Мой кабинет

Руководство · Закон штата США

Florida Digital Bill of Rights простыми словами для тех, кто зарабатывает на рекламе

Закон Флориды о конфиденциальности действует с 1 июля 2024 года, но большая часть правил касается только гигантских компаний. Из этого руководства вы узнаете об этом узком охвате, о правиле для конфиденциальных данных, которое действует для гораздо большего числа компаний, и о том, что Google делает с opt-out тех, кто заходит на ваш сайт из Флориды.

Проверить мой сайт для СШАЧитать руководство
  • ✓Основано на тексте Florida Statutes, разделы 501.701 - 501.722
  • ✓Практические примеры для сайтов с рекламой
  • ✓Проверка только для чтения, без изменения сайта
1 млрд долларов СШАглобальной годовой валовой выручки: порог для статуса контролёра по закону
50%или более выручки от продажи онлайн-рекламы: одна из трёх точек входа
50 тыс. долларов СШАмаксимальный гражданский штраф за нарушение, который в некоторых случаях может быть утроен
45 дн.на ответ на запросы потребителей, с продлением на 15 дней

Что это

Закон о конфиденциальности, созданный для крупнейших технологических компаний

Florida Digital Bill of Rights, или FDBR: это закон Флориды о конфиденциальности. Он подписан 6 июня 2023 года и вступил в силу 1 июля 2024 года. Закон находится в части V главы 501 Florida Statutes, в разделах 501.701 - 501.722.

Права потребителя похожи на права в других штатах: доступ, исправление, удаление, переносимость и отказ от таргетированной рекламы, продажи и автоматизированного профилирования. Флорида добавляет собственные права, например отказаться от сбора данных через распознавание голоса или лица.

Отличие закона в охвате. Большая часть обязательств действует только для контролёров с глобальной выручкой выше 1 миллиарда долларов США, которые к тому же подходят под один из трёх очень конкретных профилей. На практике это нацелено на крупные рекламные платформы, голосовых помощников и магазины приложений.

Тем не менее небольшому сайту не стоит игнорировать закон. Правило о продаже конфиденциальных данных действует для любой коммерческой компании, ведущей бизнес во Флориде и собирающей данные. А рекламные партнёры, получающие данные с вашего сайта, могут подпадать под закон.

Чек-лист

Что нужно выполнить

Большая часть закона касается только гигантских контролёров, но правило о чувствительных данных охватывает гораздо больше сайтов.

  1. Не продавать чувствительные данные без согласия

    Правило действует для коммерческой компании, которая ведёт бизнес во Флориде и собирает данные, без порога в 1 млрд долларов США. Продажа чувствительных данных требует предварительного согласия.

    Пример

    Прежде чем передавать данные о здоровье партнёру, запросите разрешение с вариантами «Разрешить» и «Не разрешать».

  2. Опубликовать точную фразу, если продаёте чувствительные данные

    Тот, кто продаёт чувствительные данные, должен опубликовать уведомление с фиксированным текстом на английском.

    Пример

    NOTICE: This website may sell your sensitive personal data.

  3. Беречь чувствительные данные несовершеннолетних

    Если чувствительные данные принадлежат известному несовершеннолетнему от 13 до 18 лет, для продажи нужно его разрешение. Для детей младше 13 лет действует федеральный закон COPPA, с согласием родителей.

  4. Если вы контролёр: пересматривать уведомление каждый год

    Уведомление должно быть понятным и перечислять данные, цели, третьих лиц, права, апелляцию и каналы запросов. Его нужно обновлять не реже одного раза в год.

  5. Если вы контролёр: фраза для биометрических данных

    Тот, кто продаёт биометрические данные, также публикует уведомление с фиксированным текстом на английском.

    Пример

    NOTICE: This website may sell your biometric personal data.

  6. Если вы контролёр: сообщить, как отказаться

    Тот, кто продаёт данные или показывает таргетированную рекламу, должен сказать об этом понятно и заметно и объяснить, как отказаться.

    Пример

    Ссылка в подвале: Do Not Sell or Share My Personal Information.

  7. Передавать отказ в Google

    Google не требует CMP для штатов США. Используйте сообщение о правилах штатов США в разделе «Конфиденциальность и сообщения» или включите в теге ограниченную обработку данных, RDP, для тех, кто отказался. У Флориды есть собственный раздел в GPP, и Google принимает этот раздел.

    Пример

    AdSense или Ad Manager: Конфиденциальность и сообщения, карточка «Правила штатов США», Создать. Затем выберите сайты и опубликуйте.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для законов штатов США. Можно использовать сообщение самого Google или включить RDP в теге. Флорида один из немногих штатов с собственным разделом в GPP, который принимает Google.

Кто должен соблюдать

Узкий охват контролёра во Флориде

Чтобы быть контролёром, компания должна быть коммерческой, вести бизнес во Флориде, собирать данные потребителей, решать, как эти данные используются, иметь глобальную выручку выше 1 миллиарда долларов США и подходить хотя бы под один из профилей ниже.

Доход от рекламы

Половина или более глобальной годовой валовой выручки приходит от продажи онлайн-рекламы, включая таргетированную.

Голосовой помощник

Управляет умной колонкой или сервисом голосовых команд с виртуальным помощником, связанным с облаком и активируемым без рук. Системы автопроизводителей не входят.

Магазин приложений

Управляет магазином приложений или платформой цифровой дистрибуции не менее чем с 250 тысячами различных приложений.

Связанные компании

Компании, контролирующие контролёра или контролируемые им, также входят в определение.

Правило о конфиденциальных данных действует для большего числа людей

Запрет продавать конфиденциальные данные без согласия касается любой коммерческой компании, ведущей бизнес во Флориде и собирающей данные, без порога в 1 миллиард долларов США.

Кто потребитель

Житель Флориды или лицо с домицилием там, действующее как физическое лицо или в домашнем контексте. Те, кто действует в коммерческом или трудовом контексте, не входят.

Определения

Слова закона на языке владельца сайта

Определения находятся в разделе 501.702 и близко следуют модели других законов штатов.

Персональные данные

Любая информация, связанная или разумно связываемая с идентифицированным или идентифицируемым лицом, включая псевдонимизированные данные, когда их можно связать с человеком с помощью дополнительной информации. Обезличенные и публичные данные не входят.

Чувствительные данные

Расовое или этническое происхождение, религиозные убеждения, диагноз здоровья, сексуальная ориентация, миграционный статус, генетические или биометрические данные, идентифицирующие человека, данные известного ребенка и точная геолокация.

Продажа

Предоставление, раскрытие или передача персональных данных третьей стороне в обмен на деньги или иное ценное возмещение. Передача операторам и по просьбе потребителя не считается.

Таргетированная реклама

Реклама, выбранная на основе активности потребителя со временем на нескольких сайтах и в приложениях. Реклама по контексту поиска на самом сайте не входит.

Права людей

Что может потребовать потребитель из Флориды

Контролёр отвечает в течение 45 дней и может один раз продлить срок ещё на 15 дней, уведомив потребителя в пределах первоначального срока. Он также должен предложить путь обжалования.

Доступ

Узнать, обрабатывает ли компания его данные, и увидеть эти данные.

Исправление и удаление

Исправить неверные данные и потребовать удаления части или всех персональных данных.

Переносимость

Получить копию данных в формате, пригодном для использования в другом сервисе, когда это осуществимо.

Отказ от таргетированной рекламы, продажи и профилирования

Отказаться от таргетированной рекламы, продажи данных и профилей, ведущих к решениям с юридическим или схожим эффектом.

Отказ от обработки конфиденциальных данных

Отказаться от сбора или обработки конфиденциальных данных, включая точную геолокацию.

Отказ от голоса и лица

Отказаться от сбора данных с помощью функций распознавания голоса или лица.

Обязанности

Что должно работать у контролёра

  1. Уведомление о конфиденциальности, пересматриваемое каждый годУведомление должно быть доступным и понятным и перечислять категории обрабатываемых данных, включая конфиденциальные, цель, способы осуществления прав и обжалования, категории передаваемых данных, категории третьих сторон и каналы для запросов. Его нужно обновлять не реже одного раза в год.
  2. Стандартные уведомления о продажеТот, кто продаёт конфиденциальные данные, должен опубликовать уведомление NOTICE: This website may sell your sensitive personal data. Тот, кто продаёт биометрические данные, должен опубликовать NOTICE: This website may sell your biometric personal data.
  3. Раскрытие продажи и таргетированной рекламыЕсли контролёр продаёт данные или занимается таргетированной рекламой, он должен сказать это ясно и на видном месте и объяснить, как потребитель может отказаться.
  4. Оценка защиты данныхЗакон требует зафиксированных оценок для обработки с повышенным риском, такой как таргетированная реклама, продажа данных, профили и конфиденциальные данные.
  5. Договор с операторамиПоставщики, обрабатывающие данные от имени контролёра, следуют его инструкциям и нуждаются в договоре с правилами обработки.
  6. Согласие на чувствительные данныеНи одна компания, подпадающая под это правило, не может продавать конфиденциальные данные без предварительного согласия потребителя. Для детей действуют отдельные правила и федеральный закон COPPA.

Контроль и штрафы

Самые высокие штрафы среди законов штатов

Контроль осуществляет Department of Legal Affairs при генеральном прокуроре Флориды. Закон прямо говорит, что не создаёт частного иска для потребителя.

До 50 тыс. долларов США за нарушение

Максимальный гражданский штраф составляет 50 тыс. долларов США за нарушение, помимо других мер, предусмотренных законом Флориды о коммерческих практиках.

Утроенный штраф

Сумма может быть утроена, когда речь идёт об известном ребёнке, когда компания не удаляет или не исправляет данные после действительного запроса или продолжает продавать данные после opt-out.

45 дней на исправление, если орган захочет

Орган может дать компании 45 дней на исправление нарушения, но это его решение, а не право компании. Для нарушений с участием детей такого срока нет.

Публичный годовой отчёт

Каждый год до 1 февраля орган публикует отчёт с жалобами, действиями и штрафами, наложенными и полученными.

Хронология

Даты FDBR

У закона был год подготовки между подписанием и вступлением в силу.

  1. 6 июня 2023 года

    Подписание

    Губернатор подписывает законопроект SB 262, создающий Florida Digital Bill of Rights.

  2. 1 июля 2024 года

    Вступление в силу

    Закон начинает действовать. Контролёры должны отвечать на запросы, предлагать opt-out и публиковать уведомление о конфиденциальности.

  3. Каждое 1 февраля

    Отчёт о контроле

    Department of Legal Affairs публикует на своём сайте годовой итог жалоб, действий и штрафов.

  4. Сентябрь 2025 года

    Google обновляет GPP

    Google начинает принимать версию 2 раздела US National в GPP, сохраняя и специфический раздел Флориды среди принимаемых.

Сайты с AdSense и Ad Manager

Как opt-out из Флориды доходит до Google

FDBR не обязывает сайт распознавать универсальные сигналы opt-out, такие как Global Privacy Control, или GPC. Посетитель должен пользоваться путём, который предлагает сайт. Тем не менее соблюдение GPC хорошая практика, и оно необходимо для штатов, где обязательно.

Google предлагает сообщение о региональных нормативных актах США в AdSense и Ad Manager, в разделе «Конфиденциальность и сообщения». Флорида входит в список поддерживаемых штатов. Сообщение показывает ссылку Do Not Sell or Share, а отказ посетителя включает ограниченную обработку данных, RDP, исключающую рекламу на основе прежнего поведения.

Для тех, кто использует собственную CMP, Флорида: один из немногих штатов с собственным разделом в GPP, который принимает Google. В этом разделе отказ от продажи или таргетированной рекламы включает RDP. Раздел US National тоже принимается и работает так же для продажи, передачи и таргетированной рекламы.

Есть и путь через сам тег: параметр restrictDataProcessing в GPT или атрибут data-restrict-data-processing в AdSense, используемые только для тех, кто запросил opt-out. Каким бы ни был путь, проверка одна: рекламный запрос должен измениться после отказа.

На практике

Что можно и что нельзя во Флориде

Примеры для сайта, принимающего посетителей из Флориды и монетизирующегося программатик-рекламой.

Можно

  • Показывать контекстную рекламу тем, кто отказался от таргетированной рекламы
  • Использовать раздел Флориды или раздел US National в GPP, чтобы сообщить Google об opt-out
  • Использовать сообщение Google о региональных законах, чтобы предложить ссылку для отказа
  • Вести единое уведомление о конфиденциальности для США, если оно содержит то, что требует Флорида
  • Пересматривать и обновлять страницу конфиденциальности не реже одного раза в год

Нельзя

  • Продавать конфиденциальные данные, например точную геолокацию, без предварительного согласия, даже будучи небольшой компанией
  • Продавать конфиденциальные данные, не опубликовав стандартное уведомление, требуемое законом
  • Продолжать продавать или передавать данные после opt-out: случай, который может утроить штраф
  • Прятать ссылку opt-out на странице, которую никто не найдёт
  • Считать, что рекламный партнёр вне закона только потому, что ваш сайт маленький

Частые ошибки

Где сайты спотыкаются с законом Флориды

Узкий охват закона заставляет многих думать, что ничего делать не нужно. Вот самые частые промахи.

Игнорировать правило о конфиденциальных данных

Сайт использует SDK или скрипт, собирающий точную геолокацию и передающий её партнёрам. Такая продажа требует согласия, даже без порога в 1 миллиард долларов США.

Застывшая политика конфиденциальности

Страница конфиденциальности не меняется годами. Закон требует обновления не реже раза в год для контролёра.

Сообщение без Флориды

Сообщение opt-out от Google включено только для Калифорнии, и трафик из Флориды никогда не видит ссылку.

Неверный раздел штата в GPP

CMP отправляет раздел, который Google не принимает, и не включает раздел Флориды и US National. Opt-out не доходит до рекламы.

Opt-out, не останавливающий продажу

Посетитель нажимает, но рекламные запросы продолжают идти с данными для персонализации. Во Флориде это может утроить штраф.

Забыть о несовершеннолетних

Нарушения с участием известного ребёнка не имеют срока на исправление, и штраф за них может быть утроен.

В ConsentMode

Что аудит проверяет для Флориды

  • Открывает сайт как посетитель из США и ищет ссылку для отказа в подвале, в меню и в сообщении о конфиденциальности.
  • Определяет CMP или сообщение Google о региональных законах по коду страницы.
  • Читает строку GPP и сообщает, есть ли в ней раздел Флориды или раздел US National и меняется ли она после opt-out.
  • Включает сигнал GPC в браузере аудита и показывает, реагируют ли страница и рекламные запросы.
  • Проверяет, упоминает ли страница конфиденциальности продажу, таргетированную рекламу, права, обжалование и уведомления о продаже конфиденциальных данных, если они нужны.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Мой сайт небольшой. Применяется ли ко мне закон Флориды?

Большая часть обязательств нет, потому что контролёр должен иметь глобальную выручку выше 1 миллиарда долларов США и подходить под один из трёх профилей закона. Но правило, запрещающее продавать конфиденциальные данные без согласия, действует для любой коммерческой компании, ведущей бизнес во Флориде и собирающей данные.

Зачем тогда заботиться об opt-out для Флориды?

Потому что партнёры, которые покупают и показывают рекламу на вашем сайте, могут быть контролёрами по закону, и потому что другие штаты с меньшими порогами могут охватить ваш бизнес. Предложить opt-out для всего трафика из США упрощает работу.

Требует ли Флорида соблюдать GPC?

Нет. Закон не предусматривает универсальных сигналов opt-out. Тем не менее многие CMP обрабатывают GPC во всех штатах, что помогает с законами, которые этого требуют.

Читает ли Google раздел Флориды в GPP?

Да. Флорида входит в список разделов, которые принимает Google, вместе с US National, Калифорнией, Колорадо, Коннектикутом и Вирджинией. Отказ от продажи или таргетированной рекламы в этом разделе включает ограниченную обработку данных.

Что за уведомление NOTICE, которого требует закон?

Это стандартный текст на английском, который обязаны опубликовать те, кто продаёт конфиденциальные или биометрические данные. Он сообщает, что сайт может продавать данные такого типа. Большинство сайтов с рекламой не продаёт такие данные, и уведомление им не нужно.

Делает ли ConsentMode мой сайт соответствующим закону Флориды?

ConsentMode не CMP и не юридическая фирма. Аудит показывает со скриншотами, что сайт делает с opt-out, GPP и страницей конфиденциальности, чтобы вы исправили это вместе с поставщиком и юристом.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Узнайте, доходит ли opt-out из Флориды до вашей рекламы

Аудит открывает сайт как посетитель из США и показывает, что исправить, ничего не меняя.

Начать аудит