← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Leis estaduais de privacidade nos EUA: o mapa até 2028

São 24 estados americanos com leis abrangentes de privacidade, de 2020 a 2028. Veja o calendário de vigência, as multas da Califórnia e o status da lei federal.

2026-10-24

Os Estados Unidos não têm uma lei federal geral de proteção de dados. No lugar dela, cresceu um mapa de leis estaduais que já soma 24 estados com leis abrangentes de privacidade, segundo levantamento da ComplyJet. A primeira entrou em vigor em 2020, na Califórnia. A última da lista atual passa a valer em 2028, em Vermont.

Para empresas estrangeiras que vendem para consumidores americanos, inclusive brasileiras, o efeito prático é a necessidade de acompanhar vários calendários e regras parecidas, mas não idênticas.

O calendário completo

Vigência	Estados (lei)
2020	Califórnia (CCPA, 01/01/2020; CPRA a partir de 01/01/2023)
2023	Virgínia (01/01), Colorado e Connecticut (01/07), Utah (31/12)
2024	Texas, Oregon e Flórida, esta com escopo restrito (01/07); Montana (01/10)
2025	Delaware, Iowa, Nebraska e New Hampshire (01/01); New Jersey (15/01); Tennessee (01/07); Minnesota (31/07); Maryland (01/10)
2026	Indiana, Kentucky e Rhode Island (01/01)
2027	Oklahoma e Louisiana (01/01); Alabama (01/05)
2028	Vermont (01/01)

A lei de Maryland (MODPA) entrou em vigor em 1º de outubro de 2025, mas se aplica ao tratamento de dados a partir de 1º de abril de 2026.

O ritmo de adoção

A contagem por ano de vigência mostra como o mapa se formou. Depois da Califórnia, sozinha por três anos, vieram quatro estados em 2023 e quatro em 2024. O pico foi 2025, com oito leis novas em vigor no mesmo ano. Em 2026 foram três, e outras três estão marcadas para 2027. Na prática, uma empresa que tinha montado o compliance só para a Califórnia em 2020 hoje precisa olhar para mais de vinte regimes estaduais, com definições, limites de aplicação e direitos dos consumidores que variam de um estado para outro.

O que vem em 2027 e 2028

Além das novas leis de Oklahoma, Louisiana, Alabama e Vermont, a Califórnia tem dois marcos próprios. As regras sobre decisões automatizadas (ADMT) passam a valer em 1º de janeiro de 2027. As primeiras avaliações de risco vencem em 1º de abril de 2028, segundo a MultiState.

Califórnia: onde está o enforcement

A Califórnia é o único estado com uma agência dedicada só à privacidade, a California Privacy Protection Agency (CPPA). As primeiras multas mostram o foco da agência:

Data	Empresa	Valor
Mar/2025	American Honda Motor (1ª ação)	US$ 632.500
2025	Todd Snyder	US$ 345.000
Set/2025	Tractor Supply (maior multa da CPPA até então)	US$ 1,35 milhão

Segundo a Polsinelli, a multa à Tractor Supply sinaliza atenção especial às informações de privacidade divulgadas aos consumidores. A White & Case classificou o valor como recorde da agência.

A lei federal que não sai

O Congresso discute há anos uma lei nacional. A proposta mais recente é o SECURE Data Act (H.R. 8413), apresentado em 22 de abril de 2026 pelo deputado John Joyce. O texto prevê, segundo a IAPP:

preempção ampla das leis estaduais;
nenhum direito privado de ação, ou seja, consumidores não poderiam processar diretamente com base na lei;
fiscalização pela FTC e pelos procuradores-gerais estaduais.

Em outubro de 2026, o projeto seguia em comissão. Das propostas federais sobre privacidade, só duas viraram lei recentemente: o TAKE IT DOWN Act, de maio de 2025, e o Homebuyers Privacy Protection Act, de setembro de 2025. Outras 49 propostas tramitam, segundo a KEYT/Stacker.

Se aprovada como está, a preempção substituiria boa parte do mapa estadual. Enquanto isso não acontece, o número de leis estaduais continua crescendo.

A camada federal setorial

Mesmo sem lei geral, o nível federal pesa. A FTC aplicou em 2025 multas como a de US$ 20 milhões à Cognosphere (Genshin Impact) e a de US$ 10 milhões à Disney, por violações à lei de privacidade infantil COPPA, segundo a Perkins Coie. E os maiores valores do país vêm de acordos após vazamentos. O da Equifax, de 2019, ficou entre US$ 575 milhões e US$ 700 milhões, e o da T-Mobile, de 2022, em US$ 500 milhões, conforme a Enzuzo.

O que fazer

Mapeie em quais estados a empresa tem consumidores e verifique os critérios de aplicação de cada lei, que costumam depender de volume de dados ou de receita.
Use um programa único baseado na regra mais exigente, em geral a da Califórnia, com ajustes locais.
Revise avisos de privacidade e mecanismos de opt-out. Foram o centro das primeiras multas da CPPA.
Prepare-se para 2027: regras de decisão automatizada na Califórnia e três novas leis estaduais.
Acompanhe o SECURE Data Act. Uma eventual preempção mudaria o desenho do compliance.