Brzi odgovor: Do sredine 2026. godine, 23 američke države su usvojile sveobuhvatne zakone o privatnosti potrošača, bez federalnog zakona koji bi ih ujedinio. Preduzeća koja posluju preko državnih granica moraju upravljati preklapajućim, ponekad sukobljenim obavezama, od modela pristanka na osnovu "opt-in" do "opt-out" do različitih pragova za to ko se kvalifikuje kao pokriveni entitet. Teret usklađenosti je stvaran, ali strukturirani, višeslojni pristup može istovremeno zadovoljiti većinu zahteva.
Ključne tačke
- Dvadeset tri države su usvojile sveobuhvatne zakone o privatnosti do sredine 2026. godine, pri čemu je zakon Act 502 iz Luizijane najnoviji, stupa na snagu 1. januara 2027. [2]
- Regulatori za privatnost u američkim državama prikupili su 3.425 milijardi dolara u kaznama 2025. godine, skoro dvostruko više od 1.827 milijardi iz 2024. godine, sprovođenje se ubrzava [4]
- Državni zakoni se široko dele u dva modela: kalifornijski model (opt-out, privatno pravo na tužbu) i viržinijski model (opt-in za osetljive podatke, samo AG sprovođenje) [3]
- Jedanaest država sada zahteva podršku za Global Privacy Control (GPC) univerzalni opt-out mehanizam, čineći ga de facto nacionalnim standardom za opt-out [3]
- Samo 9% od 522 registrovana kalifornijska posrednika za podatke je pronađeno u potpunosti usklađeno u studiji iz maja 2026. godine, neusklađenost je rasprostranjena čak i među regulisanim entitetima [6]
- Ne postoji sveobuhvatan federalni zakon o privatnosti; Zakon o američkim pravima na privatnost predstavljen 2024. godine nije usvojen [2]
- Jedna, dobro strukturirana politika privatnosti dopunjena državnim specifičnim dodacima je generalno dovoljna, odvojene politike po državama nisu potrebne
- Infrastruktura za upravljanje pristankom, kao što je platforma poput Biscotti CMP, postaje sve važnija za automatizaciju opt-out i pristankovih radnih tokova širom jurisdikcija
Koje države imaju zakone o privatnosti i šta pokrivaju
Do sredine 2026. godine, 23 države su usvojile sveobuhvatnu legislativu o privatnosti potrošača, a broj se nastavlja povećavati. Indijana, Kentaki i Rod Ajlend su započeli sprovođenje 1. januara 2026. godine, dodajući već složenoj situaciji [9]. Zakon Act 502 iz Luizijane, potpisan 29. maja 2026. godine, je najnoviji dodatak, koji stupa na snagu 1. januara 2027. [2].
Većina zakona deli zajedničku osnovu prava: pristup, ispravku, brisanje, prenosivost i pravo na opt-out od prodaje ili deljenja ličnih podataka. Međutim, detalji se značajno razlikuju u opsegu, pragovima i mehanizmima sprovođenja.
Države sa aktivnim sveobuhvatnim zakonima o privatnosti (predstavni primeri):
| Država | Datum stupanja na snagu | Ključna karakteristika |
|---|---|---|
| Kalifornija (CCPA/CPRA) | 2020 / 2023 | Privatno pravo na tužbu za povrede; DROP platforma |
| Virginia (VCDPA) | 2023 | Opt-in za osetljive podatke; samo AG sprovođenje |
| Kolorado (CPA) | 2023 | GPC obavezan; široke kategorije osetljivih podataka |
| Teksas (TDPSA) | 2024 | Nema praga prihoda; AG sprovođenje |
| Luizijana (Act 502) | 1. jan 2027 | Najnovije usvajanje do sredine 2026. |
Koje su glavne razlike između zakona o privatnosti u američkim državama
Centralna podela u navigaciji kroz fragmentovanu stvarnost zakona o privatnosti u američkim državama je kalifornijski model naspram viržinijskog modela. Ova dva okvira su postala šabloni koje većina drugih država prilagođava.
Karakteristike kalifornijskog modela:
- Opt-out podrazumevano za prodaju i deljenje podataka (potrošači moraju aktivno da se isključe)
- Privatno pravo na tužbu za povrede podataka
- Širi pragovi primenljivosti (na osnovu prihoda i obima podataka)
- Uključuje zahtev za univerzalni opt-out mehanizam (GPC)
Karakteristike viržinijskog modela:
- Opt-in pristanak potreban za obradu osetljivih ličnih podataka
- Sprovođenje ograničeno na državnog tužioca
- Nema privatnog prava na tužbu za pojedinačne potrošače
- Generalno uži definicije "osetljivih podataka"
Ova divergencija stvara stvarne operativne trenice. Preduzeće koje podrazumeva opt-out pristanak za Kaliforniju može i dalje zahtevati afirmativni opt-in pristanak za osetljive kategorije podataka prema pravilima Virginije, Kolorada ili Konekitika, sve istovremeno [3].
Kako se CCPA, GDPR i drugi državni zakoni upoređuju
Kalifornijski CCPA/CPRA je najbliži američki analog EU GDPR-u, ali postoje važne strukturne razlike. GDPR zahteva zakonitu osnovu za svu obradu podataka i nalaže opt-in pristanak za većinu upotreba. CCPA funkcioniše na modelu opt-out za prodaju podataka, pri čemu je opt-in potreban samo za maloletnike i osetljive kategorije podataka prema izmenama CPRA.
Ostali državni zakoni zauzimaju srednji put: preuzimaju prava subjekata podataka u stilu GDPR-a (pristup, ispravka, brisanje) dok zadržavaju američku preferenciju za opt-out podrazumevane postavke umesto opt-in pristanka. Rezultat je da program usklađen sa GDPR-om pruža čvrstu osnovu, ali ne zadovoljava automatski zahteve američkih država, posebno u vezi sa otkrivanjem posrednika za podatke, opt-out od prodaje i ograničenjima ciljanog oglašavanja.
Koji je zakon o privatnosti države najstroži
Kalifornija ostaje najzahtevnija jurisdikcija za većinu preduzeća. CPRA je uvela Kalifornijsku agenciju za zaštitu privatnosti (CPPA) kao posvećeno telo za sprovođenje, proširila kategorije osetljivih podataka i stvorila platformu za uklanjanje podataka i opt-out (DROP), koja je pokrenuta početkom 2026. godine, što omogućava stanovnicima da zatraže brisanje iz stotina posrednika za podatke putem jedne prijave [5].
Kolorado je blizu drugog mesta po operativnoj složenosti, s obzirom na obaveznu podršku za GPC, široke definicije osetljivih podataka i aktivno donošenje pravila o automatizovanom donošenju odluka. Za preduzeća u prostoru posrednika za podatke posebno, zahtevi Kalifornije su u svojoj kategoriji, studija iz maja 2026. godine je pokazala da je samo 9% od 522 registrovana posrednika za podatke bilo u potpunosti usklađeno [6].
Koji je najlakši način da se uskladi sa više državnih zakona o privatnosti
Najefikasniji put kroz navigaciju fragmentovanom stvarnošću zakona o privatnosti u američkim državama je arhitektura usklađenosti sa nivoima: izgraditi prema najstrožem standardu kao osnovi, a zatim dodati specifične zahteve svake države.
Praktični koraci:
- Sprovesti inventar podataka. Mapirati svaku kategoriju ličnih podataka koji se prikupljaju, njihov izvor, svrhu obrade i treće strane koje ih primaju. Ovo je osnovno za svaki državni zakon.
- Identifikovati primenljive jurisdikcije. Utvrditi koje državne pragove vaše preduzeće ispunjava, većina zakona se aktivira na osnovu broja stanovnika ili prihoda od prodaje podataka.
- Implementirati univerzalni opt-out mehanizam. Odmah implementirati podršku za GPC. Jedanaest država sada to zahteva, a lista se širi [3]. Platforma za upravljanje pristankom kao što je Biscotti CMP može automatizovati detekciju GPC signala i poštovati opt-out zahteve u realnom vremenu.
- Segmentirati pristanak za osetljive podatke. Izgraditi opt-in tokove pristanka za osetljive kategorije (zdravlje, biometrijski podaci, precizna geolokacija) kako bi se zadovoljili zahtevi država modela Virginije.
- Usvojiti radni tok za zahteve subjekata podataka (DSR). Većina zakona zahteva odgovore u roku od 45 dana. Automatizovati prijem i usmeravanje.
- Ažurirati ugovore sa dobavljačima. Ugovori o obradi podataka moraju odražavati zahteve svake države za procesore i pružaoce usluga.
- Pregledati prakse automatizovanog donošenja odluka. Više država dodaje obaveze ovde, posebno za odluke sa pravnim ili značajnim posledicama [4].
Da li su mi potrebne odvojene politike privatnosti za svaku državu
Ne, odvojene politike po državama nisu zakonski obavezne i generalno su nepreporučljive. Jedna, dobro strukturirana politika privatnosti koja pokriva sve potrebne objave, dopunjena državnim specifičnim dodacima ili odeljcima obaveštenja, zadovoljava većinu zakona. Istraživanje objavljeno u julu 2025. godine pokazalo je da je 53,8% američkih banaka sa više politika privatnosti prikazalo unutrašnje nedoslednosti, što je stvorilo konfuziju među potrošačima i undermined ciljeve transparentnosti [7]. Ujedinjena politika smanjuje taj rizik.
Politika mora, kao minimum, otkriti: kategorije prikupljenih podataka, svrhe obrade, deljenje sa trećim stranama, prava potrošača po jurisdikciji i kako podneti zahteve. Kalifornija zahteva specifičnu vezu "Ne prodajte ili delite moje lične informacije"; druge države imaju slične zahteve koji se mogu obraditi putem jednog opt-out mehanizma.
Koliko košta usklađivanje sa državnim zakonima o privatnosti
Troškovi usklađenosti značajno variraju u zavisnosti od veličine preduzeća, složenosti podataka i postojeće infrastrukture. Ne postoji jedinstvena verifikovana industrijska norma koja se univerzalno primenjuje, ali su faktori troškova dobro razumljivi:
- Tehnologija: Platforme za upravljanje pristankom, alati za automatizaciju DSR-a i softver za mapiranje podataka predstavljaju najveće ponavljajuće troškove za većinu organizacija.
- Pravna revizija: Početno sastavljanje politike i godišnje ažuriranje za program u više država obično zahteva spoljnog savetnika ili posvećenog advokata za privatnost.
- Operativni troškovi: Vreme osoblja za obradu DSR-a, upravljanje dobavljačima i obuku.
Za mala preduzeća sa ograničenim operacijama podataka, dobro konfigurisano rešenje za upravljanje pristankom i pregledana politika privatnosti mogu predstavljati većinu investicije. Za preduzeća koja se bave velikim obimom podataka ili funkcijama posrednika za podatke, troškovi se značajno povećavaju, posebno s obzirom na to da kazne sada predstavljaju kredibilan finansijski rizik, sa 3.425 milijardi dolara prikupljenih od strane državnih regulatora samo u 2025. godini [4].
Šta se dešava ako moje preduzeće prekrši državne zakone o privatnosti
Kazne variraju od države do države, ali prate dosledan obrazac: civilne kazne po prekršaju, periodi otklanjanja (koji se skraćuju ili ukidaju u novijim zakonima), a u slučaju Kalifornije, mogućnost tužbi koje pokreću potrošači za povrede podataka.
- Kalifornija: Do 7.500 dolara po namernom prekršaju; nema perioda otklanjanja za namerne prekršaje
- Virginia: Do 7.500 dolara po prekršaju nakon 30-dnevnog perioda otklanjanja
- Kolorado: Do 20.000 dolara po prekršaju; period otklanjanja ukinut nakon 1. januara 2025.
- Teksas: Do 7.500 dolara po prekršaju; AG sprovođenje sa civilnim istražnim zahtevima
Porast sprovođenja u 2025. godini, skoro dvostruko povećanje ukupnih kazni u odnosu na prethodnu godinu, signalizira da su regulatori prešli fazu svesti [4]. Preduzeća koja su pretpostavljala nizak rizik od sprovođenja trebala bi da preispitaju tu pretpostavku.
Mogu li mala preduzeća priuštiti usklađivanje sa svim državnim zahtevima o privatnosti
Većina državnih zakona o privatnosti uključuje pragove dizajnirane da izuzmu vrlo mala preduzeća. Uobičajeni okidači uključuju obradu podataka o 100.000 ili više potrošača godišnje, ili ostvarivanje više od 25-50% prihoda od prodaje podataka. Malo e-trgovinsko preduzeće koje ne prodaje podatke potrošača i opslužuje manje od 100.000 stanovnika države može pasti ispod više pragova.
Ipak, Teksasov TDPSA posebno nema prag prihoda, što znači da svako preduzeće koje obrađuje podatke stanovnika Teksasa i ispunjava prag broja potrošača mora da se uskladi bez obzira na veličinu prihoda [3]. Mala preduzeća ne bi trebala da pretpostavljaju izuzeće bez analize po jurisdikcijama.
Troškovno efikasna usklađenost za manja preduzeća obično znači: pregledanu politiku privatnosti, GPC podršku putem alata za upravljanje pristankom i dokumentovani proces za rukovanje zahtevima za pristup i brisanje.
Koje industrije su najviše pogođene državnim zakonima o privatnosti
Industrije koje se oslanjaju na podatke suočavaju se sa najvećim teretom usklađenosti. Sektori sa najvećom izloženošću uključuju:
- AdTech i agencije za online marketing: Ograničenja ciljanog oglašavanja, zahtevi za pristanak na kolačiće i opt-out mandati za deljenje podataka najteže pogađaju ovaj sektor.
- E-trgovina: Široko prikupljanje podataka iz transakcija, praćenje ponašanja i integracije sa trećim stranama stvaraju više tačaka usklađenosti.
- Zdravstvo i zdravstvena tehnologija: Osetljivi zdravstveni podaci pokreću opt-in zahteve prema većini državnih zakona, odvojeno od HIPAA obaveza.
- Posrednici za podatke: Najstrože nadgledana kategorija, Kalifornijska DROP platforma i zahtevi za registraciju posrednika postavljaju visoke standarde [5][6].
- Finansijske usluge: Istraživanja pokazuju značajnu nedoslednost u tome kako banke upravljaju objavama o privatnosti kroz više politika [7].
Kako zakoni o privatnosti država utiču na e-trgovinu i online preduzeća
Za online preduzeća, navigacija kroz fragmentovanu stvarnost zakona o privatnosti u američkim državama prevodi se prvenstveno u obaveze upravljanja pristankom i protok podataka. Svaka veb stranica koja koristi treće strane za praćenje, ciljno oglašavanje ili analitičke alate koji dele podatke sa dobavljačima potencijalno se angažuje u "deljenju podataka" ili "prodaji" prema definicijama više država.
Praktične posledice:
- Kolačići moraju automatski poštovati GPC signale u 11 država [3]
- Retargeting i programi slične publike mogu predstavljati "deljenje" prema CCPA, zahtevajući opt-out mehanizme
- Odluka Vrhovnog suda iz jula 2026. godine u slučaju Chatrie protiv Sjedinjenih Američkih Država, koja je utvrdila da široko prikupljanje podataka o lokaciji na osnovu geofence-a predstavlja pretragu prema Četvrtom amandmanu, dodaje novu dimenziju praksama marketinga zasnovanim na lokaciji [1]
- Programi pretplate i lojalnosti koji monetizuju podatke o ponašanju suočavaju se sa pojačanim nadzorom
Platforma za upravljanje pristankom koja se integriše sa glavnim ad tech sistemima i signalizira preferencije opt-out nizvodno više nije opcionalna za većinu online preduzeća značajne veličine.
Da li dolazi federalni zakon o privatnosti koji će zameniti državne zakone
Ne u bliskoj budućnosti. Zakon o američkim pravima na privatnost (APRA), predstavljen 2024. godine, nije usvojen, a do sredine 2026. godine nije donet nijedan sveobuhvatan federalni zakon o privatnosti [2]. Političke prepreke, prvenstveno neslaganje o tome da li bi federalni zakon trebao da preuzme državne zakone i da li uključiti privatno pravo na tužbu, ostaju nerešene.
Praktična posledica je da će se mozaik zakona po državama nastaviti širiti. Zakon Act 502 iz Luizijane je 23. državni zakon, a nekoliko drugih država ima aktivnu legislativu u toku. Preduzeća bi trebala planirati za nastavak fragmentacije umesto da čekaju federalno preuzimanje.
Koje su uobičajene greške koje kompanije prave u vezi sa usklađenošću sa državnim zakonima o privatnosti
Nekoliko ponavljajućih grešaka čini nesrazmeran deo izloženosti sprovođenju:
- Pretpostavljanje da usklađenost sa GDPR-om pokriva obaveze u SAD-u. GDPR i zakoni o privatnosti u američkim državama dele koncepte, ali se značajno razlikuju po podrazumevanju pristanka, mehanizmima sprovođenja i specifičnim pravima.
- Ignorisanje GPC signala. Jedanaest država sada zahteva podršku za GPC; nepoštovanje signala je automatski prekršaj u tim jurisdikcijama [3].
- Previđanje registracije posrednika za podatke. Kalifornija zahteva da se posrednici za podatke registruju kod CPPA; samo 9% registrovanih posrednika je pronađeno u potpunosti usklađeno 2026. godine [6].
- Nedosledne politike privatnosti širom imovine. Više politika za istu organizaciju stvara kontradikcije koje regulatori i tužioci mogu iskoristiti [7].
- Zapostavljanje ugovora sa dobavljačima. Mnogi državni zakoni nameću odgovornost kontrolorima za neuspehe procesora; zastareli ugovori o obradi podataka predstavljaju značajnu prazninu.
- Tretiranje automatizovanog donošenja odluka kao neregulisanog. Novi državni amandmani dodaju obaveze za otkrivanje i opt-out zahteve za algoritamske odluke sa značajnim posledicama za potrošače [4].
Šta bi moje preduzeće trebalo prvo da uradi kako bi se pripremilo za državne zakone o privatnosti
Počnite sa inventarom podataka i analizom primenljivosti jurisdikcija, ova dva koraka određuju sve ostalo. Bez znanja o tome koje podatke imate i koji zakoni država se primenjuju na vaše operacije, nijedan program usklađenosti ne može biti pravilno definisan.
Odmah prioriteti za 2026. godinu:
- Sprovesti vežbu mapiranja podataka kako bi se identifikovali protoci ličnih podataka, dobavljači i svrhe obrade
- Utvrditi koje državne pragove vaše preduzeće ispunjava
- Implementirati podršku za GPC signale, ovaj jedan korak zadovoljava opt-out obaveze u 11 država istovremeno
- Auditi vašu politiku privatnosti na potpunost i doslednost
- Uspostaviti dokumentovani proces za prijem i odgovor na DSR
- Pregledati sve ugovore o deljenju podataka sa trećim stranama
Za organizacije koje još nisu implementirale rešenje za upravljanje pristankom, Biscotti CMP pruža infrastrukturu za upravljanje signalima pristanka, poštovanje opt-out zahteva i održavanje evidencija o usklađenosti širom jurisdikcija.
Često postavljana pitanja
P: Da li se zakoni o privatnosti država primenjuju na preduzeća van SAD-a?
Da. Većina državnih zakona se primenjuje na osnovu mesta prebivališta potrošača, a ne na osnovu mesta gde je preduzeće registrovano. Evropska kompanija koja opslužuje stanovnike Kalifornije podložna je CCPA/CPRA ako ispunjava primenljive pragove.
P: Šta je Global Privacy Control (GPC) i zašto je važan?
GPC je signal na nivou pretraživača koji automatski komunicira preferencu potrošača za opt-out ka veb sajtovima. Jedanaest država sada zahteva od preduzeća da ga poštuju, čineći podršku za GPC gotovo univerzalnim zahtevom za usklađenost za veb sajtove usmerene ka SAD-u [3].
P: Da li moje preduzeće mora da se uskladi ako prikuplja samo adrese e-pošte?
Moguće. Adrese e-pošte su lični podaci prema svim državnim zakonima o privatnosti. Da li se morate uskladiti zavisi od broja stanovnika država od kojih prikupljate podatke i da li prodajete ili delite te podatke.
P: Koja je razlika između kontrolora podataka i procesora podataka prema državnim zakonima?
Kontrolor određuje svrhe i sredstva obrade ličnih podataka. Procesor obrađuje podatke u ime kontrolora. Većina državnih zakona nameće primarne obaveze kontrolorima, ali procesori takođe moraju da se usklade sa ugovornim zahtevima koje postavljaju kontrolori.
P: Koliko vremena preduzeća imaju da odgovore na zahteve potrošača za podatke?
Većina državnih zakona zahteva odgovor u roku od 45 dana, uz mogući produžetak od 45 dana za složene zahteve. Kalifornija dozvoljava do 90 dana u nekim okolnostima.
P: Da li je banner za kolačiće dovoljan za usklađenost sa zakonima država SAD-a?
Banner za kolačiće sam po sebi nije dovoljan. Mora biti podržan stvarnom infrastrukturom za upravljanje pristankom koja beleži preferencije, poštuje opt-out signale (uključujući GPC) i sprečava deljenje podataka pre nego što se dobije pristanak gde je to potrebno.
P: Šta se smatra "osetljivim podacima" prema zakonima o privatnosti država?
Definicije variraju, ali osetljivi podaci obično uključuju: preciznu geolokaciju, zdravstvene i medicinske informacije, biometrijske podatke, podatke o finansijskim računima, rasno ili etničko poreklo, seksualnu orijentaciju i podatke o deci. Većina državnih zakona zahteva opt-in pristanak za obradu osetljivih podataka.
P: Mogu li potrošači direktno tužiti preduzeća zbog povreda privatnosti?
U Kaliforniji, potrošači mogu pokrenuti privatne tužbe za povrede podataka koje uključuju određene kategorije ličnih informacija. Većina drugih država ograničava sprovođenje na državnog tužioca, što znači da ne postoji privatno pravo na tužbu van Kalifornije za opšte povrede privatnosti.
P: Kako odluka Vrhovnog suda iz 2026. godine o geofence-u utiče na marketing?
Odluka u slučaju Chatrie protiv Sjedinjenih Američkih Država (2. jula 2026.) utvrdila je da široko prikupljanje podataka o lokaciji na osnovu geofence-a zahteva specifičnu poternicu prema Četvrtom amandmanu [1]. Iako se odluka direktno odnosi na sprovođenje zakona, signalizira pojačano sudsko nadgledanje praksi prikupljanja podataka o lokaciji i može uticati na to kako regulatori tumače obaveze u vezi sa podacima o lokaciji prema zakonima o privatnosti država.
P: Šta je Kalifornijska DROP platforma?
DROP (Platforma za uklanjanje podataka i opt-out) pokrenuta je početkom 2026. godine i omogućava stanovnicima Kalifornije da zatraže brisanje svojih ličnih podataka iz stotina registrovanih posrednika za podatke putem jedne prijave [5].
Zaključak
Privatni pejzaž po državama se ne pojednostavljuje, već se širi. Sa 23 sveobuhvatna zakona aktivna do sredine 2026. godine, 3.425 milijardi dolara u kaznama prikupljenim 2025. godine, i zakonom Act 502 iz Luizijane koji dodaje 24. jurisdikciju 2027. godine, trošak nečinjenja postao je konkretan i merljiv [2][4].
Dobra vest je da strukturirana arhitektura usklađenosti može da reši većinu složenosti bez potrebe za odvojenim programima za svaku državu. Izgradite prema kalifornijskom standardu kao osnovi, odmah implementirajte podršku za GPC, auditi svoje protoke podataka i ugovore sa dobavljačima, i osigurajte da vaša politika privatnosti bude interno dosledna. Ovi koraci pokrivaju većinu obaveza širom svih aktivnih državnih zakona.
Za organizacije koje upravljaju pristankom na velikoj skali, implementacija infrastrukture posebno dizajnirane, kao što je Biscotti CMP, je najpouzdaniji način za automatizaciju obrade signala opt-out, održavanje audita pristanka i prilagođavanje novim državnim zahtevima kada stupe na snagu. Čekanje na federalni zakon da reši fragmentaciju nije održiva strategija. Države donose zakone, regulatori sprovode, a preduzeća koja sada grade trajne programe usklađenosti će imati značajnu konkurentsku prednost dok se pejzaž nastavlja razvijati.
Reference
[1] Supreme Court Police Track Cell Phones - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] States Overview - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] State Privacy Law Tracker New Regulations Taking Effect In 2026 - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Us State Privacy Fines 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] California Made It Easier To Delete Your Data - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Data Broker Compliance Study, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Bank Privacy Policy Inconsistencies, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Default Opt-Out Settings, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Scope Of Us State Level Privacy Laws Expands Rapidly In 2025 - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] The Compliance Tightrope Balancing Uniformity And Precision Across U S State Consumer Privacy Laws - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai