Califórnia coloca em vigor lei que permite recusar totalmente o compartilhamento de dados

• No estado da Califórnia, foi criada uma nova lei que permite recusar de forma abrangente o fornecimento de dados a terceiros por meio do navegador
• A California Consumer Privacy Act, introduzida em 2018, oferecia o direito de opt-out, mas havia dificuldades para seu uso prático
• A lei torna possível um opt-out geral de forma simples, com um único botão, criando exigências claras de implementação para os principais navegadores
• Outras leis assinadas no mesmo dia reforçam a obrigação de exclusão completa de dados ao apagar contas de redes sociais e de divulgação de informações por corretores de dados
• É um marco de grande ampliação da proteção da privacidade e do direito do consumidor de gerenciar seus dados

---

Visão geral da lei da Califórnia sobre recusa de compartilhamento de dados

• O governador da Califórnia, Gavin Newsom, assinou oficialmente uma lei que simplifica o recurso de opt-out da venda de dados nos navegadores web
• Com a California Consumer Privacy Act, promulgada em 2018, os cidadãos da Califórnia passaram a ter o direito de enviar um sinal de recusa da venda de dados, mas os navegadores não ofereciam adequadamente um acesso simplificado a essa recusa
• A nova lei aprovada agora exige que os navegadores web adotem obrigatoriamente um mecanismo de opt-out de fácil acesso
• O ponto central é criar um ambiente em que, em vez de recusar manualmente site por site, seja possível enviar um sinal de solicitação de opt-out para todos os sites com um único clique

Significado social da adoção da lei

• Essa lei é a primeira legislação de recusa universal de dados adotada nos Estados Unidos
• Até agora, o opt-out universal só era possível com extensões de navegador de terceiros ou com navegadores focados em privacidade
• Agora, milhões de usuários poderão recusar a venda de dados com muito mais facilidade

Outras leis de proteção de dados aprovadas adicionalmente

• Outra lei assinada pelo governador no mesmo dia obriga que empresas de redes sociais ofereçam recursos fáceis para excluir contas e apagar completamente os dados
• Outra medida reforça a Data Broker Registration Law, ampliando a divulgação de informações sobre quais dados pessoais os corretores de dados coletam e quem pode obtê-los

Perspectivas

• Essa série de medidas legislativas representa um marco para elevar de forma significativa a proteção da privacidade e o controle do consumidor sobre seus dados
• A tendência é que continue o movimento de maior regulação e aumento da transparência sobre navegadores, redes sociais e corretores de dados

[GN⁺]

Opiniões no Hacker News

• Foi mencionado que, para isso ter efeito, seria preciso permitir ações coletivas quando as empresas ignorarem essas exigências; a pessoa escreveu um script para testar regularmente a função de opt-out diretamente nos sites e confirmou que quase 50% estão implementados de forma incorreta, incluindo grandes empresas de TI que abriram capital recentemente; pelas leis CCPA/CPRA da Califórnia, a maior parte da autoridade de fiscalização está nas mãos de órgãos públicos (CPPA, Attorney General), e como indivíduos não podem processar diretamente, as empresas sentem menos pressão por não enfrentarem a ameaça de ações coletivas

  • As ações coletivas ficaram mais difíceis por causa de acordos amplos de arbitragem prévia, renúncia a ações coletivas e cláusulas que proíbem arbitragem em massa; como a Suprema Corte federal reconheceu isso, a Califórnia também não consegue reverter facilmente; em vez disso, foi sugerido que, por lei, a CPPA ou o Attorney General sejam obrigados a fiscalizar sempre que surgir uma questão, que qualquer NDA seja invalidado para que residentes da Califórnia possam notificar esses casos e, em caso de falha na fiscalização, seja possível exigir a execução por meio de uma ação compulsória (writ of mandamus); para tornar esse tipo de processo viável financeiramente, também seria preciso pagar honorários advocatícios; a ideia é tornar isso obrigatório por padrão, permitindo que exceções sejam discutidas com transparência; no geral, parece que a assembleia estadual e o governador da Califórnia estão mais interessados em medidas de fachada do que em soluções reais para esse tipo de problema

  • A pessoa perguntou se seria possível compartilhar o script usado

  • Foi comentado que é estranho existir uma lei que indivíduos não podem fazer cumprir diretamente; na opinião da pessoa, seria necessária uma emenda constitucional para facilitar a aplicação das leis, embora os detalhes de como fazer isso devam ficar a cargo de especialistas em direito

• A pessoa compartilhou a experiência da época em que existia o cabeçalho de navegador Do Not Track; como usuário e engenheiro, gostava da ideia, mas ela desapareceu por causa da reação da indústria; se todos tivessem agido de boa-fé, teria sido algo excelente; a pessoa acha que esse tipo de ferramenta faz sentido ser implementado pelo navegador e que, se o mesmo tivesse sido aplicado aos cookies, talvez não existisse o caos atual dos pop-ups de cookies; neste artigo, ela entende que os fabricantes de navegadores também deveriam implementar a regra de do not sell, e se perguntou se isso seria algo semelhante ao Do Not Track

  • Em vez disso, a pessoa acha que a venda de dados deveria exigir consentimento explícito do usuário, em um modelo opt-in; ao concordar, deveríamos poder definir um preço e receber compensação a cada venda, uso e revenda dos nossos dados; foi apontado que é anormal as empresas pegarem dados sem consentimento e sem oferecer nada em troca

  • Hoje a situação é ainda pior; no setor de privacidade, recomenda-se até não ativar o cabeçalho Do Not Track, porque ele quase nunca é respeitado e ainda pode ser usado como dado para fingerprinting do navegador, o que pode aumentar o rastreamento

• A pessoa agradeceu aos legisladores da Califórnia e disse torcer para que essa lei funcione como pretendido, esperando que quaisquer brechas sejam corrigidas imediatamente

  • Notícias assim são bem-vindas, mas precisam vir acompanhadas de multas reais e fiscalização firme; se forem só dispositivos legais sem efeito prático, não significam nada, e a pessoa acha que são necessárias sanções fortes o suficiente para tirar empresas problemáticas do mercado

  • A pessoa prevê que isso só vai gerar mais um novo pop-up para fechar em todos os sites

• Há preocupação de que o sistema confuso de leis de privacidade nos EUA reduza a vantagem de ter um mercado único americano; grandes empresas, na prática, não vendem dados, e sim os utilizam diretamente; esta lei acabaria atingindo de verdade as pequenas e médias empresas

• A própria lei de universal opt-out tem força coercitiva muito fraca e só tem potencial quando combinada com a CCPA; a CCPA limita apenas o compartilhamento de informações para publicidade comportamental entre contextos; esta nova lei exige apenas que navegadores e sistemas operacionais móveis ofereçam uma configuração para expressar facilmente a intenção de opt-out, sem exigir explicitamente um formato de sinal ou mecanismos de cumprimento; toda a lei poderia ser resumida em um único tweet; por outro lado, a questão dos “banners de cookies” é tratada em outra lei (CCPA), que prevê um período de espera de 12 meses; a pessoa também compartilhou os principais trechos da lei e a definição do sinal https://legiscan.com/CA/text/AB566/id/3117187 https://oag.ca.gov/privacy/ccpa

• Foi apresentado o recurso alternativo https://simpleoptout.com/ para quando o universal opt-out não funcionar

• A pessoa acha que o padrão deveria ser opt-out, e que o usuário só deveria voltar a dar consentimento por meio de opt-in explícito; esse seria o verdadeiro cerne do problema

  • A Microsoft tentou definir o DNT como padrão de opt-out, mas empresas centradas em dados ignoraram isso, e a iniciativa fracassou

• Foi sugerido que os usuários também deveriam participar da receita sempre que seus dados forem vendidos

  • Essa ideia já foi discutida por muito tempo no ecossistema de startups, mas quase nunca foi realmente testada; parece um modelo razoável de compensação ao público, do tipo “não me importo de ser alvo de anúncios por algum valor, mesmo que pequeno”

• Foi compartilhado o link do anúncio oficial https://www.gov.ca.gov/2025/10/08/governor-newsom-signs-data-privacy-bills-to-protect-tech-users/

• Por causa desse tipo de recurso, a pessoa gostaria de reduzir a quantidade de extensões de segurança instaladas atualmente, mas como não tem confiança de que o sinal de opt-out será realmente respeitado, acha que ainda precisará manter extensões defensivas; ainda assim, vê a intenção da lei de forma muito positiva