Um estudo conjunto do Stanford RegLab e do Stanford HAI, divulgado em 11 de agosto de 2026, avaliou o cumprimento da legislação de privacidade da Califórnia por empresas que compram e vendem dados pessoais. O resultado é desconfortável: apenas 9% dos corretores de dados registrados cumprem integralmente as exigências de transparência da lei.
A pesquisa examinou manualmente as políticas de privacidade dos 522 corretores de dados autorregistrados no estado em 2025. Além do índice de conformidade plena, dois números chamam atenção: 45% não enviaram nenhuma métrica de solicitações de direitos à agência reguladora, e 64% adicionaram atrito aos processos de solicitação — prática expressamente proibida pela lei.
O tema importa ao leitor brasileiro por dois motivos. Primeiro, porque a Califórnia funciona como laboratório regulatório cujas soluções tendem a ser replicadas. Segundo, porque o mesmo mercado de intermediação de dados opera no Brasil sob a LGPD, mas sem registro público equivalente.
Corretores de dados — data brokers — são empresas que coletam, agregam, compram e vendem informações pessoais de consumidores com os quais não mantêm relação direta. É essa característica que torna o setor invisível: o consumidor sabe que o site que ele visita coleta dados, mas não tem como saber que existe um terceiro comprando e revendendo esse histórico.
Em 2023, a Califórnia aprovou o Delete Act (S.B. 362), a primeira lei norte-americana a regular especificamente essa prática. A norma exige que toda empresa que colete dados de pelo menos 10 milhões de consumidores californianos se registre junto ao estado e assegure aos consumidores o direito de excluir seus dados, corrigir informações pessoais e saber quais informações estão sendo vendidas.
As consequências práticas dessa intermediação não são abstratas. Como observa Jennifer King, pesquisadora de privacidade e política de dados do Stanford HAI, os dados vendidos por corretores podem afetar quais anúncios uma pessoa vê, que preços as empresas oferecem a ela e até se ela é contratada para um emprego ou aprovada em um empréstimo. Informação incorreta, uma vez inserida nesse ecossistema, se espalha rapidamente e persiste muito depois de detectada.
Até 1º de julho de 2025, os corretores tinham de divulgar publicamente quantas solicitações de consumidores receberam nos dois anos anteriores, separadas por categoria:
Além dos totais, era preciso informar a média e a mediana de dias para atender cada tipo de pedido, e o número de solicitações atendidas e negadas.
A revisão manual feita pela equipe — composta por Jennifer King, pelo diretor do RegLab Daniel E. Ho, pela doutoranda Anna-Maria Gueorguieva e pela assistente de pesquisa Apoorva Panidapu — encontrou o seguinte quadro:
| Indicador | Resultado |
|---|---|
| Corretores analisados (autorregistrados em 2025) | 522 |
| Conformidade plena com os requisitos de transparência | 9% |
| Não enviaram nenhuma métrica de solicitações à agência | 45% |
| Adicionaram atrito ao processo de solicitação | 64% |
É uma taxa de conformidade surpreendentemente baixa, afirma King. Segundo ela, é possível que os corretores ainda estejam definindo como reportar as métricas exigidas, mas as empresas foram notificadas há mais de três anos e a etapa já é obrigatória.
O dado dos 64% merece leitura cuidadosa. O estudo identificou o uso de designs de site confusos, formulários múltiplos e etapas excessivas de verificação para dificultar o envio de solicitações. Essas práticas são conhecidas como dark patterns, ou padrões escuros: escolhas de interface deliberadamente construídas para levar o usuário a desistir ou a decidir contra o próprio interesse.
A relevância jurídica é que o Delete Act proíbe expressamente esse tipo de obstáculo. Ou seja, não se trata apenas de má experiência de uso — é descumprimento direto da norma, ainda que mais difícil de caracterizar e punir do que a simples omissão de um relatório.
A equipe aponta três fatores estruturais que ajudam a explicar o resultado, e nenhum deles envolve má-fé isolada de uma ou outra empresa:
Há um ângulo específico que aproxima o tema do debate atual sobre IA. O Registro de Corretores de Dados de 2026 passou a exigir que as empresas informem se venderam dados a desenvolvedores de IA generativa. Até o momento, mais de 30 companhias fizeram essa divulgação.
A Califórnia tem liderado a exigência de transparência dos corretores no papel, afirma Daniel E. Ho. Em princípio, segundo ele, isso deveria permitir compreender melhor o papel dos corretores de dados no ecossistema de IA, mas, na prática, a pesquisa mostra que as divulgações estão longe de completas.
Vale registrar o limite do que se sabe: hoje não está claro em que medida os corretores de dados influenciam o desenvolvimento de IA, precisamente pela falta de transparência sobre como os modelos de fronteira são construídos. O registro californiano é a primeira tentativa de criar visibilidade sobre esse fluxo — e o estudo indica que a tentativa ainda não produziu dados confiáveis.
King acrescenta um argumento que conecta as duas pontas: empresas usam dados pessoais para montar perfis abrangentes e fazer previsões sobre indivíduos, e frequentemente esses dados estão incorretos. A preocupação aumenta, segundo ela, à medida que desenvolvedores de IA constroem sistemas automatizados que operam sem supervisão humana.
O Delete Act também autorizou a criação de uma plataforma técnica, o DROP (Delete Request and Opt-out Platform), que permite ao residente da Califórnia enviar um único pedido de exclusão e de recusa de venda válido para todos os corretores registrados.
A plataforma entrou em operação em 1º de agosto de 2026. A partir dessa data, os corretores devem consultar o DROP e processar as solicitações a cada 45 dias, excluindo todas as informações pessoais relacionadas aos consumidores que se manifestaram — dados comportamentais, financeiros, de saúde, de localização e de relacionamento, além de quaisquer inferências derivadas deles.
A operação do DROP é gerida pela agência de proteção à privacidade do estado. Consumidores puderam começar a enviar pedidos em 1º de janeiro de 2026, mas a obrigação de atendimento pelos corretores só passou a valer em agosto.
King é cautelosa quanto ao alcance: a eficácia dependerá de quanto as organizações de defesa do consumidor conseguirem divulgar o novo mecanismo. Uma plataforma centralizada só funciona se as pessoas souberem que ela existe.
A próxima fase da legislação chega em 2028, quando os corretores passarão a se submeter a auditorias independentes a cada três anos para avaliar conformidade com o Delete Act. É aí, na avaliação de King, que as apostas sobem.
O aspecto favorável dessa arquitetura regulatória é evidente: um mecanismo único de exclusão resolve um problema real de assimetria. Sem ele, o consumidor precisaria localizar centenas de empresas que ele nunca contratou e enviar solicitação individual a cada uma — barreira que, na prática, inviabiliza o exercício do direito.
As limitações também são claras. O modelo depende de autorregistro, de fiscalização com recursos adequados e de sanções aplicadas com previsibilidade. O estudo mostra que, na ausência desses três elementos, direitos bem desenhados no papel produzem 9% de conformidade. Como resume King: sem exigências claras de reporte e sem consequências financeiras consistentes, as empresas simplesmente não cumprem.
Há ainda uma limitação metodológica que deve ser declarada: o estudo avaliou o que os corretores divulgam, não se eles de fato atendem às solicitações recebidas. Um corretor pode publicar todas as métricas exigidas e ainda assim tratar mal os pedidos — ou o inverso. Conformidade documental e conformidade substantiva são coisas diferentes, e a segunda só poderá ser aferida com as auditorias de 2028.
Para o contexto brasileiro, a comparação é instrutiva. A Lei Geral de Proteção de Dados assegura ao titular direitos análogos — confirmação de tratamento, acesso, correção, eliminação e informação sobre compartilhamento. O que o Brasil não possui é o equivalente ao registro público californiano nem a um mecanismo centralizado como o DROP. Na prática, o titular brasileiro que quiser sair das bases de intermediários de dados precisa descobrir, um a um, quem os detém.
É importante não confundir os regimes: a LGPD e o Delete Act têm estruturas jurídicas e escopos distintos, e o dado de 9% de conformidade se refere exclusivamente à norma californiana. Nada nesse estudo permite estimar a taxa de conformidade de empresas brasileiras. O que ele oferece é um alerta sobre o desenho institucional: direito garantido em lei, sem registro obrigatório, sem canal único e sem fiscalização dotada de recursos, tende a permanecer no papel.
O estudo de Stanford não descreve uma falha de legislação, e sim uma falha de implementação. A Califórnia construiu o arcabouço mais avançado dos Estados Unidos para regular corretores de dados, criou um mecanismo técnico ambicioso de exclusão centralizada e, três anos depois da notificação às empresas, obteve 9% de conformidade plena com o requisito mais básico: informar quantos pedidos recebeu.
Dois marcos merecem acompanhamento. O primeiro é a adoção efetiva do DROP nos próximos meses, que dirá se a exclusão centralizada funciona quando o consumidor sabe que ela existe. O segundo são as auditorias independentes previstas para 2028, que testarão pela primeira vez a conformidade substantiva — e não apenas documental — desse mercado.
Sistema experimental calcula idade fisiológica a partir de passos, sono e frequência de repouso, simula…
Dois modelos treinados antes do uso aprendem a rotear consultas e a prever a chave…
Balanço do FORGE Lab mostra 26.502 achados brutos filtrados até 59 relatórios públicos, oito deles…
A Unit 42 detalhou um conjunto de ferramentas que opera dentro do navegador da vítima,…
O método GHARP, descrito por pesquisadores ligados à Apple e aceito no ACCV 2026, separa…
Pesquisadores publicaram em 27 de outubro de 2026 um benchmark que isola quem detém cada…