Sites dependem de dezenas de scripts, rastreadores e ferramentas de terceiros para funcionar. Muitos deles interagem com dados pessoais de formas que as equipes não monitoram ativamente após a implantação.
Sob a New Jersey Data Privacy and Security Act (NJDPA), sua organização é responsável pela forma como coleta, compartilha e protege dados pessoais — mesmo quando essa atividade ocorre por meio de terceiros no navegador.
Se os dados pessoais forem tratados de forma inadequada, mesmo sem intenção, sua empresa é responsabilizada, com multas de até US$ 10.000 pela primeira infração e até US$ 20.000 por infrações subsequentes.
Como a falta de intenção ou conhecimento não altera essa obrigação, aqui está um guia de conformidade com a NJDPA detalhando os requisitos mais comuns, isenções e tudo mais que você precisa saber.
Resumo
- A NJDPA estabelece regras sobre como as organizações coletam, usam e protegem os dados pessoais de residentes de Nova Jersey.
- Os consumidores têm direitos ampliados de acessar, corrigir, excluir e exportar suas informações pessoais, e as organizações devem atender a essas solicitações em até 45 dias.
- A coleta de dados em sites e os scripts de terceiros são grandes pontos cegos onde atividades não monitoradas podem gerar falhas de conformidade.
- Ferramentas de monitoramento contínuo do lado do cliente ajudam as organizações a minimizar a coleta de dados em seus sites e a proteger dados sensíveis contra ataques de skimming.
A NJDPA se aplica à minha organização?
Sim, se você lida com dados pessoais de residentes de Nova Jersey em qualquer escala relevante.
A New Jersey Data Privacy Act se aplica a organizações que:
- Operam negócios em Nova Jersey
- Têm como alvo residentes de Nova Jersey
- Controlam ou processam seus dados pessoais
Não há requisito mínimo de receita. Uma empresa pequena pode estar sujeita à lei com a mesma facilidade que uma grande corporação.
A aplicabilidade depende do volume de dados, não do tamanho da empresa. Sua organização está coberta se atender a qualquer um destes limites em um ano civil:
- Você controla ou processa dados pessoais de 100.000 ou mais residentes de Nova Jersey, excluindo dados tratados apenas para concluir transações de pagamento
- Você controla ou processa dados pessoais de 25.000 ou mais residentes de Nova Jersey e obtém receita com a venda de dados
- Gera receita e outros benefícios financeiros de 25% a 50% provenientes da venda de dados pessoais
A lei não se limita a marcas voltadas ao consumidor. Empresas de SaaS, plataformas B2B, marketplaces e prestadores de serviços podem estar dentro do escopo se atingirem os limites de dados.
A NJDPA também se aplica a organizações com e sem fins lucrativos — algo raro entre as leis de privacidade estaduais dos EUA.
Isenções da NJDPA
A NJDPA não se aplica a todas as organizações nem a todos os tipos de dados. Algumas entidades são totalmente isentas, enquanto outras são isentas apenas para conjuntos específicos de dados.
A lei não se aplica a:
- Órgãos governamentais estaduais e locais
- Instituições financeiras e dados cobertos pela Gramm-Leach-Bliley Act (GLBA)
- Entidades cobertas e associadas de negócios regulados pela HIPAA
- Seguradoras e dados sujeitos à regulamentação das leis de seguros de Nova Jersey
Mesmo que sua empresa esteja sujeita à lei em outros aspectos, a NJDPA não se aplica a dados pessoais já regulamentados por leis federais, incluindo:
- Dados de saúde regidos pela HIPAA
- Dados de crédito, emprego e verificação de antecedentes cobertos pela FCRA
- Registros educacionais protegidos pela FERPA
- Dados pessoais processados sob a Driver's Privacy Protection Act (DPPA)
- Dados usados exclusivamente para fins de emprego e RH
O que é a New Jersey Data Privacy and Security Act?
A New Jersey Data Privacy Act (NJDPA) é uma lei estadual de privacidade que regulamenta como as empresas coletam, usam, compartilham e armazenam dados pessoais de residentes de Nova Jersey. Ela:
- Garante aos residentes de Nova Jersey o direito de acessar, corrigir, excluir e copiar seus dados pessoais
- Limita como as empresas coletam e compartilham dados pessoais, especialmente para anúncios e criação de perfis
- Responsabiliza as organizações em caso de qualquer violação
- Exige práticas razoáveis de segurança de dados para reduzir o uso indevido e a exposição
Penalidades por não conformidade com a NJDPA
O descumprimento da NJDPA pode resultar em multas de até US$ 10.000 pela primeira infração e até US$ 20.000 por infrações subsequentes. Além disso, a lei garante aos consumidores o direito de processar empresas por violações de dados e não conformidade. Deixando as penalidades legais de lado, o dano à reputação costuma ser a parte mais difícil de superar.
Por que o lado do cliente se tornou uma superfície de risco para a privacidade
O lado do cliente se tornou um risco para os frameworks de privacidade porque as empresas dependem de scripts de terceiros para melhorar a experiência do usuário em sites e coletar inteligência para impulsionar o crescimento. Ferramentas de análise, pixels de rastreamento de anúncios, chatbots e outras bibliotecas de desenvolvimento são executados no navegador e podem acessar as interações do usuário assim que a página carrega.
Essa atividade fica fora dos controles do lado do servidor. Seu backend pode ser bem monitorado, mas o código executado no navegador pode mudar de comportamento, carregar novas dependências ou enviar dados para outros destinos sem qualquer notificação.
O JavaScript foi projetado para ser dinâmico. Fornecedores podem atualizar scripts, adicionar novos endpoints e expandir a coleta de dados sem aviso claro.
Scripts de terceiros como risco de conformidade com a NJDPA
Scripts de terceiros frequentemente coletam e enviam dados pessoais de formas pouco transparentes. Quando uma página carrega, um script pode ler URLs, cookies, campos de formulário e ações do usuário.
A divulgação e o consentimento frequentemente ficam fora de sincronia, mesmo sem intenção. Sua política de privacidade pode cobrir determinadas ferramentas, mas os scripts podem se comportar de forma diferente na prática. Um banner de cookies pode aparecer depois que a coleta de dados já começou. Quando as divulgações e o comportamento real não coincidem, a conformidade vai por água abaixo.
Ataques do lado do cliente como risco de violação de dados sob a NJDPA
Scripts maliciosos e ferramentas de terceiros comprometidas podem registrar teclas digitadas, entradas de formulários, cookies, tokens de sessão e atividade de navegação. Invasores podem injetar código em suas páginas e explorar vulnerabilidades em scripts nos quais você confia.
Falhas de segurança frequentemente se sobrepõem a violações de privacidade sob a NJDPA, como:
- Entradas de formulários roubadas ou dados pessoais coletados sem consentimento
- Cookies e dados de sessão vazados que revelam a identidade do usuário
- Compartilhamento não autorizado de dados com terceiros
- Scripts e plugins armazenando dados sensíveis além do que foi divulgado
Deixar de proteger os dados do lado do cliente coloca você em risco de multas e ações legais. Atender aos requisitos de conformidade de sites com leis estaduais de privacidade ajuda a reduzir a exposição e alinha sua empresa às expectativas da NJDPA.
Banners de cookies são suficientes para conformidade com a NJDPA?
Banners de cookies por si só não são suficientes para cumprir a NJDPA. Eles alertam os usuários sobre a coleta de dados, mas não conseguem impedir que scripts enviem dados pessoais antes do consentimento nem controlar como os fornecedores os tratam. Você ainda precisa rastrear quais dados são coletados, quem os acessa e por quanto tempo são armazenados.
Embora as medidas de segurança não sejam explicitamente detalhadas nas leis estaduais de privacidade dos EUA, a maioria dos processos contra empresas cita a falta de salvaguardas razoáveis. Complementar os banners de cookies com controles técnicos adequados, monitoramento e gestão de fornecedores está alinhado com as leis de privacidade dos EUA e ajuda a reduzir riscos. Mas simplesmente exibir um banner deixa você exposto a ataques do lado do cliente.
Onde ocorrem as falhas de conformidade com a NJDPA
Muitos problemas de conformidade com a NJDPA surgem de lacunas que você pode não perceber no dia a dia. Mesmo quando você acredita que sua configuração de privacidade está sólida, scripts/rastreadores de terceiros e fluxos de dados em tempo real podem representar riscos ocultos.
Alguns pontos de falha comuns incluem:
- Não respeitar os direitos dos consumidores no nível do script. Os usuários podem solicitar acesso, correção ou exclusão, mas os scripts continuam coletando dados.
- Falta de monitoramento do lado do cliente e rastreamento da coleta de dados no navegador. Fornecedores podem coletar e compartilhar dados pessoais sem o seu conhecimento.
- Falha em implementar salvaguardas de segurança razoáveis. Controles fracos podem permitir que dados pessoais vazem ou sejam roubados.
- Divulgações imprecisas e incompletas. Sua política de privacidade pode não corresponder ao que scripts e ferramentas realmente coletam.
- Falta de visibilidade sobre fluxos de dados em tempo real e mudanças no comportamento dos scripts
- Incapacidade de detectar ou responder a injeções ou modificações não autorizadas de scripts
- Baixa responsabilização de fornecedores quando scripts de terceiros são atualizados sem revisão
- Documentação insuficiente para comprovar conformidade contínua
- Dependência excessiva de auditorias pontuais em vez de monitoramento contínuo
Usar uma ferramenta de automação de conformidade com leis estaduais de privacidade dos EUA pode ajudá-lo a identificar essas lacunas. Ela oferece visibilidade contínua sobre os riscos do lado do cliente e ajuda a garantir que os dados pessoais sejam tratados de forma adequada.
Principais requisitos da NJDPA que as organizações devem conhecer
A NJDPA foca em como você coleta, protege, divulga e responde a dados pessoais nas operações cotidianas do negócio. Portanto, concentre-se em:
Direitos do consumidor e aplicação do consentimento
Você deve respeitar os direitos que os residentes de Nova Jersey têm sobre seus dados pessoais. Eles podem:
- Solicitar que você confirme se possui os dados deles
- Obter uma cópia desses dados
- Corrigir erros
- Excluir os dados
- Exportá-los em formato portátil
Você deve responder em até 45 dias quando alguém fizer uma solicitação. A lei também exige consentimento afirmativo antes de processar dados sensíveis ou usar dados pessoais para fins não relacionados ao motivo pelo qual foram coletados.
Minimização de dados e limitação de finalidade
Você deve limitar o que coleta ao que é adequado, relevante e necessário para a finalidade informada ao consumidor. Você não pode processar dados pessoais para fins não relacionados ou com fins lucrativos, a menos que o consumidor tenha consentido.
Transparência e divulgações precisas
Seu aviso de privacidade deve ser claro e acessível em seu site. Ele deve descrever:
- Quais categorias de dados você coleta
- Por que você os coleta
- Com quem você os compartilha
Também deve explicar como você notificará os consumidores sobre quaisquer mudanças relevantes em suas práticas de privacidade.
Supervisão de fornecedores e terceiros
Se você trabalha com processadores ou fornecedores terceiros que tratam dados pessoais em seu nome, você deve gerenciar esses relacionamentos. Os contratos devem refletir como os dados pessoais são tratados.
Você também pode precisar de avaliações para processamentos que possam apresentar riscos maiores aos consumidores. Além disso, nos primeiros 18 meses, em caso de qualquer infração, você tem uma disposição de correção de 30 dias para corrigi-la após receber uma notificação.
Recursos oficiais e links governamentais
Aqui estão algumas fontes oficiais que você deve consultar:
Cronograma da NJDPA
- 16 de janeiro de 2024: O governador Phil Murphy sancionou o Senate Bill 332, a New Jersey Data Protection Act (NJDPA)
- 15 de janeiro de 2025: A NJDPA entrou em vigor.
- 15 de julho de 2026: Prazo final do período de correção de 30 dias para os primeiros 18 meses após 15 de janeiro de 2025.
Por que a NJDPA foi criada
Os dados estão em todo lugar, e os riscos também. Nova Jersey introduziu a NJDPA porque:
- O aumento de violações e vazamentos de dados coloca informações pessoais em risco
- A forte dependência de ferramentas de terceiros que coletam e compartilham dados sem consentimento explícito e visibilidade
- Os consumidores esperam mais transparência e controle sobre seus dados
- Regras de privacidade inconsistentes entre os estados geram confusão para as empresas
- As empresas nem sempre rastreiam como os fornecedores tratam os dados compartilhados
- A necessidade de salvaguardas de segurança razoáveis para proteger dados pessoais
- Lacunas nas leis de privacidade dos EUA anteriores deixavam os direitos dos consumidores pouco claros
Como o cside ajuda organizações a alcançar conformidade com a NJDPA
Transparência nos fluxos de dados do lado do cliente
- O cside mostra exatamente quais scripts coletam dados pessoais, quais dados eles reúnem e para onde vão. Você obtém toda a visibilidade necessária para manter divulgações precisas e manter os avisos de privacidade atualizados.
Minimização de dados no nível do script
- Os scripts frequentemente mudam ao longo do tempo e começam a coletar mais informações do que o pretendido. Nosso software de conformidade com leis estaduais de privacidade dos EUA destaca quando um script ultrapassa seu escopo pretendido, mantendo a coleta de dados focada e limitada.
Salvaguardas de segurança razoáveis
- O mecanismo de segurança do lado do cliente com assistência de IA do cside detecta scripts maliciosos e adulterados, alterações suspeitas de código e atividades de skimming de dados no navegador. Isso permite que você aplique salvaguardas de segurança razoáveis para proteger dados pessoais e reduzir o risco de violações.
Validação do comportamento de terceiros
- O monitoramento contínuo e a pontuação de risco rastreiam como fornecedores terceiros tratam os dados em tempo real. Você pode identificar desvios do comportamento esperado e evitar violações não intencionais de suas obrigações de privacidade.
Registros e evidências prontos para auditoria
- O cside mantém registros das atividades de processamento e de cada payload de script em um painel com logs históricos. Isso fornece as evidências necessárias para demonstrar conformidade com a NJDPA durante auditorias ou investigações.
