Vermont aperta a caça aos data brokers: novas regras, multas salgadas e direitos dos consumidores

O que mudou na lei do Vermont?

No dia 1º de julho de 2023, o Vermont sancionou emendas significativas à sua lei de registro de data brokers (18 V.S.A. § 2446). As alterações, que já estão em vigor, impõem novos requisitos de conformidade, ampliam os direitos dos consumidores e aumentam as penalidades para infrações. Se você atua como data broker ou processa dados pessoais no estado, é hora de revisar seus processos.

Quem é considerado data broker?

A lei define data broker como qualquer entidade que coleta e vende dados pessoais de consumidores com os quais não tem relação direta. Ficam de fora empresas que coletam dados apenas para uso interno ou para transações com o próprio titular. Mas cuidado: se você terceiriza dados para parceiros, pode se enquadrar.

Novos direitos dos consumidores

Os consumidores do Vermont agora podem solicitar que seus dados sejam excluídos dos bancos de dados dos brokers, além de terem o direito de saber quais informações são coletadas e com quem são compartilhadas. A lei também exige que os brokers forneçam um canal claro para esses pedidos – e respondam em até 30 dias.

Notificação de violações de dados

Em caso de vazamento, os data brokers devem notificar o Procurador-Geral do Vermont em até 14 dias. A notificação deve incluir detalhes como o número de registros afetados, o tipo de dados comprometidos e as medidas de mitigação. Multas por atraso podem chegar a US$ 10.000 por violação.

Penalidades mais severas

As multas por descumprimento da lei subiram para US$ 10.000 por infração, mais US$ 100 por dia de atraso na correção. Além disso, o Procurador-Geral pode buscar indenizações civis e até mesmo a suspensão das atividades do broker. É um alerta para quem tratava a conformidade como opcional.

Como se preparar?

Se você é um data broker ou processa dados de residentes do Vermont, comece por mapear todos os fluxos de dados pessoais. Revise seus contratos com fornecedores e clientes para garantir que as cláusulas de proteção de dados estejam em dia. Implemente um processo para responder a solicitações de exclusão em até 30 dias. E, claro, atualize seu plano de resposta a incidentes para incluir a notificação ao estado.

Para mais detalhes, consulte o texto oficial da lei: 18 V.S.A. § 2446.

Lembre-se: ignorar as novas regras é como tentar vender limonada sem licença – pode até funcionar por um tempo, mas a multa vai estragar seu dia. Adapte-se agora e evite dores de cabeça.