Réponse rapide : À la mi-2026, 23 États américains ont promulgué des lois complètes sur la protection de la vie privée des consommateurs, sans loi fédérale pour les unifier. Les entreprises opérant au-delà des frontières des États doivent gérer des obligations qui se chevauchent, parfois contradictoires, allant des modèles de consentement opt-in versus opt-out aux seuils variables pour déterminer qui est considéré comme une entité couverte. Le fardeau de la conformité est réel, mais une approche structurée et étagée peut répondre à la plupart des exigences simultanément.
Points clés à retenir
- Vingt-trois États ont promulgué des lois complètes sur la protection de la vie privée à la mi-2026, la loi 502 de la Louisiane étant la plus récente, entrant en vigueur le 1er janvier 2027 [2].
- Les régulateurs de la protection de la vie privée des États américains ont collecté 3,425 milliards de dollars d'amendes en 2025, soit près du double des 1,827 milliard de dollars de 2024 ; l'application est en accélération [4].
- Les lois des États se divisent globalement en deux modèles : le modèle californien (opt-out, droit d'action privé) et le modèle virginien (opt-in pour les données sensibles, application par le procureur général uniquement) [3].
- Onze États exigent désormais la prise en charge du mécanisme universel d'opt-out Global Privacy Control (GPC), ce qui en fait une norme nationale de facto pour l'opt-out [3].
- Seuls 9 % des 522 courtiers en données californiens enregistrés ont été jugés entièrement conformes dans une étude de mai 2026 ; la non-conformité est généralisée même parmi les entités réglementées [6].
- Aucune loi fédérale complète sur la protection de la vie privée n'existe ; l'American Privacy Rights Act introduite en 2024 n'a pas été promulguée [2].
- Une politique de confidentialité unique et bien structurée, complétée par des addenda spécifiques à chaque État, est généralement suffisante ; des politiques distinctes par État ne sont pas requises.
- Une infrastructure de gestion du consentement, telle qu'une plateforme comme Biscotti CMP, est de plus en plus essentielle pour automatiser les flux de travail d'opt-out et de consentement dans toutes les juridictions.
Quels États ont des lois sur la protection de la vie privée et que couvrent-elles ?
À la mi-2026, 23 États ont adopté une législation complète sur la protection de la vie privée des consommateurs, et ce nombre continue de croître. L'Indiana, le Kentucky et le Rhode Island ont commencé l'application le 1er janvier 2026, ajoutant à un paysage déjà complexe [9]. La loi 502 de la Louisiane, signée le 29 mai 2026, est le plus récent ajout, devant prendre effet le 1er janvier 2027 [2].
La plupart des lois partagent un noyau commun de droits : accès, correction, suppression, portabilité et droit de refuser la vente ou le partage de données personnelles. Cependant, les détails divergent considérablement en termes de portée, de seuils et de mécanismes d'application.
États avec des lois complètes actives sur la protection de la vie privée (exemples représentatifs) :
| État | Date d'entrée en vigueur | Caractéristique clé |
|---|---|---|
| Californie (CCPA/CPRA) | 2020 / 2023 | Droit d'action privé pour les violations ; plateforme DROP |
| Virginie (VCDPA) | 2023 | Opt-in pour les données sensibles ; application par le procureur général uniquement |
| Colorado (CPA) | 2023 | GPC requis ; catégories de données sensibles larges |
| Texas (TDPSA) | 2024 | Pas de seuil de revenus ; application par le procureur général |
| Louisiane (Loi 502) | 1er janvier 2027 | Promulgation la plus récente à la mi-2026 |
Quelles sont les principales différences entre les lois des États américains sur la protection de la vie privée ?
La principale division dans la navigation de la réalité fragmentée des lois américaines sur la protection de la vie privée au niveau des États est le modèle californien versus le modèle virginien. Ces deux cadres sont devenus les modèles que la plupart des autres États adaptent.
Caractéristiques du modèle californien :
- Opt-out par défaut pour la vente et le partage de données (les consommateurs doivent activement refuser)
- Droit d'action privé pour les violations de données
- Seuils d'applicabilité plus larges (basés sur les revenus et le volume de données)
- Inclut une exigence de mécanisme universel d'opt-out (GPC)
Caractéristiques du modèle virginien :
- Consentement opt-in requis pour le traitement des données personnelles sensibles
- Application limitée au procureur général de l'État
- Pas de droit d'action privé pour les consommateurs individuels
- Définitions généralement plus étroites des "données sensibles"
La divergence crée de réelles frictions opérationnelles. Une entreprise qui opte par défaut pour le consentement opt-out pour la Californie peut toujours avoir besoin d'un consentement opt-in affirmatif pour les catégories de données sensibles en vertu des règles de la Virginie, du Colorado ou du Connecticut, le tout simultanément [3].
Comment le CCPA, le GDPR et les autres lois des États se comparent-ils ?
Le CCPA/CPRA de Californie est l'analogue américain le plus proche du GDPR de l'UE, mais d'importantes différences structurelles subsistent. Le GDPR exige une base légale pour tout traitement de données et impose le consentement opt-in pour la plupart des utilisations. Le CCPA fonctionne sur un modèle opt-out pour les ventes de données, avec un opt-in requis uniquement pour les mineurs et les catégories de données sensibles en vertu des amendements du CPRA.
Les autres lois des États occupent un terrain d'entente : elles empruntent les droits des personnes concernées de type GDPR (accès, correction, suppression) tout en conservant la préférence américaine pour les valeurs par défaut opt-out plutôt que le consentement opt-in. Le résultat est qu'un programme conforme au GDPR fournit une base solide mais ne satisfait pas automatiquement aux exigences des États américains, en particulier en ce qui concerne les divulgations des courtiers en données, les opt-out de vente et les restrictions sur la publicité ciblée.
Quelle est la loi sur la protection de la vie privée la plus stricte ?
La Californie reste la juridiction la plus exigeante pour la plupart des entreprises. Le CPRA a introduit la California Privacy Protection Agency (CPPA) en tant qu'organisme d'application dédié, a élargi les catégories de données sensibles et a créé la plateforme Data Removal and Opt-out Platform (DROP), lancée début 2026, qui permet aux résidents de demander la suppression de centaines de courtiers en données via une seule soumission [5].
Le Colorado est un proche second en termes de complexité opérationnelle, compte tenu de son support GPC obligatoire, de ses définitions larges de données sensibles et de sa réglementation active sur la prise de décision automatisée. Pour les entreprises du secteur des courtiers en données spécifiquement, les exigences de la Californie sont dans une catégorie à part ; une étude de mai 2026 a révélé que seulement 9 % des 522 courtiers en données enregistrés étaient entièrement conformes [6].
Quelle est la manière la plus simple de se conformer aux multiples lois des États sur la protection de la vie privée ?
La voie la plus efficace pour naviguer dans la réalité fragmentée des lois américaines sur la protection de la vie privée au niveau des États est une architecture de conformité à plusieurs niveaux : construire sur la norme la plus stricte comme base, puis ajouter les exigences spécifiques à chaque État.
Étapes pratiques :
- Effectuer un inventaire des données. Cartographiez chaque catégorie de données personnelles collectées, sa source, son objectif de traitement et les destinataires tiers. C'est la base de toutes les lois des États.
- Identifier les juridictions applicables. Déterminez les seuils d'État que votre entreprise atteint ; la plupart des lois se déclenchent en fonction du nombre de résidents desservis ou des revenus provenant des ventes de données.
- Mettre en œuvre un mécanisme universel d'opt-out. Déployez immédiatement le support GPC. Onze États l'exigent désormais, et la liste s'allonge [3]. Une plateforme de gestion du consentement telle que Biscotti CMP peut automatiser la détection des signaux GPC et honorer les demandes d'opt-out en temps réel.
- Segmenter le consentement pour les données sensibles. Mettre en place des flux de consentement opt-in pour les catégories sensibles (santé, biométrie, géolocalisation précise) afin de satisfaire les États du modèle virginien.
- Établir un flux de travail pour les demandes des personnes concernées (DSR). La plupart des lois exigent des réponses dans les 45 jours. Automatisez la réception et le routage.
- Mettre à jour les contrats avec les fournisseurs. Les accords de traitement des données doivent refléter les exigences de chaque État pour les processeurs et les fournisseurs de services.
- Examiner les pratiques de prise de décision automatisée. Plusieurs États ajoutent des obligations à cet égard, en particulier pour les décisions ayant des effets juridiques ou significatifs [4].
Ai-je besoin de politiques de confidentialité distinctes pour chaque État ?
Non, des politiques distinctes par État ne sont pas légalement requises et sont généralement déconseillées. Une politique de confidentialité unique et bien structurée qui aborde toutes les divulgations requises, complétée par des addenda ou des sections d'avis spécifiques à chaque État, satisfait la plupart des lois. Une recherche publiée en juillet 2025 a révélé que 53,8 % des banques américaines ayant plusieurs politiques de confidentialité présentaient des incohérences internes, ce qui créait une confusion pour les consommateurs et sapait les objectifs de transparence [7]. Une politique unifiée réduit ce risque.
La politique doit, au minimum, divulguer : les catégories de données collectées, les finalités du traitement, le partage avec des tiers, les droits des consommateurs par juridiction et la manière de soumettre des demandes. La Californie exige un lien spécifique "Ne vendez pas ou ne partagez pas mes informations personnelles" ; d'autres États ont des exigences analogues qui peuvent être traitées par un mécanisme d'opt-out unique.
Combien coûte la conformité aux lois des États sur la protection de la vie privée ?
Les coûts de conformité varient considérablement en fonction de la taille de l'entreprise, de la complexité des données et de l'infrastructure existante. Il n'existe pas de référence sectorielle unique et vérifiée qui s'applique universellement, mais les facteurs de coût sont bien compris :
- Technologie : Les plateformes de gestion du consentement, les outils d'automatisation des DSR et les logiciels de cartographie des données représentent les coûts récurrents les plus importants pour la plupart des organisations.
- Examen juridique : La rédaction initiale de la politique et les mises à jour annuelles pour un programme multi-États nécessitent généralement un conseiller externe ou un avocat spécialisé dans la protection de la vie privée.
- Frais généraux opérationnels : Temps du personnel pour le traitement des DSR, la gestion des fournisseurs et la formation.
Pour les petites entreprises ayant des opérations de données limitées, une solution de gestion du consentement bien configurée et une politique de confidentialité examinée peuvent représenter l'essentiel de l'investissement. Pour les entreprises gérant de grands volumes de données ou exerçant des fonctions de courtier en données, les coûts augmentent considérablement, en particulier étant donné que les amendes représentent désormais un risque financier crédible, avec 3,425 milliards de dollars collectés par les régulateurs des États rien qu'en 2025 [4].
Que se passe-t-il si mon entreprise enfreint les lois des États sur la protection de la vie privée ?
Les sanctions varient selon les États mais suivent un schéma cohérent : amendes civiles par violation, périodes de remédiation (qui sont raccourcies ou éliminées dans les lois plus récentes), et dans le cas de la Californie, la possibilité de poursuites initiées par les consommateurs pour les violations de données.
- Californie : Jusqu'à 7 500 $ par violation intentionnelle ; pas de période de remédiation pour les violations intentionnelles.
- Virginie : Jusqu'à 7 500 $ par violation après une période de remédiation de 30 jours.
- Colorado : Jusqu'à 20 000 $ par violation ; période de remédiation éliminée après le 1er janvier 2025.
- Texas : Jusqu'à 7 500 $ par violation ; application par le procureur général avec des demandes d'enquête civile.
La flambée des mesures d'application en 2025, qui a presque doublé le total des amendes d'une année sur l'autre, indique que les régulateurs ont dépassé la phase de sensibilisation [4]. Les entreprises qui supposaient un faible risque d'application devraient réévaluer cette hypothèse.
Les petites entreprises peuvent-elles se permettre de se conformer à toutes les exigences des États en matière de protection de la vie privée ?
La plupart des lois des États sur la protection de la vie privée incluent des seuils conçus pour exempter les très petites entreprises. Les déclencheurs courants incluent le traitement de données de 100 000 consommateurs ou plus par an, ou la dérivation de plus de 25 à 50 % des revenus des ventes de données. Une petite entreprise de commerce électronique qui ne vend pas de données de consommateurs et dessert moins de 100 000 résidents d'un État peut se situer en dessous de plusieurs seuils.
Cela dit, la TDPSA du Texas ne comporte pas de seuil de revenus, ce qui signifie que toute entreprise qui traite les données des résidents du Texas et atteint le seuil de nombre de consommateurs doit se conformer, quelle que soit la taille de ses revenus [3]. Les petites entreprises ne devraient pas présumer d'une exemption sans une analyse juridiction par juridiction.
Une conformité rentable pour les petites organisations signifie généralement : une politique de confidentialité examinée, un support GPC via un outil de gestion du consentement et un processus documenté pour gérer les demandes d'accès et de suppression.
Quelles industries sont les plus touchées par les lois des États sur la protection de la vie privée ?
Les industries à forte intensité de données sont confrontées au plus grand fardeau de conformité. Les secteurs les plus exposés comprennent :
- AdTech et agences de marketing en ligne : Les restrictions sur la publicité ciblée, les exigences de consentement aux cookies et les mandats d'opt-out pour le partage de données touchent ce secteur le plus durement.
- E-commerce : La collecte étendue de données provenant des transactions, le suivi comportemental et les intégrations tierces créent de multiples points de contact de conformité.
- Santé et technologie de la santé : Les données de santé sensibles déclenchent des exigences d'opt-in en vertu de la plupart des lois des États, distinctes des obligations HIPAA.
- Courtiers en données : La catégorie la plus étroitement surveillée, la plateforme DROP de Californie et les exigences d'enregistrement spécifiques aux courtiers fixent une barre haute [5][6].
- Services financiers : La recherche montre une incohérence significative dans la façon dont les banques gèrent les divulgations de confidentialité à travers de multiples politiques [7].
Comment les lois des États sur la protection de la vie privée affectent-elles le commerce électronique et les entreprises en ligne ?
Pour les entreprises en ligne, naviguer dans la réalité fragmentée des lois américaines sur la protection de la vie privée au niveau des États se traduit principalement par des obligations de gestion du consentement et de flux de données. Chaque site web qui utilise des pixels de suivi tiers, de la publicité comportementale ou des outils d'analyse qui partagent des données avec des fournisseurs est potentiellement engagé dans un "partage de données" ou une "vente" selon plusieurs définitions d'État.
Les implications pratiques :
- Les bannières de cookies doivent honorer automatiquement les signaux GPC dans 11 États [3].
- Les programmes de reciblage et d'audiences similaires peuvent constituer un "partage" en vertu du CCPA, nécessitant des mécanismes d'opt-out.
- La décision de la Cour suprême de juillet 2026 dans l'affaire Chatrie c. États-Unis, qui a jugé que la collecte de données de localisation basée sur une géofence large constitue une perquisition au titre du Quatrième Amendement, ajoute une nouvelle dimension aux pratiques de marketing basées sur la localisation [1].
- Les programmes d'abonnement et de fidélité qui monétisent les données comportementales font l'objet d'un examen accru.
Une plateforme de gestion du consentement qui s'intègre aux principales piles technologiques publicitaires et signale les préférences d'opt-out en aval n'est plus facultative pour la plupart des entreprises en ligne d'une taille significative.
Une loi fédérale sur la protection de la vie privée est-elle en préparation pour remplacer les lois des États ?
Pas de manière imminente. L'American Privacy Rights Act (APRA), introduite en 2024, n'a pas été promulguée, et à la mi-2026, aucune législation fédérale complète sur la protection de la vie privée n'a été adoptée [2]. Les obstacles politiques, principalement le désaccord sur la question de savoir si une loi fédérale devrait préempter les lois des États et si elle devrait inclure un droit d'action privé, restent non résolus.
La conséquence pratique est que le patchwork État par État continuera de s'étendre. La loi 502 de la Louisiane est la 23e loi d'État, et plusieurs autres États ont des législations actives en cours. Les entreprises devraient prévoir une fragmentation continue plutôt que d'attendre une préemption fédérale.
Quelles sont les erreurs courantes commises par les entreprises en matière de conformité à la vie privée des États ?
Plusieurs erreurs récurrentes représentent une part disproportionnée de l'exposition à l'application :
- Supposer que la conformité au GDPR couvre les obligations américaines. Le GDPR et les lois des États américains partagent des concepts mais diffèrent matériellement sur les valeurs par défaut du consentement, les mécanismes d'application et les droits spécifiques.
- Ignorer les signaux GPC. Onze États exigent désormais le support GPC ; ne pas honorer le signal est une violation automatique dans ces juridictions [3].
- Négliger l'enregistrement des courtiers en données. La Californie exige que les courtiers en données s'enregistrent auprès de la CPPA ; seulement 9 % des courtiers enregistrés ont été jugés entièrement conformes en 2026 [6].
- Politiques de confidentialité incohérentes entre les propriétés. Des politiques multiples pour la même organisation créent des contradictions que les régulateurs et les plaignants peuvent exploiter [7].
- Négliger les contrats avec les fournisseurs. De nombreuses lois des États imposent la responsabilité aux contrôleurs pour les défaillances des processeurs ; les accords de traitement des données obsolètes constituent une lacune importante.
- Traiter la prise de décision automatisée comme non réglementée. De nouveaux amendements des États ajoutent des exigences de divulgation et d'opt-out pour les décisions algorithmiques ayant des effets significatifs sur les consommateurs [4].
Que doit faire mon entreprise en premier pour se préparer aux lois des États sur la protection de la vie privée ?
Commencez par un inventaire des données et une analyse de l'applicabilité juridictionnelle ; ces deux étapes déterminent tout le reste. Sans savoir quelles données vous détenez et quelles lois des États s'appliquent à vos opérations, aucun programme de conformité ne peut être correctement défini.
Priorités immédiates pour 2026 :
- Effectuer un exercice de cartographie des données pour identifier les flux de données personnelles, les fournisseurs et les finalités du traitement.
- Déterminer les seuils d'État que votre entreprise atteint.
- Mettre en œuvre le support des signaux GPC ; cette seule étape répond aux obligations d'opt-out dans 11 États simultanément.
- Auditer votre politique de confidentialité pour en vérifier l'exhaustivité et la cohérence.
- Établir un processus documenté de réception et de réponse aux DSR.
- Examiner tous les accords de partage de données avec des tiers.
Pour les organisations qui n'ont pas encore déployé de solution de gestion du consentement, Biscotti CMP fournit l'infrastructure pour gérer les signaux de consentement, honorer les demandes d'opt-out et maintenir des registres de conformité vérifiables dans toutes les juridictions.
FAQ
Q : Les lois des États sur la protection de la vie privée s'appliquent-elles aux entreprises en dehors des États-Unis ? Oui. La plupart des lois des États s'appliquent en fonction du lieu de résidence des consommateurs, et non du lieu d'incorporation de l'entreprise. Une entreprise européenne desservant des résidents californiens est soumise au CCPA/CPRA si elle atteint les seuils applicables.
Q : Qu'est-ce que le Global Privacy Control (GPC) et pourquoi est-il important ? Le GPC est un signal au niveau du navigateur qui communique automatiquement la préférence d'opt-out d'un consommateur aux sites web. Onze États exigent désormais que les entreprises l'honorent, faisant du support GPC une exigence de conformité quasi universelle pour les sites web destinés aux États-Unis [3].
Q : Mon entreprise doit-elle se conformer si elle ne collecte que des adresses e-mail ? Possiblement. Les adresses e-mail sont des données personnelles en vertu de toutes les lois des États sur la protection de la vie privée. La nécessité de se conformer dépend du nombre de résidents d'un État dont vous collectez les données et si vous vendez ou partagez ces données.
Q : Quelle est la différence entre un contrôleur de données et un processeur de données en vertu des lois des États ? Un contrôleur détermine les finalités et les moyens du traitement des données personnelles. Un processeur traite les données au nom d'un contrôleur. La plupart des lois des États imposent des obligations primaires aux contrôleurs, mais les processeurs doivent également se conformer aux exigences contractuelles fixées par les contrôleurs.
Q : Combien de temps les entreprises ont-elles pour répondre aux demandes de données des consommateurs ? La plupart des lois des États exigent une réponse dans les 45 jours, avec une prolongation possible de 45 jours pour les demandes complexes. La Californie autorise jusqu'à 90 jours dans certaines circonstances.
Q : Une bannière de cookies est-elle suffisante pour la conformité aux lois des États américains ? Une bannière de cookies seule n'est pas suffisante. Elle doit être soutenue par une infrastructure de gestion du consentement réelle qui enregistre les préférences, honore les signaux d'opt-out (y compris le GPC) et empêche le partage de données avant l'obtention du consentement lorsque cela est requis.
Q : Qu'est-ce qui est considéré comme des "données sensibles" en vertu des lois des États sur la protection de la vie privée ? Les définitions varient, mais les données sensibles incluent généralement : la géolocalisation précise, les informations de santé et médicales, les données biométriques, les données de compte financier, l'origine raciale ou ethnique, l'orientation sexuelle et les données sur les enfants. La plupart des lois des États exigent un consentement opt-in pour le traitement des données sensibles.
Q : Les consommateurs peuvent-ils poursuivre directement les entreprises pour des violations de la vie privée ? En Californie, les consommateurs peuvent intenter des poursuites privées pour les violations de données impliquant certaines catégories d'informations personnelles. La plupart des autres États limitent l'application au procureur général, ce qui signifie qu'il n'y a pas de droit d'action privé en dehors de la Californie pour les violations générales de la vie privée.
Q : Comment la décision de la Cour suprême de 2026 sur les géofences affecte-t-elle le marketing ? La décision Chatrie c. États-Unis (2 juillet 2026) a jugé que la collecte de données de localisation basée sur une géofence large nécessite un mandat spécifique en vertu du Quatrième Amendement [1]. Bien que la décision s'adresse directement aux forces de l'ordre, elle signale un examen judiciaire accru des pratiques de données de localisation et peut influencer la façon dont les régulateurs interprètent les obligations en matière de données de localisation en vertu des lois des États sur la protection de la vie privée.
Q : Qu'est-ce que la plateforme DROP de Californie ? DROP (Data Removal and Opt-out Platform) a été lancée début 2026 et permet aux résidents californiens de demander la suppression de leurs données personnelles auprès de centaines de courtiers en données enregistrés via une seule soumission [5].
Conclusion
Le paysage de la protection de la vie privée État par État ne se simplifie pas, il s'étend. Avec 23 lois complètes actives à la mi-2026, 3,425 milliards de dollars d'amendes collectées en 2025, et la loi 502 de la Louisiane ajoutant une 24e juridiction en 2027, le coût de l'inaction est devenu concret et mesurable [2][4].
La bonne nouvelle est qu'une architecture de conformité structurée gère la majeure partie de la complexité sans nécessiter de programmes distincts pour chaque État. Construisez sur la norme californienne comme base, implémentez immédiatement le support GPC, auditez vos flux de données et vos contrats avec les fournisseurs, et assurez-vous que votre politique de confidentialité est cohérente en interne. Ces étapes répondent à la majorité des obligations de toutes les lois d'État actives.
Pour les organisations gérant le consentement à grande échelle, le déploiement d'une infrastructure dédiée, telle que Biscotti CMP, est le moyen le plus fiable d'automatiser le traitement des signaux d'opt-out, de maintenir des registres de consentement vérifiables et de s'adapter à l'entrée en vigueur de nouvelles exigences d'État. Attendre une loi fédérale pour résoudre la fragmentation n'est pas une stratégie viable. Les États légifèrent, les régulateurs appliquent, et les entreprises qui construisent dès maintenant des programmes de conformité durables bénéficieront d'un avantage concurrentiel significatif à mesure que le paysage continue d'évoluer.
Références
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai