Empresas SaaS estão construindo um único programa de conformidade para 20 leis de privacidade estaduais diferentes

Vinte estados dos EUA já têm leis abrangentes de privacidade do consumidor em 2026, e nenhuma lei federal substitui qualquer uma delas. Indiana, Kentucky e Rhode Island ativaram seus estatutos em janeiro; Arkansas se juntou a eles em 1º de julho. Oklahoma e Alabama devem seguir em 2027. Cada lei tem seus próprios limites de aplicabilidade, sua própria lista de direitos do consumidor, seu próprio mecanismo de execução e, em um número crescente de casos, obrigações de conformidade abertamente incompatíveis. Para uma empresa SaaS operando nacionalmente, a pergunta real em 2026 não é se deve cumprir a lei de privacidade estadual. É se deve construir um único programa de conformidade cobrindo os vinte estados com camadas específicas, ou tratar cada estado como seu próprio projeto — e a segunda opção está silenciosamente se tornando inviável.

Nem mesmo os limites se alinham

Três estados — Delaware, Montana e Nevada — aplicam suas leis de privacidade a qualquer empresa que processe dados de seus residentes, sem mínimo de receita ou volume de dados. Virgínia e Connecticut fixam o limite em 100.000 consumidores. Rhode Island o fixa em 35.000. O Texas isenta empresas classificadas como pequenas segundo os padrões da Small Business Administration dos EUA, uma isenção que nenhum dos outros dezenove estados utiliza. Uma empresa pequena o suficiente para ignorar com segurança o limite da Virgínia pode, ainda assim, estar totalmente dentro do limite de Delaware, simplesmente porque a lei de Delaware foi escrita para se aplicar a quase todo mundo.

Os mecanismos de opt-out divergem igualmente. Pelo menos dez estados — incluindo Califórnia, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nova Jersey, New Hampshire e Oregon — agora exigem legalmente que as empresas respeitem o sinal Global Privacy Control (GPC), um opt-out universal em nível de navegador. Se você construir uma camada de consentimento que só verifica um clique no banner de cookies e ignora o cabeçalho GPC, você estará em não conformidade em cerca de metade dos estados com lei abrangente, mesmo que seu banner em si seja impecável.

Onde as leis realmente entram em conflito, não apenas diferem

O problema mais difícil não é o volume de regras — é que algumas delas se contradizem por design. A lei de privacidade do Colorado exige uma avaliação de risco documentada para atividades de processamento de alto risco, incluindo qualquer coisa envolvendo tomada de decisão automatizada, com requisitos de conteúdo específicos escritos nas próprias regulamentações do Colorado. As regras mais novas da Califórnia que regem a tecnologia de tomada de decisão automatizada (ADMT) impõem um regime de avaliação e divulgação separado e estruturado de forma diferente. Os dois estados não foram escritos para serem mutuamente satisfatíveis com um único documento. Uma empresa que produz um único modelo de "avaliação de impacto à privacidade" e assume que ele atende aos padrões de ambos os estados muito provavelmente está errada em relação a pelo menos um deles.

A venda de dados de geolocalização precisos é um exemplo mais claro porque vem com datas de vigência concretas. O SB 338 da Virgínia proibiu a venda de dados de geolocalização precisos a partir de 1º de julho de 2026. O Projeto de Lei do Senado 4 de Connecticut, assinado pelo governador Ned Lamont em 27 de maio de 2026, impõe uma proibição semelhante que entra em vigor em 1º de outubro de 2026, criando simultaneamente um requisito de registro para corretores de dados. A versão de Maryland está em vigor desde outubro de 2025. Esses não são regimes de opt-out que uma empresa pode satisfazer com um banner — são proibições diretas de uma categoria específica de venda de dados, chegando em três calendários diferentes, em três formas jurídicas diferentes, para três estados diferentes. Uma empresa cujo produto ou pilha de ad-tech toque em dados de localização precisos precisa saber, estado por estado, não apenas se a venda está restrita, mas exatamente desde quando essa restrição passou a se aplicar a ela.

Os dois caminhos que as empresas realmente estão escolhendo

Na prática, as empresas SaaS que operam nos cinquenta estados estão convergindo para uma de duas estratégias, e o meio-termo está desaparecendo. A primeira é um programa de privacidade unificado: um conjunto central de práticas de dados, acordos de processamento de dados e fluxos de consentimento construídos sobre o denominador comum mais rigoroso entre os vinte estados, com camadas estreitas e bem documentadas para o punhado de requisitos — como as avaliações ADMT separadas de Colorado e Califórnia, ou as datas de vigência diferentes da proibição de venda de geolocalização nos três estados — que genuinamente não podem ser satisfeitos por uma única base. Isso exige mais trabalho de engenharia e jurídico antecipadamente, mas escala melhor conforme mais estados aprovam leis, porque a base absorve a maior parte do que é novo, e apenas os conflitos genuínos precisam de uma exceção específica por estado.

A segunda estratégia, mais comum entre empresas menores sem consultoria jurídica de privacidade interna, é reativa e mais restrita: cumprir integralmente apenas onde o limite de aplicabilidade claramente se aplica — Delaware, Montana, Nevada e um punhado de estados maiores — e tratar o restante como uma lista de monitoramento a ser revisitada se a atividade de fiscalização de um estado específico aumentar. Isso funciona até deixar de funcionar; uma empresa que errou na estimativa de um limite, ou que não notou uma nova data de vigência chegando no calendário, descobre isso da maneira difícil, porque os procuradores-gerais estaduais já mostraram que agirão em casos que um regulador federal nunca teria priorizado.

O que fazer de fato sobre isso

Se você gerencia a conformidade de um produto SaaS multiestadual em 2026, a lista de verificação obrigatória se tornou específica o suficiente para ser escrita em ordem: confirme quais dos limites de aplicabilidade dos vinte estados sua empresa realmente ultrapassa, em vez de assumir que o tamanho por si só a isenta; implemente o reconhecimento do sinal GPC no nível do navegador, não apenas um banner de cookies, já que cerca de metade dos estados agora exige isso por lei; mantenha documentação de avaliação de risco separada para Colorado e Califórnia em vez de um modelo compartilhado; e marque no calendário as datas de vigência específicas para quaisquer práticas de dados de geolocalização precisos em relação à Virgínia, Connecticut e Maryland individualmente, já que "cumprimos a CCPA" não diz nada sobre se você está em conformidade com qualquer uma das outras dezenove leis, muito menos com as três que tratam dados de localização como um caso especial. O mosaico não vai desaparecer — Oklahoma e Alabama chegam em 2027 — e cada ano de inação torna o eventual projeto de unificação maior, não menor.