O Guia Definitivo para Conformidade do WordPress com a CCPA

Perguntando se a Lei de Privacidade do Consumidor da Califórnia (CCPA) realmente se aplica ao seu site WordPress? Para a maioria dos sites pequenos, a resposta honesta é provavelmente não. Mas a definição da lei de 'compartilhamento' de informações pessoais é ampla o suficiente para cobrir uma tag do Google Analytics ou um Pixel do Facebook, e a Califórnia não é o único estado a escrever regras como essa.

Trabalhamos nisso em nossos próprios sites, então sei quais partes da CCPA tocam um site WordPress típico e quais partes você pode deixar de lado com segurança.

Neste guia, mostrarei como garantir a conformidade com a CCPA para sites WordPress.

⚠️ Não somos advogados e nada neste site deve ser considerado aconselhamento jurídico.

A resposta rápida – A CCPA se aplica à sua empresa com fins lucrativos se ela atender a qualquer um destes três critérios:

• Sua empresa gera mais de US$ 26.625.000 em receita bruta anual.
• Você compra, vende ou compartilha as informações pessoais de 100.000 ou mais residentes ou domicílios da Califórnia por ano.
• Você obtém 50% ou mais de sua receita anual da venda ou compartilhamento de dados pessoais de residentes da Califórnia.

Se isso se aplica a você, manter a conformidade se resume a cinco tarefas principais:

• Audite o que você coleta – Realize uma auditoria de dados cobrindo todos os plugins e scripts em seu site.
• Divulgue o que você faz com isso – Publique uma política de privacidade que descreva claramente os dados que você coleta, por que você os coleta e os direitos do visitante.
• Pergunte antes de rastrear – Adicione um banner de cookies que bloqueie scripts de terceiros até que os usuários optem explicitamente por participar.
• Registre cada escolha de consentimento – Mantenha um registro de consentimento para que você possa comprovar a conformidade se for auditado.
• Responda rapidamente às solicitações – Gerencie solicitações de acesso, correção e exclusão com um formulário e as ferramentas integradas do WordPress.

O que é a California Consumer Privacy Act (CCPA)? 

A Lei de Privacidade do Consumidor da Califórnia (CCPA) dá aos residentes da Califórnia controle direto sobre como as empresas coletam, armazenam e compartilham suas informações pessoais. Sua definição de 'informações pessoais' é ampla, cobrindo nomes, endereços de e-mail, histórico de navegação e até dados biométricos.

Assim como o Regulamento Geral de Proteção de Dados (GDPR), a CCPA não afeta apenas empresas sediadas na Califórnia. Se você lida com dados de pessoas que moram lá, então ela pode se aplicar a você, onde quer que seu site WordPress esteja sediado.

A palavra que confunde as pessoas é 'compartilhar'. Você pode nunca vender os dados de ninguém, mas se o seu site exibe anúncios, um Pixel do Facebook ou Google Analytics com recursos de publicidade ativados, você está compartilhando informações pessoais para publicidade direcionada, e a CCPA trata isso da mesma forma que uma venda.

Mesmo abaixo desses limites, seguir essas práticas gera confiança e prepara você para as outras leis de privacidade estaduais que podem já se aplicar a você.

Por que os usuários do WordPress devem se importar com a conformidade com a CCPA?

Ignorar a CCPA pode ser caro. O órgão regulador de privacidade da Califórnia pode multá-lo em até US$ 2.500 por violação, e até US$ 8.000 por cada violação intencional ou qualquer violação envolvendo alguém que você sabe ter menos de 16 anos. 

Os consumidores também podem processá-lo diretamente se ocorrer uma violação devido à sua segurança inadequada.

Dar aos visitantes controle real sobre suas informações pessoais também gera confiança com seu público.

Como a CCPA Afeta Seu Site WordPress

A CCPA concede aos visitantes do seu blog WordPress ou site seis direitos: saber quais dados pessoais você detém sobre eles, excluí-los, corrigi-los, optar por não vendê-los ou compartilhá-los, limitar como você usa informações confidenciais e exercer qualquer um desses sem ser cobrado a mais ou receber um serviço pior.

As etapas abaixo mostram como dar suporte a cada um.

CIPA e CCPA – Como Afetam Pequenos Sites

Em 1º de janeiro de 2026, novos regulamentos da CCPA adicionaram regras sobre tecnologia de tomada de decisão automatizada, avaliações de risco e auditorias anuais de cibersegurança. Embora visem grandes empresas e atividades que um site típico nunca realiza, há um desenvolvimento que afeta pequenos sites.

Advogados de autores têm usado a Lei de Invasão de Privacidade da Califórnia (CIPA), uma lei de interceptação telefônica dos anos 1960, para processar sites por gravação de sessão comum, chat ao vivo e scripts de publicidade, com danos estatutários de US$ 5.000 por violação.

De acordo com uma análise de julho de 2026 do escritório de advocacia Spencer Fane, essas reivindicações cresceram de aproximadamente 600 processos para mais de 4.000 e agora representam cerca de dois terços da litígio de privacidade ativa na Califórnia.

A CIPA não estabelece nenhum limite de receita, portanto, um pequeno site que executa análises e um widget de chat está exposto de uma forma que os limites da CCPA nunca sugeririam. Os tribunais ainda estão divididos sobre se essas leis antigas se aplicam ao rastreamento web moderno, mas a solução prática é descobrir quais cookies seu site define e, em seguida, obter consentimento antes que esses scripts sejam carregados.

Como Melhorar Sua Conformidade com a CCPA no WordPress

Você pode clicar nos links abaixo para pular para qualquer seção:

Realize uma Auditoria de Dados

O primeiro passo é identificar e documentar todos os tipos de dados pessoais que você coleta, processa e armazena. Para começar, recomendo listar todos os plugins do WordPress e ferramentas que coletam dados em seu site, como plugins de análise, construtores de formulários e plugins de SEO.

Por exemplo, se você criou um formulário de solicitação de orçamento, o plugin do seu construtor de formulários pode coletar o nome do visitante, o nome da empresa e o cargo. Para cada ferramenta, faça a si mesmo estas perguntas:

• Quais dados pessoais específicos ele coleta? Podem ser nomes, endereços de e-mail, endereços IP ou detalhes de pagamento.
• Onde esses dados são armazenados? Eles estão em seu próprio servidor ou são enviados para um serviço de terceiros?
• Por que esses dados estão sendo coletados? Eles são essenciais ou não essenciais e como você os está usando?
• Por quanto tempo esses dados são mantidos? Você tem uma política de retenção para eles?
• Esses dados são compartilhados com alguém? Em particular, algum provedor de serviços ou anunciante está envolvido?

Recomendo registrar as respostas em uma planilha simples, para que você tenha uma visão geral documentada para consultar sempre que suas práticas de privacidade mudarem.

Enquanto você tem essa lista em mãos, procure por qualquer coisa que você possa simplesmente parar de coletar. Cada campo de formulário e script de rastreamento que você remove é um dado que você nunca terá que proteger, divulgar ou excluir mais tarde.

Crie uma Política de Privacidade 

Uma política de privacidade explica quais dados pessoais você coleta, por que você os coleta e com quem você os compartilha.

O WordPress vem com um gerador integrado para isso, que você encontrará em Configurações » Privacidade no seu painel.

Alternativamente, você pode usar nossa política de privacidade do WPBeginner como ponto de partida.

Apenas lembre-se de substituir cada referência ao WPBeginner pelo nome do seu próprio site.

Também temos um guia completo, passo a passo, sobre como adicionar uma política de privacidade no WordPress.

Você já tem uma política de privacidade? Então atualize-a para cobrir os seis direitos da CCPA listados anteriormente e diga aos visitantes como usá-los. Por exemplo, você pode vincular a um formulário de contato onde eles podem solicitar uma cópia de seus dados.

Um requisito mais recente é fácil de ignorar.

Você deve listar as categorias de informações pessoais sensíveis que coleta, como credenciais de conta ou geolocalização precisa.

Finalmente, sua política de privacidade precisa ser fácil de encontrar, então vincule-a no cabeçalho ou rodapé do seu site para colocá-la em todas as páginas. Vale a pena revisá-la sempre que suas práticas de manuseio de dados mudarem.

Adicione um Pop-up de Cookies

A CCPA nem sempre exige que os visitantes optem pela coleta de dados, mas exige que eles possam descobrir sobre isso e optar por não participar. Um popup de cookies faz ambos, informando aos visitantes quais cookies você usa e por quê, e dando a eles uma maneira direta de recusar.

Existem muitos plugins de banner de cookies no mercado, mas recomendo o WPConsent, um plugin de conformidade de privacidade criado para atender a muitos padrões de privacidade diferentes, incluindo a CCPA.

Usamos o WPConsent para exibir banners de cookies e gerenciar o consentimento do usuário em nossos próprios sites.

O plugin gratuito WPConsent vem com muitos recursos essenciais: o banner de cookies, bloqueio automático de scripts, o scanner de cookies do site, um gerador de política de cookies e suporte para o Google Consent Mode v2.

A versão premium do WPConsent adiciona logs de consentimento, reescaneamentos agendados, regras de geolocalização, traduções automatizadas e uma página dedicada de 'Não Venda'. Os logs de consentimento e a página 'Não Venda' são os dois que importam especificamente para a conformidade com a CCPA.

💡 Quer saber mais sobre nossa experiência direta com o WPConsent? Confira nossa análise aprofundada do WPConsent.

Para começar, instale e ative o plugin, como de costume. Após a ativação, o WPConsent escaneará todo o seu site em busca de cookies ativos e registrará todos os que encontrar.

Um assistente de configuração, então, o guiará pela personalização do popup.

Quando estiver satisfeito com o banner, salve suas alterações e pronto. Para mais detalhes, consulte nosso guia sobre como adicionar um popup de cookies no WordPress.

Escreva uma Política de Cookies Separada 

Ao lado do seu banner, é uma boa ideia publicar uma política de cookies.

Uma boa política lista os tipos de cookies que você usa, como essenciais, analíticos ou de marketing, explica seu propósito, como rastrear visitantes do site ou veicular anúncios direcionados, e informa quais informações pessoais eles coletam, como endereços IP ou histórico de navegação.

Você também deve vinculá-la tanto à sua política de privacidade principal quanto ao seu banner de cookies, para que os visitantes possam encontrá-la facilmente.

Mais uma vez, o WPConsent pode cuidar disso para você, usando o mesmo escaneamento que encontrou seus cookies ativos. Para configurá-lo, vá para WPConsent » Configurações, abra o menu suspenso Política de Cookies e escolha a página onde deseja que a política apareça.

O WPConsent, então, adiciona a política a essa página.

Os visitantes podem acessar a política diretamente do seu banner clicando no botão ‘Preferências’.

A partir daí, eles selecionam o link ‘Política de Cookies’.

Bloquear Scripts de Terceiros 

A conformidade com a CCPA também se aplica às ferramentas de rastreamento externas em seu site, como Google Analytics e Pixel do Facebook. Como essas ferramentas de rastreamento coletam dados de seus visitantes, você é responsável por como eles coletam, armazenam e usam esses dados, e você precisa permitir que os visitantes optem por não participar.

Você pode controlar essas ferramentas por meio do bloqueio automático de scripts, que impede o carregamento de scripts de rastreamento até que um visitante dê consentimento. Isso torna o rastreamento de terceiros opt-in, o que vai além do que a CCPA exige.

No entanto, uma vez que seus rastreadores aguardam o consentimento, o Google Analytics contará apenas as pessoas que clicarem em ‘Aceitar’. Isso significa que seu tráfego relatado diminuirá. Alguns visitantes recusam e outros nunca respondem ao banner.

O WPConsent lida com o bloqueio de scripts para você, e o recurso está incluído no plugin gratuito. Ele reconhece scripts de rastreamento comuns como Google Analytics, Google Ads e Pixel do Facebook, e os retém para que não possam definir cookies até que um visitante dê permissão.

Para garantir que isso funcione em seu site, vá para WPConsent » Configurações, encontre o controle deslizante Bloqueio de Scripts e ative-o.

Em seguida, clique em ‘Salvar alterações’.

Para verificar se funcionou, abra seu site em uma janela de navegação anônima e visualize o código-fonte da página, que é o HTML bruto que seu navegador recebeu. Um rastreador que o WPConsent está retendo aparece com ‘type=text/plain’ em vez de um endereço ativo.

Se você usa um plugin de cache, então limpe seu cache do WordPress após habilitar esta configuração, ou o bloqueio não funcionará para seus visitantes.

A lei da Califórnia também exige que os sites respeitem os Mecanismos Universais de Opt-Out (UOOMs), que são sinais de navegador ou extensão que transmitem as escolhas de privacidade de um usuário em todos os sites que ele visita. O principal é o Global Privacy Control (GPC), enviado automaticamente por navegadores como Brave e extensões como DuckDuckGo.

A primeira ação de fiscalização da CCPA da Califórnia foi um acordo de US$ 1,2 milhão com a Sephora, especificamente porque a empresa não processou os sinais GPC.

O WPConsent pode detectar e respeitar esses sinais, mas está desativado por padrão. Vá para WPConsent » Configurações e selecione a aba ‘Avançado’.

Depois disso, ative o controle deslizante ‘Respeitar Controles de Privacidade Globais’ e clique em ‘Salvar alterações’.

O WPConsent agora desativa cookies não essenciais para visitantes que enviam um sinal GPC, para que eles não vejam seu banner. Ele também mostra a mensagem de confirmação que as regras de 2026 exigem.

Rastreie e Registre o Consentimento do Visitante

Se o seu tratamento de dados for questionado ou os reguladores o auditarem, você precisará provar que respeitou as escolhas de seus visitantes. Um log de consentimento é essa prova.

O WPConsent Pro grava isso para você, capturando o endereço IP anonimizado de cada visitante, suas escolhas de consentimento e a data e hora em que essas escolhas foram registradas.

O registro de consentimento está desativado até que você o ative, portanto, primeiro vá para WPConsent » Configurações » Registros de Consentimento e ative-o. Você encontrará os registros em WPConsent » Registros de Consentimento em seu painel.

Se precisar compartilhá-los com um auditor, você pode exportar o registro diretamente do seu painel.

Construa Confiança com Opções de Opt-Out

A CCPA exige um link claro de ‘Não Vender ou Compartilhar Minhas Informações Pessoais’ em sua página inicial e em todas as páginas onde você coleta informações pessoais, e é por isso que normalmente fica no rodapé e aponta para uma página dedicada de opt-out.

A maneira mais fácil de lidar com isso no WordPress é o addon Não Vender da WPConsent, que pode colocar um formulário de solicitação pronto em qualquer página. O addon está incluído no plano Plus e acima.

Para instalá-lo, vá para WPConsent » Não Vender e clique no botão de instalação.

Em seguida, vá para WPConsent » Não Vender, selecione a aba ‘Configuração’ e clique em ‘Gerar Página Não Vender’. A WPConsent cria a página com o formulário de opt-out já nela. Se preferir usar uma página que você já publicou, escolha-a no menu suspenso ‘Página Não Vender’.

Agora você pode escolher quais informações o formulário solicita. Mantenha os campos de nome e e-mail que já estão ativados, pois um opt-out não é uma solicitação que você precise verificar, e campos extras apenas adicionam atrito.

Finalmente, adicione um link para esta página em seu menu de rodapé para que ela apareça em todas as páginas. Os visitantes podem então usá-la para optar por não vender ou compartilhar seus dados pessoais. Para um guia mais detalhado, veja nosso guia sobre como criar uma página Não Vender Minhas Informações no WordPress.

WPConsent registra cada solicitação com nomes, endereços de e-mail, carimbos de data/hora e status, e os armazena em seu próprio site. Cada solicitação é uma tarefa pendente em vez de um interruptor: remova essa pessoa de quaisquer públicos de anúncios ou listas de clientes que você carregue em plataformas de anúncios e, em seguida, marque a solicitação como processada.

Apoie o ‘Direito de Correção’

Os consumidores podem pedir para você corrigir quaisquer informações pessoais imprecisas que você tenha sobre eles. A maneira mais simples de dar suporte a isso é um formulário de solicitação de correção de dados.

WPForms é perfeito para isso, pois seu modelo de Formulário de Informações Pessoais inclui uma caixa de seleção ‘Atualizar Registro Existente’ para ajudá-lo a identificar solicitações de correção.

Este modelo está incluído em todos os planos pagos do WPForms, a partir do Basic.

Ele cobre nome legal, apelido, endereço de e-mail e número de telefone, e você pode adicionar mais campos no editor de arrastar e soltar.

Quando uma solicitação de correção chegar, verifique a identidade do solicitante antes de atualizar seus registros. Vale a pena registrar cada solicitação e a ação que você tomou, o que serve como prova de conformidade se você for auditado.

Apoie o ‘Direito de Exclusão’

Os usuários também podem solicitar que você exclua seus dados pessoais. Recomendo lidar com isso com um formulário de exclusão criado com um plugin como WPForms, que tem um modelo dedicado de Formulário de Solicitação de Direito de Exclusão do GDPR. Esse modelo faz parte do WPForms Pro e superior.

🌟 Quer saber mais sobre este poderoso plugin de criação de formulários? Confira nossa análise detalhada do WPForms.

Assim que o formulário estiver no ar, vincule-o à sua página de política de privacidade ou incorpore-o diretamente, para que os visitantes possam encontrá-lo.

O WPForms também possui um sistema integrado de gerenciamento de entradas, para que você possa filtrar envios em todos os seus formulários e identificar solicitações de exclusão rapidamente.

Para revisar suas entradas, acesse WPForms » Entradas, onde você verá todos os formulários em seu site.

Encontre seu formulário de exclusão de dados e clique nele para ver todas as suas solicitações de 'excluir dados'.

Sempre verifique a identidade do usuário antes de excluir suas informações, pois essa ação é permanente e não pode ser desfeita.

Após a verificação, acesse Ferramentas » Apagar Dados Pessoais.

No campo 'Nome de usuário ou endereço de e-mail', digite os detalhes do usuário que você deseja remover. A ferramenta também possui uma configuração 'Enviar e-mail de confirmação de exclusão de dados pessoais', que informa ao usuário quando você terminou.

Gerencie Solicitações de Acesso a Dados de Forma Eficiente

Sob o Direito de Saber, os consumidores podem solicitar um relatório completo das informações pessoais que você coletou, armazenou ou compartilhou sobre eles.

Desde 1º de janeiro de 2026, isso não é mais limitado a uma janela contínua de 12 meses, portanto, se você mantiver dados de clientes por mais de um ano, deverá retroceder até 1º de janeiro de 2022.

O WPForms oferece um modelo pronto de Formulário de Solicitação de Dados para isso, que faz parte do WPForms Pro e versões superiores.

Após adicionar este formulário ao seu site, vá para WPForms » Entradas e selecione-o para ver as solicitações à medida que chegam.

Para responder a uma solicitação, exporte as informações dessa pessoa como um arquivo .zip indo para Ferramentas » Exportar Dados Pessoais.

Digite o endereço de e-mail ou nome de usuário do usuário, clique em Enviar Solicitação e, em seguida, compartilhe o arquivo .zip com a pessoa que o solicitou.

Para uma análise mais detalhada de ambas as ferramentas integradas, consulte nosso guia sobre como exportar e apagar dados pessoais no WordPress.

Proteja seu Site WordPress

A CCPA permite que os consumidores o processem por uma violação causada pela falha em implementar medidas de segurança razoáveis, de US$ 107 a US$ 799 por consumidor, por incidente. Isso torna a segurança do seu site um requisito legal, não apenas uma boa prática.

Com isso em mente, certifique-se de ter o básico coberto: um plugin de segurança, atualizações regulares, senhas fortes com autenticação de dois fatores, hospedagem confiável, backups e proteção contra spam em seus formulários. Nosso guia definitivo de segurança do WordPress cobre cada um deles passo a passo.

• Instale um plugin de segurança para proteger seu site contra malware, ataques de força bruta e outras ameaças comuns.
• Mantenha o núcleo, os plugins e os temas do WordPress atualizados, pois software desatualizado é uma das causas mais comuns de vulnerabilidades de segurança.
• Use senhas fortes e exclusivas para todas as contas de administrador e ative a autenticação de dois fatores sempre que possível.
• Escolha um provedor de hospedagem WordPress confiável que ofereça certificados SSL, firewalls e atualizações de segurança em nível de servidor.
• Configure backups regulares do WordPress para que você possa se recuperar rapidamente após uma violação ou perda de dados.
• Adicione proteção anti-spam como CAPTCHA aos seus formulários para evitar ataques automatizados e envios de spam.

Juntas, essas etapas representam o que 'medidas de segurança razoáveis' significam na prática.

Revise Contratos de Terceiros

Se você compartilha dados pessoais com serviços de terceiros, como serviços de marketing por e-mail, ferramentas de análise, processadores de pagamento ou redes de publicidade, a CCPA exige um contrato que limite o que eles podem fazer com esses dados. Na prática, os principais provedores incluem isso em seus termos padrão, portanto, verifique se os termos de cada fornecedor ou acordo de processamento de dados cobrem a Califórnia e anote isso em sua planilha de auditoria.

WordPress e Conformidade com a CCPA: Perguntas Frequentes

O GDPR é mais rigoroso que a CCPA?

Geralmente sim, o GDPR é mais rigoroso. A maior diferença prática é o consentimento, pois o GDPR exige que os visitantes optem por participar antes que você defina cookies não essenciais, enquanto a CCPA funciona principalmente com base em opt-out.

O GDPR também se aplica a qualquer organização que lide com dados de residentes da UE, não importa quão pequena seja, enquanto a CCPA só se aplica quando você atinge limites específicos. Isso significa que um pequeno blog pode ser isento da CCPA, mas ainda estar totalmente vinculado ao GDPR.

Para o guia completo, veja nosso guia definitivo de conformidade do WordPress com o GDPR.

Meu site está abaixo dos limites da CCPA. Outras leis de privacidade estaduais se aplicam a mim?

Muito provavelmente, pois cada estado define seus próprios limites. Cerca de 20 estados agora têm leis abrangentes de privacidade do consumidor em vigor, e várias delas cobrem empresas às quais a CCPA não se aplicaria.

Felizmente, você não precisa de uma estratégia separada para cada uma, pois uma política de privacidade, um banner de bloqueio de scripts, um sistema de solicitação de dados e um registro de consentimento o ajudarão a cumprir as leis de privacidade em vários estados.

Para obter detalhes específicos do estado, consulte nossos guias de conformidade com VCDPA no WordPress e conformidade com UCPA no WordPress, ou nosso guia de conformidade de privacidade do WordPress para as regras compartilhadas.

Com que frequência devo revisar minha conformidade com a CCPA?

Todo site é diferente, mas recomendo revisar pelo menos uma vez por ano e sempre que fizer grandes alterações na forma como lida com os dados do usuário. Como os limites de multas são ajustados pela inflação a cada ano ímpar, verifique novamente quaisquer valores específicos em sua documentação em 2027.

Recursos Adicionais de Regulamentação de Privacidade

Estes recursos o ajudarão a acompanhar a evolução das regulamentações de privacidade e das melhores práticas:

• O Guia Definitivo para Conformidade de Privacidade do WordPress
• Como Saber se o Seu Site WordPress Usa Cookies
• Como Criar uma Página Não Venda Minhas Informações no WordPress
• O Guia Definitivo de Segurança do WordPress – Passo a Passo

Espero que este guia definitivo de conformidade da CCPA no WordPress tenha ajudado você a entender esta importante lei de privacidade. Em seguida, você pode querer ver nossas escolhas especializadas para os melhores plugins de segurança do WordPress ou as melhores soluções de análise para usuários do WordPress.

Se você gostou deste artigo, por favor, inscreva-se em nosso Canal do YouTube para tutoriais em vídeo do WordPress. Você também pode nos encontrar no Twitter e no Facebook.