Connecticut proíbe venda de geolocalização precisa em nova lei

Connecticut passou a proibir, em 1º de outubro, a venda de dados de geolocalização precisa de seus moradores. A regra integra uma expansão da lei estadual de privacidade que também limita o uso de dados pessoais para definir preços, exige transparência no reconhecimento facial e prepara um registro de corretores de dados.

As mudanças foram aprovadas em maio por meio do Public Act 26-64, conhecido durante a tramitação como SB 4, e complementadas por ajustes posteriores. Elas não equivalem a uma proibição geral da coleta de localização ou do uso de reconhecimento facial. O alcance varia conforme a prática: a venda de geolocalização precisa é vedada, enquanto outros usos passam a depender de consentimento, avisos e políticas acessíveis.

O que muda para dados de localização e preços

A medida mais direta impede que empresas vendam a localização precisa de qualquer residente de Connecticut. A legislação anterior exigia consentimento para processar dados em uma finalidade materialmente diferente daquela informada ao consumidor. A nova redação amplia a obrigação: o consentimento passa a ser necessário antes de qualquer finalidade nova que não seja razoavelmente necessária ou compatível com o uso originalmente divulgado.

O estado também estabelece limites para o chamado “surveillance pricing”, ou preço por vigilância. A expressão descreve situações em que dados pessoais são usados para definir ou alterar individualmente o preço oferecido a uma pessoa. A lei não elimina toda precificação personalizada, mas impõe restrições e obrigações de divulgação. Portanto, dizer que Connecticut proibiu qualquer preço variável seria incorreto.

Reconhecimento facial e dados genéticos

Empresas que empregam reconhecimento facial em seus estabelecimentos para segurança, prevenção de fraude ou investigação deverão informar claramente que a tecnologia está em uso. O aviso precisa direcionar o consumidor, por link visível ou código QR, a uma política que explique a prática.

Companhias de testes genéticos vendidos diretamente ao consumidor também passam a cumprir novas obrigações de consentimento, retenção e compartilhamento. Segundo o procurador-geral William Tong, o consumidor recebe direito de propriedade e controle exclusivo sobre a coleta, o uso, a manutenção, a divulgação e a destruição de sua amostra e de seus resultados.

Registro de corretores começa em 2027

A lei cria ainda um sistema para empresas que vendem ou licenciam dados de pessoas com as quais não mantêm relação direta. Esses corretores deverão se registrar no Departamento de Proteção ao Consumidor de Connecticut a partir de 1º de janeiro de 2027. O modelo prevê um mecanismo único para que moradores solicitem a exclusão de seus dados entre os corretores registrados, com outras exigências sendo implantadas gradualmente.

O cronograma é relevante porque nem tudo associado ao pacote de privacidade e inteligência artificial entrou em vigor ao mesmo tempo. Regras para chatbots voltados a menores começam em janeiro de 2027, enquanto outras obrigações têm datas posteriores. O que vale desde 1º de outubro é o núcleo da expansão de privacidade descrito acima, além de determinadas disposições do CART Act.

Um teste para a regulação estadual

Na ausência de uma lei federal abrangente de privacidade nos Estados Unidos, estados vêm criando obrigações próprias. Connecticut agora combina uma proibição objetiva — a venda de geolocalização precisa — com deveres de transparência e consentimento para outras práticas.

A consequência provável é que empresas atendendo moradores do estado precisem separar usos de dados que antes eram tratados em conjunto. Essa é uma inferência regulatória, não uma declaração do governo. A efetividade dependerá da fiscalização e da capacidade dos consumidores de usar os novos mecanismos.

O procurador-geral continuará como principal autoridade de aplicação, mas a própria lei preserva exceções e limites de cobertura. Nem toda empresa de Connecticut está sujeita ao conjunto completo de regras, especialmente quando outra legislação setorial já regula os dados tratados.