Kort svar: Fra midten af 2026 har 23 amerikanske delstater vedtaget omfattende forbrugerbeskyttelseslove, uden en føderal lov til at forene dem. Virksomheder, der opererer på tværs af delstatsgrænser, skal håndtere overlappende, undertiden modstridende forpligtelser, fra opt-in versus opt-out samtykkemodeller til varierende tærskler for, hvem der kvalificerer sig som en dækket enhed. Byrden ved overholdelse er reel, men en struktureret, lagdelt tilgang kan imødekomme de fleste krav samtidigt.
Vigtigste pointer
- Treogtyve delstater har vedtaget omfattende privatlivslove pr. midten af 2026, hvor Louisianas Act 502 er den seneste, der træder i kraft den 1. januar 2027 [2]
- Amerikanske delstatslige privatlivsregulatorer indsamlede 3,425 milliarder dollars i bøder i 2025, næsten dobbelt så meget som de 1,827 milliarder dollars fra 2024, håndhævelsen accelererer [4]
- Delstatslovene opdeles bredt i to modeller: Californien-modellen (opt-out, privat søgsmålsret) og Virginia-modellen (opt-in for følsomme data, kun AG-håndhævelse) [3]
- Elleve delstater kræver nu understøttelse af Global Privacy Control (GPC) universelle opt-out-mekanisme, hvilket gør det til en de facto national standard for opt-out [3]
- Kun 9% af 522 registrerede Californiske datamæglere blev fundet fuldt ud i overensstemmelse i en undersøgelse fra maj 2026, manglende overholdelse er udbredt selv blandt regulerede enheder [6]
- Der findes ingen omfattende føderal privatlivslov; American Privacy Rights Act, der blev introduceret i 2024, blev ikke vedtaget [2]
- En enkelt, velstruktureret privatlivspolitik suppleret med delstatsspecifikke tillæg er generelt tilstrækkelig, separate politikker pr. delstat er ikke påkrævet
- Infrastruktur til samtykkestyring, såsom en platform som Biscotti CMP, er i stigende grad afgørende for at automatisere opt-out og samtykkearbejdsgange på tværs af jurisdiktioner
Hvilke delstater har privatlivslove, og hvad dækker de
Fra midten af 2026 har 23 delstater vedtaget omfattende forbrugerbeskyttelseslovgivning, og antallet fortsætter med at vokse. Indiana, Kentucky og Rhode Island begyndte håndhævelsen den 1. januar 2026, hvilket bidrager til et allerede komplekst landskab [9]. Louisianas Act 502, underskrevet den 29. maj 2026, er den nyeste tilføjelse, der træder i kraft den 1. januar 2027 [2].
De fleste love deler en fælles kerne af rettigheder: adgang, berigtigelse, sletning, portabilitet og retten til at fravælge salg eller deling af personoplysninger. Detaljerne afviger dog betydeligt i omfang, tærskler og håndhævelsesmekanismer.
Delstater med aktive omfattende privatlivslove (repræsentative eksempler):
| Delstat | Ikrafttrædelsesdato | Nøglefunktion |
|---|---|---|
| Californien (CCPA/CPRA) | 2020 / 2023 | Privat søgsmålsret for brud; DROP-platform |
| Virginia (VCDPA) | 2023 | Opt-in for følsomme data; kun AG-håndhævelse |
| Colorado (CPA) | 2023 | GPC påkrævet; brede kategorier af følsomme data |
| Texas (TDPSA) | 2024 | Ingen omsætningstærskel; AG-håndhævelse |
| Louisiana (Act 502) | 1. januar 2027 | Seneste vedtagelse pr. midten af 2026 |
Hvad er de største forskelle mellem delstatslige privatlivslove i USA
Den centrale skillelinje i navigeringen af den fragmenterede virkelighed af amerikanske delstatslige privatlivslove er Californien-modellen versus Virginia-modellen. Disse to rammer er blevet de skabeloner, som de fleste andre delstater tilpasser.
Californien-modellens karakteristika:
- Opt-out standard for datasalg og -deling (forbrugere skal aktivt fravælge)
- Privat søgsmålsret for brud på datasikkerheden
- Bredere anvendelsestærskler (baseret på omsætning og datamængde)
- Inkluderer et krav om universel opt-out-mekanisme (GPC)
Virginia-modellens karakteristika:
- Opt-in samtykke påkrævet for behandling af følsomme personoplysninger
- Håndhævelse begrænset til delstatens Attorney General
- Ingen privat søgsmålsret for individuelle forbrugere
- Generelt snævrere definitioner af "følsomme data"
Forskellen skaber reel operationel friktion. En virksomhed, der som standard bruger opt-out-samtykke for Californien, kan stadig have brug for udtrykkeligt opt-in-samtykke for følsomme datakategorier under Virginias, Colorados eller Connecticuts regler, alt sammen samtidigt [3].
Hvordan sammenligner CCPA, GDPR og andre delstatslove sig
Californiens CCPA/CPRA er den nærmeste amerikanske analog til EU's GDPR, men vigtige strukturelle forskelle forbliver. GDPR kræver et lovligt grundlag for al databehandling og pålægger opt-in-samtykke for de fleste anvendelser. CCPA opererer med en opt-out-model for datasalg, med opt-in kun påkrævet for mindreårige og følsomme datakategorier under CPRA-ændringerne.
Andre delstatslove indtager en mellemstilling: de låner GDPR-lignende rettigheder for registrerede (adgang, berigtigelse, sletning), samtidig med at de bevarer den amerikanske præference for opt-out-standarder frem for opt-in-samtykke. Resultatet er, at et GDPR-kompatibelt program giver et stærkt fundament, men ikke automatisk opfylder amerikanske delstatskrav, især omkring datamægleroplysninger, salgs-opt-outs og begrænsninger for målrettet annoncering.
Hvilken delstatslig privatlivslov er den strengeste
Californien forbliver den mest krævende jurisdiktion for de fleste virksomheder. CPRA introducerede California Privacy Protection Agency (CPPA) som et dedikeret håndhævelsesorgan, udvidede kategorier af følsomme data og skabte Data Removal and Opt-out Platform (DROP), lanceret i begyndelsen af 2026, som giver beboere mulighed for at anmode om sletning fra hundredvis af datamæglere via en enkelt indsendelse [5].
Colorado er en tæt andenplads for operationel kompleksitet, givet dens obligatoriske GPC-understøttelse, brede definitioner af følsomme data og aktive regeludstedelse om automatiseret beslutningstagning. For virksomheder inden for datamæglerområdet specifikt er Californiens krav i en kategori for sig selv; en undersøgelse fra maj 2026 viste, at kun 9% af 522 registrerede datamæglere var fuldt ud i overensstemmelse [6].
Hvad er den nemmeste måde at overholde flere delstatslige privatlivslove på
Den mest effektive vej gennem navigeringen af den fragmenterede virkelighed af amerikanske delstatslige privatlivslove er en lagdelt overholdelsesarkitektur: byg til den strengeste standard som en grundlinje, og læg derefter delstatsspecifikke krav ovenpå.
Praktiske skridt:
- Udfør en dataoversigt. Kortlæg hver kategori af indsamlede personoplysninger, dens kilde, behandlingsformål og tredjepartsmodtagere. Dette er grundlæggende for enhver delstatslov.
- Identificer gældende jurisdiktioner. Bestem, hvilke delstatstærskler din virksomhed opfylder; de fleste love udløses baseret på antallet af betjente beboere eller omsætning fra datasalg.
- Implementer en universel opt-out-mekanisme. Implementer GPC-understøttelse med det samme. Elleve delstater pålægger det nu, og listen vokser [3]. En samtykkestyringsplatform som Biscotti CMP kan automatisere GPC-signaldetektion og respektere opt-out-anmodninger i realtid.
- Segmenter samtykke for følsomme data. Byg opt-in-samtykkeflows for følsomme kategorier (sundhed, biometriske data, præcis geolokation) for at tilfredsstille Virginia-modelstater.
- Etabler en arbejdsgang for anmodninger fra registrerede (DSR). De fleste love kræver svar inden for 45 dage. Automatiser indtagelse og routing.
- Opdater leverandørkontrakter. Databehandlingsaftaler skal afspejle hver delstats krav til processorer og tjenesteudbydere.
- Gennemgå praksis for automatiseret beslutningstagning. Flere delstater tilføjer forpligtelser her, især for beslutninger med juridiske eller betydelige virkninger [4].
Har jeg brug for separate privatlivspolitikker for hver delstat
Nej, separate politikker pr. delstat er ikke lovligt påkrævet og er generelt frarådeligt. En enkelt, velstruktureret privatlivspolitik, der adresserer alle påkrævede oplysninger, suppleret med delstatsspecifikke tillæg eller meddelelsesafsnit, opfylder de fleste love. Forskning offentliggjort i juli 2025 viste, at 53,8% af amerikanske banker med flere privatlivspolitikker udviste interne uoverensstemmelser, hvilket skabte forbrugerforvirring og underminerede gennemsigtighedsmålene [7]. En samlet politik reducerer denne risiko.
Politikken skal som minimum oplyse: kategorier af indsamlede data, formål med behandlingen, tredjepartsdeling, forbrugerrettigheder pr. jurisdiktion og hvordan man indsender anmodninger. Californien kræver et specifikt "Do Not Sell or Share My Personal Information"-link; andre delstater har analoge krav, der kan adresseres gennem en enkelt opt-out-mekanisme.
Hvor meget koster det at overholde delstatslige privatlivslove
Omkostningerne ved overholdelse varierer betydeligt baseret på virksomhedens størrelse, datakompleksitet og eksisterende infrastruktur. Der er ingen enkelt verificeret branchestandard, der gælder universelt, men omkostningsdriverne er velkendte:
- Teknologi: Samtykkestyringsplatforme, DSR-automatiseringsværktøjer og datakortlægningssoftware udgør de største tilbagevendende omkostninger for de fleste organisationer.
- Juridisk gennemgang: Indledende politikudformning og årlige opdateringer for et program på tværs af flere delstater kræver typisk ekstern rådgivning eller en dedikeret privatlivsadvokat.
- Operationelle omkostninger: Personale tid til DSR-behandling, leverandørstyring og træning.
For små virksomheder med begrænset dataoperationer kan en velkonfigureret samtykkestyringsløsning og en gennemgået privatlivspolitik udgøre størstedelen af investeringen. For virksomheder, der håndterer store datamængder eller udfører datamæglerfunktioner, stiger omkostningerne betydeligt, især da bøder nu udgør en troværdig finansiel risiko, med 3,425 milliarder dollars indsamlet af delstatsregulatorer alene i 2025 [4].
Hvad sker der, hvis min virksomhed overtræder delstatslige privatlivslove
Straffe varierer fra delstat til delstat, men følger et konsekvent mønster: civile bøder pr. overtrædelse, helbredelsesperioder (som forkortes eller elimineres i nyere love), og i Californiens tilfælde muligheden for forbrugerinitierede søgsmål for databrud.
- Californien: Op til 7.500 dollars pr. forsætlig overtrædelse; ingen helbredelsesperiode for forsætlige overtrædelser
- Virginia: Op til 7.500 dollars pr. overtrædelse efter en 30-dages helbredelsesperiode
- Colorado: Op til 20.000 dollars pr. overtrædelse; helbredelsesperiode elimineret efter 1. januar 2025
- Texas: Op til 7.500 dollars pr. overtrædelse; AG-håndhævelse med civile efterforskningskrav
Den kraftige stigning i håndhævelsen i 2025, der næsten fordoblede de samlede bøder fra år til år, signalerer, at regulatorerne er kommet forbi bevidsthedsfasen [4]. Virksomheder, der antog en lav håndhævelsesrisiko, bør genoverveje denne antagelse.
Har små virksomheder råd til at overholde alle delstatslige privatlivskrav
De fleste delstatslige privatlivslove inkluderer tærskler designet til at undtage meget små virksomheder. Almindelige udløsere inkluderer behandling af data om 100.000 eller flere forbrugere årligt, eller at mere end 25-50% af omsætningen stammer fra datasalg. En lille e-handelsvirksomhed, der ikke sælger forbrugerdata og betjener færre end 100.000 delstatsbeboere, kan falde under flere tærskler.
Når det er sagt, mangler Texas' TDPSA bemærkelsesværdigt en omsætningstærskel, hvilket betyder, at enhver virksomhed, der behandler data om Texas-beboere og opfylder forbrugerantal-tærsklen, skal overholde loven uanset omsætningens størrelse [3]. Små virksomheder bør ikke antage fritagelse uden en jurisdiktionsspecifik analyse.
Omkostningseffektiv overholdelse for mindre organisationer betyder typisk: en gennemgået privatlivspolitik, GPC-understøttelse via et samtykkestyringsværktøj og en dokumenteret proces for håndtering af adgangs- og sletteanmodninger.
Hvilke brancher er mest påvirket af delstatslige privatlivslove
Dataintensive brancher står over for den største byrde med overholdelse. De sektorer med den højeste eksponering inkluderer:
- AdTech og online marketingbureauer: Begrænsninger for målrettet annoncering, krav til cookie-samtykke og opt-out-mandater for datadeling rammer denne sektor hårdest.
- E-handel: Bred dataindsamling fra transaktioner, adfærdssporing og tredjepartsintegrationer skaber flere kontaktpunkter for overholdelse.
- Sundhedspleje og sundhedsteknologi: Følsomme sundhedsdata udløser opt-in-krav under de fleste delstatslove, adskilt fra HIPAA-forpligtelser.
- Datamæglere: Den mest nøje undersøgte kategori, Californiens DROP-platform og mægler-specifikke registreringskrav sætter en høj standard [5][6].
- Finansielle tjenester: Forskning viser betydelig inkonsekvens i, hvordan banker håndterer privatlivsoplysninger på tværs af flere politikker [7].
Hvordan påvirker delstatslige privatlivslove e-handel og onlinevirksomheder
For onlinevirksomheder betyder navigeringen i den fragmenterede virkelighed af amerikanske delstatslige privatlivslove primært forpligtelser vedrørende samtykkestyring og dataflow. Enhver hjemmeside, der bruger tredjeparts sporingspixels, adfærdsbaseret annoncering eller analyseværktøjer, der deler data med leverandører, er potentielt involveret i "datadeling" eller "salg" under flere delstatsdefinitioner.
De praktiske implikationer:
- Cookie-bannere skal automatisk respektere GPC-signaler i 11 delstater [3]
- Retargeting- og lookalike-målgruppeprogrammer kan udgøre "deling" under CCPA, hvilket kræver opt-out-mekanismer
- Højesteretsdommen fra juli 2026 i Chatrie v. United States, som fastslog, at bred geofence-baseret indsamling af lokationsdata udgør en fjerde ændrings-søgning, tilføjer en ny dimension til lokationsbaserede marketingpraksisser [1]
- Abonnements- og loyalitetsprogrammer, der monetariserer adfærdsdata, står over for øget kontrol
En samtykkestyringsplatform, der integreres med store ad tech-stakke og signalerer opt-out-præferencer nedstrøms, er ikke længere valgfri for de fleste onlinevirksomheder af betydelig størrelse.
Kommer der en føderal privatlivslov til at erstatte delstatslovene
Ikke umiddelbart. American Privacy Rights Act (APRA), der blev introduceret i 2024, blev ikke vedtaget, og fra midten af 2026 er ingen omfattende føderal privatlivslovgivning blevet vedtaget [2]. De politiske hindringer, primært uenighed om, hvorvidt en føderal lov skulle tilsidesætte delstatslove, og hvorvidt en privat søgsmålsret skulle inkluderes, er stadig uløste.
Den praktiske konsekvens er, at det delstatsvise patchwork vil fortsætte med at udvides. Louisianas Act 502 er den 23. delstatslov, og flere andre delstater har aktiv lovgivning undervejs. Virksomheder bør planlægge for fortsat fragmentering i stedet for at vente på føderal præemption.
Hvad er almindelige fejl, virksomheder begår med delstatslig privatlivsoverholdelse
Flere tilbagevendende fejl tegner sig for en uforholdsmæssig stor del af håndhævelseseksponeringen:
- Antagelse om, at GDPR-overholdelse dækker amerikanske forpligtelser. GDPR og amerikanske delstatslove deler koncepter, men adskiller sig væsentligt med hensyn til samtykkestandarder, håndhævelsesmekanismer og specifikke rettigheder.
- Ignorering af GPC-signaler. Elleve delstater pålægger nu GPC-understøttelse; manglende overholdelse af signalet er en automatisk overtrædelse i disse jurisdiktioner [3].
- Overblik over datamæglerregistrering. Californien kræver, at datamæglere registrerer sig hos CPPA; kun 9% af registrerede mæglere blev fundet fuldt ud i overensstemmelse i 2026 [6].
- Inkonsekvente privatlivspolitikker på tværs af ejendomme. Flere politikker for den samme organisation skaber modsætninger, som regulatorer og sagsøgere kan udnytte [7].
- Forsømmelse af leverandørkontrakter. Mange delstatslove pålægger controllere ansvar for processorfejl; forældede databehandlingsaftaler er et betydeligt hul.
- Behandling af automatiseret beslutningstagning som ureguleret. Nye delstatsændringer tilføjer oplysnings- og opt-out-krav for algoritmiske beslutninger med betydelige forbrugereffekter [4].
Hvad skal min virksomhed gøre først for at forberede sig på delstatslige privatlivslove
Start med en dataoversigt og en jurisdiktionsmæssig anvendelsesanalyse; disse to trin bestemmer alt andet. Uden at vide, hvilke data du besidder, og hvilke delstatslove der gælder for dine operationer, kan intet overholdelsesprogram omfattes korrekt.
Umiddelbare prioriteter for 2026:
- Udfør en datakortlægningsøvelse for at identificere personlige dataflows, leverandører og behandlingsformål
- Bestem, hvilke delstatstærskler din virksomhed opfylder
- Implementer GPC-signalunderstøttelse; dette ene trin adresserer opt-out-forpligtelser i 11 delstater samtidigt
- Gennemgå din privatlivspolitik for fuldstændighed og konsistens
- Etabler en dokumenteret DSR-indtagelses- og svarproces
- Gennemgå alle tredjeparts datadelingsaftaler
For organisationer, der endnu ikke har implementeret en samtykkestyringsløsning, giver Biscotti CMP infrastruktur til styring af samtykkesignaler, overholdelse af opt-out-anmodninger og vedligeholdelse af overholdelsesregistre på tværs af jurisdiktioner.
Ofte stillede spørgsmål
Q: Gælder delstatslige privatlivslove for virksomheder uden for USA? Ja. De fleste delstatslove gælder baseret på, hvor forbrugerne bor, ikke hvor virksomheden er registreret. En europæisk virksomhed, der betjener Californiske beboere, er underlagt CCPA/CPRA, hvis den opfylder gældende tærskler.
Q: Hvad er Global Privacy Control (GPC), og hvorfor er det vigtigt? GPC er et signal på browserniveau, der automatisk kommunikerer en forbrugers opt-out-præference til hjemmesider. Elleve delstater kræver nu, at virksomheder respekterer det, hvilket gør GPC-understøttelse til et næsten universelt overholdelseskrav for amerikansk-rettede hjemmesider [3].
Q: Skal min virksomhed overholde loven, hvis den kun indsamler e-mailadresser? Muligvis. E-mailadresser er personoplysninger under alle delstatslige privatlivslove. Hvorvidt du skal overholde loven, afhænger af, hvor mange delstatsbeboere du indsamler data fra, og om du sælger eller deler disse data.
Q: Hvad er forskellen mellem en dataansvarlig og en databehandler under delstatslovene? En dataansvarlig bestemmer formålene og midlerne til behandling af personoplysninger. En databehandler håndterer data på vegne af en dataansvarlig. De fleste delstatslove pålægger primære forpligtelser på dataansvarlige, men databehandlere skal også overholde kontraktmæssige krav fastsat af dataansvarlige.
Q: Hvor lang tid har virksomheder til at svare på forbrugerdataanmodninger? De fleste delstatslove kræver et svar inden for 45 dage, med en mulig 45-dages forlængelse for komplekse anmodninger. Californien tillader op til 90 dage under visse omstændigheder.
Q: Er et cookie-banner tilstrækkeligt for overholdelse af amerikansk delstatslovgivning? Et cookie-banner alene er ikke tilstrækkeligt. Det skal understøttes af faktisk samtykkestyringsinfrastruktur, der registrerer præferencer, respekterer opt-out-signaler (inklusive GPC) og forhindrer datadeling, før samtykke er opnået, hvor det er påkrævet.
Q: Hvad tæller som "følsomme data" under delstatslige privatlivslove? Definitionerne varierer, men følsomme data inkluderer typisk: præcis geolokation, sundheds- og medicinske oplysninger, biometriske data, finansielle kontooplysninger, racemæssig eller etnisk oprindelse, seksuel orientering og data om børn. De fleste delstatslove kræver opt-in-samtykke for behandling af følsomme data.
Q: Kan forbrugere sagsøge virksomheder direkte for privatlivskrænkelser? I Californien kan forbrugere anlægge private søgsmål for databrud, der involverer visse kategorier af personoplysninger. De fleste andre delstater begrænser håndhævelsen til Attorney General, hvilket betyder, at der ikke er nogen privat søgsmålsret uden for Californien for generelle privatlivskrænkelser.
Q: Hvordan påvirker Højesterets geofence-dom fra 2026 markedsføring? Dommen i Chatrie v. United States (2. juli 2026) fastslog, at bred geofence-baseret indsamling af lokationsdata kræver en specifik kendelse under den fjerde ændring [1]. Selvom dommen direkte adresserer retshåndhævelse, signalerer den øget retslig kontrol med lokationsdatapraksis og kan påvirke, hvordan regulatorer fortolker forpligtelser vedrørende lokationsdata under delstatslige privatlivslove.
Q: Hvad er Californiens DROP-platform? DROP (Data Removal and Opt-out Platform) blev lanceret i begyndelsen af 2026 og giver Californiske beboere mulighed for at anmode om sletning af deres personoplysninger fra hundredvis af registrerede datamæglere gennem en enkelt indsendelse [5].
Konklusion
Det delstatsvise privatlivslandskab forenkles ikke, det udvides. Med 23 omfattende love aktive fra midten af 2026, 3,425 milliarder dollars i bøder indsamlet i 2025 og Louisianas Act 502, der tilføjer en 24. jurisdiktion i 2027, er omkostningerne ved passivitet blevet konkrete og målbare [2][4].
Den gode nyhed er, at en struktureret overholdelsesarkitektur håndterer det meste af kompleksiteten uden at kræve separate programmer for hver delstat. Byg efter Californiens standard som en grundlinje, implementer GPC-understøttelse med det samme, gennemgå dine dataflows og leverandørkontrakter, og sørg for, at din privatlivspolitik er internt konsistent. Disse trin adresserer størstedelen af forpligtelserne på tværs af alle aktive delstatslove.
For organisationer, der administrerer samtykke i stor skala, er implementering af specialbygget infrastruktur, såsom Biscotti CMP, den mest pålidelige måde at automatisere håndtering af opt-out-signaler, opretholde reviderbare samtykkeregistre og tilpasse sig, når nye delstatskrav træder i kraft. At vente på en føderal lov til at løse fragmenteringen er ikke en holdbar strategi. Delstaterne lovgiver, regulatorerne håndhæver, og de virksomheder, der bygger holdbare overholdelsesprogrammer nu, vil have en betydelig konkurrencefordel, efterhånden som landskabet fortsætter med at udvikle sig.
Referencer
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai