Rychlá odpověď: K polovině roku 2026 přijalo 23 amerických států komplexní zákony o ochraně soukromí spotřebitelů, přičemž neexistuje žádný federální zákon, který by je sjednotil. Podniky působící napříč státy musí spravovat překrývající se, někdy protichůdné povinnosti, od modelů souhlasu opt-in versus opt-out až po různé prahové hodnoty pro to, kdo se kvalifikuje jako dotčená entita. Zátěž dodržování je reálná, ale strukturovaný, vrstvený přístup může řešit většinu požadavků současně.
Klíčové poznatky
- K polovině roku 2026 přijalo dvacet tři států komplexní zákony o ochraně soukromí, přičemž nejnovější je louisianský zákon Act 502, který vstoupí v platnost 1. ledna 2027 [2]
- Státní regulátoři ochrany soukromí v USA vybrali v roce 2025 pokuty ve výši 3,425 miliardy dolarů, což je téměř dvojnásobek oproti 1,827 miliardy dolarů v roce 2024, vymáhání se zrychluje [4]
- Státní zákony se široce dělí na dva modely: kalifornský model (opt-out, soukromé právo na žalobu) a virginské model (opt-in pro citlivá data, pouze vymáhání AG) [3]
- Jedenáct států nyní vyžaduje podporu univerzálního mechanismu opt-out Global Privacy Control (GPC), což z něj činí de facto národní standard pro opt-out [3]
- Pouze 9 % z 522 registrovaných kalifornských datových makléřů bylo shledáno plně v souladu ve studii z května 2026, nedodržování je rozšířené i mezi regulovanými subjekty [6]
- Neexistuje žádný komplexní federální zákon o ochraně soukromí; American Privacy Rights Act zavedený v roce 2024 nebyl přijat [2]
- Jedna, dobře strukturovaná politika ochrany soukromí doplněná dodatky specifickými pro jednotlivé státy je obecně dostačující, samostatné politiky pro každý stát nejsou vyžadovány
- Infrastruktura pro správu souhlasu, jako je platforma typu Biscotti CMP, je stále důležitější pro automatizaci pracovních postupů opt-out a souhlasu napříč jurisdikcemi
Které státy mají zákony o ochraně soukromí a co pokrývají
Do poloviny roku 2026 přijalo 23 států komplexní legislativu o ochraně soukromí spotřebitelů a jejich počet stále roste. Indiana, Kentucky a Rhode Island začaly s vymáháním 1. ledna 2026, čímž se přidaly k již tak složitému prostředí [9]. Louisianský zákon Act 502, podepsaný 29. května 2026, je nejnovějším přírůstkem, který má vstoupit v platnost 1. ledna 2027 [2].
Většina zákonů sdílí společné jádro práv: přístup, opravu, výmaz, přenositelnost a právo odhlásit se z prodeje nebo sdílení osobních údajů. Podrobnosti se však významně liší v rozsahu, prahových hodnotách a mechanismech vymáhání.
Státy s aktivními komplexními zákony o ochraně soukromí (reprezentativní příklady):
| Stát | Datum účinnosti | Klíčová funkce |
|---|---|---|
| Kalifornie (CCPA/CPRA) | 2020 / 2023 | Soukromé právo na žalobu za porušení; platforma DROP |
| Virginie (VCDPA) | 2023 | Opt-in pro citlivá data; pouze vymáhání AG |
| Colorado (CPA) | 2023 | GPC vyžadováno; široké kategorie citlivých dat |
| Texas (TDPSA) | 2024 | Bez prahové hodnoty příjmů; vymáhání AG |
| Louisiana (Act 502) | 1. ledna 2027 | Nejnovější přijetí k polovině roku 2026 |
Jaké jsou hlavní rozdíly mezi státními zákony o ochraně soukromí v USA
Hlavní rozdíl v orientaci v roztříštěné realitě amerických státních zákonů o ochraně soukromí je mezi kalifornským modelem a virginské modelem. Tyto dva rámce se staly šablonami, které většina ostatních států adaptuje.
Charakteristiky kalifornského modelu:
- Výchozí opt-out pro prodej a sdílení dat (spotřebitelé se musí aktivně odhlásit)
- Soukromé právo na žalobu za porušení dat
- Širší prahové hodnoty použitelnosti (na základě příjmů a objemu dat)
- Zahrnuje požadavek na univerzální mechanismus opt-out (GPC)
Charakteristiky virginské modelu:
- Pro zpracování citlivých osobních údajů je vyžadován souhlas opt-in
- Vymáhání omezeno na státního generálního prokurátora
- Žádné soukromé právo na žalobu pro jednotlivé spotřebitele
- Obecně užší definice „citlivých dat“
Rozdíly vytvářejí skutečné provozní tření. Podnik, který v Kalifornii standardně používá souhlas opt-out, může stále potřebovat výslovný souhlas opt-in pro kategorie citlivých dat podle pravidel Virginie, Colorada nebo Connecticutu, a to vše současně [3].
Jak se srovnávají CCPA, GDPR a další státní zákony
Kalifornská CCPA/CPRA je nejbližší americkou analogií k evropskému GDPR, ale zůstávají důležité strukturální rozdíly. GDPR vyžaduje právní základ pro veškeré zpracování dat a nařizuje souhlas opt-in pro většinu použití. CCPA funguje na modelu opt-out pro prodej dat, přičemž opt-in je vyžadován pouze pro nezletilé a kategorie citlivých dat podle dodatků CPRA.
Ostatní státní zákony zaujímají střední cestu: přebírají práva subjektů údajů ve stylu GDPR (přístup, oprava, výmaz) a zároveň si zachovávají americkou preferenci pro výchozí opt-out namísto souhlasu opt-in. Výsledkem je, že program v souladu s GDPR poskytuje silný základ, ale automaticky nesplňuje požadavky amerických států, zejména pokud jde o zveřejňování informací datovými makléři, opt-out z prodeje a omezení cílené reklamy.
Který státní zákon o ochraně soukromí je nejpřísnější
Kalifornie zůstává pro většinu podniků nejnáročnější jurisdikcí. CPRA zavedla California Privacy Protection Agency (CPPA) jako specializovaný orgán pro vymáhání, rozšířila kategorie citlivých dat a vytvořila platformu Data Removal and Opt-out Platform (DROP), spuštěnou na začátku roku 2026, která umožňuje obyvatelům požádat o výmaz od stovek datových makléřů prostřednictvím jediného podání [5].
Colorado je těsně druhé v provozní složitosti, vzhledem k jeho povinné podpoře GPC, širokým definicím citlivých dat a aktivní tvorbě pravidel pro automatizované rozhodování. Pro podniky v oblasti datových makléřů jsou požadavky Kalifornie v samostatné kategorii, studie z května 2026 zjistila, že pouze 9 % z 522 registrovaných datových makléřů bylo plně v souladu [6].
Jaký je nejsnadnější způsob, jak dodržovat více státních zákonů o ochraně soukromí
Nejúčinnější cesta k orientaci v roztříštěné realitě amerických státních zákonů o ochraně soukromí je vrstvená architektura dodržování: jako základ se staví na nejpřísnějším standardu a poté se na něj vrství požadavky specifické pro jednotlivé státy.
Praktické kroky:
- Proveďte inventuru dat. Zmapujte každou kategorii shromažďovaných osobních údajů, jejich zdroj, účel zpracování a příjemce třetích stran. To je základem každého státního zákona.
- Identifikujte příslušné jurisdikce. Určete, které státní prahové hodnoty vaše podnikání splňuje, většina zákonů se spouští na základě počtu obsluhovaných obyvatel nebo příjmů z prodeje dat.
- Implementujte univerzální mechanismus opt-out. Okamžitě nasaďte podporu GPC. Jedenáct států to nyní nařizuje a seznam se rozrůstá [3]. Platforma pro správu souhlasu, jako je Biscotti CMP, může automatizovat detekci signálu GPC a v reálném čase vyhovět požadavkům na opt-out.
- Segmentujte souhlas pro citlivá data. Vytvořte toky souhlasu opt-in pro citlivé kategorie (zdraví, biometrické údaje, přesná geolokace), abyste vyhověli státům s virginské modelem.
- Zaveďte pracovní postup pro žádosti subjektů údajů (DSR). Většina zákonů vyžaduje odpovědi do 45 dnů. Automatizujte příjem a směrování.
- Aktualizujte smlouvy s dodavateli. Smlouvy o zpracování dat musí odrážet požadavky každého státu na zpracovatele a poskytovatele služeb.
- Přezkoumejte postupy automatizovaného rozhodování. Více států zde přidává povinnosti, zejména pro rozhodnutí s právními nebo významnými dopady [4].
Potřebuji pro každý stát samostatné zásady ochrany osobních údajů?
Ne, samostatné zásady pro každý stát nejsou právně vyžadovány a obecně se nedoporučují. Jedna, dobře strukturovaná politika ochrany soukromí, která řeší všechna požadovaná zveřejnění, doplněná dodatky nebo sekcemi oznámení specifickými pro jednotlivé státy, splňuje většinu zákonů. Výzkum zveřejněný v červenci 2025 zjistil, že 53,8 % amerických bank s více zásadami ochrany soukromí vykazovalo vnitřní nekonzistence, což vytvářelo zmatek u spotřebitelů a podkopávalo cíle transparentnosti [7]. Jednotná politika snižuje toto riziko.
Politika musí minimálně zveřejňovat: kategorie shromažďovaných dat, účely zpracování, sdílení s třetími stranami, práva spotřebitelů podle jurisdikce a způsob podávání žádostí. Kalifornie vyžaduje specifický odkaz „Neprodávat ani nesdílet mé osobní údaje“; jiné státy mají analogické požadavky, které lze řešit prostřednictvím jediného mechanismu opt-out.
Kolik stojí dodržování státních zákonů o ochraně soukromí
Náklady na dodržování se značně liší v závislosti na velikosti podniku, složitosti dat a stávající infrastruktuře. Neexistuje žádný jediný ověřený průmyslový benchmark, který by platil univerzálně, ale hnací síly nákladů jsou dobře pochopeny:
- Technologie: Platformy pro správu souhlasu, nástroje pro automatizaci DSR a software pro mapování dat představují pro většinu organizací největší opakující se náklady.
- Právní přezkum: Počáteční návrh politik a roční aktualizace pro vícestátní program obvykle vyžadují externího právníka nebo specializovaného právníka pro ochranu soukromí.
- Provozní režie: Čas zaměstnanců na zpracování DSR, správu dodavatelů a školení.
Pro malé podniky s omezenými datovými operacemi může dobře nakonfigurované řešení pro správu souhlasu a přezkoumaná politika ochrany soukromí představovat většinu investic. Pro podniky, které zpracovávají velké objemy dat nebo provozují funkce datových makléřů, se náklady podstatně zvyšují, zejména vzhledem k tomu, že pokuty nyní představují věrohodné finanční riziko, přičemž státní regulátoři v roce 2025 vybrali jen 3,425 miliardy dolarů [4].
Co se stane, když moje firma poruší státní zákony o ochraně soukromí
Pokuty se liší stát od státu, ale řídí se konzistentním vzorem: občanskoprávní pokuty za každé porušení, lhůty pro nápravu (které se v novějších zákonech zkracují nebo ruší) a v případě Kalifornie možnost žalob iniciovaných spotřebiteli za porušení dat.
- Kalifornie: Až 7 500 $ za úmyslné porušení; žádná lhůta pro nápravu za úmyslná porušení
- Virginie: Až 7 500 $ za porušení po 30denní lhůtě pro nápravu
- Colorado: Až 20 000 $ za porušení; lhůta pro nápravu zrušena po 1. lednu 2025
- Texas: Až 7 500 $ za porušení; vymáhání AG s občanskoprávními vyšetřovacími požadavky
Nárůst vymáhání v roce 2025, téměř zdvojnásobující celkové roční pokuty, signalizuje, že regulátoři překonali fázi uvědomění [4]. Podniky, které předpokládaly nízké riziko vymáhání, by měly tento předpoklad přehodnotit.
Mohou si malé podniky dovolit dodržovat všechny státní požadavky na ochranu soukromí?
Většina státních zákonů o ochraně soukromí obsahuje prahové hodnoty navržené tak, aby osvobodily velmi malé podniky. Mezi běžné spouštěče patří zpracování dat o 100 000 nebo více spotřebitelích ročně nebo získávání více než 25–50 % příjmů z prodeje dat. Malý e-commerce podnik, který neprodává spotřebitelská data a obsluhuje méně než 100 000 obyvatel státu, může spadat pod více prahových hodnot.
Nicméně, texaská TDPSA nápadně postrádá prahovou hodnotu příjmů, což znamená, že každý podnik, který zpracovává data obyvatel Texasu a splňuje prahovou hodnotu počtu spotřebitelů, musí dodržovat předpisy bez ohledu na velikost příjmů [3]. Malé podniky by neměly předpokládat osvobození bez analýzy jurisdikce po jurisdikci.
Nákladově efektivní dodržování pro menší organizace obvykle znamená: přezkoumanou politiku ochrany soukromí, podporu GPC prostřednictvím nástroje pro správu souhlasu a zdokumentovaný proces pro vyřizování žádostí o přístup a výmaz.
Která odvětví jsou nejvíce ovlivněna státními zákony o ochraně soukromí
Odvětví náročná na data čelí největší zátěži v oblasti dodržování předpisů. Mezi odvětví s největší expozicí patří:
- AdTech a online marketingové agentury: Omezení cílené reklamy, požadavky na souhlas s cookies a mandáty opt-out pro sdílení dat zasahují toto odvětví nejvíce.
- E-commerce: Široký sběr dat z transakcí, sledování chování a integrace třetích stran vytvářejí více kontaktních bodů pro dodržování předpisů.
- Zdravotnictví a zdravotnické technologie: Citlivá zdravotní data spouštějí požadavky opt-in podle většiny státních zákonů, odděleně od povinností HIPAA.
- Datoví makléři: Nejpřísněji kontrolovaná kategorie, kalifornská platforma DROP a požadavky na registraci specifické pro makléře nastavují vysokou laťku [5][6].
- Finanční služby: Výzkum ukazuje značnou nekonzistenci v tom, jak banky spravují zveřejňování informací o ochraně soukromí napříč více politikami [7].
Jak státní zákony o ochraně soukromí ovlivňují e-commerce a online podnikání
Pro online podniky se orientace v roztříštěné realitě amerických státních zákonů o ochraně soukromí promítá především do správy souhlasu a povinností týkajících se toku dat. Každá webová stránka, která používá sledovací pixely třetích stran, behaviorální reklamu nebo analytické nástroje, které sdílejí data s dodavateli, se potenciálně zapojuje do „sdílení dat“ nebo „prodeje“ podle definic více států.
Praktické důsledky:
- Bannery s cookies musí automaticky respektovat signály GPC v 11 státech [3]
- Programy retargetingu a podobných publik mohou představovat „sdílení“ podle CCPA, což vyžaduje mechanismy opt-out
- Rozhodnutí Nejvyššího soudu z července 2026 ve věci Chatrie v. Spojené státy, které rozhodlo, že široký sběr geolokačních dat založený na geofencingu představuje prohledávání podle čtvrtého dodatku, přidává nový rozměr k marketingovým praktikám založeným na poloze [1]
- Předplatné a věrnostní programy, které monetizují behaviorální data, čelí zvýšené kontrole
Platforma pro správu souhlasu, která se integruje s hlavními reklamními technologiemi a signalizuje preference opt-out dále v řetězci, již není volitelná pro většinu online podniků s významným rozsahem.
Přichází federální zákon o ochraně soukromí, který nahradí státní zákony?
Ne bezprostředně. American Privacy Rights Act (APRA), zavedený v roce 2024, nebyl přijat a k polovině roku 2026 nebyla schválena žádná komplexní federální legislativa o ochraně soukromí [2]. Politické překážky, především neshody ohledně toho, zda by federální zákon měl předjímat státní zákony a zda by měl zahrnovat soukromé právo na žalobu, zůstávají nevyřešeny.
Praktickým důsledkem je, že mozaika stát od státu se bude nadále rozšiřovat. Louisianský zákon Act 502 je 23. státním zákonem a několik dalších států má aktivní legislativu v procesu. Podniky by měly plánovat pokračující fragmentaci, spíše než čekat na federální přednost.
Jaké jsou běžné chyby, kterých se společnosti dopouštějí při dodržování státních zákonů o ochraně soukromí
Několik opakujících se chyb tvoří nepřiměřený podíl na expozici vymáhání:
- Předpoklad, že dodržování GDPR pokrývá povinnosti v USA. GDPR a státní zákony USA sdílejí koncepty, ale materiálně se liší v výchozích nastaveních souhlasu, mechanismech vymáhání a specifických právech.
- Ignorování signálů GPC. Jedenáct států nyní nařizuje podporu GPC; neúcta k signálu je v těchto jurisdikcích automatickým porušením [3].
- Přehlížení registrace datového makléře. Kalifornie vyžaduje, aby se datoví makléři registrovali u CPPA; pouze 9 % registrovaných makléřů bylo v roce 2026 shledáno plně v souladu [6].
- Nekonzistentní zásady ochrany soukromí napříč vlastnostmi. Více zásad pro stejnou organizaci vytváří rozpory, které mohou regulátoři a žalobci zneužít [7].
- Zanedbávání smluv s dodavateli. Mnoho státních zákonů ukládá správcům odpovědnost za selhání zpracovatelů; zastaralé smlouvy o zpracování dat jsou významnou mezerou.
- Považování automatizovaného rozhodování za neregulované. Nové státní dodatky přidávají požadavky na zveřejňování a opt-out pro algoritmická rozhodnutí s významnými dopady na spotřebitele [4].
Co by měla moje firma udělat nejdříve, aby se připravila na státní zákony o ochraně soukromí?
Začněte inventurou dat a analýzou jurisdikční použitelnosti, tyto dva kroky určují vše ostatní. Bez znalosti toho, jaká data držíte a které státní zákony se vztahují na vaše operace, nelze správně vymezit žádný program dodržování předpisů.
Okamžité priority pro rok 2026:
- Proveďte cvičení mapování dat k identifikaci toků osobních dat, dodavatelů a účelů zpracování
- Určete, které státní prahové hodnoty vaše podnikání splňuje
- Implementujte podporu signálu GPC, tento jediný krok řeší povinnosti opt-out v 11 státech současně
- Zkontrolujte svou politiku ochrany soukromí z hlediska úplnosti a konzistence
- Zaveďte zdokumentovaný proces příjmu a odpovědi na DSR
- Zkontrolujte všechny smlouvy o sdílení dat s třetími stranami
Pro organizace, které dosud nenasadily řešení pro správu souhlasu, poskytuje Biscotti CMP infrastrukturu pro správu signálů souhlasu, respektování požadavků na opt-out a udržování auditovatelných záznamů o souhlasu napříč jurisdikcemi.
Často kladené otázky
Otázka: Platí státní zákony o ochraně soukromí pro podniky mimo USA? Ano. Většina státních zákonů se vztahuje na základě místa bydliště spotřebitelů, nikoli na základě místa, kde je podnik registrován. Evropská společnost obsluhující obyvatele Kalifornie podléhá CCPA/CPRA, pokud splňuje příslušné prahové hodnoty.
Otázka: Co je Global Privacy Control (GPC) a proč je důležité? GPC je signál na úrovni prohlížeče, který automaticky sděluje preferenci opt-out spotřebitele webovým stránkám. Jedenáct států nyní vyžaduje, aby podniky tento signál respektovaly, což činí podporu GPC téměř univerzálním požadavkem na dodržování pro webové stránky zaměřené na USA [3].
Otázka: Musí moje firma dodržovat předpisy, pokud shromažďuje pouze e-mailové adresy? Možná. E-mailové adresy jsou osobní údaje podle všech státních zákonů o ochraně soukromí. Zda musíte dodržovat předpisy, závisí na tom, od kolika obyvatel státu shromažďujete data a zda tato data prodáváte nebo sdílíte.
Otázka: Jaký je rozdíl mezi správcem dat a zpracovatelem dat podle státních zákonů? Správce určuje účely a prostředky zpracování osobních údajů. Zpracovatel zpracovává data jménem správce. Většina státních zákonů ukládá primární povinnosti správcům, ale zpracovatelé musí také dodržovat smluvní požadavky stanovené správci.
Otázka: Jak dlouho mají podniky na odpověď na žádosti spotřebitelů o data? Většina státních zákonů vyžaduje odpověď do 45 dnů, s možným prodloužením o 45 dnů pro složité žádosti. Kalifornie v některých případech umožňuje až 90 dnů.
Otázka: Je banner s cookies dostatečný pro dodržování státních zákonů USA? Samotný banner s cookies nestačí. Musí být podpořen skutečnou infrastrukturou pro správu souhlasu, která zaznamenává preference, respektuje signály opt-out (včetně GPC) a zabraňuje sdílení dat před získáním souhlasu, kde je to vyžadováno.
Otázka: Co se počítá jako „citlivá data“ podle státních zákonů o ochraně soukromí? Definice se liší, ale citlivá data obvykle zahrnují: přesnou geolokaci, zdravotní a lékařské informace, biometrická data, finanční účetní data, rasový nebo etnický původ, sexuální orientaci a data o dětech. Většina státních zákonů vyžaduje souhlas opt-in pro zpracování citlivých dat.
Otázka: Mohou spotřebitelé přímo žalovat podniky za porušení soukromí? V Kalifornii mohou spotřebitelé podávat soukromé žaloby za porušení dat zahrnující určité kategorie osobních údajů. Většina ostatních států omezuje vymáhání na generálního prokurátora, což znamená, že mimo Kalifornii neexistuje soukromé právo na žalobu za obecná porušení soukromí.
Otázka: Jak ovlivňuje rozhodnutí Nejvyššího soudu z roku 2026 o geofencingu marketing? Rozhodnutí Chatrie v. Spojené státy (2. července 2026) rozhodlo, že široký sběr geolokačních dat založený na geofencingu vyžaduje specifický zatykač podle čtvrtého dodatku [1]. Ačkoli se rozhodnutí přímo týká vymáhání práva, signalizuje zvýšenou soudní kontrolu praktik s geolokačními daty a může ovlivnit, jak regulátoři interpretují povinnosti týkající se geolokačních dat podle státních zákonů o ochraně soukromí.
Otázka: Co je kalifornská platforma DROP? DROP (Data Removal and Opt-out Platform) byla spuštěna na začátku roku 2026 a umožňuje obyvatelům Kalifornie požádat o výmaz svých osobních dat od stovek registrovaných datových makléřů prostřednictvím jediného podání [5].
Závěr
Státní krajina ochrany soukromí se nezjednodušuje, ale rozšiřuje. S 23 komplexními zákony platnými k polovině roku 2026, 3,425 miliardami dolarů na pokutách vybraných v roce 2025 a louisianským zákonem Act 502 přidávajícím 24. jurisdikci v roce 2027 se náklady na nečinnost staly konkrétními a měřitelnými [2][4].
Dobrou zprávou je, že strukturovaná architektura dodržování předpisů zvládá většinu složitostí, aniž by vyžadovala samostatné programy pro každý stát. Jako základ se staví na kalifornském standardu, okamžitě implementujte podporu GPC, zkontrolujte své toky dat a smlouvy s dodavateli a zajistěte, aby vaše politika ochrany soukromí byla vnitřně konzistentní. Tyto kroky řeší většinu povinností napříč všemi platnými státními zákony.
Pro organizace spravující souhlas ve velkém měřítku je nasazení účelové infrastruktury, jako je Biscotti CMP, nejspolehlivějším způsobem, jak automatizovat zpracování signálů opt-out, udržovat auditovatelné záznamy o souhlasu a přizpůsobovat se novým státním požadavkům. Čekání na federální zákon, který by vyřešil fragmentaci, není životaschopnou strategií. Státy legislativně působí, regulátoři vymáhají a podniky, které nyní budují trvalé programy dodržování předpisů, získají významnou konkurenční výhodu, jak se krajina bude nadále vyvíjet.
Reference
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai