CCPA/CPRA: Guia sobre a Lei de Privacidade da Califórnia
Atualizado para 2026.
A Lei de Direitos de Privacidade do Consumidor da Califórnia (CPRA) entrou em vigor em 2023. Ela criou a Agência de Proteção de Privacidade da Califórnia (CPPA). A CPPA é o primeiro regulador estadual de privacidade nos Estados Unidos. Em 2024, a CPPA emitiu mais de 100 milhões de dólares em multas. A lei de privacidade da Califórnia é aplicação ativa — não uma regra no papel.
Quem deve cumprir?
Três critérios determinam se a lei se aplica. Uma empresa deve cumprir pelo menos um deles.
- Receita anual de 25 milhões de dólares ou mais.
- Dados pessoais de 100.000 ou mais consumidores do estado.
- Mais de 50% da receita proveniente da venda de informações pessoais.
O estado tem 40 milhões de residentes. É a quinta maior economia do mundo. A maioria das empresas globais cumpre pelo menos um critério.
19 categorias de dados sensíveis
A lei cria um nível especial para detalhes pessoais sensíveis. As empresas devem dar aos consumidores aviso extra e o direito de limitar o uso. Os 19 tipos são:
- Números de previdência social, carteira de motorista, identidade estadual, passaporte
- Números de conta financeira ou cartão com códigos de acesso
- Geolocalização precisa (dentro de 1.852 metros)
- Origem racial ou étnica
- Crenças religiosas ou filosóficas
- Filiação sindical
- Conteúdo de e-mails privados ou correio postal
- Informações genéticas
- Registros biométricos para identificação
- Registros de saúde ou médicos
- Orientação sexual ou vida sexual
- Status migratório (adicionado em 2024)
- Registros de saúde mental (adicionados em 2024)
- Status de cidadania
- Números de conta sem códigos de acesso
- Status de deficiência
- Indicadores de status de emprego
- Informações de apólice de seguro
- Registros criminais ou de prisão
Para cada categoria, os consumidores podem limitar como uma empresa os usa e os compartilha. Este direito é separado do direito geral de se opor à venda de dados.
O que a CPPA investigou em 2024
As ações da CPPA em 2024 se dividiram em quatro áreas.
Registro de corretores de dados. O estado exige que os corretores de dados se registrem na CPPA. A agência encontrou centenas de corretores não registrados vendendo perfis de consumidores.
Ferramentas de opt-out com falhas. Muitas plataformas de consentimento não ofereciam um opt-out real. O botão não funcionava, ou o opt-out cobria apenas alguns usos.
Decisões de IA sem aviso. As regras de IA de 2025 exigem aviso quando ferramentas automatizadas tomam decisões importantes. Emprego, crédito e moradia estão incluídos. Vários casos de 2024 miraram ferramentas de IA usadas sem este aviso.
Dados de crianças. O Código de Design Apropriado para a Idade da Califórnia se aplica a qualquer serviço que menores provavelmente usam. Essas empresas devem completar uma Avaliação de Impacto de Proteção de Dados. A CPPA constatou que muitas companhias não tinham feito isso.
Lei estadual vs. RGPD: diferenças principais
O cumprimento do RGPD não cobre você na Califórnia. As leis compartilham objetivos mas diferem em pontos importantes.
Opt-out versus opt-in. O RGPD requer consentimento opt-in para a maioria dos usos de dados sensíveis. A lei estadual usa um modelo opt-out. O processamento é permitido até que o consumidor se oponha.
Direitos do consumidor. Ambas as leis garantem direitos de acesso, exclusão e correção. A lei estadual adiciona o direito de se opor a decisões automatizadas. O Artigo 22 do RGPD também cobre isso, mas com um escopo mais restrito.
Registros de funcionários. A lei estadual se aplica integralmente aos dados pessoais dos funcionários. O RGPD também, mas os estados membros da UE têm suas próprias regras trabalhistas. A privacidade do pessoal no estado frequentemente precisa de sua própria trilha de conformidade.
Tipos sensíveis. Os 19 tipos estaduais se sobrepõem parcialmente ao Artigo 9 do RGPD. O status migratório e números de conta independentes são específicos do estado.
Consulte o guia de conformidade legal para saber como essas obrigações se acumulam.
Requisitos para fornecedores de IA
As regras de IA de 2025 criam obrigações claras para empresas que usam ferramentas de IA com registros de consumidores.
Contratos de fornecedores. Os prestadores de serviços devem assinar um acordo por escrito. O acordo deve cobrir quatro pontos. Primeiro: usar registros apenas para o propósito declarado. Segundo: excluir registros quando o serviço terminar. Terceiro: encaminhar solicitações de direitos dos consumidores. Quarto: manter segurança adequada.
Aviso de decisão automatizada. Se uma ferramenta de IA ajuda a decidir sobre crédito, fraude ou emprego — os consumidores devem ser informados. Eles também devem receber um opt-out.
Limites de treinamento de IA. Se registros de consumidores treinaram um modelo de IA, esse modelo tem limites. Ele não pode ser usado para propósitos que conflitem com o motivo de coleta original.
A solução direta para a maioria das equipes: remover IDs pessoais antes que os registros entrem em qualquer sistema de IA. Isso atende às regras de decisão de IA e reduz o risco de tipos sensíveis ao mesmo tempo.
Saiba como anonym.legal remove IDs antes do processamento de IA em /security-compliance.
Pontos principais
A lei estadual cobre a maioria das empresas globais com clientes no estado. Ela adiciona 19 tipos sensíveis, uma agência de aplicação ativa e regras de aviso de IA. O cumprimento do RGPD não substitui o cumprimento estadual. O passo mais claro: remover IDs pessoais antes que os registros entrem em ferramentas de IA.
Leia sobre minimização de dados em /docs/faq.
Fontes
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) texto completo. leginfo.legislature.ca.gov.
- CPPA: Automated Decision-Making Technology Regulations 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.