Gyors válasz: 2026 közepére 23 amerikai állam fogadott el átfogó fogyasztói adatvédelmi törvényeket, anélkül, hogy szövetségi törvény egyesítené őket. Az államhatárokon átnyúlóan működő vállalkozásoknak átfedő, néha ellentmondásos kötelezettségeket kell kezelniük, az opt-in és opt-out hozzájárulási modellektől kezdve a lefedett entitásnak minősülőkre vonatkozó eltérő küszöbértékekig. A megfelelési teher valós, de egy strukturált, rétegzett megközelítés a legtöbb követelményt egyszerre képes kezelni.
Főbb tanulságok
- Huszonhárom állam fogadott el átfogó adatvédelmi törvényeket 2026 közepére, a legújabb a Louisiana-i Act 502, amely 2027. január 1-jén lép hatályba [2]
- Az amerikai állami adatvédelmi szabályozók 2025-ben 3,425 milliárd dollár bírságot szedtek be, ami közel kétszerese a 2024-es 1,827 milliárd dollárnak, a végrehajtás gyorsul [4]
- Az állami törvények nagyjából két modellre oszthatók: a kaliforniai modellre (opt-out, magánjogi keresetindítási jog) és a virginiai modellre (opt-in az érzékeny adatokra, kizárólag AG végrehajtás) [3]
- Tizenegy állam írja elő a Global Privacy Control (GPC) univerzális opt-out mechanizmus támogatását, ami de facto nemzeti szabvánnyá teszi az opt-outot [3]
- Egy 2026 májusi tanulmány szerint az 522 regisztrált kaliforniai adatbrókernek mindössze 9%-a bizonyult teljesen megfelelőnek, a nem megfelelés széles körben elterjedt még a szabályozott entitások körében is [6]
- Nincs átfogó szövetségi adatvédelmi törvény; a 2024-ben bevezetett American Privacy Rights Act nem lépett hatályba [2]
- Egyetlen, jól strukturált adatvédelmi szabályzat, államspecifikus kiegészítésekkel általában elegendő, külön szabályzatok államonként nem szükségesek
- Az adatkezelési infrastruktúra, például egy olyan platform, mint a Biscotti CMP, egyre inkább elengedhetetlen az opt-out és hozzájárulási munkafolyamatok automatizálásához a joghatóságok között
Mely államokban vannak adatvédelmi törvények és mit fednek le
2026 közepére 23 állam fogadott el átfogó fogyasztói adatvédelmi jogszabályokat, és a szám folyamatosan növekszik. Indiana, Kentucky és Rhode Island 2026. január 1-jén kezdte meg a végrehajtást, ami tovább bonyolítja a már amúgy is összetett helyzetet [9]. A Louisiana-i Act 502, amelyet 2026. május 29-én írtak alá, a legújabb kiegészítés, és 2027. január 1-jén lép hatályba [2].
A legtöbb törvény közös jogokat tartalmaz: hozzáférés, helyesbítés, törlés, hordozhatóság, valamint a személyes adatok értékesítésének vagy megosztásának megtagadása. Azonban a részletek jelentősen eltérnek a hatókör, a küszöbértékek és a végrehajtási mechanizmusok tekintetében.
Aktív átfogó adatvédelmi törvényekkel rendelkező államok (reprezentatív példák):
| Állam | Hatálybalépés dátuma | Fő jellemző |
|---|---|---|
| Kalifornia (CCPA/CPRA) | 2020 / 2023 | Magánjogi keresetindítási jog adatvédelmi incidensek esetén; DROP platform |
| Virginia (VCDPA) | 2023 | Opt-in az érzékeny adatokra; kizárólag AG végrehajtás |
| Colorado (CPA) | 2023 | GPC kötelező; széles érzékeny adat kategóriák |
| Texas (TDPSA) | 2024 | Nincs bevételi küszöb; AG végrehajtás |
| Louisiana (Act 502) | 2027. január 1. | A legújabb jogszabály 2026 közepén |
Mik a fő különbségek az USA állami adatvédelmi törvényei között
Az USA állami adatvédelmi törvényeinek töredezett valóságában való navigálás központi megosztottsága a kaliforniai modell és a virginiai modell közötti különbség. Ez a két keretrendszer vált a legtöbb más állam által adaptált sablonná.
Kaliforniai modell jellemzői:
- Opt-out alapértelmezés az adatok értékesítése és megosztása esetén (a fogyasztóknak aktívan le kell mondaniuk)
- Magánjogi keresetindítási jog adatvédelmi incidensek esetén
- Szélesebb alkalmazhatósági küszöbök (bevétel-alapú és adatmennyiség-alapú)
- Tartalmazza az univerzális opt-out mechanizmus követelményét (GPC)
Virginiai modell jellemzői:
- Opt-in hozzájárulás szükséges az érzékeny személyes adatok feldolgozásához
- A végrehajtás az állami főügyészre korlátozódik
- Nincs magánjogi keresetindítási jog az egyéni fogyasztók számára
- Általában szűkebb az "érzékeny adatok" meghatározása
Az eltérés valós működési súrlódást okoz. Egy vállalkozás, amely Kaliforniában az opt-out hozzájárulást alkalmazza alapértelmezésként, mégis szüksége lehet megerősítő opt-in hozzájárulásra az érzékeny adat kategóriákhoz Virginia, Colorado vagy Connecticut szabályai szerint, mindezt egyszerre [3].
Hogyan hasonlítható össze a CCPA, a GDPR és más állami törvények
Kalifornia CCPA/CPRA-ja az EU GDPR-jének legközelebbi amerikai analógja, de fontos strukturális különbségek továbbra is fennállnak. A GDPR minden adatfeldolgozáshoz jogalapot ír elő, és a legtöbb felhasználáshoz opt-in hozzájárulást ír elő. A CCPA az adateladásokra opt-out modellt alkalmaz, az opt-in csak kiskorúak és érzékeny adat kategóriák esetén szükséges a CPRA módosításai szerint.
Más állami törvények középutat foglalnak el: GDPR-stílusú adatvédelmi jogokat (hozzáférés, helyesbítés, törlés) kölcsönöznek, miközben megőrzik az amerikai preferenciát az opt-out alapértelmezések iránt az opt-in hozzájárulás helyett. Ennek eredményeként egy GDPR-kompatibilis program erős alapot biztosít, de nem elégíti ki automatikusan az amerikai állami követelményeket, különösen az adatbróker közzétételek, az értékesítési opt-outok és a célzott hirdetési korlátozások tekintetében.
Melyik állami adatvédelmi törvény a legszigorúbb
Kalifornia marad a legigényesebb joghatóság a legtöbb vállalkozás számára. A CPRA bevezette a California Privacy Protection Agency-t (CPPA) mint dedikált végrehajtó szervet, kibővítette az érzékeny adat kategóriákat, és létrehozta a Data Removal and Opt-out Platformot (DROP), amelyet 2026 elején indítottak el, és amely lehetővé teszi a lakosok számára, hogy egyetlen beadvánnyal kérjék az adatok törlését több száz adatbrókertől [5].
Colorado a működési komplexitás tekintetében szorosan a második helyen áll, tekintettel a kötelező GPC támogatására, a széles érzékeny adat meghatározásokra és az automatizált döntéshozatalra vonatkozó aktív szabályalkotásra. Kifejezetten az adatbróker szektorban működő vállalkozások számára Kalifornia követelményei külön kategóriát képviselnek, egy 2026 májusi tanulmány szerint az 522 regisztrált adatbrókernek mindössze 9%-a bizonyult teljesen megfelelőnek [6].
Mi a legegyszerűbb módja a több állami adatvédelmi törvénynek való megfelelésnek
Az USA állami adatvédelmi törvényeinek töredezett valóságában való navigálás leghatékonyabb módja egy rétegzett megfelelési architektúra: alapként a legszigorúbb szabványhoz igazodva építeni, majd erre rétegezni az államspecifikus követelményeket.
Gyakorlati lépések:
- Végezzen adatleltárt. Térképezze fel a gyűjtött személyes adatok minden kategóriáját, forrását, feldolgozási célját és harmadik fél címzettjeit. Ez minden állami törvény alapja.
- Azonosítsa az alkalmazandó joghatóságokat. Határozza meg, hogy vállalkozása mely állami küszöbértékeket éri el, a legtöbb törvény az érintett lakosok száma vagy az adateladásokból származó bevétel alapján lép életbe.
- Implementáljon univerzális opt-out mechanizmust. Azonnal telepítse a GPC támogatást. Tizenegy állam írja elő most, és a lista folyamatosan bővül [3]. Egy adatkezelési platform, mint például a Biscotti CMP, automatizálhatja a GPC jel észlelését és valós időben teljesítheti az opt-out kéréseket.
- Szegmentálja a hozzájárulást az érzékeny adatokhoz. Építsen opt-in hozzájárulási folyamatokat az érzékeny kategóriákhoz (egészségügyi, biometrikus, pontos földrajzi helymeghatározás), hogy megfeleljen a virginiai modellű államoknak.
- Hozzon létre adatvédelmi jogok gyakorlására vonatkozó kérelem (DSR) munkafolyamatot. A legtöbb törvény 45 napon belüli választ ír elő. Automatizálja a beérkezést és az útválasztást.
- Frissítse a szállítói szerződéseket. Az adatfeldolgozási megállapodásoknak tükrözniük kell az egyes államok követelményeit a feldolgozók és szolgáltatók számára.
- Tekintse át az automatizált döntéshozatali gyakorlatokat. Több állam is kötelezettségeket ad hozzá ezen a területen, különösen a jogi vagy jelentős hatású döntések esetében [4].
Szükségem van külön adatvédelmi szabályzatra minden államhoz?
Nem, külön szabályzatok államonként jogilag nem kötelezőek, és általában nem is tanácsosak. Egyetlen, jól strukturált adatvédelmi szabályzat, amely minden szükséges közzétételt tartalmaz, kiegészítve államspecifikus kiegészítésekkel vagy értesítési szakaszokkal, a legtöbb törvénynek megfelel. Egy 2025 júliusában közzétett kutatás szerint a több adatvédelmi szabályzattal rendelkező amerikai bankok 53,8%-ánál belső ellentmondásokat találtak, ami zavart okozott a fogyasztókban és aláásta az átláthatósági célokat [7]. Egy egységes szabályzat csökkenti ezt a kockázatot.
A szabályzatnak legalább a következőket kell tartalmaznia: a gyűjtött adatok kategóriái, a feldolgozás céljai, a harmadik féllel való megosztás, a fogyasztói jogok joghatóságonként, és a kérelmek benyújtásának módja. Kalifornia egy specifikus "Ne adja el vagy ossza meg személyes adataimat" linket ír elő; más államok hasonló követelményekkel rendelkeznek, amelyek egyetlen opt-out mechanizmussal kezelhetők.
Mennyibe kerül az állami adatvédelmi törvényeknek való megfelelés?
A megfelelési költségek jelentősen eltérnek a vállalkozás méretétől, az adatok komplexitásától és a meglévő infrastruktúrától függően. Nincs egyetlen ellenőrzött iparági referenciaérték, amely univerzálisan alkalmazható lenne, de a költségmeghajtók jól ismertek:
- Technológia: Az adatkezelési platformok, a DSR automatizálási eszközök és az adatfeltérképező szoftverek jelentik a legnagyobb ismétlődő költségeket a legtöbb szervezet számára.
- Jogi felülvizsgálat: A kezdeti szabályzat kidolgozása és az éves frissítések egy többállami programhoz általában külső jogi tanácsadót vagy dedikált adatvédelmi ügyvédet igényelnek.
- Működési rezsi: Személyzeti idő a DSR feldolgozására, a szállítói menedzsmentre és a képzésre.
A korlátozott adatkezelési műveletekkel rendelkező kisvállalkozások számára egy jól konfigurált adatkezelési megoldás és egy felülvizsgált adatvédelmi szabályzat jelentheti a befektetés nagy részét. A nagy adatmennyiségeket kezelő vagy adatbróker funkciókat ellátó vállalatok számára a költségek jelentősen növekednek, különösen, mivel a bírságok ma már hiteles pénzügyi kockázatot jelentenek, 2025-ben csak az állami szabályozók 3,425 milliárd dollárt szedtek be [4].
Mi történik, ha a vállalkozásom megsérti az állami adatvédelmi törvényeket?
A büntetések államonként eltérőek, de következetes mintát követnek: polgári bírságok jogsértésenként, orvoslási időszakok (amelyeket az újabb törvények rövidítenek vagy megszüntetnek), és Kalifornia esetében a fogyasztók által indított perek lehetősége adatvédelmi incidensek esetén.
- Kalifornia: Akár 7500 dollár szándékos jogsértésenként; nincs orvoslási időszak szándékos jogsértések esetén
- Virginia: Akár 7500 dollár jogsértésenként 30 napos orvoslási időszak után
- Colorado: Akár 20 000 dollár jogsértésenként; az orvoslási időszak 2025. január 1. után megszűnt
- Texas: Akár 7500 dollár jogsértésenként; AG végrehajtás polgári vizsgálati kérelmekkel
A 2025-ös végrehajtási hullám, amely közel megduplázta az éves bírságok összegét, azt jelzi, hogy a szabályozók túlléptek a tudatosság fázisán [4]. Azoknak a vállalkozásoknak, amelyek alacsony végrehajtási kockázattal számoltak, újra kell értékelniük ezt a feltételezést.
Megengedhetik-e maguknak a kisvállalkozások, hogy megfeleljenek az összes állami adatvédelmi követelménynek?
A legtöbb állami adatvédelmi törvény tartalmaz küszöbértékeket, amelyek célja a nagyon kisvállalkozások mentesítése. Gyakori kiváltó okok közé tartozik az évi 100 000 vagy több fogyasztó adatainak feldolgozása, vagy a bevétel 25-50%-ánál nagyobb részének adateladásokból való származása. Egy kis e-kereskedelmi vállalkozás, amely nem ad el fogyasztói adatokat, és kevesebb mint 100 000 állami lakost szolgál ki, több küszöbérték alá eshet.
Ennek ellenére Texas TDPSA-ja figyelemre méltóan nem tartalmaz bevételi küszöböt, ami azt jelenti, hogy minden olyan vállalkozásnak, amely texasi lakosok adatait dolgozza fel és megfelel a fogyasztói szám küszöbértékének, meg kell felelnie, függetlenül a bevétel nagyságától [3]. A kisvállalkozásoknak nem szabad feltételezniük a mentességet joghatóságonkénti elemzés nélkül.
A kisebb szervezetek költséghatékony megfelelése általában a következőket jelenti: felülvizsgált adatvédelmi szabályzat, GPC támogatás egy adatkezelési eszközön keresztül, és dokumentált folyamat a hozzáférési és törlési kérelmek kezelésére.
Mely iparágakat érintik leginkább az állami adatvédelmi törvények?
Az adatintenzív iparágak szembesülnek a legnagyobb megfelelési teherrel. A leginkább kitett szektorok a következők:
- AdTech és online marketing ügynökségek: A célzott hirdetési korlátozások, a cookie-hozzájárulási követelmények és az adatok megosztására vonatkozó opt-out kötelezettségek érintik a leginkább ezt a szektort.
- E-kereskedelem: A tranzakciókból származó széles körű adatgyűjtés, a viselkedéskövetés és a harmadik fél integrációk számos megfelelési pontot hoznak létre.
- Egészségügy és egészségügyi technológia: Az érzékeny egészségügyi adatok a legtöbb állami törvény szerint opt-in követelményeket váltanak ki, a HIPAA kötelezettségektől függetlenül.
- Adatbrókerek: A legszigorúbban ellenőrzött kategória, Kalifornia DROP platformja és a brókerspecifikus regisztrációs követelmények magas lécet állítanak [5][6].
- Pénzügyi szolgáltatások: A kutatások jelentős következetlenséget mutatnak abban, ahogyan a bankok kezelik az adatvédelmi közzétételeket több szabályzatban [7].
Hogyan érintik az állami adatvédelmi törvények az e-kereskedelmet és az online vállalkozásokat?
Az online vállalkozások számára az USA állami adatvédelmi törvényeinek töredezett valóságában való navigálás elsősorban az adatkezelési és adatfolyam-kötelezettségeket jelenti. Minden olyan weboldal, amely harmadik féltől származó nyomkövető pixeleket, viselkedésalapú hirdetéseket vagy olyan analitikai eszközöket használ, amelyek adatokat osztanak meg a szállítókkal, potenciálisan "adatmegosztásban" vagy "értékesítésben" vesz részt több állami definíció szerint.
A gyakorlati következmények:
- A cookie-bannereknek automatikusan tiszteletben kell tartaniuk a GPC jeleket 11 államban [3]
- A remarketing és a hasonló közönség programok "megosztásnak" minősülhetnek a CCPA szerint, ami opt-out mechanizmusokat igényel
- A Legfelsőbb Bíróság 2026 júliusi Chatrie v. United States ítélete, amely kimondta, hogy a széles körű geofence-alapú helymeghatározási adatgyűjtés a negyedik alkotmánykiegészítés szerinti kutatásnak minősül, új dimenziót ad a helyalapú marketing gyakorlatoknak [1]
- A viselkedésalapú adatokat monetizáló előfizetési és hűségprogramok fokozott ellenőrzés alá kerülnek
Egy olyan adatkezelési platform, amely integrálódik a főbb hirdetési technológiai stackekkel és továbbítja az opt-out preferenciákat, már nem opcionális a legtöbb jelentős méretű online vállalkozás számára.
Jön-e szövetségi adatvédelmi törvény az állami törvények helyett?
Nem azonnal. A 2024-ben bevezetett American Privacy Rights Act (APRA) nem lépett hatályba, és 2026 közepéig nem fogadtak el átfogó szövetségi adatvédelmi jogszabályt [2]. A politikai akadályok, elsősorban az a nézeteltérés, hogy egy szövetségi törvénynek felül kell-e írnia az állami törvényeket, és hogy tartalmazzon-e magánjogi keresetindítási jogot, továbbra is megoldatlanok.
A gyakorlati következmény az, hogy az államonkénti mozaik tovább fog bővülni. Louisiana Act 502-je a 23. állami törvény, és számos más államban is aktív jogszabályok vannak folyamatban. A vállalkozásoknak a folyamatos töredezettségre kell tervezniük, ahelyett, hogy a szövetségi felülírásra várnának.
Melyek a gyakori hibák, amelyeket a vállalatok elkövetnek az állami adatvédelmi megfelelés során?
Számos ismétlődő hiba aránytalanul nagy részét teszi ki a végrehajtási kitettségnek:
- Feltételezés, hogy a GDPR megfelelés fedezi az USA kötelezettségeit. A GDPR és az USA állami törvényei hasonló koncepciókat tartalmaznak, de lényegesen eltérnek a hozzájárulási alapértelmezések, a végrehajtási mechanizmusok és a specifikus jogok tekintetében.
- A GPC jelek figyelmen kívül hagyása. Tizenegy állam írja elő most a GPC támogatását; a jel tiszteletben tartásának elmulasztása automatikus jogsértés ezekben a joghatóságokban [3].
- Az adatbróker regisztráció figyelmen kívül hagyása. Kalifornia előírja az adatbrókereknek, hogy regisztráljanak a CPPA-nál; a regisztrált brókereknek mindössze 9%-a bizonyult teljesen megfelelőnek 2026-ban [6].
- Következetlen adatvédelmi szabályzatok a különböző tulajdonok között. Ugyanazon szervezet több szabályzata ellentmondásokat hoz létre, amelyeket a szabályozók és a felperesek kihasználhatnak [7].
- A szállítói szerződések elhanyagolása. Sok állami törvény felelősséget ró az adatkezelőkre a feldolgozók hibáiért; az elavult adatfeldolgozási megállapodások jelentős hiányosságot jelentenek.
- Az automatizált döntéshozatal szabályozatlan kezelése. Az új állami módosítások közzétételi és opt-out követelményeket adnak hozzá az algoritmikus döntésekhez, amelyek jelentős fogyasztói hatásokkal járnak [4].
Mit tegyen a vállalkozásom először, hogy felkészüljön az állami adatvédelmi törvényekre?
Kezdje egy adatleltárral és egy joghatósági alkalmazhatósági elemzéssel, ez a két lépés határoz meg mindent. Anélkül, hogy tudná, milyen adatokat tárol, és mely államok törvényei vonatkoznak a működésére, egyetlen megfelelési program sem határozható meg megfelelően.
Azonnali prioritások 2026-ra:
- Végezzen adatfeltérképezési gyakorlatot a személyes adatfolyamok, szállítók és feldolgozási célok azonosítására
- Határozza meg, hogy vállalkozása mely állami küszöbértékeket éri el
- Implementálja a GPC jel támogatását, ez az egyetlen lépés 11 államban egyszerre kezeli az opt-out kötelezettségeket
- Ellenőrizze adatvédelmi szabályzatát a teljesség és a következetesség szempontjából
- Hozzon létre egy dokumentált DSR beérkezési és válaszadási folyamatot
- Tekintse át az összes harmadik féllel kötött adatmegosztási megállapodást
Azoknak a szervezeteknek, amelyek még nem telepítettek adatkezelési megoldást, a Biscotti CMP infrastruktúrát biztosít az adatkezelési jelek kezelésére, az opt-out kérelmek teljesítésére és a joghatóságok közötti ellenőrizhető adatkezelési nyilvántartások fenntartására.
GYIK
K: Az állami adatvédelmi törvények vonatkoznak az USA-n kívüli vállalkozásokra is? Igen. A legtöbb állami törvény az alapján alkalmazandó, hogy hol laknak a fogyasztók, nem pedig az alapján, hogy hol van bejegyezve a vállalkozás. Egy európai vállalat, amely kaliforniai lakosokat szolgál ki, a CCPA/CPRA hatálya alá tartozik, ha megfelel az alkalmazandó küszöbértékeknek.
K: Mi a Global Privacy Control (GPC) és miért fontos? A GPC egy böngésző szintű jel, amely automatikusan közli a fogyasztó opt-out preferenciáját a weboldalakkal. Tizenegy állam írja elő most a vállalkozásoknak, hogy tartsák tiszteletben, így a GPC támogatása közel univerzális megfelelési követelmény az USA-ra irányuló weboldalak számára [3].
K: Be kell tartanom a szabályokat, ha a vállalkozásom csak e-mail címeket gyűjt? Lehetséges. Az e-mail címek személyes adatoknak minősülnek az összes állami adatvédelmi törvény szerint. Az, hogy be kell-e tartania a szabályokat, attól függ, hány állami lakostól gyűjt adatokat, és hogy eladja-e vagy megosztja-e ezeket az adatokat.
K: Mi a különbség az adatkezelő és az adatfeldolgozó között az állami törvények szerint? Az adatkezelő határozza meg a személyes adatok feldolgozásának céljait és eszközeit. Az adatfeldolgozó az adatkezelő nevében kezeli az adatokat. A legtöbb állami törvény elsődleges kötelezettségeket ró az adatkezelőkre, de az adatfeldolgozóknak is meg kell felelniük az adatkezelők által meghatározott szerződéses követelményeknek.
K: Mennyi idő áll a vállalkozások rendelkezésére, hogy válaszoljanak a fogyasztói adatkérésekre? A legtöbb állami törvény 45 napon belüli választ ír elő, összetett kérelmek esetén további 45 napos hosszabbítással. Kalifornia bizonyos körülmények között akár 90 napot is engedélyez.
K: Elegendő-e egy cookie-banner az USA állami törvényeinek való megfeleléshez? Egy cookie-banner önmagában nem elegendő. Mögötte tényleges adatkezelési infrastruktúrának kell állnia, amely rögzíti a preferenciákat, tiszteletben tartja az opt-out jeleket (beleértve a GPC-t is), és megakadályozza az adatok megosztását, mielőtt a hozzájárulást megszerezték volna, ahol ez szükséges.
K: Mi számít "érzékeny adatnak" az állami adatvédelmi törvények szerint? A definíciók eltérőek, de az érzékeny adatok általában a következőket foglalják magukban: pontos földrajzi helymeghatározás, egészségügyi és orvosi információk, biometrikus adatok, pénzügyi számlaadatok, faji vagy etnikai származás, szexuális irányultság és gyermekekre vonatkozó adatok. A legtöbb állami törvény opt-in hozzájárulást ír elő az érzékeny adatok feldolgozásához.
K: Perelhetik-e a fogyasztók közvetlenül a vállalkozásokat adatvédelmi jogsértések miatt? Kaliforniában a fogyasztók magánpereket indíthatnak bizonyos kategóriájú személyes adatokkal kapcsolatos adatvédelmi incidensek miatt. A legtöbb más állam a végrehajtást a főügyészre korlátozza, ami azt jelenti, hogy Kalifornián kívül nincs magánjogi keresetindítási jog az általános adatvédelmi jogsértések miatt.
K: Hogyan befolyásolja a Legfelsőbb Bíróság 2026-os geofence ítélete a marketinget? A Chatrie v. United States ítélet (2026. július 2.) kimondta, hogy a széles körű geofence-alapú helymeghatározási adatgyűjtéshez a negyedik alkotmánykiegészítés szerint specifikus parancs szükséges [1]. Bár az ítélet közvetlenül a bűnüldözésre vonatkozik, jelzi a helymeghatározási adatgyakorlatok fokozott bírósági ellenőrzését, és befolyásolhatja, hogy a szabályozók hogyan értelmezik a helymeghatározási adatokra vonatkozó kötelezettségeket az állami adatvédelmi törvények szerint.
K: Mi Kalifornia DROP platformja? A DROP (Data Removal and Opt-out Platform) 2026 elején indult, és lehetővé teszi a kaliforniai lakosok számára, hogy egyetlen beadvánnyal kérjék személyes adataik törlését több száz regisztrált adatbrókertől [5].
Konklúzió
Az államonkénti adatvédelmi környezet nem egyszerűsödik, hanem bővül. 2026 közepére 23 átfogó törvény van hatályban, 2025-ben 3,425 milliárd dollár bírságot szedtek be, és Louisiana Act 502-je 2027-ben egy 24. joghatóságot ad hozzá, a tétlenség költségei konkrétak és mérhetőek lettek [2][4].
A jó hír az, hogy egy strukturált megfelelési architektúra kezeli a komplexitás nagy részét anélkül, hogy minden államhoz külön programokra lenne szükség. Építsen Kalifornia szabványára alapként, azonnal implementálja a GPC támogatását, ellenőrizze adatfolyamait és szállítói szerződéseit, és biztosítsa, hogy adatvédelmi szabályzata belsőleg következetes legyen. Ezek a lépések az összes aktív állami törvény szerinti kötelezettségek többségét kezelik.
Azoknak a szervezeteknek, amelyek nagy mértékben kezelnek hozzájárulásokat, a célzott infrastruktúra, például a Biscotti CMP telepítése a legmegbízhatóbb módja az opt-out jelkezelés automatizálására, az ellenőrizhető hozzájárulási nyilvántartások fenntartására és az új állami követelményekhez való alkalmazkodásra. A töredezettség megoldására egy szövetségi törvényre várni nem életképes stratégia. Az államok jogszabályokat hoznak, a szabályozók végrehajtanak, és azok a vállalkozások, amelyek most tartós megfelelési programokat építenek ki, jelentős versenyelőnyre tesznek szert, ahogy a környezet tovább fejlődik.
Hivatkozások
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai