Desde 2018, quando entrou em vigor a Resolução Geral de Proteção de Dados (GDPR) na União Europeia, começou a haver uma grande preocupação com a questão de proteção de dados pessoais nos Estados Unidos da América, especialmente após o Tribunal Europeu ter determinado que o Privacy Shield não seria mais aceito como garantia para a transferência de dados pessoais de cidadãos europeus para os EUA.
O EU-US Privacy Shield tornou-se operacional em 1 de agosto de 2016, depois que a Comissão Europeia emitiu sua decisão formal de que o Privacy Shield forneceria proteção adequada para permitir a transferência de dados pessoais para os Estados Unidos, em substituição ao Safe Harbor. O Privacy Shield determinava obrigações mais rígidas às empresas dos Estados Unidos para proteger os dados pessoais dos europeus e exigia que os EUA monitorassem de forma mais robusta e cooperassem mais com as autoridades europeias de proteção de dados. Incluía compromissos por escrito e garantia em relação ao acesso aos dados pelas autoridades públicas. O Departamento de Comércio dos EUA supervisionava a certificação e, se a empresa para a qual se desejasse transferir os dados não fosse certificada, as proteções do Privacy Shield não se aplicariam.
O fato é que o Tribunal Europeu chegou à conclusão que alguns dogmas norte-americanos como a Lei de Segurança Nacional se sobrepunham ao Privacy Shield e, por isso, o mesmo não seria suficiente para garantir a proteção de dados dos cidadãos europeus.
O fato é que, desde então, alguns Estados norte-americanos começaram a se movimentar no sentido de normatizar a proteção a dados pessoais, sendo a mais famosa delas a California Consumer Privacy Act (CCPA), que entrou em vigor em 1 de julho de 2020; portanto, anterior até mesmo à brasileira Lei Geral de Proteção de Dados (LGPD).
Atualmente, em outubro de 2022, os seguintes Estados norte-americanos possuem alguma lei de proteção de dados pessoais:
Além dos Estados acima, Ohio, Pensilvânia, Michigan e New Jersey tem projetos de lei sobre privacidade e proteção de dados pessoais tramitando em suas respectivas casas legislativas.
Com exceção das normas em vigor nos Estados de Nevada e do Maine, que vão além, todas as demais acabam proibindo a comercialização de dados pessoais de indivíduos sem o seu prévio consentimento. E, diferentemente da GDPR ou da LGPD, não criam bases legais para fundamentar o tratamento de dados pessoais.
