Só 9% dos corretores de dados cumprem lei da Califórnia

Um estudo conjunto do Stanford RegLab e do Stanford HAI, divulgado em 11 de agosto de 2026, avaliou o cumprimento da legislação de privacidade da Califórnia por empresas que compram e vendem dados pessoais. O resultado é desconfortável: apenas 9% dos corretores de dados registrados cumprem integralmente as exigências de transparência da lei.

A pesquisa examinou manualmente as políticas de privacidade dos 522 corretores de dados autorregistrados no estado em 2025. Além do índice de conformidade plena, dois números chamam atenção: 45% não enviaram nenhuma métrica de solicitações de direitos à agência reguladora, e 64% adicionaram atrito aos processos de solicitação — prática expressamente proibida pela lei.

O tema importa ao leitor brasileiro por dois motivos. Primeiro, porque a Califórnia funciona como laboratório regulatório cujas soluções tendem a ser replicadas. Segundo, porque o mesmo mercado de intermediação de dados opera no Brasil sob a LGPD, mas sem registro público equivalente.

O que é um corretor de dados e por que a Califórnia legislou

Corretores de dados — data brokers — são empresas que coletam, agregam, compram e vendem informações pessoais de consumidores com os quais não mantêm relação direta. É essa característica que torna o setor invisível: o consumidor sabe que o site que ele visita coleta dados, mas não tem como saber que existe um terceiro comprando e revendendo esse histórico.

Em 2023, a Califórnia aprovou o Delete Act (S.B. 362), a primeira lei norte-americana a regular especificamente essa prática. A norma exige que toda empresa que colete dados de pelo menos 10 milhões de consumidores californianos se registre junto ao estado e assegure aos consumidores o direito de excluir seus dados, corrigir informações pessoais e saber quais informações estão sendo vendidas.

As consequências práticas dessa intermediação não são abstratas. Como observa Jennifer King, pesquisadora de privacidade e política de dados do Stanford HAI, os dados vendidos por corretores podem afetar quais anúncios uma pessoa vê, que preços as empresas oferecem a ela e até se ela é contratada para um emprego ou aprovada em um empréstimo. Informação incorreta, uma vez inserida nesse ecossistema, se espalha rapidamente e persiste muito depois de detectada.

O que a lei exige e o que as empresas entregaram

Até 1º de julho de 2025, os corretores tinham de divulgar publicamente quantas solicitações de consumidores receberam nos dois anos anteriores, separadas por categoria:

• Exclusão dos próprios dados
• Correção de informações pessoais
• Saber quais informações pessoais são coletadas pela empresa
• Saber quais informações pessoais são vendidas ou compartilhadas
• Solicitar que a empresa não venda nem compartilhe os dados
• Limitar o uso e a divulgação de informações pessoais sensíveis

Além dos totais, era preciso informar a média e a mediana de dias para atender cada tipo de pedido, e o número de solicitações atendidas e negadas.

A revisão manual feita pela equipe — composta por Jennifer King, pelo diretor do RegLab Daniel E. Ho, pela doutoranda Anna-Maria Gueorguieva e pela assistente de pesquisa Apoorva Panidapu — encontrou o seguinte quadro:

Indicador	Resultado
Corretores analisados (autorregistrados em 2025)	522
Conformidade plena com os requisitos de transparência	9%
Não enviaram nenhuma métrica de solicitações à agência	45%
Adicionaram atrito ao processo de solicitação	64%

É uma taxa de conformidade surpreendentemente baixa, afirma King. Segundo ela, é possível que os corretores ainda estejam definindo como reportar as métricas exigidas, mas as empresas foram notificadas há mais de três anos e a etapa já é obrigatória.

Padrões escuros: o atrito como estratégia

O dado dos 64% merece leitura cuidadosa. O estudo identificou o uso de designs de site confusos, formulários múltiplos e etapas excessivas de verificação para dificultar o envio de solicitações. Essas práticas são conhecidas como dark patterns, ou padrões escuros: escolhas de interface deliberadamente construídas para levar o usuário a desistir ou a decidir contra o próprio interesse.

A relevância jurídica é que o Delete Act proíbe expressamente esse tipo de obstáculo. Ou seja, não se trata apenas de má experiência de uso — é descumprimento direto da norma, ainda que mais difícil de caracterizar e punir do que a simples omissão de um relatório.

Por que a conformidade é tão baixa

A equipe aponta três fatores estruturais que ajudam a explicar o resultado, e nenhum deles envolve má-fé isolada de uma ou outra empresa:

• O sistema depende de autorregistro. Não há mecanismo automático que identifique quem deveria estar registrado e não está.
• As penalidades são aplicadas de forma inconsistente. Sem consequência previsível, o custo de não cumprir tende a ser menor que o de cumprir.
• A agência responsável pela fiscalização tem recursos insuficientes para o volume de entidades reguladas.

A conexão com inteligência artificial

Há um ângulo específico que aproxima o tema do debate atual sobre IA. O Registro de Corretores de Dados de 2026 passou a exigir que as empresas informem se venderam dados a desenvolvedores de IA generativa. Até o momento, mais de 30 companhias fizeram essa divulgação.

A Califórnia tem liderado a exigência de transparência dos corretores no papel, afirma Daniel E. Ho. Em princípio, segundo ele, isso deveria permitir compreender melhor o papel dos corretores de dados no ecossistema de IA, mas, na prática, a pesquisa mostra que as divulgações estão longe de completas.

Vale registrar o limite do que se sabe: hoje não está claro em que medida os corretores de dados influenciam o desenvolvimento de IA, precisamente pela falta de transparência sobre como os modelos de fronteira são construídos. O registro californiano é a primeira tentativa de criar visibilidade sobre esse fluxo — e o estudo indica que a tentativa ainda não produziu dados confiáveis.

King acrescenta um argumento que conecta as duas pontas: empresas usam dados pessoais para montar perfis abrangentes e fazer previsões sobre indivíduos, e frequentemente esses dados estão incorretos. A preocupação aumenta, segundo ela, à medida que desenvolvedores de IA constroem sistemas automatizados que operam sem supervisão humana.

DROP: exclusão centralizada em um só pedido

O Delete Act também autorizou a criação de uma plataforma técnica, o DROP (Delete Request and Opt-out Platform), que permite ao residente da Califórnia enviar um único pedido de exclusão e de recusa de venda válido para todos os corretores registrados.

A plataforma entrou em operação em 1º de agosto de 2026. A partir dessa data, os corretores devem consultar o DROP e processar as solicitações a cada 45 dias, excluindo todas as informações pessoais relacionadas aos consumidores que se manifestaram — dados comportamentais, financeiros, de saúde, de localização e de relacionamento, além de quaisquer inferências derivadas deles.

A operação do DROP é gerida pela agência de proteção à privacidade do estado. Consumidores puderam começar a enviar pedidos em 1º de janeiro de 2026, mas a obrigação de atendimento pelos corretores só passou a valer em agosto.

King é cautelosa quanto ao alcance: a eficácia dependerá de quanto as organizações de defesa do consumidor conseguirem divulgar o novo mecanismo. Uma plataforma centralizada só funciona se as pessoas souberem que ela existe.

A próxima fase da legislação chega em 2028, quando os corretores passarão a se submeter a auditorias independentes a cada três anos para avaliar conformidade com o Delete Act. É aí, na avaliação de King, que as apostas sobem.

Impactos, limitações e o que isso significa para o Brasil

O aspecto favorável dessa arquitetura regulatória é evidente: um mecanismo único de exclusão resolve um problema real de assimetria. Sem ele, o consumidor precisaria localizar centenas de empresas que ele nunca contratou e enviar solicitação individual a cada uma — barreira que, na prática, inviabiliza o exercício do direito.

As limitações também são claras. O modelo depende de autorregistro, de fiscalização com recursos adequados e de sanções aplicadas com previsibilidade. O estudo mostra que, na ausência desses três elementos, direitos bem desenhados no papel produzem 9% de conformidade. Como resume King: sem exigências claras de reporte e sem consequências financeiras consistentes, as empresas simplesmente não cumprem.

Há ainda uma limitação metodológica que deve ser declarada: o estudo avaliou o que os corretores divulgam, não se eles de fato atendem às solicitações recebidas. Um corretor pode publicar todas as métricas exigidas e ainda assim tratar mal os pedidos — ou o inverso. Conformidade documental e conformidade substantiva são coisas diferentes, e a segunda só poderá ser aferida com as auditorias de 2028.

Para o contexto brasileiro, a comparação é instrutiva. A Lei Geral de Proteção de Dados assegura ao titular direitos análogos — confirmação de tratamento, acesso, correção, eliminação e informação sobre compartilhamento. O que o Brasil não possui é o equivalente ao registro público californiano nem a um mecanismo centralizado como o DROP. Na prática, o titular brasileiro que quiser sair das bases de intermediários de dados precisa descobrir, um a um, quem os detém.

É importante não confundir os regimes: a LGPD e o Delete Act têm estruturas jurídicas e escopos distintos, e o dado de 9% de conformidade se refere exclusivamente à norma californiana. Nada nesse estudo permite estimar a taxa de conformidade de empresas brasileiras. O que ele oferece é um alerta sobre o desenho institucional: direito garantido em lei, sem registro obrigatório, sem canal único e sem fiscalização dotada de recursos, tende a permanecer no papel.

Recomendações práticas

• Para encarregados de dados e times de privacidade: acompanhe o desenho do DROP como referência técnica. Mecanismos de exclusão centralizada são candidatos naturais a aparecer em futuras regulamentações, e antecipar a arquitetura de atendimento reduz custo posterior.
• Mapeie o fluxo de dados para terceiros na sua organização. Muitas empresas transferem dados a intermediários por meio de SDKs de publicidade e ferramentas de enriquecimento de cadastro sem tratar isso como compartilhamento sujeito a controle.
• Audite seus próprios formulários de exercício de direitos. O estudo mostra que atrito excessivo é o descumprimento mais comum. Verifique se o titular consegue exercer o direito sem etapas de verificação desproporcionais.
• Documente se há venda ou compartilhamento de dados com desenvolvedores de IA. Essa é a fronteira regulatória em formação, e a exigência californiana indica a direção.
• Para pessoas físicas: exerça os direitos previstos na LGPD junto às empresas com as quais você tem relação, e registre as respostas. Na ausência de canal centralizado, a documentação do pedido é o que sustenta uma eventual reclamação à ANPD.

Conclusão

O estudo de Stanford não descreve uma falha de legislação, e sim uma falha de implementação. A Califórnia construiu o arcabouço mais avançado dos Estados Unidos para regular corretores de dados, criou um mecanismo técnico ambicioso de exclusão centralizada e, três anos depois da notificação às empresas, obteve 9% de conformidade plena com o requisito mais básico: informar quantos pedidos recebeu.

Dois marcos merecem acompanhamento. O primeiro é a adoção efetiva do DROP nos próximos meses, que dirá se a exclusão centralizada funciona quando o consumidor sabe que ela existe. O segundo são as auditorias independentes previstas para 2028, que testarão pela primeira vez a conformidade substantiva — e não apenas documental — desse mercado.

Fontes e referências

• Stanford HAI — Companies That Buy and Sell Your Data Are Not Following California’s Strict Privacy Laws
• California Privacy Protection Agency — Accessible Deletion Mechanism — Delete Request and Opt-out Platform (DROP) System Requirements
• Estado da Califórnia — Data Brokers (registro público)
• TrustArc — California DELETE Act: What Data Brokers Must Do by August 1
• Brasil — Autoridade Nacional de Proteção de Dados (ANPD)