Conformidade com o Florida Digital Bill of Rights usando ConsentX

O Florida Digital Bill of Rights (FDBR) é a lei abrangente de privacidade de dados do consumidor da Flórida. Ela estabelece direitos dos consumidores sobre os dados pessoais e impõe obrigações aos controladores e operadores abrangidos. A lei entrou em vigor em 1º de julho de 2024.

Em geral, os consumidores da Flórida têm o direito de confirmar se seus dados pessoais estão sendo tratados, acessar seus dados pessoais, corrigir inexatidões, solicitar a exclusão de dados pessoais, obter uma cópia portável de seus dados pessoais, se opor à publicidade direcionada, se opor à venda de dados pessoais, se opor a determinadas atividades de perfilamento, se opor à coleta ou ao tratamento de dados sensíveis e se opor à coleta de determinados dados de reconhecimento de voz e facial.

O FDBR não exige consentimento para todo tipo de tratamento de dados pessoais. No entanto, exigências específicas de consentimento se aplicam a determinadas atividades, incluindo a venda de dados pessoais sensíveis. Os controladores devem obter consentimento prévio do consumidor antes de vender dados sensíveis, observadas as regras específicas para crianças conhecidas como tal.

Dados sensíveis incluem categorias como origem racial ou étnica, convicções religiosas, condições ou diagnósticos de saúde mental ou física, orientação sexual, situação de cidadania ou imigração, dados genéticos ou biométricos usados para identificação, geolocalização precisa e dados pessoais de uma criança conhecida como tal. O FDBR garante ao consumidor o direito de se opor à coleta ou ao tratamento de dados sensíveis.

Sim. Os consumidores têm o direito de se opor ao tratamento de seus dados pessoais para publicidade direcionada.

Sim. O FDBR garante aos consumidores o direito de se opor à venda de seus dados pessoais.

Sim. Os consumidores podem se opor ao perfilamento voltado a decisões que produzam efeitos jurídicos ou impactos igualmente significativos a seu respeito.

Sim. Os consumidores têm o direito de se opor à coleta de dados pessoais por meio do funcionamento de recursos de reconhecimento de voz ou facial. A lei também restringe determinados usos de vigilância de recursos do dispositivo, como capacidades de voz, facial, vídeo, áudio, visual, térmica ou olfativa, quando esses recursos não estão sendo usados ativamente pelo consumidor, salvo autorização expressa em contrário.

O FDBR regula o tratamento de dados pessoais, e não os cookies como tecnologia isolada. Ainda assim, cookies, pixels, tags publicitárias, SDKs e outras tecnologias de rastreamento podem coletar ou tratar dados pessoais ou viabilizar publicidade direcionada. Por isso, a descoberta de rastreadores e a aplicação das preferências de privacidade podem ser parte importante de um programa de conformidade com o FDBR.

Sim. Os controladores devem fornecer um aviso de privacidade que descreva o tratamento de dados pessoais pertinente e os direitos de privacidade do consumidor. O aviso deve oferecer aos consumidores informações significativas sobre como seus dados pessoais são coletados, usados, divulgados e gerenciados.

Sim. Os controladores devem realizar e documentar avaliações de proteção de dados para atividades de tratamento específicas, incluindo publicidade direcionada, venda de dados pessoais, determinados perfilamentos, tratamento de dados sensíveis e outros tratamentos que apresentem risco elevado de dano aos consumidores.

Em geral, os controladores devem responder sem demora injustificada e em até 45 dias após receber a solicitação do consumidor. O prazo de resposta pode ser prorrogado uma vez por mais 15 dias quando razoavelmente necessário, desde que o consumidor seja avisado dentro do prazo inicial de 45 dias e informado do motivo da prorrogação.

Sim. Os controladores devem estabelecer um processo pelo qual os consumidores possam recorrer da recusa em atender a uma solicitação de privacidade. O controlador deve apresentar uma decisão por escrito sobre o recurso em até 60 dias do seu recebimento.

Os controladores devem disponibilizar pelo menos dois métodos seguros, confiáveis e claramente acessíveis para que os consumidores enviem solicitações de direitos de privacidade. O controlador não pode exigir que o consumidor crie uma nova conta apenas para exercer seus direitos, embora uma conta existente possa ser usada para autenticação.

Sim. O FDBR contém proteções específicas relacionadas a dados de crianças conhecidas como tal, incluindo exigências especiais sobre a venda de dados sensíveis e o consentimento parental. O FDBR também convive com as exigências específicas da Flórida sobre privacidade infantil online.

O Florida Department of Legal Affairs é responsável pela fiscalização e implementação do FDBR. A Flórida já registrou reclamações de consumidores e ações de fiscalização com base na lei, mostrando que o FDBR é uma obrigação de conformidade ativa, e não um marco apenas voltado ao futuro.

O ConsentX pode ajudar a operacionalizar controles importantes de privacidade, como gestão de consentimento, descoberta de rastreadores, bloqueio prévio de scripts, gestão de oposições dos consumidores, fluxos de solicitações de direitos e evidências de auditoria. No entanto, nenhum software garante conformidade legal por si só. As organizações devem avaliar todo o seu programa de privacidade em relação ao FDBR e a todas as demais leis aplicáveis.