativa — não a parceiros independentes com quem você trabalha regularmente.
- Construa um processo de due diligence para destinatários de dados, incluindo uma maneira de documentar para que eles disseram que os dados seriam usados, antes do prazo de janeiro de 2027 tornar isso um requisito legal em vez de uma boa prática.
- Faça um orçamento para a nova estrutura de taxas agora. Uma taxa de registro anual de US 20.000 são custos reais que pertencem ao orçamento operacional do próximo ano, não uma surpresa que você descobre quando um prazo de conformidade já está em cima de você.
Por Que Isso Pertence aos Seus Livros Contábeis, Não Apenas aos Seus Arquivos Jurídicos
Custos de conformidade como estes têm uma maneira de se perder entre departamentos — o jurídico é dono do registro, mas o financeiro acaba absorvendo a taxa, o prêmio da fiança e qualquer exposição a penalidades sem um item de linha claro para rastreá-los. Tratar a taxa de registro de Vermont, o custo da fiança e qualquer exposição potencial a penalidades diárias como suas próprias contas rastreadas — em vez de enterrá-los em um balde genérico de "taxas legais e profissionais" — torna muito mais fácil ver o custo real de um erro de conformidade e fazer um orçamento preciso para ele ano após ano. Se sua empresa acabar se registrando como corretora de dados, essa taxa de US$ 900 e o prêmio da fiança são custos recorrentes que valem a pena rastrear com a mesma disciplina que você aplicaria a uma assinatura de software ou um prêmio de seguro — não tratados como um arquivamento único que você esquece até o próximo janeiro.
Mantenha Seus Custos de Conformidade Visíveis
À medida que novas leis estaduais como a H.211 de Vermont transformam parcerias comuns de compartilhamento de dados em atividades regulamentadas, registros financeiros claros facilitam muito o rastreamento de custos de conformidade, exposição a penalidades e obrigações de fornecedores sem perder de vista o quanto eles estão realmente custando a você. O Beancount.io oferece contabilidade em texto simples que é transparente, controlada por versão e fácil de auditar — sem caixas pretas, sem dependência de fornecedor. Comece grátis e veja por que desenvolvedores e proprietários de empresas com conhecimentos financeiros estão migrando para a contabilidade em texto simples.