EUA avançam em novas regras de privacidade

O Senado dos Estados Unidos aprovou por unanimidade o HIPRA, com 22 votos a favor e nenhum contra. O projeto quer ampliar a proteção de dados de saúde para além dos ambientes clínicos tradicionais. Ao mesmo tempo, a Câmara dos Representantes recebeu outras iniciativas sobre medidores inteligentes, data brokers, água e responsabilidade de plataformas, todas ainda em tramitação.

O que muda com o HIPRA?

HIPRA, o Health Information Privacy Reform Act S.3097, foi apresentado pelo senador Bill Cassidy em novembro de 2025 e recebeu sinal verde do Comitê HELP em 30 de julho de 2026 para seguir ao plenário do Senado. O texto amplia de forma abrangente a definição de informação de saúde e inclui dados que identifiquem ou possam identificar uma pessoa, mesmo quando não venham de hospital ou consulta.

Segundo análise do Petrie-Flom Center da Harvard Law School, isso alcança até dados como o histórico de localização de um telefone em uma clínica de tratamento de dependência química. A proposta também cria direitos de acesso, retificação, portabilidade e exclusão em até 30 dias. Além disso, exige consentimento por escrito para vender dados de saúde ou usá-los em marketing, e limita o repasse a agências governamentais a casos com ordem judicial, intimação ou outro procedimento legal semelhante.

Que obrigações isso gera para empresas e reguladores?

Se o HIPRA virar lei, o Departamento de Saúde e Serviços Humanos e a FTC terão até 18 meses para elaborar padrões detalhados de privacidade, segurança e notificação de vazamentos. Uma análise de conformidade da Riddle Compliance afirma que a iniciativa não substituiria a HIPAA, mas a complementaria ao cobrir dados de saúde gerados por apps móveis, wearables e outros serviços digitais.

A mesma análise alerta que empresas de saúde digital e fornecedores de tecnologia deveriam começar a desenhar controles de privacidade e segurança alinhados a possíveis exigências federais futuras. Em setembro de 2026, porém, o HIPRA continua em tramitação e ainda precisa passar pelo plenário do Senado, pela Câmara dos Representantes e pela sanção presidencial.

Quais outros projetos avançam em paralelo?

A Câmara também recebeu o Big Tech Accountability Act, apresentado pelo deputado James P. McGovern. Segundo o comunicado replicado pela Quiver Quant, o projeto busca reforçar a privacidade online e a responsabilidade de grandes plataformas quando seus algoritmos miram e amplificam desinformação fraudulenta, ameaças ou violência criminal. As informações disponíveis, no entanto, se baseiam no comunicado do próprio parlamentar, e ainda não há texto legislativo completo nem situação parlamentar detalhada em fontes oficiais.

Josh Riley, por sua vez, apresentou o Smart Meter Data Privacy Protection Act, com coautoria de Mike Kennedy. O projeto, identificado como H.R. 10284 e encaminhado em 3 de setembro de 2026 ao Comitê de Energia e Comércio, restringe a venda e o uso comercial de dados de medidores inteligentes por determinadas utilities reguladas pelos estados.

O texto limita o uso desses dados à cobrança, gestão de interrupções, confiabilidade da rede, cumprimento regulatório e programas de resposta à demanda autorizados pelo cliente. Também proíbe licenciar, vender, monetizar ou usar essas informações para fins comerciais externos, atribui à FTC a supervisão e prevê que as infratoras devolvam créditos na conta em valor equivalente a três vezes a receita vinculada ao uso indevido. Cada empresa coberta também deverá apresentar um relatório anual à comissão.

O que acontece com data brokers, água e infraestrutura crítica?

O SECURE Data Act, apresentado em abril de 2026, busca criar um registro federal de data brokers e substituir certas leis estaduais. De acordo com a PPC Land, a definição alcança intermediários cujas receitas brutas anuais venham em pelo menos 50% da venda de dados sobre pessoas que não são seus clientes diretos, com o objetivo de padronizar transparência e conformidade.

Em infraestrutura crítica, a CIRCIA segue à espera da regra final. A lei foi sancionada em março de 2022 e encarrega a CISA de construir um sistema obrigatório de reporte de incidentes cibernéticos, mas essas obrigações ainda não são exigíveis. A análise citada pela LBT Technology Group indica que o rascunho antecipado prevê reportes à CISA em 72 horas para incidentes cobertos e em 24 horas para pagamentos de ransomware, com entrada em vigor efetiva que pode ficar entre o fim de 2026 e 2027.

A agenda regulatória também inclui o Water Cyber Shield Act of 2026, que, segundo a Foundation for Defense of Democracies, estenderia pela primeira vez requisitos semelhantes aos de certos sistemas de água potável a grandes estações de tratamento de esgoto. A proposta determinaria que a EPA desenvolva padrões específicos, faça avaliações de cibersegurança e exija correções quando vulnerabilidades significativas forem detectadas. Em paralelo, a EPA já canaliza recursos, como US$ 11,75 milhões para dez projetos em sistemas de água potável de porte médio e grande, parte deles voltada ao reforço da cibersegurança industrial.