Brzi odgovor: Do sredine 2026. godine, 23 američke države su donijele sveobuhvatne zakone o privatnosti potrošača, bez saveznog zakona koji bi ih ujedinio. Preduzeća koja posluju preko državnih granica moraju upravljati preklapajućim, ponekad kontradiktornim obavezama, od modela pristanka opt-in naspram opt-out do različitih pragova za to ko se kvalifikuje kao obuhvaćeni entitet. Teret usklađenosti je stvaran, ali strukturiran, slojevit pristup može istovremeno riješiti većinu zahtjeva.
Ključne spoznaje
- Dvadeset i tri države su donijele sveobuhvatne zakone o privatnosti do sredine 2026. godine, a Zakon 502 Louisiane je najnoviji, stupa na snagu 1. januara 2027. [2]
- Američki državni regulatori za privatnost prikupili su 3,425 milijardi dolara kazni u 2025. godini, skoro dvostruko više od 1,827 milijardi dolara iz 2024. godine, provođenje se ubrzava [4]
- Državni zakoni se široko dijele na dva modela: kalifornijski model (opt-out, privatno pravo na tužbu) i virginijski model (opt-in za osjetljive podatke, samo provođenje od strane AG) [3]
- Jedanaest država sada zahtijeva podršku za mehanizam univerzalnog opt-outa Global Privacy Control (GPC), čineći ga de facto nacionalnim standardom za opt-out [3]
- Samo 9% od 522 registrovana kalifornijska posrednika podataka pronađeno je potpuno usklađenim u studiji iz maja 2026. godine, neusklađenost je široko rasprostranjena čak i među regulisanim entitetima [6]
- Ne postoji sveobuhvatan savezni zakon o privatnosti; American Privacy Rights Act, uveden 2024. godine, nije donesen [2]
- Jedna, dobro strukturirana politika privatnosti dopunjena dodacima specifičnim za državu je općenito dovoljna, odvojene politike po državi nisu potrebne
- Infrastruktura za upravljanje pristankom, kao što je platforma poput Biscotti CMP, sve je bitnija za automatizaciju opt-out i procesa pristanka u svim jurisdikcijama
Koje države imaju zakone o privatnosti i šta pokrivaju
Do sredine 2026. godine, 23 države su usvojile sveobuhvatno zakonodavstvo o privatnosti potrošača, a broj nastavlja rasti. Indiana, Kentucky i Rhode Island počele su s provođenjem 1. januara 2026. godine, dodajući već složenom pejzažu [9]. Zakon 502 Louisiane, potpisan 29. maja 2026. godine, najnoviji je dodatak, koji stupa na snagu 1. januara 2027. godine [2].
Većina zakona dijeli zajedničko jezgro prava: pristup, ispravak, brisanje, prenosivost i pravo na odustajanje od prodaje ili dijeljenja ličnih podataka. Međutim, detalji se značajno razlikuju u opsegu, pragovima i mehanizmima provođenja.
Države s aktivnim sveobuhvatnim zakonima o privatnosti (reprezentativni primjeri):
| Država | Datum stupanja na snagu | Ključna karakteristika |
|---|---|---|
| Kalifornija (CCPA/CPRA) | 2020 / 2023 | Privatno pravo na tužbu za povrede; DROP platforma |
| Virginia (VCDPA) | 2023 | Opt-in za osjetljive podatke; samo provođenje od strane AG |
| Colorado (CPA) | 2023 | GPC obavezan; široke kategorije osjetljivih podataka |
| Texas (TDPSA) | 2024 | Bez praga prihoda; provođenje od strane AG |
| Louisiana (Zakon 502) | 1. januar 2027. | Najnovije donošenje od sredine 2026. |
Koje su glavne razlike između državnih zakona o privatnosti u SAD-u
Centralna podjela u navigaciji fragmentiranom stvarnošću američkih državnih zakona o privatnosti je kalifornijski model naspram virginijskog modela. Ova dva okvira postala su predlošci koje većina drugih država prilagođava.
Karakteristike kalifornijskog modela:
- Podrazumijevani opt-out za prodaju i dijeljenje podataka (potrošači se moraju aktivno odjaviti)
- Privatno pravo na tužbu za kršenja sigurnosti podataka
- Širi pragovi primjenjivosti (na osnovu prihoda i na osnovu obima podataka)
- Uključuje zahtjev za univerzalnim mehanizmom opt-outa (GPC)
Karakteristike virginijskog modela:
- Opt-in pristanak potreban za obradu osjetljivih ličnih podataka
- Provođenje ograničeno na državnog tužioca
- Nema privatnog prava na tužbu za pojedinačne potrošače
- Općenito uže definicije "osjetljivih podataka"
Divergencija stvara stvarno operativno trenje. Preduzeće koje podrazumijeva opt-out pristanak za Kaliforniju možda će i dalje trebati afirmativni opt-in pristanak za kategorije osjetljivih podataka prema pravilima Virginije, Colorada ili Connecticuta, sve istovremeno [3].
Kako se upoređuju CCPA, GDPR i drugi državni zakoni
Kalifornijski CCPA/CPRA je najbliži američki analog GDPR-u EU, ali ostaju važne strukturne razlike. GDPR zahtijeva pravnu osnovu za svu obradu podataka i nalaže opt-in pristanak za većinu upotreba. CCPA djeluje na modelu opt-outa za prodaju podataka, s opt-in pristanakom potrebnim samo za maloljetnike i kategorije osjetljivih podataka prema CPRA amandmanima.
Drugi državni zakoni zauzimaju srednji put: posuđuju prava subjekata podataka u stilu GDPR-a (pristup, ispravak, brisanje) zadržavajući američku preferenciju za podrazumijevane opt-out opcije umjesto opt-in pristanka. Rezultat je da program usklađen s GDPR-om pruža snažnu osnovu, ali automatski ne zadovoljava zahtjeve američkih država, posebno u vezi s objavljivanjem podataka posrednika, opt-out opcijama za prodaju i ograničenjima ciljanog oglašavanja.
Koji je državni zakon o privatnosti najstroži
Kalifornija ostaje najzahtjevnija jurisdikcija za većinu preduzeća. CPRA je uveo California Privacy Protection Agency (CPPA) kao posvećeno tijelo za provođenje, proširio kategorije osjetljivih podataka i stvorio Data Removal and Opt-out Platform (DROP), pokrenutu početkom 2026. godine, koja omogućava stanovnicima da zatraže brisanje od stotina posrednika podataka putem jedne prijave [5].
Colorado je blizu drugi po operativnoj složenosti, s obzirom na obaveznu GPC podršku, široke definicije osjetljivih podataka i aktivno donošenje pravila o automatiziranom donošenju odluka. Za preduzeća u prostoru posredovanja podacima, kalifornijski zahtjevi su u svojoj kategoriji, studija iz maja 2026. godine otkrila je da je samo 9% od 522 registrovana posrednika podataka bilo potpuno usklađeno [6].
Koji je najlakši način za usklađivanje s više državnih zakona o privatnosti
Najučinkovitiji put kroz navigaciju fragmentiranom stvarnošću američkih državnih zakona o privatnosti je slojevita arhitektura usklađenosti: izgraditi prema najstrožem standardu kao osnovi, a zatim nadograditi zahtjeve specifične za državu.
Praktični koraci:
- Provedite inventar podataka. Mapirajte svaku kategoriju prikupljenih ličnih podataka, njihov izvor, svrhu obrade i primatelje trećih strana. Ovo je temelj za svaki državni zakon.
- Identifikujte primjenjive jurisdikcije. Odredite koje državne pragove vaše poslovanje ispunjava, većina zakona se aktivira na osnovu broja opsluženih stanovnika ili prihoda od prodaje podataka.
- Implementirajte univerzalni mehanizam opt-outa. Odmah implementirajte GPC podršku. Jedanaest država sada to nalaže, a lista raste [3]. Platforma za upravljanje pristankom kao što je Biscotti CMP može automatizirati detekciju GPC signala i poštovati zahtjeve za opt-out u realnom vremenu.
- Segmentirajte pristanak za osjetljive podatke. Izgradite tokove opt-in pristanka za osjetljive kategorije (zdravlje, biometrijski podaci, precizna geolokacija) kako biste zadovoljili države modela Virginije.
- Uspostavite radni tok za zahtjeve subjekata podataka (DSR). Većina zakona zahtijeva odgovore u roku od 45 dana. Automatizirajte unos i usmjeravanje.
- Ažurirajte ugovore s dobavljačima. Ugovori o obradi podataka moraju odražavati zahtjeve svake države za obrađivače i pružatelje usluga.
- Pregledajte prakse automatiziranog donošenja odluka. Više država dodaje obaveze u ovom području, posebno za odluke s pravnim ili značajnim učincima [4].
Da li mi je potrebna zasebna politika privatnosti za svaku državu
Ne, zasebne politike po državi nisu zakonski obavezne i općenito su nepoželjne. Jedna, dobro strukturirana politika privatnosti koja se bavi svim potrebnim objavama, dopunjena dodacima specifičnim za državu ili odjeljcima obavijesti, zadovoljava većinu zakona. Istraživanje objavljeno u julu 2025. godine otkrilo je da je 53,8% američkih banaka s više politika privatnosti pokazalo interne nedosljednosti, što je stvorilo zabunu kod potrošača i potkopalo ciljeve transparentnosti [7]. Jedinstvena politika smanjuje taj rizik.
Politika mora, najmanje, otkriti: kategorije prikupljenih podataka, svrhe obrade, dijeljenje s trećim stranama, prava potrošača po jurisdikciji i kako podnijeti zahtjeve. Kalifornija zahtijeva specifičnu vezu "Ne prodaj ili dijeli moje lične podatke"; druge države imaju analogne zahtjeve koji se mogu riješiti putem jednog mehanizma opt-outa.
Koliko košta usklađivanje s državnim zakonima o privatnosti
Troškovi usklađenosti značajno variraju ovisno o veličini poslovanja, složenosti podataka i postojećoj infrastrukturi. Ne postoji jedinstvena provjerena industrijska referentna vrijednost koja se univerzalno primjenjuje, ali pokretači troškova su dobro shvaćeni:
- Tehnologija: Platforme za upravljanje pristankom, alati za automatizaciju DSR-a i softver za mapiranje podataka predstavljaju najveće ponavljajuće troškove za većinu organizacija.
- Pravni pregled: Početna izrada politike i godišnja ažuriranja za višedržavni program obično zahtijevaju vanjskog savjetnika ili posvećenog advokata za privatnost.
- Operativni troškovi: Vrijeme osoblja za obradu DSR-a, upravljanje dobavljačima i obuku.
Za mala preduzeća s ograničenim operacijama s podacima, dobro konfigurirano rješenje za upravljanje pristankom i pregledana politika privatnosti mogu predstavljati većinu investicije. Za preduzeća koja obrađuju velike količine podataka ili obavljaju funkcije posredovanja podacima, troškovi se značajno povećavaju, posebno s obzirom na to da kazne sada predstavljaju vjerodostojan finansijski rizik, s 3,425 milijardi dolara koje su prikupili državni regulatori samo u 2025. godini [4].
Šta se dešava ako moje poslovanje prekrši državne zakone o privatnosti
Kazne variraju po državama, ali slijede dosljedan obrazac: građanske kazne po prekršaju, periodi za ispravljanje (koji se skraćuju ili eliminiraju u novijim zakonima), a u slučaju Kalifornije, mogućnost tužbi koje pokreću potrošači za povrede podataka.
- Kalifornija: Do 7.500 dolara po namjernom prekršaju; nema perioda za ispravljanje za namjerne prekršaje
- Virginia: Do 7.500 dolara po prekršaju nakon 30-dnevnog perioda za ispravljanje
- Colorado: Do 20.000 dolara po prekršaju; period za ispravljanje eliminisan nakon 1. januara 2025.
- Texas: Do 7.500 dolara po prekršaju; provođenje od strane AG s građanskim istražnim zahtjevima
Porast provođenja u 2025. godini, skoro udvostručujući ukupne iznose kazni iz godine u godinu, signalizira da su regulatori prešli fazu svijesti [4]. Preduzeća koja su pretpostavljala nizak rizik provođenja trebala bi preispitati tu pretpostavku.
Mogu li mala preduzeća priuštiti usklađivanje sa svim državnim zahtjevima za privatnost
Većina državnih zakona o privatnosti uključuje pragove dizajnirane da izuzmu vrlo mala preduzeća. Uobičajeni okidači uključuju obradu podataka o 100.000 ili više potrošača godišnje, ili ostvarivanje više od 25-50% prihoda od prodaje podataka. Malo e-commerce preduzeće koje ne prodaje podatke potrošača i opslužuje manje od 100.000 stanovnika države može pasti ispod više pragova.
Međutim, TDPSA Teksasa posebno nema prag prihoda, što znači da svako preduzeće koje obrađuje podatke stanovnika Teksasa i ispunjava prag broja potrošača mora biti usklađeno bez obzira na veličinu prihoda [3]. Mala preduzeća ne bi trebala pretpostavljati izuzeće bez analize po jurisdikcijama.
Isplativa usklađenost za manje organizacije obično znači: pregledanu politiku privatnosti, GPC podršku putem alata za upravljanje pristankom i dokumentovan proces za rukovanje zahtjevima za pristup i brisanje.
Koje industrije su najviše pogođene državnim zakonima o privatnosti
Industrije intenzivne podacima suočavaju se s najvećim teretom usklađenosti. Sektori s najvećom izloženošću uključuju:
- AdTech i agencije za online marketing: Ograničenja ciljanog oglašavanja, zahtjevi za pristanak na kolačiće i obaveze opt-outa za dijeljenje podataka najteže pogađaju ovaj sektor.
- E-commerce: Široko prikupljanje podataka iz transakcija, praćenje ponašanja i integracije trećih strana stvaraju više tačaka usklađenosti.
- Zdravstvo i zdravstvena tehnologija: Osjetljivi zdravstveni podaci pokreću zahtjeve za opt-in pristanak prema većini državnih zakona, odvojeno od HIPAA obaveza.
- Posrednici podataka: Najviše ispitivana kategorija, kalifornijska DROP platforma i zahtjevi za registraciju specifični za posrednike postavljaju visoku ljestvicu [5][6].
- Finansijske usluge: Istraživanja pokazuju značajnu nedosljednost u načinu na koji banke upravljaju objavljivanjem privatnosti kroz više politika [7].
Kako državni zakoni o privatnosti utiču na e-commerce i online poslovanje
Za online poslovanje, navigacija fragmentiranom stvarnošću američkih državnih zakona o privatnosti prvenstveno se prevodi u obaveze upravljanja pristankom i protokom podataka. Svaka web stranica koja koristi piksele za praćenje trećih strana, bihevioralno oglašavanje ili analitičke alate koji dijele podatke s dobavljačima potencijalno je uključena u "dijeljenje podataka" ili "prodaju" prema više državnih definicija.
Praktične implikacije:
- Baneri za kolačiće moraju automatski poštovati GPC signale u 11 država [3]
- Programi retargetiranja i sličnih publika mogu predstavljati "dijeljenje" prema CCPA-u, zahtijevajući mehanizme opt-outa
- Odluka Vrhovnog suda iz jula 2026. godine u predmetu Chatrie protiv Sjedinjenih Država, koja je utvrdila da široko prikupljanje podataka o lokaciji na osnovu geofencea predstavlja pretragu prema Četvrtom amandmanu, dodaje novu dimenziju praksama marketinga zasnovanog na lokaciji [1]
- Programi pretplate i lojalnosti koji monetiziraju bihevioralne podatke suočavaju se s pojačanim nadzorom
Platforma za upravljanje pristankom koja se integriše s glavnim ad tech stackovima i signalizira preferencije opt-outa nizvodno više nije opcija za većinu online preduzeća značajnog obima.
Dolazi li savezni zakon o privatnosti koji će zamijeniti državne zakone
Ne uskoro. American Privacy Rights Act (APRA), uveden 2024. godine, nije donesen, a od sredine 2026. godine nije usvojen nijedan sveobuhvatan savezni zakon o privatnosti [2]. Političke prepreke, prvenstveno neslaganje oko toga da li bi savezni zakon trebao preuzeti državne zakone i da li uključiti privatno pravo na tužbu, ostaju neriješene.
Praktična posljedica je da će se mozaik po državama nastaviti širiti. Zakon 502 Louisiane je 23. državni zakon, a nekoliko drugih država ima aktivno zakonodavstvo u toku. Preduzeća bi trebala planirati nastavak fragmentacije umjesto da čekaju savezno preuzimanje.
Koje su uobičajene greške koje kompanije prave u usklađivanju s državnim zakonima o privatnosti
Nekoliko ponavljajućih grešaka čini nesrazmjeran udio izloženosti provođenju:
- Pretpostavka da usklađenost s GDPR-om pokriva američke obaveze. GDPR i američki državni zakoni dijele koncepte, ali se materijalno razlikuju u podrazumijevanim postavkama pristanka, mehanizmima provođenja i specifičnim pravima.
- Ignorisanje GPC signala. Jedanaest država sada nalaže GPC podršku; nepoštivanje signala je automatsko kršenje u tim jurisdikcijama [3].
- Previđanje registracije posrednika podataka. Kalifornija zahtijeva od posrednika podataka da se registruju kod CPPA; samo 9% registrovanih posrednika pronađeno je potpuno usklađenim u 2026. godini [6].
- Nedosljedne politike privatnosti na različitim svojstvima. Više politika za istu organizaciju stvara kontradikcije koje regulatori i tužitelji mogu iskoristiti [7].
- Zanemarivanje ugovora s dobavljačima. Mnogi državni zakoni nameću odgovornost kontrolorima za propuste obrađivača; zastarjeli ugovori o obradi podataka su značajan nedostatak.
- Tretiranje automatiziranog donošenja odluka kao neregulisano. Novi državni amandmani dodaju zahtjeve za objavljivanje i opt-out za algoritamske odluke sa značajnim učincima na potrošače [4].
Šta bi moje poslovanje trebalo prvo učiniti kako bi se pripremilo za državne zakone o privatnosti
Započnite s inventarom podataka i analizom primjenjivosti jurisdikcije, ova dva koraka određuju sve ostalo. Bez znanja koje podatke posjedujete i koji se državni zakoni primjenjuju na vaše poslovanje, nijedan program usklađenosti ne može biti pravilno definisan.
Neposredni prioriteti za 2026. godinu:
- Provedite vježbu mapiranja podataka kako biste identificirali tokove ličnih podataka, dobavljače i svrhe obrade
- Odredite koje državne pragove vaše poslovanje ispunjava
- Implementirajte podršku za GPC signal, ovaj jedan korak rješava obaveze opt-outa u 11 država istovremeno
- Revidirajte svoju politiku privatnosti radi potpunosti i dosljednosti
- Uspostavite dokumentovan proces unosa i odgovora na DSR
- Pregledajte sve ugovore o dijeljenju podataka s trećim stranama
Za organizacije koje još nisu implementirale rješenje za upravljanje pristankom, Biscotti CMP pruža infrastrukturu za upravljanje signalima pristanka, poštovanje zahtjeva za opt-out i održavanje evidencije pristanka u svim jurisdikcijama.
Česta pitanja
P: Da li se državni zakoni o privatnosti primjenjuju na preduzeća izvan SAD-a? Da. Većina državnih zakona primjenjuje se na osnovu mjesta prebivališta potrošača, a ne mjesta registracije preduzeća. Evropska kompanija koja opslužuje stanovnike Kalifornije podliježe CCPA/CPRA ako ispunjava primjenjive pragove.
P: Šta je Global Privacy Control (GPC) i zašto je važan? GPC je signal na nivou pretraživača koji automatski komunicira preferenciju potrošača za opt-out web stranicama. Jedanaest država sada zahtijeva od preduzeća da ga poštuju, čineći GPC podršku gotovo univerzalnim zahtjevom za usklađenost za web stranice okrenute prema SAD-u [3].
P: Da li moje poslovanje treba biti usklađeno ako prikuplja samo e-mail adrese? Moguće. E-mail adrese su lični podaci prema svim državnim zakonima o privatnosti. Da li morate biti usklađeni zavisi od toga koliko stanovnika države prikupljate podatke i da li te podatke prodajete ili dijelite.
P: Koja je razlika između kontrolora podataka i obrađivača podataka prema državnim zakonima? Kontrolor određuje svrhe i sredstva obrade ličnih podataka. Obrađivač obrađuje podatke u ime kontrolora. Većina državnih zakona nameće primarne obaveze kontrolorima, ali obrađivači također moraju biti usklađeni s ugovornim zahtjevima koje postavljaju kontrolori.
P: Koliko dugo preduzeća imaju da odgovore na zahtjeve za podatke potrošača? Većina državnih zakona zahtijeva odgovor u roku od 45 dana, s mogućim produženjem od 45 dana za složene zahtjeve. Kalifornija dozvoljava do 90 dana u nekim okolnostima.
P: Da li je baner za kolačiće dovoljan za usklađenost s američkim državnim zakonima? Sam baner za kolačiće nije dovoljan. Mora biti podržan stvarnom infrastrukturom za upravljanje pristankom koja bilježi preferencije, poštuje signale opt-outa (uključujući GPC) i sprječava dijeljenje podataka prije nego što se dobije pristanak tamo gdje je to potrebno.
P: Šta se smatra "osjetljivim podacima" prema državnim zakonima o privatnosti? Definicije variraju, ali osjetljivi podaci obično uključuju: preciznu geolokaciju, zdravstvene i medicinske informacije, biometrijske podatke, podatke o finansijskim računima, rasno ili etničko porijeklo, seksualnu orijentaciju i podatke o djeci. Većina državnih zakona zahtijeva opt-in pristanak za obradu osjetljivih podataka.
P: Mogu li potrošači direktno tužiti preduzeća zbog kršenja privatnosti? U Kaliforniji, potrošači mogu podnijeti privatne tužbe za povrede podataka koje uključuju određene kategorije ličnih informacija. Većina drugih država ograničava provođenje na državnog tužioca, što znači da ne postoji privatno pravo na tužbu izvan Kalifornije za opća kršenja privatnosti.
P: Kako odluka Vrhovnog suda iz 2026. godine o geofenceu utiče na marketing? Odluka Chatrie protiv Sjedinjenih Država (2. jula 2026.) utvrdila je da široko prikupljanje podataka o lokaciji na osnovu geofencea zahtijeva specifičan nalog prema Četvrtom amandmanu [1]. Iako se odluka direktno odnosi na provođenje zakona, ona signalizira pojačani sudski nadzor nad praksama podataka o lokaciji i može uticati na to kako regulatori tumače obaveze podataka o lokaciji prema državnim zakonima o privatnosti.
P: Šta je kalifornijska DROP platforma? DROP (Data Removal and Opt-out Platform) pokrenuta je početkom 2026. godine i omogućava stanovnicima Kalifornije da zatraže brisanje svojih ličnih podataka od stotina registrovanih posrednika podataka putem jedne prijave [5].
Zaključak
Pejzaž privatnosti po državama se ne pojednostavljuje, već se širi. S 23 sveobuhvatna zakona aktivna od sredine 2026. godine, 3,425 milijardi dolara kazni prikupljenih u 2025. godini i Zakonom 502 Louisiane koji dodaje 24. jurisdikciju u 2027. godini, trošak neaktivnosti postao je konkretan i mjerljiv [2][4].
Dobra vijest je da strukturirana arhitektura usklađenosti rješava većinu složenosti bez potrebe za odvojenim programima za svaku državu. Izgradite prema kalifornijskom standardu kao osnovi, odmah implementirajte GPC podršku, revidirajte svoje tokove podataka i ugovore s dobavljačima i osigurajte da je vaša politika privatnosti interno dosljedna. Ovi koraci rješavaju većinu obaveza u svim aktivnim državnim zakonima.
Za organizacije koje upravljaju pristankom na velikoj skali, implementacija namjenski izgrađene infrastrukture, kao što je Biscotti CMP, najpouzdaniji je način za automatizaciju rukovanja signalima opt-outa, održavanje revizibilnih evidencija pristanka i prilagođavanje kako novi državni zahtjevi stupaju na snagu. Čekanje na savezni zakon za rješavanje fragmentacije nije održiva strategija. Države donose zakone, regulatori provode, a preduzeća koja sada grade trajne programe usklađenosti imat će značajnu konkurentsku prednost kako se pejzaž nastavlja razvijati.
Reference
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai