Regras de privacidade dos EUA para anunciantes em 2026
Os EUA ainda não têm uma lei federal de privacidade, mas o mapa estadual cresceu de novo em 2026. As leis de Indiana, Kentucky e Rhode Island entraram em vigor em 1º de janeiro, elevando para vinte o número de estados com leis abrangentes de privacidade. Os regulamentos atualizados da CCPA na Califórnia, também em vigor desde 1º de janeiro de 2026, acrescentam avaliações de risco, auditorias de cibersegurança e direitos relacionados à tecnologia de tomada de decisão automatizada. Para os anunciantes, o trabalho prático é tratar as solicitações de opt-out de publicidade direcionada em todos os estados onde você tem clientes e manter um registro de como os dados de público são usados.
Principais constatações
- 1
Leis abrangentes de privacidade em Indiana, Kentucky e Rhode Island entraram em vigor em 1º de janeiro de 2026, elevando o total para vinte estados.
Fonte secundária. Escopo: Estados Unidos; acompanhamento legislativo estadual, em . [1]
- 2
A lei de Rhode Island abrange entidades que tratam dados de pelo menos 35.000 consumidores, ou 10.000 se mais de 20% da receita vier da venda de dados pessoais.
Fonte secundária. Escopo: Rhode Island; acompanhamento legislativo estadual, em . [1]
- 3
Os regulamentos atualizados da CCPA na Califórnia, adotados em julho de 2025 e aprovados em setembro de 2025, entraram em vigor em 1º de janeiro de 2026 e abrangem avaliações de risco, auditorias de cibersegurança e ADMT.
Documentado: fonte oficial. Escopo: Califórnia; CPPA, em . [2]
- 4
Novas alterações estaduais entram em vigor em 1º de julho de 2026 em Connecticut, Arkansas e Utah.
Fonte secundária. Escopo: Estados Unidos; acompanhamento legislativo estadual, em . [1]
Método e limitações
- Pergunta
- O que mudou na legislação de privacidade dos EUA em 2026 que afeta a forma como os anunciantes segmentam e medem?
- Escrito para
- Líderes de performance e de CRM que compram mídia nos EUA.
- Decisão em jogo
- Como configurar o tratamento de opt-out, o mapeamento de dados e a mensuração em campanhas nos EUA.
- Fontes
- Um acompanhamento das leis estaduais de privacidade, a página de regulamentação da California Privacy Protection Agency e o texto do regulamento, e um briefing de escritório de advocacia sobre as três novas leis estaduais.
- Período
- Fontes oficiais e jurídicas conforme publicadas e consultadas em 18 de outubro de 2026.
- Mercados
- Estados Unidos, com detalhes sobre a Califórnia.
- Definições
- Publicidade direcionada: anúncios selecionados com dados pessoais obtidos em sites ou apps não afiliados, conforme definido na maioria das leis estaduais.
- ADMT: tecnologia de tomada de decisão automatizada, conforme definida nos regulamentos da Califórnia.
- Limitações
- As leis estaduais diferem em limites e definições; este resumo não lista todas as alterações.
- Isto não é aconselhamento jurídico nem tributário. Confirme as obrigações da sua empresa com um consultor qualificado no mercado.
O mapa estadual em 2026
Fonte secundária
Indiana, Kentucky e Rhode Island entraram na lista de estados com leis abrangentes de privacidade em 1º de janeiro de 2026. As três seguem o modelo da Virgínia, que dá aos consumidores o direito de recusar a publicidade direcionada e a venda de dados pessoais. Os limites de Rhode Island são baixos o bastante para alcançar muitas empresas de médio porte.
Alterações em Connecticut, Arkansas e Utah vêm em seguida, em 1º de julho de 2026, várias delas endurecendo as regras sobre dados de menores.
Califórnia: avaliações, auditorias e ADMT
Documentado: fonte oficial
O conselho da California Privacy Protection Agency adotou regulamentos atualizados em 24 de julho de 2025; eles foram aprovados em 22 de setembro de 2025 e entraram em vigor em 1º de janeiro de 2026. Eles exigem que determinadas empresas realizem avaliações de risco e auditorias anuais de cibersegurança e dão aos consumidores o direito de acessar e recusar alguns usos de tecnologia de tomada de decisão automatizada. Os prazos das auditorias são escalonados, com os primeiros relatórios exigidos a partir de abril de 2028 para as maiores empresas.
O que mudar nas campanhas
Visão da FOCUSADS
- Respeite o Global Privacy Control e os sinais de opt-out em todos os sites, não apenas para visitantes da Califórnia.
- Mapeie quais públicos vêm dos seus próprios clientes e quais vêm de terceiros.
- Envie os resultados do CRM de volta às plataformas por meio de APIs de conversão aprovadas, para que a otimização dependa menos do rastreamento entre sites.
- Registre quais decisões de público e de lances são automatizadas, caso chegue uma solicitação relativa a ADMT.
Onde vemos oportunidades
Visão da FOCUSADS
À medida que os sinais entre sites diminuem, as verbas migram para canais com públicos próprios: redes de retail media, TV conectada com espectadores logados e busca. Anunciantes com dados de CRM organizados podem medir esses canais com base em resultados reais, e não em conversões reportadas pelas plataformas.
Como isto se conecta ao nosso método: Como a FOCUSADS faz a triagem de canais por mercado
Referências
- All of the comprehensive privacy laws that take effect in 2026, MultiState, acessado
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, acessado
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, acessado
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, acessado