Se a Florida Digital Bill of Rights (FDBR) se aplica à sua empresa, você tem obrigações específicas sobre o que precisa estar na Política de Privacidade, como ela deve ser apresentada, e com que frequência precisa ser atualizada.

Esta página cobre uma parte do quadro. Para o escopo completo da FDBR — quem precisa se adequar, os limites, os direitos do titular e as sanções — comece pelo guia completo da FDBR e cookies.

A FDBR (§§ 501.701 a 501.721), em vigor desde 1º de julho de 2024, tem um requisito que a diferencia das outras leis estaduais americanas: o aviso de privacidade deve ser atualizado pelo menos anualmente, não apenas quando houver mudanças materiais nas práticas de processamento.

Este artigo foca exclusivamente no que a FDBR exige da sua Política de Privacidade, ponto a ponto, com base no texto oficial da lei.

A lei usa o termo "privacy notice", aviso de privacidade. Na prática, é a Política de Privacidade que a maioria dos sites já tem, mas com requisitos de conteúdo e atualização específicos.

O § 501.711 determina que o controlador forneça aos consumidores um aviso de privacidade "razoavelmente acessível e claro, atualizado pelo menos anualmente", contendo seis categorias de informação obrigatórias.

O documento precisa listar as categorias de dados pessoais que a empresa processa, incluindo, se aplicável, quaisquer dados sensíveis processados (§ 501.711(1)(a)).

A FDBR é explícita em exigir a menção específica de dados sensíveis quando eles são processados. Isso cria um nível adicional de clareza em relação a outras leis estaduais.

Dados pessoais sob a FDBR (§ 501.702(19)) incluem qualquer informação vinculável a um indivíduo identificado ou identificável, incluindo dados pseudonimizados quando usados em conjunto com informações que vinculem o indivíduo. Dados de geolocalização, identificadores de dispositivos, histórico de navegação e dados biométricos estão dentro desse escopo.

O documento precisa explicar para quê os dados são utilizados (§ 501.711(1)(b)).

As finalidades precisam ser específicas e corresponder ao que acontece de fato. O § 501.71(2)(a) proíbe o processamento para finalidades incompatíveis com as declaradas, salvo com consentimento.

O § 501.711(5) vai além: o controlador não pode coletar categorias adicionais de dados nem usar dados coletados para finalidades adicionais sem fornecer aviso ao consumidor previamente. Qualquer expansão do escopo de coleta ou uso precisa ser comunicada.

O documento precisa descrever como os consumidores podem exercer todos os direitos garantidos pela FDBR (§ 501.711(1)(c)), incluindo o processo de apelação.

Diferente da maioria das outras leis estaduais que garantem cinco direitos, a FDBR garante sete. A Política de Privacidade precisa descrever como o consumidor pode exercer cada um deles:

O direito de acesso e confirmação.

O direito de correção.

O direito de exclusão.

O direito de portabilidade.

O direito de opt-out de publicidade segmentada, venda de dados e perfilamento com efeitos significativos.

O direito de opt-out da coleta de dados sensíveis, incluindo geolocalização precisa.

O direito de opt-out da coleta via reconhecimento de voz ou reconhecimento facial.

E como funciona o processo de apelação quando uma solicitação é recusada.

O encarregado de dados precisa ter esses fluxos mapeados e operacionalizados antes da publicação do documento.

Se a empresa compartilha dados com terceiros, o documento precisa informar quais categorias de dados são compartilhadas (§ 501.711(1)(d)).

Isso inclui plataformas de analytics, CRMs, ferramentas de e-mail marketing, redes de anúncios, processadores de pagamento, e qualquer outro serviço que receba dados dos usuários.

Na FDBR, o conceito de "venda" é mais amplo do que em outras leis. O § 501.702(29) inclui compartilhamento por contrapartida não monetária além da monetária. Uma empresa que troca dados com parceiros para receber serviços ou outros benefícios pode estar realizando "venda" sob a definição da FDBR.

Além das categorias de dados, a Política precisa informar quais categorias de terceiros os recebem (§ 501.711(1)(e)).

Categorias como "plataformas de anúncios digitais", "ferramentas de analytics", "CRMs" e "processadores de pagamento" são exemplos válidos. As categorias precisam ser identificáveis o suficiente para o consumidor entender quem acessa os dados.

O § 501.711(1)(f) exige que a Política descreva os métodos especificados no § 501.709 para que os consumidores submetam solicitações.

Aqui está uma exigência específica da FDBR: o controlador precisa ter dois ou mais métodos de submissão de solicitações, conforme § 501.709. Esses métodos precisam ser seguros, confiáveis e claramente acessíveis. A Política de Privacidade precisa descrevê-los.

A empresa também precisa manter um mecanismo no próprio site para submissão de solicitações. Empresas que operam exclusivamente online e têm relação direta com o consumidor podem adicionalmente aceitar solicitações por e-mail.

A FDBR tem dois avisos específicos que não existem em outras leis estaduais americanas.

Se o controlador vende dados pessoais que são dados sensíveis, deve exibir o seguinte aviso em conformidade com os requisitos do § 501.711(1): "NOTICE: This website may sell your sensitive personal data."

Se o controlador vende dados pessoais que são dados biométricos, deve exibir: "NOTICE: This website may sell your biometric personal data."

Esses avisos precisam estar posicionados de forma acessível no aviso de privacidade e são obrigatórios sempre que essas práticas ocorrerem.

Se a empresa vende dados pessoais a terceiros ou os processa para publicidade segmentada, o § 501.711(4) exige divulgação clara e conspícua dessa prática, junto com a forma como o consumidor pode exercer o opt-out.

A FDBR define publicidade segmentada (§ 501.702(33)) de forma mais ampla do que outras leis: inclui anúncios baseados em dados de atividades do consumidor em sites afiliados ou não afiliados ao longo do tempo. Isso amplia o escopo em relação a leis como a VCDPA, que cobre apenas não afiliados.

O § 501.711(1) é explícito: o aviso de privacidade precisa ser atualizado pelo menos anualmente. Não basta atualizar apenas quando há mudanças materiais, como é a prática comum em outras leis.

Na prática, isso significa que toda empresa no escopo da FDBR precisa ter um processo interno de revisão anual da Política de Privacidade, mesmo que nada tenha mudado substancialmente nas práticas de processamento.

Situações que exigem atualização imediata (além da revisão anual):

Adição de nova categoria de dados coletados.

Uso de dados existentes para novas finalidades.

Novos parceiros que recebem dados dos consumidores.

Mudanças nas práticas de venda de dados.

Introdução de novas funcionalidades de reconhecimento de voz ou facial.

Dados sensíveis têm tratamento especial na FDBR. A Política de Privacidade precisa identificar explicitamente se dados sensíveis são coletados e quais categorias.

Conforme § 501.702(31), são dados sensíveis: origem racial ou étnica, crenças religiosas, diagnóstico de saúde física ou mental, orientação sexual, status de cidadania ou imigração, dados genéticos ou biométricos para identificação, dados de crianças conhecidas, e dados de geolocalização precisa.

Para cada categoria de dados sensíveis coletados, a Política precisa explicar como o consentimento do consumidor é obtido e como pode ser revogado.

Para crianças conhecidas entre 13 e 18 anos, a FDBR exige autorização afirmativa delas (§ 501.71(2)(d)). Para menores de 13, aplica-se a COPPA.

O § 501.705(3) proíbe que dispositivos com recursos de reconhecimento de voz, reconhecimento facial, gravação de vídeo, gravação de áudio, ou outros recursos de coleta de dados sejam usados para vigilância quando não estão em uso ativo pelo consumidor, sem sua autorização expressa.

A Política de Privacidade precisa mencionar essa proibição e descrever como os dispositivos da empresa são configurados para respeitá-la.

A FDBR usa uma definição mais ampla de "criança conhecida" (§ 501.702(17)): qualquer indivíduo menor de 18 anos sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera.

Isso é diferente da maioria das outras leis americanas, que usam 13 anos como limiar. Se o site pode ter usuários menores de 18 anos e isso é do conhecimento do controlador, as proteções especiais da FDBR se aplicam.

A Política de Privacidade precisa mencionar como os dados de usuários conhecidos menores de 18 anos são tratados de forma diferenciada.

O § 501.713 exige que os controladores conduzam e documentem Data Protection Assessments para:

Processamento de dados para publicidade segmentada.

Venda de dados pessoais.

Processamento para perfilamento com risco previsível de dano.

Processamento de dados sensíveis.

Qualquer processamento com risco elevado de dano.

As avaliações precisam identificar e pesar os benefícios do processamento contra os riscos potenciais para os direitos do consumidor. Elas são confidenciais. O Departamento de Assuntos Jurídicos pode solicitar acesso, e a divulgação mediante solicitação não configura renúncia ao privilégio advogado-cliente.

A Política de Privacidade não precisa publicar as avaliações, mas deve comunicar que a empresa realiza avaliações de impacto para atividades de alto risco.

O § 501.719(3) exige a adoção de um cronograma de retenção que proíba o uso ou a retenção de dados após:

O cumprimento da finalidade inicial da coleta.

O vencimento ou encerramento do contrato.

2 anos após a última interação do consumidor com o controlador.

A Política de Privacidade deve mencionar os períodos de retenção adotados para cada categoria de dados e a existência desse limite de 2 anos.

As violações da FDBR são tratadas como prática comercial desleal e enganosa pelo Departamento de Assuntos Jurídicos, com penalidades de até US$ 50.000 por violação.

As penalidades são triplicáveis para violações envolvendo crianças floridanas conhecidas, falha em excluir ou corrigir dados após solicitação, e continuação de venda ou compartilhamento após opt-out do consumidor.

O cure period de 45 dias é discricionário. Não há garantia de que será concedido, e para violações envolvendo crianças, ele não se aplica.

A AdOpt garante que o que está escrito na Política corresponde ao que acontece de fato no site.

O escaneamento automático identifica todas as tecnologias ativas, alimentando a lista de categorias de dados e terceiros que precisam estar no documento. A plataforma de gestão de consentimentos garante que o mecanismo de consentimento e opt-out funciona conforme descrito, incluindo os direitos adicionais específicos da FDBR.

O registro de cada interação de consentimento fica documentado. Se o Departamento pedir evidências, o log está disponível.

Mais de 60 mil sites já operam com a AdOpt.

Privacidade não é um banner. É posicionamento.

Quer estruturar a Política de Privacidade do seu site em conformidade com a FDBR? Fale com a nossa equipe.

Link visível e acessível em todas as páginas do site.

Atualizada pelo menos anualmente, mesmo sem mudanças materiais (§ 501.711(1)).

Categorias de dados pessoais processados, incluindo dados sensíveis se aplicável (§ 501.711(1)(a)).

Finalidade do processamento para cada categoria, sem descrições vagas (§ 501.711(1)(b)).

Como exercer todos os 7 direitos garantidos pela FDBR, com processos, canais e prazos (§ 501.711(1)(c)).

Processo de apelação descrito com prazo de 60 dias.

Categorias de dados compartilhados com terceiros (§ 501.711(1)(d)).

Categorias de terceiros que recebem dados (§ 501.711(1)(e)).

Descrição dos dois ou mais métodos de submissão de solicitações (§ 501.711(1)(f)).

Aviso de venda de dados sensíveis quando aplicável (§ 501.711(2)).

Aviso de venda de dados biométricos quando aplicável (§ 501.711(3)).

Divulgação de publicidade segmentada ou venda de dados com opt-out acessível (§ 501.711(4)).

Tratamento diferenciado para crianças conhecidas menores de 18 anos (§ 501.702(17)).

Proibição de vigilância por dispositivos e como ela é implementada (§ 501.705(3)).

Períodos de retenção de cada categoria de dados, com o limite de 2 anos (§ 501.719(3)).

Política de não discriminação para consumidores que exercem seus direitos.

Atendimento gratuito pelo menos duas vezes por ano por consumidor.

1. A FDBR exige que a Política de Privacidade seja atualizada anualmente mesmo sem mudanças?
Sim. O § 501.711(1) é explícito ao exigir que o aviso de privacidade seja "atualizado pelo menos anualmente". Isso é diferente de outras leis estaduais americanas que exigem atualização apenas quando há mudanças materiais. Empresas no escopo da FDBR precisam ter um processo interno de revisão anual obrigatória.

2. Quais avisos específicos a FDBR exige que não existem em outras leis?
A FDBR exige dois avisos específicos. Se o controlador vende dados sensíveis, deve exibir: "NOTICE: This website may sell your sensitive personal data." Se vende dados biométricos: "NOTICE: This website may sell your biometric personal data." Esses avisos são exclusivos da FDBR entre as leis estaduais americanas (§ 501.711(2) e (3)).

3. Como a FDBR define "criança" de forma diferente das outras leis?
A FDBR define "criança conhecida" como qualquer indivíduo menor de 18 anos sobre cuja idade o controlador tem conhecimento real ou deliberadamente desconsidera (§ 501.702(17)). A maioria das outras leis estaduais usa 13 anos. Isso significa que empresas no escopo da FDBR precisam ter proteções específicas para usuários até 17 anos, não apenas para menores de 13.

4. A Política de Privacidade precisa mencionar a proibição de vigilância por dispositivos?
Sim. O § 501.705(3) proíbe que dispositivos com recursos de voz, vídeo, reconhecimento facial ou outros sensores sejam usados para vigilância quando não estão em uso ativo pelo consumidor, sem autorização expressa. Para empresas que operam dispositivos com essas funcionalidades, a Política de Privacidade deve descrever como a proibição é respeitada na prática.

5. O que acontece se a Política de Privacidade não for atualizada anualmente?
A ausência de atualização anual configura violação do § 501.711(1). O Departamento de Assuntos Jurídicos pode conceder um cure period de 45 dias para correção, mas esse prazo é discricionário. Se não corrigido, as penalidades chegam a US$ 50.000 por violação, podendo ser triplicadas em circunstâncias específicas (§ 501.72).

Pronto para estruturar a Política de Privacidade do seu site em conformidade com a FDBR? Fale com a nossa equipe.