Швидка відповідь: Станом на середину 2026 року 23 штати США ухвалили комплексні закони про конфіденційність споживачів, без єдиного федерального закону, який би їх об'єднував. Бізнеси, що працюють через межі штатів, повинні управляти накладеними, іноді суперечливими зобов'язаннями, від моделей згоди "опт-ін" до "опт-аут" до різних порогів для визначення того, хто є покритою особою. Витрати на дотримання реальні, але структурований, багаторівневий підхід може одночасно вирішити більшість вимог.
Основні висновки
- Станом на середину 2026 року двадцять три штати ухвалили комплексні закони про конфіденційність, з останнім законом Луїзіани, Актом 502, який набирає чинності 1 січня 2027 року [2]
- Регулятори конфіденційності штатів США зібрали 3,425 мільярда доларів штрафів у 2025 році, що майже вдвічі більше, ніж 1,827 мільярда доларів у 2024 році, виконання посилюється [4]
- Закони штатів поділяються на дві широкі моделі: каліфорнійську модель (опт-аут, приватне право на дії) та вірджинську модель (опт-ін для чутливих даних, лише виконання Генеральним прокурором) [3]
- Одинадцять штатів тепер вимагають підтримки Глобального контролю конфіденційності (GPC), що робить його де-факто національним стандартом для опт-ауту [3]
- Лише 9% з 522 зареєстрованих брокерів даних Каліфорнії були визнані повністю відповідними у дослідженні травня 2026 року, невідповідність є поширеною навіть серед регульованих суб'єктів [6]
- Не існує комплексного федерального закону про конфіденційність; Американський закон про права на конфіденційність, представлений у 2024 році, не був ухвалений [2]
- Єдина, добре структурована політика конфіденційності, доповнена специфічними для штату додатками, зазвичай є достатньою, окремі політики для кожного штату не є обов'язковими
- Інфраструктура управління згодою, така як платформа на зразок Biscotti CMP, стає все більш важливою для автоматизації процесів опт-ауту та згоди в різних юрисдикціях
Які штати мають закони про конфіденційність і що вони охоплюють
Станом на середину 2026 року 23 штати ухвалили комплексне законодавство про конфіденційність споживачів, і ця кількість продовжує зростати. Індіана, Кентуккі та Род-Айленд розпочали виконання 1 січня 2026 року, додаючи до вже складного ландшафту [9]. Акт 502 Луїзіани, підписаний 29 травня 2026 року, є найновішим доповненням, яке набирає чинності 1 січня 2027 року [2].
Більшість законів мають спільну основу прав: доступ, виправлення, видалення, портативність та право відмовитися від продажу або обміну особистими даними. Однак деталі суттєво відрізняються за обсягом, порогами та механізмами виконання.
Штати з активними комплексними законами про конфіденційність (представницькі приклади):
| Штат | Дата набрання чинності | Ключова особливість |
|---|---|---|
| Каліфорнія (CCPA/CPRA) | 2020 / 2023 | Приватне право на дії за порушення; платформа DROP |
| Вірджинія (VCDPA) | 2023 | Опт-ін для чутливих даних; лише виконання Генеральним прокурором |
| Колорадо (CPA) | 2023 | Потрібна підтримка GPC; широкі категорії чутливих даних |
| Техас (TDPSA) | 2024 | Без порогу доходу; виконання Генеральним прокурором |
| Луїзіана (Акт 502) | 1 січня 2027 | Найновіше ухвалення станом на середину 2026 року |
Які основні відмінності між законами про конфіденційність штатів у США
Центральний розподіл у навігації фрагментованою реальністю законів про конфіденційність штатів США — це каліфорнійська модель проти вірджинської моделі. Ці дві структури стали шаблонами, які адаптують більшість інших штатів.
Характеристики каліфорнійської моделі:
- За замовчуванням опт-аут для продажу та обміну даними (споживачі повинні активно відмовитися)
- Приватне право на дії за порушення даних
- Ширші пороги застосування (на основі доходу та обсягу даних)
- Включає вимогу про універсальний механізм опт-ауту (GPC)
Характеристики вірджинської моделі:
- Вимагається згода на опт-ін для обробки чутливих особистих даних
- Виконання обмежене Генеральним прокурором штату
- Немає приватного права на дії для окремих споживачів
- Загалом вужчі визначення "чутливих даних"
Відмінності створюють реальні оперативні тертя. Бізнес, який за замовчуванням використовує згоду на опт-аут для Каліфорнії, може все ще потребувати ствердної згоди на опт-ін для чутливих категорій даних відповідно до правил Вірджинії, Колорадо або Коннектикуту, все одночасно [3].
Як CCPA, GDPR та інші закони штатів порівнюються
CCPA/CPRA Каліфорнії є найближчим аналогом у США до GDPR ЄС, але важливі структурні відмінності залишаються. GDPR вимагає законної основи для всіх обробок даних і зобов'язує отримувати згоду на опт-ін для більшості використань. CCPA працює на моделі опт-ауту для продажу даних, з опт-ін, що вимагається лише для неповнолітніх та чутливих категорій даних відповідно до поправок CPRA.
Інші закони штатів займають середню позицію: вони запозичують права суб'єктів даних у стилі GDPR (доступ, виправлення, видалення), зберігаючи при цьому американське уподобання до опт-ауту замість опт-ін згоди. В результаті програма, що відповідає GDPR, забезпечує міцну основу, але не автоматично задовольняє вимоги штатів США, особливо щодо розкриття брокерів даних, опт-ауту від продажу та обмежень на цільову рекламу.
Який закон про конфіденційність штату є найсуворішим
Каліфорнія залишається найвимогливішою юрисдикцією для більшості бізнесів. CPRA запровадила Агентство захисту конфіденційності Каліфорнії (CPPA) як спеціалізований орган виконання, розширила категорії чутливих даних і створила Платформу видалення даних та опт-ауту (DROP), запущену на початку 2026 року, яка дозволяє жителям запитувати видалення з сотень брокерів даних через одне подання [5].
Колорадо є близьким другим за оперативною складністю, враховуючи його обов'язкову підтримку GPC, широкі визначення чутливих даних та активне створення правил щодо автоматизованого прийняття рішень. Для бізнесів у сфері брокерів даних, зокрема, вимоги Каліфорнії є окремою категорією, у травневому дослідженні 2026 року було виявлено, що лише 9% з 522 зареєстрованих брокерів даних були повністю відповідними [6].
Який найпростіший спосіб дотримання кількох законів про конфіденційність штатів
Найефективніший шлях у навігації фрагментованою реальністю законів про конфіденційність штатів США — це багаторівнева архітектура дотримання: будувати за найсуворішим стандартом як базовим, а потім накладати специфічні для штату вимоги.
Практичні кроки:
- Проведіть інвентаризацію даних. Складіть карту кожної категорії особистих даних, що збираються, їх джерела, мету обробки та третіх осіб-отримувачів. Це є основою для кожного закону штату.
- Визначте застосовні юрисдикції. Визначте, які пороги штатів ваш бізнес відповідає, більшість законів спрацьовує на основі кількості обслуговуваних жителів або доходу від продажу даних.
- Впровадьте універсальний механізм опт-ауту. Негайно запровадьте підтримку GPC. Одинадцять штатів тепер вимагають цього, і список зростає [3]. Платформа управління згодою, така як Biscotti CMP, може автоматизувати виявлення сигналів GPC та виконувати запити на опт-аут у реальному часі.
- Сегментуйте згоду для чутливих даних. Створіть потоки згоди на опт-ін для чутливих категорій (здоров'я, біометричні дані, точна геолокація), щоб задовольнити штати моделі Вірджинії.
- Встановіть робочий процес запитів суб'єктів даних (DSR). Більшість законів вимагають відповідей протягом 45 днів. Автоматизуйте прийом та маршрутизацію.
- Оновіть контракти з постачальниками. Угоди про обробку даних повинні відображати вимоги кожного штату для обробників та постачальників послуг.
- Перегляньте практики автоматизованого прийняття рішень. Багато штатів додають зобов'язання в цій сфері, особливо для рішень з юридичними або значними наслідками [4].
Чи потрібні мені окремі політики конфіденційності для кожного штату
Ні, окремі політики для кожного штату не є юридично обов'язковими і зазвичай не рекомендуються. Єдина, добре структурована політика конфіденційності, що охоплює всі необхідні розкриття, доповнена специфічними для штату додатками або розділами повідомлень, задовольняє більшість законів. Дослідження, опубліковане в липні 2025 року, показало, що 53,8% банків США з кількома політиками конфіденційності демонстрували внутрішні суперечності, що створювало плутанину для споживачів і підривало цілі прозорості [7]. Єдина політика зменшує цей ризик.
Політика повинна, принаймні, розкривати: категорії зібраних даних, цілі обробки, обмін з третіми особами, права споживачів за юрисдикцією та як подавати запити. Каліфорнія вимагає специфічного посилання "Не продавайте або не діліться моєю особистою інформацією"; інші штати мають аналогічні вимоги, які можуть бути задоволені через єдиний механізм опт-ауту.
Скільки коштує дотримання законів про конфіденційність штатів
Витрати на дотримання значно варіюються в залежності від розміру бізнесу, складності даних та існуючої інфраструктури. Не існує єдиного перевіреного галузевого еталону, який би застосовувався універсально, але фактори витрат добре зрозумілі:
- Технології: Платформи управління згодою, інструменти автоматизації DSR та програмне забезпечення для картографування даних представляють найбільші постійні витрати для більшості організацій.
- Юридичний огляд: Первинне складання політики та щорічні оновлення для програми в кількох штатах зазвичай вимагають залучення зовнішніх юристів або спеціалізованого адвоката з конфіденційності.
- Операційні витрати: Час співробітників на обробку DSR, управління постачальниками та навчання.
Для малих бізнесів з обмеженими операціями з даними добре налаштоване рішення для управління згодою та перевірена політика конфіденційності можуть становити більшість інвестицій. Для підприємств, які обробляють великі обсяги даних або виконують функції брокерів даних, витрати значно зростають, особливо враховуючи, що штрафи тепер становлять реальний фінансовий ризик, з 3,425 мільярда доларів, зібраних регуляторами штатів у 2025 році [4].
Що станеться, якщо мій бізнес порушить закони про конфіденційність штатів
Штрафи варіюються в залежності від штату, але слідують послідовному шаблону: цивільні штрафи за порушення, періоди виправлення (які скорочуються або скасовуються в новіших законах) і, у випадку Каліфорнії, можливість позовів, ініційованих споживачами, за порушення даних.
- Каліфорнія: До 7,500 доларів за навмисне порушення; немає періоду виправлення для навмисних порушень
- Вірджинія: До 7,500 доларів за порушення після 30-денного періоду виправлення
- Колорадо: До 20,000 доларів за порушення; період виправлення скасовано після 1 січня 2025 року
- Техас: До 7,500 доларів за порушення; виконання Генеральним прокурором з цивільними слідчими запитами
Зростання виконання у 2025 році, яке майже подвоїло загальні штрафи в рік, сигналізує про те, що регулятори перейшли від етапу усвідомлення [4]. Бізнеси, які вважали ризик виконання низьким, повинні переглянути це припущення.
Чи можуть малі бізнеси дозволити собі дотримання всіх вимог щодо конфіденційності штатів
Більшість законів про конфіденційність штатів включають пороги, призначені для звільнення дуже малих бізнесів. Загальні тригери включають обробку даних про 100,000 або більше споживачів щорічно або отримання більше 25-50% доходу від продажу даних. Малий бізнес електронної комерції, який не продає дані споживачів і обслуговує менше ніж 100,000 жителів штату, може залишитися нижче кількох порогів.
Проте, TDPSA Техасу помітно не має порогу доходу, що означає, що будь-який бізнес, який обробляє дані жителів Техасу і відповідає порогу кількості споживачів, повинен дотримуватися незалежно від розміру доходу [3]. Малі бізнеси не повинні припускати звільнення без аналізу по юрисдикціях.
Економічно ефективне дотримання для менших організацій зазвичай означає: перевірену політику конфіденційності, підтримку GPC через інструмент управління згодою та задокументований процес обробки запитів на доступ і видалення.
Які галузі найбільше постраждали від законів про конфіденційність штатів
Галузі, що інтенсивно використовують дані, стикаються з найбільшим тягарем дотримання. Сектори з найвищим ризиком включають:
- AdTech та онлайн-маркетингові агентства: Обмеження на цільову рекламу, вимоги до згоди на куки та мандати на опт-аут для обміну даними найбільше вражають цей сектор.
- Електронна комерція: Широке збирання даних з транзакцій, поведінковий моніторинг та інтеграція з третіми сторонами створюють численні точки дотримання.
- Охорона здоров'я та технології охорони здоров'я: Чутливі дані про здоров'я викликають вимоги на опт-ін відповідно до більшості законів штатів, окремо від зобов'язань HIPAA.
- Брокери даних: Найбільш ретельно перевірена категорія, платформа DROP Каліфорнії та вимоги до реєстрації брокерів встановлюють високі стандарти [5][6].
- Фінансові послуги: Дослідження показують значну непослідовність у тому, як банки управляють розкриттями конфіденційності через кілька політик [7].
Як закони про конфіденційність штатів впливають на електронну комерцію та онлайн-бізнеси
Для онлайн-бізнесів навігація фрагментованою реальністю законів про конфіденційність штатів США в основному перетворюється на управління згодою та зобов'язання щодо обробки даних. Кожен веб-сайт, який використовує сторонні трекінгові пікселі, поведінкову рекламу або аналітичні інструменти, які діляться даними з постачальниками, потенційно займається "обміном даними" або "продажем" відповідно до визначень кількох штатів.
Практичні наслідки:
- Банери куків повинні автоматично поважати сигнали GPC у 11 штатах [3]
- Програми повторного таргетування та схожих аудиторій можуть становити "обмін" відповідно до CCPA, що вимагає механізмів опт-ауту
- Постанова Верховного Суду від липня 2026 року у справі Chatrie v. United States, яка стверджує, що широке збирання даних про місцезнаходження на основі геозони є обшуком за Четвертою поправкою, додає новий вимір до практик маркетингу на основі місцезнаходження [1]
- Програми підписки та лояльності, які монетизують поведінкові дані, підлягають посиленій перевірці
Платформа управління згодою, яка інтегрується з основними рекламними технологіями та сигналізує про переваги опт-ауту вниз по течії, більше не є необов'язковою для більшості онлайн-бізнесів значного масштабу.
Чи з'явиться федеральний закон про конфіденційність, щоб замінити закони штатів
Не найближчим часом. Американський закон про права на конфіденційність (APRA), представлений у 2024 році, не був ухвалений, і станом на середину 2026 року жоден комплексний федеральний законодавчий акт про конфіденційність не був прийнятий [2]. Політичні перешкоди, перш за все, незгода щодо того, чи має федеральний закон переважати над законами штатів і чи включати приватне право на дії, залишаються невирішеними.
Практичний наслідок полягає в тому, що фрагментація по штатах продовжить розширюватися. Акт 502 Луїзіани є 23-м законом штату, і кілька інших штатів мають активне законодавство в процесі. Бізнеси повинні планувати подальшу фрагментацію, а не чекати федерального переважання.
Які поширені помилки роблять компанії з дотримання законів про конфіденційність штатів
Кілька повторюваних помилок становлять непропорційну частку ризику виконання:
- Припущення, що відповідність GDPR покриває зобов'язання в США. GDPR та закони штатів США мають спільні концепції, але суттєво відрізняються за стандартами згоди, механізмами виконання та конкретними правами.
- Ігнорування сигналів GPC. Одинадцять штатів тепер вимагають підтримки GPC; невиконання сигналу є автоматичним порушенням у цих юрисдикціях [3].
- Недостатня увага до реєстрації брокерів даних. Каліфорнія вимагає, щоб брокери даних реєструвалися в CPPA; лише 9% зареєстрованих брокерів були визнані повністю відповідними у 2026 році [6].
- Непослідовні політики конфіденційності між об'єктами. Кілька політик для однієї організації створюють суперечності, які можуть бути використані регуляторами та позивачами [7].
- Ігнорування контрактів з постачальниками. Багато законів штатів накладають відповідальність на контролерів за невиконання обробників; застарілі угоди про обробку даних є значним недоліком.
- Ставлення до автоматизованого прийняття рішень як до нерегульованого. Нові поправки штатів додають вимоги щодо розкриття та опт-ауту для алгоритмічних рішень з значними наслідками для споживачів [4].
Що має зробити мій бізнес спочатку, щоб підготуватися до законів про конфіденційність штатів
Розпочніть з інвентаризації даних та аналізу юрисдикційної застосовності, ці два кроки визначають все інше. Без знання того, які дані ви маєте, і які закони штатів застосовуються до ваших операцій, жодна програма дотримання не може бути належним чином спланована.
Негайні пріоритети на 2026 рік:
- Проведіть вправу з картографування даних, щоб визначити потоки особистих даних, постачальників та цілі обробки
- Визначте, які пороги штатів ваш бізнес відповідає
- Впровадьте підтримку сигналів GPC, цей єдиний крок вирішує зобов'язання щодо опт-ауту в 11 штатах одночасно
- Перевірте вашу політику конфіденційності на повноту та послідовність
- Встановіть задокументований процес прийому та відповіді на DSR
- Перегляньте всі угоди про обмін даними з третіми сторонами
Для організацій, які ще не впровадили рішення для управління згодою, Biscotti CMP забезпечує інфраструктуру для управління сигналами згоди, виконання запитів на опт-аут та підтримки записів про дотримання в різних юрисдикціях.
Питання та відповіді
Q: Чи застосовуються закони про конфіденційність штатів до бізнесів за межами США?
Так. Більшість законів штатів застосовуються на основі місця проживання споживачів, а не місця реєстрації бізнесу. Європейська компанія, що обслуговує жителів Каліфорнії, підлягає CCPA/CPRA, якщо вона відповідає застосовним порогам.
Q: Що таке Глобальний контроль конфіденційності (GPC) і чому це важливо?
GPC — це сигнал на рівні браузера, який автоматично передає перевагу споживача щодо опт-ауту веб-сайтам. Одинадцять штатів тепер вимагають, щоб бізнеси поважали його, що робить підтримку GPC майже універсальною вимогою для веб-сайтів, що орієнтуються на США [3].
Q: Чи потрібно моєму бізнесу дотримуватися, якщо він лише збирає адреси електронної пошти?
Можливо. Адреси електронної пошти є особистими даними відповідно до всіх законів про конфіденційність штатів. Чи потрібно вам дотримуватися, залежить від того, скільки жителів штату ви збираєте дані та чи продаєте або ділитеся цими даними.
Q: Яка різниця між контролером даних та обробником даних відповідно до законів штатів?
Контролер визначає цілі та засоби обробки особистих даних. Обробник обробляє дані від імені контролера. Більшість законів штатів накладають основні зобов'язання на контролерів, але обробники також повинні дотримуватися контрактних вимог, встановлених контролерами.
Q: Скільки часу має бізнес для відповіді на запити споживачів щодо даних?
Більшість законів штатів вимагають відповіді протягом 45 днів, з можливим 45-денним продовженням для складних запитів. Каліфорнія дозволяє до 90 днів у деяких випадках.
Q: Чи достатньо банера куків для дотримання законів штатів США?
Банер куків сам по собі не є достатнім. Він повинен бути підкріплений реальною інфраструктурою управління згодою, яка записує переваги, поважає сигнали опт-ауту (включаючи GPC) та запобігає обміну даними до отримання згоди, де це потрібно.
Q: Що вважається "чутливими даними" відповідно до законів про конфіденційність штатів?
Визначення варіюються, але чутливі дані зазвичай включають: точну геолокацію, інформацію про здоров'я та медичну інформацію, біометричні дані, дані фінансових рахунків, расове або етнічне походження, сексуальну орієнтацію та дані про дітей. Більшість законів штатів вимагають згоди на опт-ін для обробки чутливих даних.
Q: Чи можуть споживачі безпосередньо подавати позови проти бізнесів за порушення конфіденційності?
У Каліфорнії споживачі можуть подавати приватні позови за порушення даних, що стосуються певних категорій особистої інформації. Більшість інших штатів обмежують виконання Генеральним прокурором, що означає, що немає приватного права на дії поза Каліфорнією за загальні порушення конфіденційності.
Q: Як вплине постанова Верховного Суду 2026 року про геозони на маркетинг?
Постановка у справі Chatrie v. United States (2 липня 2026 року) стверджує, що широке збирання даних про місцезнаходження на основі геозони вимагає конкретного ордера відповідно до Четвертої поправки [1]. Хоча постанова безпосередньо стосується правоохоронних органів, вона сигналізує про посилену судову перевірку практик збору даних про місцезнаходження і може вплинути на те, як регулятори тлумачать зобов'язання щодо даних про місцезнаходження відповідно до законів про конфіденційність штатів.
Q: Що таке платформа DROP Каліфорнії?
DROP (Платформа видалення даних та опт-ауту) була запущена на початку 2026 року і дозволяє жителям Каліфорнії запитувати видалення своїх особистих даних з сотень зареєстрованих брокерів даних через одне подання [5].
Висновок
Ландшафт конфіденційності по штатах не спрощується, він розширюється. З 23 комплексними законами, активними станом на середину 2026 року, 3,425 мільярда доларів штрафів, зібраних у 2025 році, і Актом 502 Луїзіани, що додає 24-ту юрисдикцію у 2027 році, вартість бездіяльності стала конкретною та вимірювальною [2][4].
Добра новина полягає в тому, що структурована архітектура дотримання справляється з більшістю складнощів, не вимагаючи окремих програм для кожного штату. Будуйте за стандартом Каліфорнії як базовим, негайно впроваджуйте підтримку GPC, перевіряйте свої потоки даних та контракти з постачальниками, і забезпечте, щоб ваша політика конфіденційності була внутрішньо послідовною. Ці кроки вирішують більшість зобов'язань у всіх активних законах штатів.
Для організацій, які управляють згодою в масштабах, впровадження спеціалізованої інфраструктури, такої як Biscotti CMP, є найнадійнішим способом автоматизувати обробку сигналів опт-ауту, підтримувати аудиторські записи згоди та адаптуватися до нових вимог штатів. Чекати на федеральний закон, щоб вирішити фрагментацію, не є життєздатною стратегією. Штати законодавчо регулюють, регулятори виконують, а бізнеси, які зараз створюють надійні програми дотримання, отримають значну конкурентну перевагу, оскільки ландшафт продовжує еволюціонувати.
Посилання
[1] Верховний Суд: Поліція відстежує мобільні телефони - https://theweek.com/law/supreme-court-police-track-cell-phones?utm_source=openai
[2] Огляд штатів - https://codamail.com/articles/privacy-law-directory/us/states-overview.html?utm_source=openai
[3] Трекер законів про конфіденційність штатів: нові регуляції, що набирають чинності у 2026 році - https://dapripro.com/state-privacy-law-tracker-new-regulations-taking-effect-in-2026/?utm_source=openai
[4] Штрафи за конфіденційність у штатах США 2025 - https://www.helpnetsecurity.com/2026/04/28/us-state-privacy-fines-2025/?utm_source=openai
[5] Каліфорнія спростила видалення ваших даних - https://www.kiplinger.com/personal-finance/online-shopping/california-made-it-easier-to-delete-your-data?utm_source=openai
[6] arxiv (Дослідження відповідності брокерів даних, 2026) - https://arxiv.org/abs/2605.21376?utm_source=openai
[7] arxiv (Непослідовності політики конфіденційності банків, 2025) - https://arxiv.org/abs/2507.05415?utm_source=openai
[8] arxiv (Налаштування за замовчуванням на опт-аут, 2026) - https://arxiv.org/abs/2603.15705?utm_source=openai
[9] Швидке розширення законів про конфіденційність на рівні штатів у США у 2025 році - https://www.computerweekly.com/news/366633681/Scope-of-US-state-level-privacy-laws-expands-rapidly-in-2025?utm_source=openai
[10] Балансування між єдністю та точністю у законах про конфіденційність споживачів у США - https://www.foley.com/insights/publications/2026/04/the-compliance-tightrope-balancing-uniformity-and-precision-across-u-s-state-consumer-privacy-laws/?utm_source=openai