Conformidade com o Montana Consumer Data Privacy Act usando ConsentX

O Montana Consumer Data Privacy Act (MCDPA) é a lei abrangente de privacidade do consumidor de Montana. Ela entrou em vigor em 1º de outubro de 2024 e estabelece direitos de privacidade para os consumidores de Montana e obrigações para as empresas abrangidas. Montana posteriormente alterou a lei, com mudanças significativas em vigor desde 1º de outubro de 2025.

Em geral, os consumidores de Montana têm o direito de saber se seus dados pessoais estão sendo tratados, acessar seus dados pessoais, corrigir dados pessoais inexatos, solicitar a exclusão de seus dados pessoais, obter uma cópia de seus dados pessoais, se opor à publicidade direcionada, se opor à venda de dados pessoais e se opor ao perfilamento voltado a determinadas decisões automatizadas.

O MCDPA não exige consentimento para todo tipo de tratamento de dados pessoais. No entanto, é necessário consentimento antes do tratamento de determinados dados sensíveis. Exigências adicionais de consentimento se aplicam a atividades específicas de tratamento envolvendo menores de idade.

Dados sensíveis incluem determinadas categorias de informações pessoais que podem gerar riscos elevados de privacidade, como informações sobre origem racial ou étnica, convicções religiosas, saúde mental ou física, orientação sexual, situação de cidadania ou imigração, dados genéticos ou biométricos usados para identificação, geolocalização precisa e dados pessoais de crianças.

Sim. Os consumidores de Montana têm o direito de se opor ao tratamento de seus dados pessoais para publicidade direcionada.

Sim. Os consumidores têm o direito de se opor à venda de seus dados pessoais.

Sim. Os consumidores podem se opor ao perfilamento realizado com vistas a decisões que produzam efeitos jurídicos ou impactos igualmente significativos a seu respeito.

As organizações devem avaliar os sinais de universal opt-out em conjunto com o MCDPA e com as exigências de outras leis estaduais de privacidade aplicáveis. O marco de privacidade de Montana não deve ser tratado como idêntico ao da Califórnia ou ao de outros estados com exigências explícitas de universal opt-out.

O MCDPA regula o tratamento de dados pessoais, e não os cookies como tecnologia isolada. Ainda assim, cookies, pixels, tags publicitárias, SDKs e outras tecnologias de rastreamento podem coletar ou tratar dados pessoais ou viabilizar publicidade direcionada. Por isso, a descoberta de rastreadores, a gestão de preferências de privacidade e a aplicação das escolhas dos consumidores podem ser componentes importantes de um programa de conformidade com o MCDPA.

Sim. Os controladores devem fornecer aos consumidores um aviso de privacidade claro e razoavelmente acessível, explicando as categorias e finalidades pertinentes do tratamento de dados pessoais e as informações sobre os direitos aplicáveis do consumidor.

Sim. Os controladores devem realizar avaliações de proteção de dados para determinadas atividades de tratamento que apresentem riscos elevados aos consumidores, incluindo publicidade direcionada, perfilamento, venda de dados pessoais e tratamento de dados sensíveis pertinentes.

Em geral, os controladores devem responder a uma solicitação do consumidor em até 45 dias do seu recebimento. Esse prazo geralmente pode ser prorrogado por mais 45 dias quando razoavelmente necessário, observadas as exigências aplicáveis.

Sim. Os consumidores têm o direito de recorrer da recusa do controlador em atender a uma solicitação de exercício de seus direitos de privacidade.

Sim. O MCDPA alterado amplia significativamente as proteções para menores de idade. Em geral, menor é a pessoa com menos de 18 anos, e crianças com menos de 13 anos recebem proteções adicionais. As empresas que sabem ou deveriam razoavelmente saber que tratam dados pessoais de menores devem tomar cuidados razoáveis para evitar riscos elevados de dano. Exigências adicionais de consentimento podem se aplicar ao tratamento de dados de menores para publicidade direcionada, venda, determinados perfilamentos automatizados, determinado tratamento de geolocalização precisa, retenção prolongada e certos desenhos de sistema destinados a aumentar ou manter significativamente o engajamento do menor.

A aplicabilidade geral do MCDPA se baseia principalmente no volume de dados de consumidores de Montana tratados e, para empresas que obtêm mais de 25% da receita com a venda de dados pessoais, aplica-se um limite menor de consumidores. Na lei atual, os limites gerais são 25.000 consumidores, ou 15.000 consumidores quando mais de 25% da receita bruta vem da venda de dados pessoais.

O Procurador-Geral de Montana tem competência de fiscalização no MCDPA. O Office of Consumer Protection de Montana disponibiliza informações e recursos sobre privacidade do consumidor no estado.

O ConsentX pode ajudar a operacionalizar controles importantes de privacidade, como gestão de consentimento, descoberta de rastreadores, bloqueio prévio de scripts, gestão de oposições dos consumidores, fluxos de solicitações de direitos e evidências de auditoria. No entanto, nenhum software garante conformidade legal por si só. As organizações devem avaliar todo o seu programa de privacidade em relação ao MCDPA e a todas as demais leis aplicáveis.