Бърз отговор: Към средата на 2026 г. 23 щата в САЩ са приели всеобхватни закони за поверителност на потребителите, без федерален закон, който да ги обедини. Бизнесите, опериращи през щатски граници, трябва да управляват припокриващи се, понякога противоречиви задължения, от модели на съгласие за включване (opt-in) срещу изключване (opt-out) до различни прагове за това кой се квалифицира като обхванат субект. Тежестта на съответствието е реална, но структуриран, многослоен подход може да отговори на повечето изисквания едновременно.
Основни изводи
- Двадесет и три щата са приели всеобхватни закони за поверителност към средата на 2026 г., като Закон 502 на Луизиана е най-новият, влизащ в сила на 1 януари 2027 г. [2]
- Щатските регулатори по поверителност в САЩ са събрали 3,425 милиарда долара глоби през 2025 г., почти двойно повече от 1,827 милиарда долара през 2024 г., прилагането се ускорява [4]
- Щатските закони се разделят широко на два модела: калифорнийският модел (opt-out, частно право на действие) и вирджинският модел (opt-in за чувствителни данни, само прилагане от AG) [3]
- Единадесет щата вече изискват поддръжка за универсалния механизъм за отказ Global Privacy Control (GPC), което го прави де факто национален стандарт за отказ [3]
- Само 9% от 522 регистрирани брокери на данни в Калифорния са били напълно съвместими в проучване от май 2026 г., несъответствието е широко разпространено дори сред регулираните субекти [6]
- Не съществува всеобхватен федерален закон за поверителност; Законът за правата на американската поверителност, въведен през 2024 г., не е приет [2]
- Една единствена, добре структурирана политика за поверителност, допълнена от специфични за щата допълнения, обикновено е достатъчна, не се изискват отделни политики за всеки щат
- Инфраструктурата за управление на съгласието, като платформа като Biscotti CMP, става все по-съществена за автоматизиране на работните процеси за отказ и съгласие в различните юрисдикции
Кои щати имат закони за поверителност и какво обхващат те
Към средата на 2026 г. 23 щата са приели всеобхватно законодателство за поверителност на потребителите, като броят им продължава да расте. Индиана, Кентъки и Роуд Айлънд започнаха прилагане на 1 януари 2026 г., добавяйки към вече сложната обстановка [9]. Закон 502 на Луизиана, подписан на 29 май 2026 г., е най-новото допълнение, което ще влезе в сила на 1 януари 2027 г. [2].
Повечето закони споделят общо ядро от права: достъп, коригиране, изтриване, преносимост и право на отказ от продажба или споделяне на лични данни. Въпреки това, детайлите се различават значително по обхват, прагове и механизми за прилагане.
Щати с действащи всеобхватни закони за поверителност (представителни примери):
| Щат | Дата на влизане в сила | Ключова характеристика |
|---|---|---|
| Калифорния (CCPA/CPRA) | 2020 / 2023 | Частно право на действие при нарушения; платформа DROP |
| Вирджиния (VCDPA) | 2023 | Opt-in за чувствителни данни; само прилагане от AG |
| Колорадо (CPA) | 2023 | Изисква се GPC; широки категории чувствителни данни |
| Тексас (TDPSA) | 2024 | Без праг на приходите; прилагане от AG |
| Луизиана (Закон 502) | 1 януари 2027 | Най-новото приемане към средата на 2026 г. |
Какви са основните разлики между щатските закони за поверителност в САЩ
Основното разделение при навигирането в фрагментираната реалност на щатските закони за поверителност в САЩ е калифорнийският модел срещу вирджинския модел. Тези две рамки са се превърнали в шаблони, които повечето други щати адаптират.
Характеристики на калифорнийския модел:
- По подразбиране отказ (opt-out) за продажба и споделяне на данни (потребителите трябва активно да се откажат)
- Частно право на действие при нарушения на сигурността на данните
- По-широки прагове на приложимост (базирани на приходи и обем данни)
- Включва изискване за универсален механизъм за отказ (GPC)
Характеристики на вирджинския модел:
- Изисква се съгласие за включване (opt-in) за обработка на чувствителни лични данни
- Прилагането е ограничено до главния прокурор на щата
- Без частно право на действие за отделни потребители
- Като цяло по-тесни дефиниции на "чувствителни данни"
Разминаването създава реално оперативно триене. Бизнес, който по подразбиране използва съгласие за отказ за Калифорния, може все пак да се нуждае от изрично съгласие за включване за категории чувствителни данни съгласно правилата на Вирджиния, Колорадо или Кънектикът, всички едновременно [3].
Как се сравняват CCPA, GDPR и други щатски закони
CCPA/CPRA на Калифорния е най-близкият американски аналог на GDPR на ЕС, но остават важни структурни разлики. GDPR изисква законно основание за цялата обработка на данни и налага съгласие за включване за повечето употреби. CCPA работи на модел на отказ за продажби на данни, като съгласие за включване се изисква само за непълнолетни и категории чувствителни данни съгласно измененията на CPRA.
Други щатски закони заемат средна позиция: те заимстват права на субекти на данни в стил GDPR (достъп, коригиране, изтриване), като същевременно запазват американското предпочитание за настройки по подразбиране за отказ, а не за съгласие за включване. Резултатът е, че програма, съвместима с GDPR, осигурява силна основа, но не удовлетворява автоматично изискванията на щатите в САЩ, особено по отношение на разкритията на брокери на данни, отказите от продажба и ограниченията за целева реклама.
Кой щатски закон за поверителност е най-строг
Калифорния остава най-взискателната юрисдикция за повечето бизнеси. CPRA въведе Калифорнийската агенция за защита на поверителността (CPPA) като специализиран орган за прилагане, разшири категориите чувствителни данни и създаде платформата за премахване и отказ на данни (DROP), стартирана в началото на 2026 г., която позволява на жителите да поискат изтриване от стотици брокери на данни чрез еднократно подаване [5].
Колорадо е на второ място по оперативна сложност, предвид задължителната поддръжка на GPC, широките дефиниции за чувствителни данни и активното нормотворчество относно автоматизираното вземане на решения. За бизнесите в областта на брокерството на данни конкретно, изискванията на Калифорния са в собствена категория, проучване от май 2026 г. установи, че само 9% от 522 регистрирани брокери на данни са били напълно съвместими [6].
Кой е най-лесният начин за спазване на множество щатски закони за поверителност
Най-ефективният път за навигиране в фрагментираната реалност на щатските закони за поверителност в САЩ е многостепенна архитектура за съответствие: изграждане по най-строгия стандарт като база, след което наслояване на специфични за щата изисквания.
Практически стъпки:
- Извършете инвентаризация на данните. Картирайте всяка категория събрани лични данни, техния източник, цел на обработка и получатели трети страни. Това е основополагащо за всеки щатски закон.
- Идентифицирайте приложимите юрисдикции. Определете кои щатски прагове отговаря вашият бизнес, повечето закони се задействат въз основа на броя на обслужваните жители или приходите от продажби на данни.
- Въведете универсален механизъм за отказ. Незабавно внедрете поддръжка за GPC. Единадесет щата вече го изискват, а списъкът расте [3]. Платформа за управление на съгласието като Biscotti CMP може да автоматизира откриването на GPC сигнали и да уважава заявките за отказ в реално време.
- Сегментирайте съгласието за чувствителни данни. Изградете потоци за съгласие за включване за чувствителни категории (здраве, биометрични данни, точно географско местоположение), за да задоволите щатите по модела на Вирджиния.
- Установете работен процес за заявки от субекти на данни (DSR). Повечето закони изискват отговори в рамките на 45 дни. Автоматизирайте приемането и маршрутизирането.
- Актуализирайте договорите с доставчици. Споразуменията за обработка на данни трябва да отразяват изискванията на всеки щат за обработващи и доставчици на услуги.
- Прегледайте практиките за автоматизирано вземане на решения. Множество щати добавят задължения тук, особено за решения с правни или значителни последици [4].
Нуждая ли се от отделни политики за поверителност за всеки щат
Не, отделни политики за всеки щат не са законово изискуеми и като цяло са нежелателни. Една единствена, добре структурирана политика за поверителност, която обхваща всички изисквани разкрития, допълнена от специфични за щата допълнения или секции за известия, удовлетворява повечето закони. Изследване, публикувано през юли 2025 г., установи, че 53,8% от американските банки с множество политики за поверителност показват вътрешни несъответствия, което създава объркване у потребителите и подкопава целите за прозрачност [7]. Единната политика намалява този риск.
Политиката трябва, най-малкото, да разкрива: категориите събрани данни, целите на обработката, споделянето с трети страни, правата на потребителите по юрисдикция и как да се подават заявки. Калифорния изисква специфична връзка "Не продавайте или споделяйте моята лична информация"; други щати имат аналогични изисквания, които могат да бъдат адресирани чрез единен механизъм за отказ.
Колко струва спазването на щатските закони за поверителност
Разходите за съответствие варират значително в зависимост от размера на бизнеса, сложността на данните и съществуващата инфраструктура. Няма единен проверен индустриален еталон, който да се прилага универсално, но двигателите на разходите са добре разбрани:
- Технология: Платформите за управление на съгласието, инструментите за автоматизация на DSR и софтуерът за картографиране на данни представляват най-големите повтарящи се разходи за повечето организации.
- Правен преглед: Първоначалното изготвяне на политики и годишните актуализации за многощатска програма обикновено изискват външни консултанти или специализиран адвокат по поверителност.
- Оперативни разходи: Време на персонала за обработка на DSR, управление на доставчици и обучение.
За малки бизнеси с ограничени операции с данни, добре конфигурирано решение за управление на съгласието и прегледана политика за поверителност може да представляват по-голямата част от инвестицията. За предприятия, обработващи големи обеми данни или извършващи функции на брокери на данни, разходите нарастват значително, особено като се има предвид, че глобите вече представляват реален финансов риск, като само през 2025 г. щатските регулатори са събрали 3,425 милиарда долара [4].
Какво се случва, ако моят бизнес наруши щатските закони за поверителност
Наказанията варират в зависимост от щата, но следват последователен модел: граждански глоби за нарушение, периоди за отстраняване (които се съкращават или премахват в по-новите закони) и в случая на Калифорния, възможността за съдебни дела, инициирани от потребители, за нарушения на сигурността на данните.
- Калифорния: До 7 500 долара за умишлено нарушение; без период за отстраняване за умишлени нарушения
- Вирджиния: До 7 500 долара за нарушение след 30-дневен период за отстраняване
- Колорадо: До 20 000 долара за нарушение; периодът за отстраняване е премахнат след 1 януари 2025 г.
- Тексас: До 7 500 долара за нарушение; прилагане от AG с граждански разследващи искания
Нарастването на прилагането през 2025 г., почти удвоявайки общите суми на глобите на годишна база, сигнализира, че регулаторите са преминали фазата на осведоменост [4]. Бизнесите, които са предполагали нисък риск от прилагане, трябва да преоценят това предположение.
Могат ли малките бизнеси да си позволят да спазват всички щатски изисквания за поверителност
Повечето щатски закони за поверителност включват прагове, предназначени да освободят много малки бизнеси. Често срещани задействащи фактори включват обработка на данни на 100 000 или повече потребители годишно, или получаване на повече от 25-50% от приходите от продажби на данни. Малък бизнес за електронна търговия, който не продава потребителски данни и обслужва по-малко от 100 000 жители на щата, може да попадне под множество прагове.
Въпреки това, TDPSA на Тексас забележително няма праг на приходите, което означава, че всеки бизнес, който обработва данни на жители на Тексас и отговаря на прага за брой потребители, трябва да спазва изискванията, независимо от размера на приходите [3]. Малките бизнеси не трябва да предполагат освобождаване без анализ за всяка юрисдикция.
Ефективното от гледна точка на разходите съответствие за по-малките организации обикновено означава: прегледана политика за поверителност, поддръжка на GPC чрез инструмент за управление на съгласието и документиран процес за обработка на заявки за достъп и изтриване.
Кои индустрии са най-засегнати от щатските закони за поверителност
Индустриите, интензивни на данни, са изправени пред най-голямата тежест за съответствие. Секторите с най-висока експозиция включват:
- AdTech и онлайн маркетингови агенции: Ограниченията за целева реклама, изискванията за съгласие за бисквитки и мандатите за отказ от споделяне на данни засягат този сектор най-силно.
- Електронна търговия: Широкото събиране на данни от транзакции, проследяването на поведението и интеграциите с трети страни създават множество точки за съответствие.
- Здравеопазване и здравни технологии: Чувствителните здравни данни задействат изисквания за включване (opt-in) съгласно повечето щатски закони, отделно от задълженията по HIPAA.
- Брокери на данни: Най-внимателно разглежданата категория, платформата DROP на Калифорния и специфичните изисквания за регистрация на брокери поставят висока летва [5][6].
- Финансови услуги: Изследванията показват значителна непоследователност в начина, по който банките управляват разкритията за поверителност в множество политики [7].
Как щатските закони за поверителност засягат електронната търговия и онлайн бизнесите
За онлайн бизнесите, навигирането в фрагментираната реалност на щатските закони за поверителност в САЩ се изразява предимно в управление на съгласието и задължения за потока на данни. Всеки уебсайт, който използва пиксели за проследяване от трети страни, поведенческа реклама или инструменти за анализ, които споделят данни с доставчици, потенциално участва в "споделяне на данни" или "продажба" съгласно множество щатски дефиниции.
Практическите последици:
- Банерите за бисквитки трябва автоматично да уважават GPC сигналите в 11 щата [3]
- Програмите за ретаргетиране и сходни аудитории могат да представляват "споделяне" съгласно CCPA, изискващи механизми за отказ
- Решението на Върховния съд от юли 2026 г. по делото Chatrie срещу Съединените щати, което постанови, че широкото събиране на данни за местоположение въз основа на геозони представлява претърсване по Четвъртата поправка, добавя ново измерение към практиките за маркетинг, базиран на местоположение [1]
- Програмите за абонамент и лоялност, които монетизират поведенчески данни, са под засилен контрол
Платформа за управление на съгласието, която се интегрира с основните рекламни технологични стекове и сигнализира за предпочитания за отказ надолу по веригата, вече не е опция за повечето онлайн бизнеси със значителен мащаб.
Предстои ли федерален закон за поверителност, който да замени щатските закони
Не незабавно. Законът за правата на американската поверителност (APRA), въведен през 2024 г., не беше приет и към средата на 2026 г. не е прието всеобхватно федерално законодателство за поверителност [2]. Политическите пречки, главно несъгласието относно това дали федерален закон трябва да отменя щатските закони и дали да включва частно право на действие, остават неразрешени.
Практическата последица е, че щатската мозайка ще продължи да се разширява. Закон 502 на Луизиана е 23-ият щатски закон, а няколко други щата имат активно законодателство в процес на разработка. Бизнесите трябва да планират за продължаваща фрагментация, вместо да чакат федерално отменяне.
Какви са често срещаните грешки, които компаниите правят при спазването на щатските закони за поверителност
Няколко повтарящи се грешки представляват непропорционално голям дял от експозицията на прилагане:
- Предполагане, че съответствието с GDPR покрива задълженията в САЩ. GDPR и щатските закони в САЩ споделят концепции, но се различават съществено по отношение на настройките по подразбиране за съгласие, механизмите за прилагане и специфичните права.
- Игнориране на GPC сигнали. Единадесет щата вече изискват поддръжка на GPC; неспазването на сигнала е автоматично нарушение в тези юрисдикции [3].
- Пренебрегване на регистрацията на брокери на данни. Калифорния изисква брокерите на данни да се регистрират в CPPA; само 9% от регистрираните брокери са били напълно съвместими през 2026 г. [6].
- Непоследователни политики за поверителност в различните имоти. Множество политики за една и съща организация създават противоречия, които регулаторите и ищците могат да експлоатират [7].
- Пренебрегване на договорите с доставчици. Много щатски закони налагат отговорност на контрольорите за провали на обработващите; остарелите споразумения за обработка на данни са значителна празнина.
- Третиране на автоматизираното вземане на решения като нерегулирано. Нови щатски изменения добавят изисквания за разкриване и отказ за алгоритмични решения със значителни потребителски ефекти [4].
Какво трябва да направи моят бизнес първо, за да се подготви за щатските закони за поверителност
Започнете с инвентаризация на данните и анализ на приложимостта по юрисдикция, тези две стъпки определят всичко останало. Без да знаете какви данни притежавате и кои щатски закони се прилагат за вашите операции, нито една програма за съответствие не може да бъде правилно оразмерена.
Непосредствени приоритети за 2026 г.:
- Извършете упражнение за картографиране на данни, за да идентифицирате потоците от лични данни, доставчиците и целите на обработката
- Определете кои щатски прагове отговаря вашият бизнес
- Внедрете поддръжка на GPC сигнал, тази единствена стъпка адресира задълженията за отказ в 11 щата едновременно
- Проверете политиката си за поверителност за пълнота и последователност
- Установете документиран процес за приемане и отговор на DSR
- Прегледайте всички споразумения за споделяне на данни с трети страни
За организации, които все още не са внедрили решение за управление на съгласието, Biscotti CMP предоставя инфраструктура за управление на сигнали за съгласие, уважаване на заявки за отказ и поддържане на записи за съответствие в различните юрисдикции.
ЧЗВ
В: Прилагат ли се щатските закони за поверителност към бизнеси извън САЩ? Да. Повечето щатски закони се прилагат въз основа на местоживеенето на потребителите, а не на мястото на регистрация на бизнеса. Европейска компания, обслужваща жители на Калифорния, подлежи на CCPA/CPRA, ако отговаря на приложимите прагове.
В: Какво е Global Privacy Control (GPC) и защо е важно? GPC е сигнал на ниво браузър, който автоматично съобщава предпочитанието на потребителя за отказ на уебсайтовете. Единадесет щата вече изискват от бизнесите да го уважават, което прави поддръжката на GPC почти универсално изискване за съответствие за уебсайтове, насочени към САЩ [3].
В: Трябва ли моят бизнес да спазва изискванията, ако събира само имейл адреси? Възможно е. Имейл адресите са лични данни съгласно всички щатски закони за поверителност. Дали трябва да спазвате изискванията зависи от това от колко жители на щата събирате данни и дали продавате или споделяте тези данни.
В: Каква е разликата между контролер на данни и обработващ данни съгласно щатските закони? Контролерът определя целите и средствата за обработка на лични данни. Обработващият обработва данни от името на контролер. Повечето щатски закони налагат основни задължения на контролерите, но обработващите също трябва да спазват договорните изисквания, определени от контролерите.
В: Колко време имат бизнесите, за да отговорят на заявки за данни от потребители? Повечето щатски закони изискват отговор в рамките на 45 дни, с възможно 45-дневно удължаване за сложни заявки. Калифорния позволява до 90 дни при някои обстоятелства.
В: Достатъчен ли е банер за бисквитки за спазване на щатските закони в САЩ? Само банер за бисквитки не е достатъчен. Той трябва да бъде подкрепен от реална инфраструктура за управление на съгласието, която записва предпочитанията, уважава сигналите за отказ (включително GPC) и предотвратява споделянето на данни, преди да бъде получено съгласие, когато е необходимо.
В: Какво се счита за "чувствителни данни" съгласно щатските закони за поверителност? Дефинициите варират, но чувствителните данни обикновено включват: точно географско местоположение, здравна и медицинска информация, биометрични данни, данни за финансови сметки, расов или етнически произход, сексуална ориентация и данни за деца. Повечето щатски закони изискват съгласие за включване (opt-in) за обработка на чувствителни данни.
В: Могат ли потребителите да съдят директно бизнеси за нарушения на поверителността? В Калифорния потребителите могат да завеждат частни съдебни дела за нарушения на сигурността на данните, включващи определени категории лична информация. Повечето други щати ограничават прилагането до главния прокурор, което означава, че извън Калифорния няма частно право на действие за общи нарушения на поверителността.
В: Как решението на Върховния съд от 2026 г. относно геозоните засяга маркетинга? Решението по делото Chatrie срещу Съединените щати (2 юли 2026 г.) постанови, че широкото събиране на данни за местоположение въз основа на геозони изисква конкретна заповед съгласно Четвъртата поправка [1]. Въпреки че решението пряко се отнася до правоприлагането, то сигнализира за засилен съдебен контрол върху практиките за данни за местоположение и може да повлияе на начина, по който регулаторите тълкуват задълженията за данни за местоположение съгласно щатските закони за поверителност.
В: Какво е платформата DROP на Калифорния? DROP (Data Removal and Opt-out Platform) стартира в началото на 2026 г. и позволява на жителите на Калифорния да поискат изтриване на личните си данни от стотици регистрирани брокери на данни чрез еднократно подаване [5].
Заключение
Щатският пейзаж на поверителността не се опростява, а се разширява. С 23 всеобхватни закона, действащи към средата на 2026 г., 3,425 милиарда долара глоби, събрани през 2025 г., и Закон 502 на Луизиана, добавящ 24-та юрисдикция през 2027 г., цената на бездействието е станала конкретна и измерима [2][4].
Добрата новина е, че структурираната архитектура за съответствие се справя с по-голямата част от сложността, без да изисква отделни програми за всеки щат. Изградете по стандарта на Калифорния като база, незабавно внедрете поддръжка на GPC, проверете потоците си от данни и договорите с доставчици и се уверете, че политиката ви за поверителност е вътрешно последователна. Тези стъпки адресират по-голямата част от задълженията по всички действащи щатски закони.
За организации, управляващи съгласието в голям мащаб, внедряването на специално изградена инфраструктура, като Biscotti CMP, е най-надеждният начин за автоматизиране на обработката на сигнали за отказ, поддържане на одитируеми записи за съгласие и адаптиране при влизане в сила на нови щатски изисквания. Чакането на федерален закон за разрешаване на фрагментацията не е жизнеспособна стратегия. Щатите законодателстват, регулаторите прилагат, а бизнесите, които изграждат трайни програми за съответствие сега, ще имат значително конкурентно предимство, тъй като пейзажът продължава да се развива.
Референции
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai