Brzi odgovor: Do sredine 2026. godine, 23 američke države donijele su sveobuhvatne zakone o privatnosti potrošača, bez saveznog zakona koji bi ih ujedinio. Poduzeća koja posluju preko državnih granica moraju upravljati preklapajućim, ponekad proturječnim obvezama, od modela pristanka s uključenjem (opt-in) naspram isključenja (opt-out) do različitih pragova za to tko se kvalificira kao obuhvaćeni entitet. Teret usklađenosti je stvaran, ali strukturirani, slojeviti pristup može istovremeno riješiti većinu zahtjeva.
Ključni zaključci
- Dvadeset i tri države donijele su sveobuhvatne zakone o privatnosti do sredine 2026. godine, a Louisiana's Act 502 je najnoviji, stupa na snagu 1. siječnja 2027. [2]
- Državni regulatori privatnosti u SAD-u prikupili su 3,425 milijardi dolara kazni u 2025. godini, gotovo dvostruko više od 1,827 milijardi dolara iz 2024. godine, provedba se ubrzava [4]
- Državni zakoni se široko dijele na dva modela: kalifornijski model (opt-out, privatno pravo na tužbu) i virginijski model (opt-in za osjetljive podatke, samo provedba od strane državnog odvjetnika) [3]
- Jedanaest država sada zahtijeva podršku za Global Privacy Control (GPC) univerzalni mehanizam za isključenje, čineći ga de facto nacionalnim standardom za isključenje [3]
- Samo 9% od 522 registrirana kalifornijska posrednika podataka bilo je potpuno usklađeno u studiji iz svibnja 2026. godine, neusklađenost je raširena čak i među reguliranim entitetima [6]
- Ne postoji sveobuhvatni savezni zakon o privatnosti; American Privacy Rights Act predstavljen 2024. godine nije donesen [2]
- Jedna, dobro strukturirana politika privatnosti dopunjena dodacima specifičnim za državu općenito je dovoljna, zasebne politike po državi nisu potrebne
- Infrastruktura za upravljanje pristankom, kao što je platforma poput Biscotti CMP, sve je bitnija za automatizaciju isključenja i tijekova rada pristanka u svim jurisdikcijama
Koje države imaju zakone o privatnosti i što pokrivaju
Do sredine 2026. godine, 23 države donijele su sveobuhvatne zakone o privatnosti potrošača, a broj i dalje raste. Indiana, Kentucky i Rhode Island započele su provedbu 1. siječnja 2026., dodajući već složenom krajoliku [9]. Louisiana's Act 502, potpisan 29. svibnja 2026., najnoviji je dodatak, a stupa na snagu 1. siječnja 2027. [2].
Većina zakona dijeli zajedničku jezgru prava: pristup, ispravak, brisanje, prenosivost i pravo na isključenje iz prodaje ili dijeljenja osobnih podataka. Međutim, detalji se značajno razlikuju u opsegu, pragovima i mehanizmima provedbe.
Države s aktivnim sveobuhvatnim zakonima o privatnosti (reprezentativni primjeri):
| Država | Datum stupanja na snagu | Ključna značajka |
|---|---|---|
| Kalifornija (CCPA/CPRA) | 2020. / 2023. | Privatno pravo na tužbu za povrede; DROP platforma |
| Virginia (VCDPA) | 2023. | Opt-in za osjetljive podatke; samo provedba od strane državnog odvjetnika |
| Colorado (CPA) | 2023. | GPC obavezan; široke kategorije osjetljivih podataka |
| Texas (TDPSA) | 2024. | Nema praga prihoda; provedba od strane državnog odvjetnika |
| Louisiana (Act 502) | 1. siječnja 2027. | Najnovije donošenje od sredine 2026. |
Koje su glavne razlike između državnih zakona o privatnosti u SAD-u
Središnja podjela u snalaženju u fragmentiranoj stvarnosti američkih državnih zakona o privatnosti je kalifornijski model naspram virginijskog modela. Ova dva okvira postala su predlošci koje većina drugih država prilagođava.
Karakteristike kalifornijskog modela:
- Zadano isključenje (opt-out) za prodaju i dijeljenje podataka (potrošači se moraju aktivno isključiti)
- Privatno pravo na tužbu za povrede podataka
- Širi pragovi primjenjivosti (na temelju prihoda i na temelju volumena podataka)
- Uključuje zahtjev za univerzalnim mehanizmom za isključenje (GPC)
Karakteristike virginijskog modela:
- Potreban je pristanak (opt-in) za obradu osjetljivih osobnih podataka
- Provedba ograničena na državnog odvjetnika
- Nema privatnog prava na tužbu za pojedinačne potrošače
- Općenito uže definicije "osjetljivih podataka"
Razlika stvara stvarne operativne probleme. Poduzeće koje zadano koristi pristanak s isključenjem (opt-out) za Kaliforniju možda će i dalje trebati potvrdan pristanak (opt-in) za osjetljive kategorije podataka prema pravilima Virginije, Colorada ili Connecticuta, sve istovremeno [3].
Kako se uspoređuju CCPA, GDPR i drugi državni zakoni
Kalifornijski CCPA/CPRA najbliži je američki analog GDPR-u EU-a, ali ostaju važne strukturne razlike. GDPR zahtijeva pravnu osnovu za svu obradu podataka i nalaže pristanak (opt-in) za većinu upotreba. CCPA djeluje na modelu isključenja (opt-out) za prodaju podataka, s uključenjem (opt-in) potrebnim samo za maloljetnike i kategorije osjetljivih podataka prema CPRA amandmanima.
Drugi državni zakoni zauzimaju srednji put: posuđuju prava ispitanika u stilu GDPR-a (pristup, ispravak, brisanje) zadržavajući američku preferenciju za zadane postavke isključenja (opt-out) umjesto pristanka s uključenjem (opt-in). Rezultat je da program usklađen s GDPR-om pruža snažan temelj, ali automatski ne zadovoljava američke državne zahtjeve, posebno u vezi s objavama posrednika podataka, isključenjima iz prodaje i ograničenjima ciljanog oglašavanja.
Koji je državni zakon o privatnosti najstroži
Kalifornija ostaje najzahtjevnija jurisdikcija za većinu poduzeća. CPRA je uvela California Privacy Protection Agency (CPPA) kao namjensko tijelo za provedbu, proširila kategorije osjetljivih podataka i stvorila Data Removal and Opt-out Platform (DROP), pokrenutu početkom 2026., koja omogućuje stanovnicima da zatraže brisanje od stotina posrednika podataka putem jedne prijave [5].
Colorado je blizu drugog mjesta po operativnoj složenosti, s obzirom na obaveznu podršku GPC-a, široke definicije osjetljivih podataka i aktivno donošenje pravila o automatiziranom donošenju odluka. Za poduzeća u prostoru posredovanja podacima, kalifornijski zahtjevi su u vlastitoj kategoriji, studija iz svibnja 2026. otkrila je da je samo 9% od 522 registrirana posrednika podataka bilo potpuno usklađeno [6].
Koji je najlakši način za usklađivanje s više državnih zakona o privatnosti
Najučinkovitiji put kroz snalaženje u fragmentiranoj stvarnosti američkih državnih zakona o privatnosti je višeslojna arhitektura usklađenosti: izgradite prema najstrožem standardu kao osnovi, a zatim dodajte zahtjeve specifične za državu.
Praktični koraci:
- Provedite inventuru podataka. Mapirajte svaku kategoriju prikupljenih osobnih podataka, njihov izvor, svrhu obrade i primatelje trećih strana. To je temelj svakog državnog zakona.
- Identificirajte primjenjive jurisdikcije. Odredite koje državne pragove vaše poslovanje ispunjava, većina zakona se aktivira na temelju broja opsluženih stanovnika ili prihoda od prodaje podataka.
- Implementirajte univerzalni mehanizam za isključenje. Odmah implementirajte podršku za GPC. Jedanaest država sada to nalaže, a popis raste [3]. Platforma za upravljanje pristankom kao što je Biscotti CMP može automatizirati otkrivanje GPC signala i poštivati zahtjeve za isključenje u stvarnom vremenu.
- Segmentirajte pristanak za osjetljive podatke. Izgradite tijekove pristanka (opt-in) za osjetljive kategorije (zdravlje, biometrija, precizna geolokacija) kako biste zadovoljili države modela Virginije.
- Uspostavite tijek rada za zahtjeve ispitanika (DSR). Većina zakona zahtijeva odgovore u roku od 45 dana. Automatizirajte unos i usmjeravanje.
- Ažurirajte ugovore s dobavljačima. Ugovori o obradi podataka moraju odražavati zahtjeve svake države za obrađivače i pružatelje usluga.
- Pregledajte prakse automatiziranog donošenja odluka. Više država dodaje obveze ovdje, posebno za odluke s pravnim ili značajnim učincima [4].
Trebam li zasebne politike privatnosti za svaku državu
Ne, zasebne politike po državi nisu zakonski obvezne i općenito su nepoželjne. Jedna, dobro strukturirana politika privatnosti koja se bavi svim potrebnim objavama, dopunjena dodacima specifičnim za državu ili odjeljcima obavijesti, zadovoljava većinu zakona. Istraživanje objavljeno u srpnju 2025. otkrilo je da je 53,8% američkih banaka s više politika privatnosti pokazalo unutarnje nedosljednosti, što je stvorilo zbunjenost potrošača i potkopalo ciljeve transparentnosti [7]. Jedinstvena politika smanjuje taj rizik.
Politika mora, u najmanju ruku, otkriti: kategorije prikupljenih podataka, svrhe obrade, dijeljenje s trećim stranama, prava potrošača po jurisdikciji i kako podnijeti zahtjeve. Kalifornija zahtijeva specifičnu poveznicu "Do Not Sell or Share My Personal Information"; druge države imaju analogne zahtjeve koji se mogu riješiti putem jednog mehanizma za isključenje.
Koliko košta usklađivanje s državnim zakonima o privatnosti
Troškovi usklađenosti značajno variraju ovisno o veličini poslovanja, složenosti podataka i postojećoj infrastrukturi. Ne postoji jedinstvena provjerena industrijska referentna vrijednost koja se univerzalno primjenjuje, ali pokretači troškova su dobro shvaćeni:
- Tehnologija: Platforme za upravljanje pristankom, alati za automatizaciju DSR-a i softver za mapiranje podataka predstavljaju najveće ponavljajuće troškove za većinu organizacija.
- Pravni pregled: Početna izrada politike i godišnja ažuriranja za program s više država obično zahtijevaju vanjskog savjetnika ili posvećenog odvjetnika za privatnost.
- Operativni troškovi: Vrijeme osoblja za obradu DSR-a, upravljanje dobavljačima i obuku.
Za mala poduzeća s ograničenim operacijama s podacima, dobro konfigurirano rješenje za upravljanje pristankom i pregledana politika privatnosti mogu predstavljati većinu ulaganja. Za poduzeća koja obrađuju velike količine podataka ili obavljaju funkcije posredovanja podacima, troškovi se značajno povećavaju, posebno s obzirom na to da kazne sada predstavljaju vjerodostojan financijski rizik, s 3,425 milijardi dolara koje su prikupili državni regulatori samo u 2025. godini [4].
Što se događa ako moje poslovanje prekrši državne zakone o privatnosti
Kazne se razlikuju po državama, ali slijede dosljedan obrazac: građanske kazne po prekršaju, razdoblja ispravka (koja se skraćuju ili eliminiraju u novijim zakonima), a u slučaju Kalifornije, mogućnost tužbi koje pokreću potrošači za povrede podataka.
- Kalifornija: Do 7.500 USD po namjernom prekršaju; nema razdoblja ispravka za namjerne prekršaje
- Virginia: Do 7.500 USD po prekršaju nakon 30-dnevnog razdoblja ispravka
- Colorado: Do 20.000 USD po prekršaju; razdoblje ispravka eliminirano nakon 1. siječnja 2025.
- Texas: Do 7.500 USD po prekršaju; provedba od strane državnog odvjetnika s građanskim istražnim zahtjevima
Porast provedbe u 2025. godini, gotovo udvostručujući ukupne kazne iz godine u godinu, signalizira da su regulatori prešli fazu svijesti [4]. Poduzeća koja su pretpostavljala nizak rizik provedbe trebala bi ponovno procijeniti tu pretpostavku.
Mogu li mala poduzeća priuštiti usklađivanje sa svim državnim zahtjevima o privatnosti
Većina državnih zakona o privatnosti uključuje pragove osmišljene za izuzeće vrlo malih poduzeća. Uobičajeni okidači uključuju obradu podataka o 100.000 ili više potrošača godišnje, ili ostvarivanje više od 25-50% prihoda od prodaje podataka. Malo e-trgovinsko poduzeće koje ne prodaje podatke potrošača i opslužuje manje od 100.000 stanovnika države može pasti ispod više pragova.
Međutim, teksaški TDPSA posebno nema prag prihoda, što znači da se svako poduzeće koje obrađuje podatke stanovnika Teksasa i ispunjava prag broja potrošača mora uskladiti bez obzira na veličinu prihoda [3]. Mala poduzeća ne bi trebala pretpostavljati izuzeće bez analize po jurisdikcijama.
Isplativa usklađenost za manje organizacije obično znači: pregledanu politiku privatnosti, GPC podršku putem alata za upravljanje pristankom i dokumentirani postupak za obradu zahtjeva za pristup i brisanje.
Koje su industrije najviše pogođene državnim zakonima o privatnosti
Industrije intenzivne s podacima suočavaju se s najvećim teretom usklađenosti. Sektori s najvećom izloženošću uključuju:
- AdTech i agencije za online marketing: Ograničenja ciljanog oglašavanja, zahtjevi za pristanak na kolačiće i obveze isključenja za dijeljenje podataka najviše pogađaju ovaj sektor.
- E-trgovina: Široko prikupljanje podataka iz transakcija, praćenje ponašanja i integracije trećih strana stvaraju više dodirnih točaka za usklađenost.
- Zdravstvo i zdravstvena tehnologija: Osjetljivi zdravstveni podaci pokreću zahtjeve za pristanak (opt-in) prema većini državnih zakona, odvojeno od HIPAA obveza.
- Posrednici podataka: Najstrože provjeravana kategorija, kalifornijska DROP platforma i zahtjevi za registraciju specifični za posrednike postavljaju visoku ljestvicu [5][6].
- Financijske usluge: Istraživanja pokazuju značajnu nedosljednost u načinu na koji banke upravljaju objavama privatnosti u više politika [7].
Kako državni zakoni o privatnosti utječu na e-trgovinu i online poslovanje
Za online poslovanje, snalaženje u fragmentiranoj stvarnosti američkih državnih zakona o privatnosti prvenstveno se prevodi u upravljanje pristankom i obveze protoka podataka. Svaka web stranica koja koristi piksele za praćenje trećih strana, bihevioralno oglašavanje ili alate za analitiku koji dijele podatke s dobavljačima potencijalno je uključena u "dijeljenje podataka" ili "prodaju" prema više državnih definicija.
Praktične implikacije:
- Baneri za kolačiće moraju automatski poštivati GPC signale u 11 država [3]
- Programi ponovnog ciljanja i sličnih publika mogu predstavljati "dijeljenje" prema CCPA-u, zahtijevajući mehanizme za isključenje
- Odluka Vrhovnog suda iz srpnja 2026. u predmetu Chatrie protiv Sjedinjenih Država, koja je utvrdila da široko prikupljanje podataka o lokaciji na temelju geofencea predstavlja pretragu prema Četvrtom amandmanu, dodaje novu dimenziju praksama marketinga temeljenog na lokaciji [1]
- Programi pretplate i vjernosti koji monetiziraju podatke o ponašanju suočavaju se s pojačanim nadzorom
Platforma za upravljanje pristankom koja se integrira s glavnim ad tech sustavima i signalizira preferencije isključenja nizvodno više nije opcija za većinu online poduzeća značajne veličine.
Dolazi li savezni zakon o privatnosti koji će zamijeniti državne zakone
Ne uskoro. American Privacy Rights Act (APRA), predstavljen 2024. godine, nije donesen, a od sredine 2026. godine nije donesen nijedan sveobuhvatni savezni zakon o privatnosti [2]. Političke prepreke, prvenstveno neslaganje oko toga treba li savezni zakon preuzeti državne zakone i treba li uključiti privatno pravo na tužbu, ostaju neriješene.
Praktična posljedica je da će se mozaik po državama nastaviti širiti. Louisiana's Act 502 je 23. državni zakon, a nekoliko drugih država ima aktivno zakonodavstvo u tijeku. Poduzeća bi trebala planirati nastavak fragmentacije umjesto da čekaju saveznu preempciju.
Koje su uobičajene pogreške koje tvrtke čine u usklađivanju s državnom privatnošću
Nekoliko ponavljajućih pogrešaka čini nerazmjeran udio izloženosti provedbi:
- Pretpostavka da usklađenost s GDPR-om pokriva američke obveze. GDPR i američki državni zakoni dijele koncepte, ali se materijalno razlikuju u zadanim postavkama pristanka, mehanizmima provedbe i specifičnim pravima.
- Ignoriranje GPC signala. Jedanaest država sada nalaže podršku za GPC; nepoštivanje signala automatsko je kršenje u tim jurisdikcijama [3].
- Previđanje registracije posrednika podataka. Kalifornija zahtijeva od posrednika podataka da se registriraju kod CPPA; samo 9% registriranih posrednika bilo je potpuno usklađeno 2026. godine [6].
- Nedosljedne politike privatnosti na različitim svojstvima. Više politika za istu organizaciju stvara proturječnosti koje regulatori i tužitelji mogu iskoristiti [7].
- Zanemarivanje ugovora s dobavljačima. Mnogi državni zakoni nameću odgovornost kontrolorima za propuste obrađivača; zastarjeli ugovori o obradi podataka značajan su nedostatak.
- Tretiranje automatiziranog donošenja odluka kao nereguliranog. Novi državni amandmani dodaju zahtjeve za objavu i isključenje za algoritamske odluke sa značajnim učincima na potrošače [4].
Što bi moje poslovanje trebalo prvo učiniti kako bi se pripremilo za državne zakone o privatnosti
Započnite s inventurom podataka i analizom primjenjivosti jurisdikcije, ova dva koraka određuju sve ostalo. Bez poznavanja podataka koje posjedujete i zakona koje države se primjenjuju na vaše poslovanje, nijedan program usklađenosti ne može biti pravilno definiran.
Neposredni prioriteti za 2026.:
- Provedite vježbu mapiranja podataka kako biste identificirali tokove osobnih podataka, dobavljače i svrhe obrade
- Odredite koje državne pragove vaše poslovanje ispunjava
- Implementirajte podršku za GPC signal, ovaj pojedinačni korak istovremeno rješava obveze isključenja u 11 država
- Revidirajte svoju politiku privatnosti radi potpunosti i dosljednosti
- Uspostavite dokumentirani postupak unosa i odgovora na DSR
- Pregledajte sve ugovore o dijeljenju podataka s trećim stranama
Za organizacije koje još nisu implementirale rješenje za upravljanje pristankom, Biscotti CMP pruža infrastrukturu za upravljanje signalima pristanka, poštivanje zahtjeva za isključenje i održavanje zapisa o pristanku u svim jurisdikcijama.
Često postavljana pitanja
P: Primjenjuju li se državni zakoni o privatnosti na poduzeća izvan SAD-a? Da. Većina državnih zakona primjenjuje se na temelju mjesta prebivališta potrošača, a ne mjesta osnivanja poduzeća. Europska tvrtka koja opslužuje stanovnike Kalifornije podliježe CCPA/CPRA ako ispunjava primjenjive pragove.
P: Što je Global Privacy Control (GPC) i zašto je važan? GPC je signal na razini preglednika koji automatski komunicira preferenciju isključenja potrošača web stranicama. Jedanaest država sada zahtijeva od poduzeća da ga poštuju, čineći podršku GPC-u gotovo univerzalnim zahtjevom usklađenosti za web stranice okrenute prema SAD-u [3].
P: Mora li se moje poslovanje uskladiti ako prikuplja samo adrese e-pošte? Moguće. Adrese e-pošte su osobni podaci prema svim državnim zakonima o privatnosti. Hoćete li se morati uskladiti ovisi o tome od koliko stanovnika države prikupljate podatke i prodajete li ili dijelite te podatke.
P: Koja je razlika između kontrolora podataka i obrađivača podataka prema državnim zakonima? Kontrolor određuje svrhe i sredstva obrade osobnih podataka. Obrađivač obrađuje podatke u ime kontrolora. Većina državnih zakona nameće primarne obveze kontrolorima, ali obrađivači se također moraju pridržavati ugovornih zahtjeva koje postavljaju kontrolori.
P: Koliko dugo poduzeća imaju za odgovor na zahtjeve potrošača za podacima? Većina državnih zakona zahtijeva odgovor u roku od 45 dana, s mogućim produljenjem od 45 dana za složene zahtjeve. Kalifornija dopušta do 90 dana u nekim okolnostima.
P: Je li banner za kolačiće dovoljan za usklađenost s američkim državnim zakonom? Sam banner za kolačiće nije dovoljan. Mora biti potkrijepljen stvarnom infrastrukturom za upravljanje pristankom koja bilježi preferencije, poštuje signale isključenja (uključujući GPC) i sprječava dijeljenje podataka prije nego što se dobije pristanak tamo gdje je to potrebno.
P: Što se smatra "osjetljivim podacima" prema državnim zakonima o privatnosti? Definicije se razlikuju, ali osjetljivi podaci obično uključuju: preciznu geolokaciju, zdravstvene i medicinske informacije, biometrijske podatke, podatke o financijskim računima, rasno ili etničko podrijetlo, seksualnu orijentaciju i podatke o djeci. Većina državnih zakona zahtijeva pristanak (opt-in) za obradu osjetljivih podataka.
P: Mogu li potrošači izravno tužiti poduzeća zbog kršenja privatnosti? U Kaliforniji, potrošači mogu podnijeti privatne tužbe za povrede podataka koje uključuju određene kategorije osobnih podataka. Većina drugih država ograničava provedbu na državnog odvjetnika, što znači da ne postoji privatno pravo na tužbu izvan Kalifornije za opća kršenja privatnosti.
P: Kako odluka Vrhovnog suda iz 2026. o geofenceu utječe na marketing? Odluka Chatrie protiv Sjedinjenih Država (2. srpnja 2026.) utvrdila je da široko prikupljanje podataka o lokaciji na temelju geofencea zahtijeva specifičan nalog prema Četvrtom amandmanu [1]. Iako se odluka izravno odnosi na provedbu zakona, ona signalizira pojačani sudski nadzor nad praksama podataka o lokaciji i može utjecati na to kako regulatori tumače obveze podataka o lokaciji prema državnim zakonima o privatnosti.
P: Što je kalifornijska DROP platforma? DROP (Data Removal and Opt-out Platform) pokrenuta je početkom 2026. godine i omogućuje stanovnicima Kalifornije da zatraže brisanje svojih osobnih podataka od stotina registriranih posrednika podataka putem jedne prijave [5].
Zaključak
Državni krajolik privatnosti se ne pojednostavljuje, već se širi. S 23 sveobuhvatna zakona aktivna od sredine 2026. godine, 3,425 milijardi dolara kazni prikupljenih u 2025. godini i Louisiana's Act 502 koja dodaje 24. jurisdikciju 2027. godine, trošak neaktivnosti postao je konkretan i mjerljiv [2][4].
Dobra vijest je da strukturirana arhitektura usklađenosti rješava većinu složenosti bez potrebe za zasebnim programima za svaku državu. Izgradite prema kalifornijskom standardu kao osnovi, odmah implementirajte podršku za GPC, revidirajte svoje tokove podataka i ugovore s dobavljačima i osigurajte da je vaša politika privatnosti interno dosljedna. Ovi koraci rješavaju većinu obveza u svim aktivnim državnim zakonima.
Za organizacije koje upravljaju pristankom u velikom opsegu, implementacija namjenski izgrađene infrastrukture, kao što je Biscotti CMP, najpouzdaniji je način za automatizaciju rukovanja signalima isključenja, održavanje revizibilnih zapisa o pristanku i prilagodbu kako novi državni zahtjevi stupaju na snagu. Čekanje saveznog zakona za rješavanje fragmentacije nije održiva strategija. Države donose zakone, regulatori provode, a poduzeća koja sada grade trajne programe usklađenosti imat će značajnu konkurentsku prednost kako se krajolik nastavlja razvijati.
Reference
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai