Se sua empresa coleta e-mails de clientes para uma newsletter, veicula anúncios direcionados no Instagram ou armazena histórico de pedidos em um CRM, você pode presumir que as leis estaduais de privacidade são um problema dos estados costeiros — Califórnia, talvez Colorado, definitivamente não do Meio-Oeste ou Nova Inglaterra. Essa suposição acabou de se tornar muito mais cara de sustentar. A partir de 1º de janeiro de 2026, Indiana, Kentucky e Rhode Island têm leis abrangentes de privacidade de dados do consumidor em vigor, elevando o número total de estados com esse tipo de lei para vinte. Se sua empresa tem clientes, funcionários ou visitantes do site em qualquer um desses três estados, as regras que costumavam parecer "conformidade de grande empresa, grande estado" agora se aplicam a você também.
Aqui está o que realmente mudou, quem precisa cumprir e o que o proprietário de uma pequena empresa deve fazer a respeito neste trimestre.
Por Que Três Estados ao Mesmo Tempo?
Indiana, Kentucky e Rhode Island não coordenaram um ataque surpresa à papelada das pequenas empresas — eles são a onda mais recente em um padrão que vem se construindo desde que a Virgínia aprovou a primeira "segunda geração" de lei de privacidade em 2021. Cada nova lei estadual tende a se inspirar fortemente em uma anterior (principalmente a da Virgínia), com pequenos ajustes nos limites, execução e direitos do consumidor. Isso é uma boa notícia para empresas multiestaduais: uma vez que você entende uma dessas leis, as outras duas são 80% familiares.
A má notícia são os 20% restantes. Pequenas diferenças nos limites de aplicabilidade, prazos de cura e requisitos de exclusão significam que você não pode simplesmente copiar uma política de privacidade em conformidade com a Virgínia e considerá-la concluída em todos os três estados. Cada um tem suas próprias peculiaridades.
Lei de Proteção de Dados do Consumidor de Indiana (ICDPA)
A lei de Indiana é a mais favorável aos negócios das três, e vale a pena entender por quê.
A quem se aplica: Empresas com fins lucrativos que realizam negócios em Indiana ou direcionam bens/serviços a residentes de Indiana, e que durante um ano civil:
- Controlem ou processem dados pessoais de pelo menos 100.000 residentes de Indiana, ou
- Controlem ou processem dados pessoais de pelo menos 25.000 residentes de Indiana e obtenham mais de 50% da receita bruta com a venda de dados pessoais
Esse segundo limite é o que pega silenciosamente operações menores — um corretor de dados ou empresa de tecnologia de anúncios com um número modesto de clientes, mas um modelo de receita pesado em venda de dados, pode acionar esse gatilho muito antes de atingir seis dígitos de "clientes".
O que a torna favorável aos negócios:
- Um período de cura permanente de 30 dias — sem data de término, ao contrário de alguns estados onde o prazo de carência para corrigir uma violação antes da execução expira após alguns anos
- Nenhum requisito para reconhecer mecanismos universais de exclusão como o sinal Global Privacy Control (mais sobre por que isso é importante abaixo)
- Execução exclusiva pelo Procurador-Geral de Indiana — sem direito de ação privada, portanto, consumidores individuais não podem processá-lo diretamente por uma violação
- Isenções padrão para entidades cobertas pela HIPAA, organizações sem fins lucrativos, instituições de ensino superior e certas instituições financeiras
Se sua empresa já está em conformidade com a lei de privacidade da Virgínia ou do Colorado, a conformidade com Indiana consiste basicamente em atualizar seu aviso de privacidade para fazer referência à nova lei e confirmar que seus processos existentes de exclusão e solicitação de titulares de dados cobrem os residentes de Indiana.
Lei de Proteção de Dados do Consumidor de Kentucky (KCDPA)
A lei de Kentucky seguiu um caminho incomum: a legislatura aprovou emendas (HB 473) antes mesmo da lei original entrar em vigor, então as empresas estão cumprindo uma versão pré-corrigida desde o primeiro dia.
O que o HB 473 mudou:
- Dados de saúde mantidos por entidades cobertas pela HIPAA que já os mantêm como informações de saúde protegidas estão isentos dos requisitos da KCDPA — fechando uma lacuna onde empresas relacionadas à saúde poderiam ter enfrentado obrigações sobrepostas da HIPAA e da KCDPA para os mesmos dados
- O requisito de concluir uma Avaliação de Impacto de Proteção de Dados (DPIA) para atividades de perfil foi restringido apenas a casos com impacto díspar ilícito — significando que a criação de perfil tem potencial para danos desproporcionais a membros de um grupo protegido, não qualquer atividade de criação de perfil
Execução e penalidades: O Procurador-Geral de Kentucky deve emitir uma notificação e conceder um período de cura de 30 dias antes de buscar a execução. Assim como Indiana, esse período de cura atualmente não tem uma data de término, o que representa uma postura de risco significativamente menor do que estados onde o período de cura desaparece após um número determinado de anos. Se uma violação não for corrigida, as penalidades civis podem chegar a US$ 7.500 por violação — e "por violação" na lei de privacidade geralmente significa por registro de consumidor afetado, não por incidente, então isso pode escalar rapidamente com o tamanho de um conjunto de dados.
Lei de Transparência de Dados e Proteção de Privacidade de Rhode Island (RIDTPPA)
Rhode Island é o outlier dos três, com o menor limite de aplicabilidade e a abordagem de execução mais favorável ao consumidor.
A quem se aplica: Entidades que controlam ou processam dados pessoais de pelo menos 35.000 consumidores, ou 10.000 consumidores se mais de 20% da receita vier da venda de dados pessoais. Essa combinação de 10.000 consumidores/20% de receita é um limite genuinamente baixo — uma pequena empresa de comércio eletrônico com uma fonte de receita secundária da venda de listas de clientes para parceiros de marketing pode atingir esse limite com uma lista de mala direta menor do que muitos grupos locais do Facebook.
Principais requisitos:
- Consentimento explícito opt-in necessário antes de processar dados pessoais sensíveis (saúde, biométricos, geolocalização precisa e categorias semelhantes), com um mecanismo para os consumidores concederem e revogarem esse consentimento
- Os consumidores podem optar por não participar de publicidade direcionada, venda de dados pessoais e criação de perfil — mas Rhode Island não exige o reconhecimento de sinais universais de exclusão como o Global Privacy Control, portanto, as exclusões devem ser tratadas site por site, em vez de por meio de um único sinal em nível de navegador
- As violações são tratadas como práticas comerciais enganosas, com penalidades de até US$ 10.000 por violação
Essa abordagem de "práticas comerciais enganosas" é digna de nota: ela vincula as violações de privacidade ao estatuto de proteção ao consumidor existente em Rhode Island, que pode carregar seus próprios padrões e precedentes de execução além do que uma lei de privacidade criada especificamente para esse fim criaria por conta própria.
O Fio Comum: Avaliações de Risco
Em todos os três estados, uma obrigação aparece consistentemente e atrapalha as pequenas empresas mais do que qualquer direito individual do consumidor: o requisito de conduzir uma avaliação de proteção de dados (às vezes chamada de DPIA) antes de se envolver em atividades de processamento de "alto risco". Isso normalmente inclui:
- Publicidade direcionada
- Venda ou compartilhamento de dados pessoais com terceiros
- Processamento de categorias de dados sensíveis
- Criação de perfil que possa resultar em efeitos legais ou de importância semelhante para um consumidor
Se sua empresa veicula anúncios de retargeting, vende ou licencia qualquer lista de clientes, ou usa ferramentas automatizadas para pontuar ou segmentar clientes, você provavelmente precisa de uma avaliação documentada arquivada — não algo gerado reativamente se o escritório de um Procurador-Geral entrar em contato.
Uma Lista de Verificação Prática de Conformidade
Você não precisa de um consultor externo para acertar o básico. Comece aqui:
- Conte sua exposição. Para cada estado, estime quantos residentes' dados pessoais você controla ou processa anualmente, e se alguma parcela significativa da receita vem da venda de dados. Isso determina quais leis realmente se aplicam a você.
- Atualize seu aviso de privacidade. Adicione referências aos direitos específicos dos residentes de Indiana, Kentucky e Rhode Island (acesso, correção, exclusão, exclusão de venda/publicidade direcionada/criação de perfil) se você estiver coberto.
- Crie (ou confirme) um processo de solicitação de direitos do consumidor. Você precisa de uma maneira para os consumidores enviarem — e para você atender — solicitações de acesso, exclusão e correção dentro do prazo de resposta da lei.
- Documente seu processamento de alto risco. Se você veicula anúncios direcionados, vende dados ou cria perfis de clientes, escreva o que faz, por que e quais salvaguardas estão em vigor. Esta é sua avaliação de proteção de dados.
- Separe o manuseio de dados sensíveis. Dados de saúde, biométricos e de localização precisa precisam de consentimento explícito opt-in em Rhode Island e cuidados redobrados em geral — não agrupe esse consentimento em uma caixa de seleção geral de termos de serviço.
- Fique de olho em seus contratos de fornecedor. Se um processador de pagamento, plataforma de e-mail ou rede de anúncios processa dados pessoais em seu nome, seus contratos com eles devem refletir suas obrigações como "processador" de dados sob essas leis.
Por Que Isso Se Relaciona com Seus Livros
O trabalho de conformidade como este geralmente revela um problema menos óbvio: a maioria das pequenas empresas não tem uma resposta clara para "quais fornecedores têm acesso aos dados do cliente e o que pagamos a eles?" Isso é realmente uma questão contábil tanto quanto jurídica. Se seu plano de contas não separa nitidamente os gastos com tecnologia de anúncios, taxas de processamento de dados e assinaturas de CRM dos custos gerais de software, você terá dificuldade até mesmo para identificar quais relacionamentos com fornecedores precisam de um adendo de processamento de dados — muito menos provar a um regulador que você sabe para onde fluem os dados do cliente.
A contabilidade em texto simples torna esse tipo de auditoria muito mais fácil do que vasculhar um painel de SaaS de caixa preta. Como cada transação no Beancount é uma entrada legível por humanos e com controle de versão, você pode pesquisar em seu razão por cada pagamento a uma plataforma de anúncios, corretor de dados ou fornecedor de análise em segundos — transformando "quais de nossos fornecedores tocam nos dados do cliente?" de uma caça ao tesouro de vários dias em uma consulta de cinco minutos.
Mantenha Sua Conformidade e Seus Livros no Mesmo Lugar
À medida que mais estados aprovam leis de privacidade que atingem empresas cada vez menores, saber exatamente quais fornecedores processam dados de clientes — e o que você paga a eles — deixa de ser opcional. Beancount.io oferece a você contabilidade em texto simples com total transparência e histórico de versões, então rastrear seus relacionamentos com fornecedores de dados por meio de seus registros financeiros é tão simples quanto pesquisar em um arquivo de texto. Comece gratuitamente e mantenha sua história de conformidade tão limpa quanto seus livros.