EUA avançam com novas regras de dados

Atualização 23 de agosto de 2026: O acompanhamento legislativo do GUARD Financial Data Act acrescentou obrigações substantivas em relação ao marco de 1999 da GLBA, com regras de minimização, opt-out contínuo, limites ao uso de credenciais por agregadores, mais transparência, acesso, eliminação e opt-in para informações financeiras sensíveis. Também houve atualização no status do HIPRA, que saiu do Comitê HELP do Senado por votação unânime.

O Senado dos Estados Unidos avançou com o Health Information Privacy Reform Act, ou HIPRA, enquanto Amy Klobuchar e Adam Schiff apresentaram o Water Cyber Shield Act para reforçar a cibersegurança da infraestrutura de água potável e de esgoto. Em paralelo, Josh Gottheimer protocolou um projeto bipartidário para criar na CISA um serviço dedicado de resposta rápida e notificação de ameaças para utilities pequenas e médias.

O que aconteceu com o HIPRA no Senado?

O Comitê HELP do Senado votou por unanimidade, 22 a 0, para retirar o HIPRA do comitê e levar o texto para a próxima etapa legislativa. A proposta, patrocinada por Bill Cassidy e Maggie Hassan, segue voltada à proteção de dados privados de saúde e a regras mais rígidas de minimização, retenção e desidentificação.

O projeto estabelece que as entidades reguladas e os provedores de serviços não poderão coletar, processar nem reter informações de saúde aplicáveis além do que for razoavelmente necessário, com exceções limitadas para concluir transações solicitadas, cumprir a lei, prevenir fraude e conduzir pesquisa supervisionada por um comitê de revisão institucional, ou IRB.

O HIPRA também eleva o padrão de desidentificação. Para que os dados sejam considerados desidentificados sob a nova lei, não bastará mais apenas o método de porto seguro da HIPAA, será preciso cumprir ao menos a determinação de especialista. Além disso, o projeto determina que o Departamento de Saúde e Serviços Humanos, HHS, publique regras de implementação em até 18 meses após a promulgação.

Uma análise jurídica independente alertou que, depois de sair do comitê, empresas que coletam, usam ou monetizam dados de saúde de consumidores, entre elas wearables, aplicativos de saúde, desenvolvedores de IA e data brokers, devem revisar o impacto do texto sobre minimização, retenção, autorização, geolocalização, eliminação e desidentificação.

O que muda em água potável e esgoto?

O Water Cyber Shield Act busca estender os requisitos federais de notificação de incidentes cibernéticos a sistemas estaduais e locais de água e esgoto que hoje estão isentos dessas obrigações. Segundo a apresentação anunciada por Klobuchar e Schiff, a proposta alinha esses sistemas às futuras exigências de reporte da CIRCIA.

De acordo com a análise citada, o projeto também vincularia as utilities de água e esgoto aos requisitos rigorosos de notificação previstos na futura regra da CIRCIA, e incorporaria a cibersegurança como parte de seus marcos de planejamento de resiliência.

Na versão já divulgada do texto, a Agência de Proteção Ambiental, EPA, manteria autoridade para avaliar sistemas de água diante de riscos cibernéticos e exigir correções das utilities quando identificar problemas. Também está previsto que a EPA coordene com CISA e NIST para definir padrões básicos de cibersegurança para sistemas de água potável, com um modelo escalonado conforme o risco e a capacidade de cada sistema.

Além disso, a proposta prevê que estados com capacidade suficiente possam assumir a responsabilidade principal pela aplicação dessas exigências, e reserva US$ 300 milhões por ano, canalizados por meio dos fundos rotativos estaduais de água potável e água limpa, para apoiar melhorias de cibersegurança nas utilities.

O anúncio de Klobuchar acrescentou que as avaliações de cibersegurança para grandes sistemas de água seriam integradas ao planejamento de resiliência já existente e que as informações sensíveis de cibersegurança enviadas pelas utilities ficariam protegidas de divulgação pública.

O que propõe Gottheimer para as utilities menores?

Josh Gottheimer anunciou em 12 de agosto de 2026 um projeto bipartidário, o Securing Our Critical Infrastructure Act, para criar na CISA um serviço dedicado de resposta rápida e notificação de ameaças voltado especificamente para pequenas e médias utilities de água e eletricidade nos Estados Unidos. A iniciativa tem copatrocínio de Don Bacon, Zach Nunn, Hilary Scholten e Greg Landsman.

O texto define a criação de um ponto único de contato na CISA para notificar imediatamente ameaças ativas e oferecer suporte operacional aos sistemas com menos recursos. O objetivo é acelerar a resposta a incidentes e concentrar a assistência federal em utilities que nem sempre contam com equipes próprias de segurança.

O que mudou em privacidade financeira?

O acompanhamento legislativo do H.R. 8398 GUARD Financial Data Act incorporou obrigações substantivas em relação ao marco de 1999 da GLBA. Entre elas estão regras de minimização de dados, direitos de opt-out contínuos para o consumidor, limites específicos ao uso de credenciais de acesso por agregadores de dados financeiros, um dever reforçado de transparência sobre finalidades de tratamento, novos direitos de acesso e eliminação de dados e consentimento expresso, ou opt-in, para tratar ou divulgar informações financeiras consideradas sensíveis.

A mudança amplia a discussão sobre privacidade financeira para além da proteção tradicional da GLBA, já que o acompanhamento do projeto detalha restrições operacionais sobre coleta, uso e divulgação de dados, assim como direitos adicionais para os consumidores diante de entidades e agregadores que lidam com informações financeiras.

O que vem a seguir em privacidade e verificação de idade?

Outra frente aberta no Congresso é o SCREEN Act, aprovado pela Comissão de Comércio do Senado por 15 a 13, embora a votação tenha ficado tecnicamente travada por falta de quórum físico suficiente. O projeto segue vivo à espera de uma nova votação procedimental.

A norma obrigaria quase qualquer site com conteúdo sexualmente explícito a verificar a idade de cada usuário com dados de identidade real antes de liberar o acesso. Também proibiria a autodeclaração por meio de caixas de confirmação e exigiria serviços de verificação de identidade de terceiros. Cobertura adicional indicou que o texto também mira IPs e VPNs como parte do fluxo de verificação, o que ampliaria seu impacto operacional sobre serviços com conteúdo sensível ou bloqueado geograficamente.

A Electronic Frontier Foundation alertou que sistemas obrigatórios de verificação de idade tendem a se expandir para camadas inferiores da pilha tecnológica e acabar abrangendo mais serviços e usuários.

Que outras iniciativas seguem em tramitação?

O Congressional Research Service apontou que os Estados Unidos continuam sem uma lei federal abrangente de privacidade de dados, embora alguns integrantes do Congresso tenham apresentado projetos de privacidade integral com obrigações de minimização e transparência sobre práticas de coleta, ainda em tramitação. Nesse grupo aparecem iniciativas ligadas a IA e menores, como o Youth AI Privacy Act, que proibiria operadores de chatbots de processar dados pessoais de menores para perfilamento ou treinamento de algoritmos, além do CHATBOT Act, do KIDS Act e do SAFE BOTs Act.

Na mesma linha legislativa, o SAFE Act aparece como projeto do Senado em comissão, sem votação prevista, e com seu último movimento registrado no encaminhamento ao Comitê Judiciário.