Быстрый ответ: На середину 2026 года 23 штата США приняли комплексные законы о конфиденциальности потребителей, при этом нет федерального закона, который бы их унифицировал. Бизнес, работающий через границы штатов, должен управлять перекрывающимися, иногда противоречивыми обязательствами, от моделей согласия с возможностью отказа до различных порогов для определения того, кто квалифицируется как охваченная сущность. Бремя соблюдения реально, но структурированный, многоуровневый подход может одновременно решить большинство требований.
Основные выводы
- Двадцать три штата приняли комплексные законы о конфиденциальности на середину 2026 года, при этом закон Луизианы Act 502 является самым последним и вступает в силу 1 января 2027 года [2]
- Регуляторы по конфиденциальности в штатах США собрали 3,425 миллиарда долларов в виде штрафов в 2025 году, что почти вдвое больше, чем 1,827 миллиарда долларов в 2024 году, принуждение к соблюдению ускоряется [4]
- Законы штатов делятся на две основные модели: калифорнийская модель (отказ от согласия, частное право на иск) и вирджинская модель (согласие на обработку чувствительных данных, только принуждение Генеральным прокурором) [3]
- Одиннадцать штатов теперь требуют поддержки универсального механизма отказа от согласия (GPC), что делает его де-факто национальным стандартом для отказа [3]
- Только 9% из 522 зарегистрированных брокеров данных в Калифорнии были признаны полностью соответствующими в исследовании мая 2026 года, несоответствие широко распространено даже среди регулируемых сущностей [6]
- Нет комплексного федерального закона о конфиденциальности; Закон о правах на конфиденциальность в Америке, представленный в 2024 году, не был принят [2]
- Одна хорошо структурированная политика конфиденциальности, дополненная специфическими для штата приложениями, обычно достаточна, отдельные политики для каждого штата не требуются
- Инфраструктура управления согласием, такая как платформа Biscotti CMP, становится все более необходимой для автоматизации процессов отказа и согласия в различных юрисдикциях
Какие штаты имеют законы о конфиденциальности и что они охватывают
На середину 2026 года 23 штата приняли комплексное законодательство о конфиденциальности потребителей, и это число продолжает расти. Индиана, Кентукки и Род-Айленд начали принуждение к соблюдению с 1 января 2026 года, добавляя к уже сложному ландшафту [9]. Закон Луизианы Act 502, подписанный 29 мая 2026 года, является самым новым дополнением, вступающим в силу 1 января 2027 года [2].
Большинство законов имеют общий набор прав: доступ, исправление, удаление, переносимость и право отказаться от продажи или передачи личных данных. Однако детали значительно различаются по объему, порогам и механизмам принуждения.
Штаты с активными комплексными законами о конфиденциальности (представительные примеры):
| Штат | Дата вступления в силу | Ключевая особенность |
|---|---|---|
| Калифорния (CCPA/CPRA) | 2020 / 2023 | Частное право на иск за нарушения; платформа DROP |
| Вирджиния (VCDPA) | 2023 | Согласие на обработку чувствительных данных; принуждение только Генеральным прокурором |
| Колорадо (CPA) | 2023 | Требуется GPC; широкие категории чувствительных данных |
| Техас (TDPSA) | 2024 | Нет порога дохода; принуждение Генеральным прокурором |
| Луизиана (Act 502) | 1 янв. 2027 | Самое последнее принятие на середину 2026 года |
Каковы основные различия между законами о конфиденциальности в штатах США
Центральное разделение в навигации по фрагментированной реальности законов о конфиденциальности в штатах США — это калифорнийская модель против вирджинской модели. Эти две структуры стали шаблонами, которые адаптируют большинство других штатов.
Характеристики калифорнийской модели:
- По умолчанию отказ от согласия на продажу и передачу данных (потребители должны активно отказаться)
- Частное право на иск за нарушения конфиденциальности данных
- Более широкие пороги применимости (основанные на доходах и объеме данных)
- Включает требование о наличии универсального механизма отказа (GPC)
Характеристики вирджинской модели:
- Требуется согласие на обработку чувствительных личных данных
- Принуждение ограничено Генеральным прокурором штата
- Нет частного права на иск для отдельных потребителей
- Обычно более узкие определения "чувствительных данных"
Это расхождение создает реальные операционные трения. Бизнес, который по умолчанию использует согласие с возможностью отказа для Калифорнии, может все равно нуждаться в активном согласии для категорий чувствительных данных в соответствии с правилами Вирджинии, Колорадо или Коннектикута, все одновременно [3].
Как CCPA, GDPR и другие законы штатов соотносятся друг с другом
CCPA/CPRA Калифорнии является ближайшим аналогом в США к GDPR ЕС, но важные структурные различия остаются. GDPR требует законного основания для всей обработки данных и обязывает получать согласие на большинство использований. CCPA работает по модели отказа для продажи данных, при этом согласие требуется только для несовершеннолетних и категорий чувствительных данных в соответствии с поправками CPRA.
Другие законы штатов занимают промежуточную позицию: они заимствуют права субъектов данных в стиле GDPR (доступ, исправление, удаление), сохраняя при этом американское предпочтение к отказу от согласия по умолчанию, а не к согласиям. В результате программа, соответствующая требованиям GDPR, предоставляет прочную основу, но не удовлетворяет автоматически требованиям штатов США, особенно в отношении раскрытия информации о брокерах данных, отказов от продажи и ограничений на целевую рекламу.
Какой закон о конфиденциальности штата является самым строгим
Калифорния остается самой требовательной юрисдикцией для большинства бизнесов. CPRA ввела Агентство по защите конфиденциальности Калифорнии (CPPA) как специализированный орган по принуждению, расширила категории чувствительных данных и создала Платформу удаления данных и отказа (DROP), запущенную в начале 2026 года, которая позволяет жителям запрашивать удаление из сотен брокеров данных через одно обращение [5].
Колорадо занимает второе место по операционной сложности, учитывая его обязательную поддержку GPC, широкие определения чувствительных данных и активное нормотворчество в области автоматизированного принятия решений. Для бизнесов в сфере брокеров данных, требования Калифорнии находятся в отдельной категории, исследование мая 2026 года показало, что только 9% из 522 зарегистрированных брокеров данных были полностью соответствующими [6].
Какой самый простой способ соблюдения множества законов о конфиденциальности штатов
Самый эффективный путь через навигацию по фрагментированной реальности законов о конфиденциальности в штатах США — это многоуровневая архитектура соблюдения: строить на основе самого строгого стандарта, а затем накладывать специфические для штата требования сверху.
Практические шаги:
- Проведите инвентаризацию данных. Составьте карту каждой категории личных данных, собранных, их источников, целей обработки и третьих лиц, получающих данные. Это основа для каждого закона штата.
- Определите применимые юрисдикции. Установите, какие пороги штатов ваш бизнес соответствует, большинство законов срабатывают на основе числа обслуживаемых жителей или дохода от продажи данных.
- Реализуйте универсальный механизм отказа. Немедленно внедрите поддержку GPC. Одиннадцать штатов теперь требуют этого, и список продолжает расти [3]. Платформа управления согласием, такая как Biscotti CMP, может автоматизировать обнаружение сигналов GPC и обрабатывать запросы на отказ в реальном времени.
- Сегментируйте согласие для чувствительных данных. Создайте потоки согласия с возможностью отказа для чувствительных категорий (здоровье, биометрические данные, точная геолокация), чтобы удовлетворить требования штатов по модели Вирджинии.
- Установите рабочий процесс запросов субъектов данных (DSR). Большинство законов требуют ответов в течение 45 дней. Автоматизируйте прием и маршрутизацию.
- Обновите контракты с поставщиками. Соглашения о обработке данных должны отражать требования каждого штата к процессорам и поставщикам услуг.
- Пересмотрите практики автоматизированного принятия решений. Несколько штатов добавляют обязательства в этой области, особенно для решений с юридическими или значительными последствиями [4].
Нужны ли мне отдельные политики конфиденциальности для каждого штата
Нет, отдельные политики для каждого штата не являются юридически обязательными и обычно не рекомендуются. Одна хорошо структурированная политика конфиденциальности, которая охватывает все необходимые раскрытия, дополненная специфическими для штата приложениями или разделами уведомлений, удовлетворяет большинству законов. Исследование, опубликованное в июле 2025 года, показало, что 53,8% банков США с несколькими политиками конфиденциальности имели внутренние несоответствия, что создавало путаницу для потребителей и подрывало цели прозрачности [7]. Единая политика снижает этот риск.
Политика должна, по крайней мере, раскрывать: категории собранных данных, цели обработки, передачу третьим лицам, права потребителей по юрисдикции и как подавать запросы. Калифорния требует конкретной ссылки "Не продавать и не делиться моей личной информацией"; в других штатах есть аналогичные требования, которые могут быть удовлетворены через единый механизм отказа.
Сколько стоит соблюдение законов о конфиденциальности штатов
Затраты на соблюдение значительно варьируются в зависимости от размера бизнеса, сложности данных и существующей инфраструктуры. Нет единого проверенного отраслевого эталона, который применим универсально, но факторы затрат хорошо известны:
- Технологии: Платформы управления согласием, инструменты автоматизации DSR и программное обеспечение для картирования данных представляют собой наибольшие постоянные затраты для большинства организаций.
- Юридическая проверка: Первоначальная разработка политики и ежегодные обновления для многогосударственной программы обычно требуют привлечения внешнего юриста или специализированного юриста по конфиденциальности.
- Операционные расходы: Время сотрудников на обработку DSR, управление поставщиками и обучение.
Для малых бизнесов с ограниченными операциями по данным хорошо настроенное решение для управления согласием и проверенная политика конфиденциальности могут составлять основную часть инвестиций. Для предприятий, обрабатывающих большие объемы данных или выполняющих функции брокеров данных, затраты значительно увеличиваются, особенно учитывая, что штрафы теперь представляют собой реальный финансовый риск, с 3,425 миллиарда долларов, собранными государственными регуляторами только в 2025 году [4].
Что произойдет, если мой бизнес нарушит законы о конфиденциальности штатов
Штрафы варьируются в зависимости от штата, но следуют последовательному шаблону: гражданские штрафы за нарушение, сроки исправления (которые сокращаются или отменяются в новых законах) и, в случае Калифорнии, возможность исков, инициированных потребителями, за утечки данных.
- Калифорния: До 7,500 долларов за преднамеренное нарушение; нет срока исправления для преднамеренных нарушений
- Вирджиния: До 7,500 долларов за нарушение после 30-дневного срока исправления
- Колорадо: До 20,000 долларов за нарушение; срок исправления отменен после 1 января 2025 года
- Техас: До 7,500 долларов за нарушение; принуждение Генеральным прокурором с гражданскими следственными требованиями
Увеличение принуждения в 2025 году, почти удвоившее годовые суммы штрафов, сигнализирует о том, что регуляторы перешли к фазе принуждения [4]. Бизнесы, которые предполагали низкий риск принуждения, должны пересмотреть это предположение.
Могут ли малые бизнесы позволить себе соблюдение всех требований конфиденциальности штатов
Большинство законов о конфиденциальности штатов включают пороги, предназначенные для освобождения очень малых бизнесов. Общие триггеры включают обработку данных о 100,000 или более потребителях ежегодно или получение более 25-50% дохода от продажи данных. Малый бизнес электронной коммерции, который не продает данные потребителей и обслуживает менее 100,000 жителей штата, может не соответствовать нескольким порогам.
Тем не менее, TDPSA Техаса заметно не имеет порога дохода, что означает, что любой бизнес, который обрабатывает данные жителей Техаса и соответствует порогу по количеству потребителей, должен соблюдать требования независимо от размера дохода [3]. Малые бизнесы не должны предполагать освобождение без анализа по юрисдикциям.
Экономически эффективное соблюдение для меньших организаций обычно означает: проверенная политика конфиденциальности, поддержка GPC через инструмент управления согласием и документированный процесс обработки запросов на доступ и удаление.
Какие отрасли наиболее подвержены влиянию законов о конфиденциальности штатов
Отрасли, интенсивно работающие с данными, сталкиваются с наибольшим бременем соблюдения. Секторы с наибольшим воздействием включают:
- AdTech и онлайн-маркетинговые агентства: Ограничения на целевую рекламу, требования к согласию на использование файлов cookie и обязательства по отказу от передачи данных сильно затрагивают этот сектор.
- Электронная коммерция: Широкий сбор данных из транзакций, поведенческое отслеживание и интеграция с третьими сторонами создают множество точек соблюдения.
- Здравоохранение и технологии здравоохранения: Чувствительные данные о здоровье требуют согласия на обработку в соответствии с большинством законов штатов, отдельно от обязательств HIPAA.
- Брокеры данных: Наиболее тщательно контролируемая категория, платформа DROP Калифорнии и требования к регистрации брокеров устанавливают высокую планку [5][6].
- Финансовые услуги: Исследования показывают значительную непоследовательность в том, как банки управляют раскрытиями конфиденциальности через несколько политик [7].
Как законы о конфиденциальности штатов влияют на электронную коммерцию и онлайн-бизнес
Для онлайн-бизнесов навигация по фрагментированной реальности законов о конфиденциальности штатов США в первую очередь переводится в обязательства по управлению согласием и потокам данных. Каждый веб-сайт, который использует сторонние пиксели отслеживания, поведенческую рекламу или аналитические инструменты, которые передают данные поставщикам, потенциально участвует в "передаче данных" или "продаже" в соответствии с определениями нескольких штатов.
Практические последствия:
- Баннеры cookie должны автоматически учитывать сигналы GPC в 11 штатах [3]
- Программы повторного таргетинга и аналогичные аудитории могут считаться "передачей" в соответствии с CCPA, требуя механизмов отказа
- Решение Верховного суда от июля 2026 года в деле Chatrie против США, которое установило, что широкое сбор данных о местоположении на основе геозон требует конкретного ордера в соответствии с Четвертой поправкой, добавляет новое измерение к практикам маркетинга на основе местоположения [1]
- Программы подписки и лояльности, которые монетизируют поведенческие данные, сталкиваются с повышенным контролем
Платформа управления согласием, которая интегрируется с основными рекламными технологиями и сигнализирует о предпочтениях отказа вниз по потоку, больше не является опцией для большинства онлайн-бизнесов значительного масштаба.
Будет ли федеральный закон о конфиденциальности, заменяющий законы штатов
Не в ближайшее время. Закон о правах на конфиденциальность в Америке (APRA), представленный в 2024 году, не был принят, и на середину 2026 года не было принято комплексного федерального законодательства о конфиденциальности [2]. Политические препятствия, в первую очередь разногласия по поводу того, должен ли федеральный закон отменять законы штатов и следует ли включать частное право на иск, остаются нерешенными.
Практическое последствие заключается в том, что мозаика законов по штатам продолжит расширяться. Закон Луизианы Act 502 является 23-м законом штата, и несколько других штатов имеют активное законодательство в процессе. Бизнесы должны планировать продолжение фрагментации, а не ждать федерального преемства.
Какие распространенные ошибки совершают компании при соблюдении законов о конфиденциальности штатов
Несколько повторяющихся ошибок составляют непропорциональную долю рисков принуждения:
- Предположение, что соблюдение GDPR охватывает обязательства в США. GDPR и законы штатов США разделяют концепции, но существенно различаются по умолчанию согласия, механизмам принуждения и конкретным правам.
- Игнорирование сигналов GPC. Одиннадцать штатов теперь требуют поддержки GPC; несоблюдение сигнала является автоматическим нарушением в этих юрисдикциях [3].
- Упущение регистрации брокеров данных. Калифорния требует, чтобы брокеры данных регистрировались в CPPA; только 9% зарегистрированных брокеров были признаны полностью соответствующими в 2026 году [6].
- Несогласованные политики конфиденциальности между объектами. Несколько политик для одной и той же организации создают противоречия, которые могут использовать регуляторы и истцы [7].
- Пренебрежение контрактами с поставщиками. Многие законы штатов возлагают ответственность на контроллеров за сбои процессоров; устаревшие соглашения о обработке данных являются значительным пробелом.
- Отношение к автоматизированному принятию решений как к нерегулируемому. Новые поправки штатов добавляют требования к раскрытию и отказу для алгоритмических решений с значительными последствиями для потребителей [4].
Что должно сделать мое предприятие в первую очередь для подготовки к законам о конфиденциальности штатов
Начните с инвентаризации данных и анализа применимости юрисдикций, эти два шага определяют все остальное. Без знания того, какие данные вы храните и какие законы штатов применимы к вашей деятельности, никакая программа соблюдения не может быть правильно определена.
Непосредственные приоритеты на 2026 год:
- Проведите упражнение по картированию данных, чтобы определить потоки личных данных, поставщиков и цели обработки
- Определите, какие пороги штатов ваш бизнес соответствует
- Реализуйте поддержку сигнала GPC, этот единственный шаг решает обязательства по отказу в 11 штатах одновременно
- Проверьте вашу политику конфиденциальности на полноту и согласованность
- Установите документированный процесс приема и ответа на запросы DSR
- Пересмотрите все соглашения о передаче данных третьим лицам
Для организаций, которые еще не внедрили решение для управления согласием, Biscotti CMP предоставляет инфраструктуру для управления сигналами согласия, соблюдения запросов на отказ и ведения записей о соблюдении в различных юрисдикциях.
Часто задаваемые вопросы
В: Применяются ли законы о конфиденциальности штатов к бизнесам за пределами США? Да. Большинство законов штатов применяются на основе места проживания потребителей, а не места регистрации бизнеса. Европейская компания, обслуживающая жителей Калифорнии, подлежит CCPA/CPRA, если она соответствует применимым порогам.
В: Что такое Глобальный контроль конфиденциальности (GPC) и почему это важно? GPC — это сигнал на уровне браузера, который автоматически сообщает о предпочтении потребителя отказаться от передачи данных на веб-сайты. Одиннадцать штатов теперь требуют, чтобы бизнесы уважали его, что делает поддержку GPC почти универсальным требованием для веб-сайтов, ориентированных на США [3].
В: Должен ли мой бизнес соблюдать требования, если он только собирает адреса электронной почты? Возможно. Адреса электронной почты являются личными данными в соответствии со всеми законами о конфиденциальности штатов. Необходимость соблюдения зависит от того, сколько жителей штата вы собираете данные и продаете или передаете ли вы эти данные.
В: Какова разница между контроллером данных и процессором данных в соответствии с законами штатов? Контроллер определяет цели и средства обработки личных данных. Процессор обрабатывает данные от имени контроллера. Большинство законов штатов возлагают основные обязательства на контроллеров, но процессоры также должны соблюдать контрактные требования, установленные контроллерами.
В: Сколько времени у бизнесов есть для ответа на запросы потребителей о данных? Большинство законов штатов требуют ответа в течение 45 дней, с возможным 45-дневным продлением для сложных запросов. Калифорния допускает до 90 дней в некоторых случаях.
В: Достаточен ли баннер cookie для соблюдения законов штатов США? Один баннер cookie недостаточен. Он должен поддерживаться фактической инфраструктурой управления согласием, которая фиксирует предпочтения, уважает сигналы отказа (включая GPC) и предотвращает передачу данных до получения согласия, где это требуется.
В: Что считается "чувствительными данными" в соответствии с законами о конфиденциальности штатов? Определения различаются, но чувствительные данные обычно включают: точную геолокацию, медицинскую информацию, биометрические данные, данные о финансовых счетах, расовое или этническое происхождение, сексуальную ориентацию и данные о детях. Большинство законов штатов требуют согласия на обработку чувствительных данных.
В: Могут ли потребители напрямую подавать иски против бизнесов за нарушения конфиденциальности? В Калифорнии потребители могут подавать частные иски за утечки данных, касающиеся определенных категорий личной информации. Большинство других штатов ограничивают принуждение Генеральным прокурором, что означает, что вне Калифорнии нет частного права на иск за общие нарушения конфиденциальности.
В: Как решение Верховного суда по геозонам в 2026 году влияет на маркетинг? Решение Chatrie против США (2 июля 2026 года) установило, что широкий сбор данных о местоположении на основе геозон требует конкретного ордера в соответствии с Четвертой поправкой [1]. Хотя решение напрямую касается правоохранительных органов, оно сигнализирует о повышенном судебном контроле за практиками сбора данных о местоположении и может повлиять на то, как регуляторы интерпретируют обязательства по данным о местоположении в соответствии с законами о конфиденциальности штатов.
В: Что такое платформа DROP Калифорнии? DROP (Платформа удаления данных и отказа) была запущена в начале 2026 года и позволяет жителям Калифорнии запрашивать удаление своих личных данных из сотен зарегистрированных брокеров данных через одно обращение [5].
Заключение
Ландшафт конфиденциальности по штатам не упрощается, он расширяется. С 23 комплексными законами, действующими на середину 2026 года, 3,425 миллиарда долларов в виде штрафов, собранных в 2025 году, и закон Луизианы Act 502, добавляющий 24-ю юрисдикцию в 2027 году, стоимость бездействия стала конкретной и измеримой [2][4].
Хорошая новость заключается в том, что структурированная архитектура соблюдения справляется с большинством сложностей, не требуя отдельных программ для каждого штата. Стройте на основе стандартов Калифорнии как базового уровня, немедленно внедряйте поддержку GPC, проверяйте свои потоки данных и контракты с поставщиками, и убедитесь, что ваша политика конфиденциальности внутренне согласована. Эти шаги охватывают большинство обязательств по всем действующим законам штатов.
Для организаций, управляющих согласием в большом масштабе, внедрение специально разработанной инфраструктуры, такой как Biscotti CMP, является самым надежным способом автоматизировать обработку сигналов отказа, поддерживать аудируемые записи согласия и адаптироваться по мере вступления в силу новых требований штатов. Ожидание федерального закона для разрешения фрагментации не является жизнеспособной стратегией. Штаты принимают законы, регуляторы осуществляют принуждение, и бизнесы, которые сейчас создают устойчивые программы соблюдения, получат значительное конкурентное преимущество по мере продолжения эволюции ландшафта.
Ссылки
[1] Верховный суд: полиция отслеживает мобильные телефоны - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] Обзор штатов - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] Трекер законов о конфиденциальности штатов: новые правила, вступающие в силу в 2026 году - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Штрафы за конфиденциальность в штатах США 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] Калифорния упростила удаление ваших данных - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Исследование соблюдения брокеров данных, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Несоответствия в политике конфиденциальности банков, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Настройки отказа по умолчанию, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Объем законов о конфиденциальности на уровне штатов США быстро расширяется в 2025 году - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] Балансировка единства и точности в законах о конфиденциальности потребителей в США - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai