Мой кабинет

Руководство · Закон штата США

ICDPA: закон Айовы о конфиденциальности, самый лёгкий в США

Iowa Consumer Data Protection Act действует с 1 января 2025 года и известен тем, что даёт меньше прав, чем другие законы штатов. Здесь вы узнаете, кто должен соблюдать, что может потребовать посетитель, как обстоят дела с таргетированной рекламой и что меняется для сайта с AdSense или Ad Manager.

Проверить мой сайт для СШАЧитать руководство
  • ✓Основано на главе 715D Кодекса Айовы
  • ✓Практические примеры для сайтов с рекламой
  • ✓Проверка только для чтения, без изменения сайта
100 тысячпотребителей Айовы в год: главный порог закона
90 дн.на ответ на запросы, самый долгий срок среди законов штатов
90 дн.на исправление нарушения после уведомления генерального прокурора
7 500 долл. СШАмаксимальный гражданский штраф за нарушение

Что это

Закон о конфиденциальности с минимумом обязанностей

Iowa Consumer Data Protection Act, или ICDPA, это общий закон Айовы о конфиденциальности. Он подписан в 2023 году, находится в главе 715D Кодекса Айовы и вступил в силу 1 января 2025 года.

Закон следует модели Вирджинии, но многое убрано. Нет права на исправление данных. Нет требования об оценке защиты данных. Нет обязанности принимать универсальные сигналы opt-out. А конфиденциальные данные работают по модели уведомления и отказа, а не предварительного согласия.

Это не значит, что закон безвреден для сайтов с рекламой. Тот, кто превышает пороги, должен ясно и заметно сказать, продаёт ли он данные или занимается таргетированной рекламой, и объяснить, как посетитель может отказаться от этих действий.

Для тех, у кого посетители из многих штатов, Айова редко самый строгий штат. Но полезно знать различия, чтобы не обещать на странице конфиденциальности права, которых ваш процесс не обеспечивает, и не забыть то, чего закон на самом деле требует.

Чек-лист

Что нужно выполнить

Если сайт превышает пороги ICDPA, вот базовый список. Айова требует меньше, чем другие штаты.

  1. Сообщить о продаже или таргетированной рекламе

    Тот, кто продаёт данные или показывает таргетированную рекламу, должен сказать об этом понятно и заметно и объяснить, как посетитель может отказаться.

    Пример

    Ссылка в подвале: Do Not Sell or Share My Personal Information, ведущая на экран отказа.

  2. Опубликовать полное уведомление о конфиденциальности

    Уведомление должно быть понятным и легко находимым. В нём перечислены обрабатываемые данные, цели, права, способы обжалования, передаваемые данные и категории третьих лиц.

    Пример

    Включите в уведомление каналы для запросов, например форму и e-mail.

  3. Предупреждать перед использованием чувствительных данных

    Айова не требует согласия для чувствительных данных. Она требует понятного уведомления и возможности отказаться до использования. Чувствительные данные детей подчиняются COPPA.

    Пример

    Прежде чем использовать точное местоположение, покажите уведомление с вариантом «Не использовать моё местоположение».

  4. Отвечать на запросы в течение 90 дней

    Отвечайте в течение 90 дней, с продлением ещё на 45, если сообщите причину. Не требуйте новый аккаунт для запроса.

  5. Иметь процесс апелляции

    Тот, кому отказали в запросе, может обжаловать. Ответьте на апелляцию письменно в течение 60 дней, а при отказе укажите онлайн-путь для связи с генеральным прокурором.

  6. Обеспечивать безопасность данных

    Закон требует разумных административных, технических и физических мер безопасности для персональных данных.

  7. Передавать отказ в Google

    Google не требует CMP для штатов США. Используйте сообщение о правилах штатов США в разделе «Конфиденциальность и сообщения» или включите в теге ограниченную обработку данных, RDP, для тех, кто отказался. С GPP Google читает раздел US National для Айовы.

    Пример

    AdSense или Ad Manager: Конфиденциальность и сообщения, карточка «Правила штатов США», Создать. Затем выберите сайты и опубликуйте.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для законов штатов США. Можно использовать сообщение самого Google или включить RDP в теге.

Кто должен соблюдать и определения

Пороги ICDPA и ключевые слова закона

Закон действует для тех, кто ведёт бизнес в Айове или предлагает товары и услуги, ориентированные на жителей штата, и за календарный год превышает один из двух порогов ниже. Потребитель это житель Айовы, действующий как физическое лицо, вне коммерческого или трудового контекста. Определения находятся в разделе 715D.1.

100 тысяч потребителей

Контролирует или обрабатывает персональные данные не менее 100 тысяч потребителей Айовы.

25 тысяч и продажа данных

Контролирует или обрабатывает данные не менее 25 тысяч потребителей и получает более 50% валовой выручки от продажи персональных данных.

Персональные данные

Информация, связанная или разумно связываемая с идентифицированным или идентифицируемым физическим лицом. Обезличенные, агрегированные и публичные данные не входят.

Чувствительные данные

Расовое или этническое происхождение, религиозные убеждения, диагноз здоровья, сексуальная ориентация, миграционный статус, генетические или биометрические данные, идентифицирующие человека, данные известного ребенка и точная геолокация.

Продажа

Только обмен персональных данных на деньги с третьей стороной. Другие виды ценности не считаются, а передача операторам, компаниям той же группы или по просьбе потребителя не входит.

Таргетированная реклама

Реклама, выбранная на основе данных об активности посетителя со временем на сайтах и в приложениях других компаний. Контекстная реклама, собственная реклама и измерение эффективности не входят.

Права людей

Что может и чего не может потребовать житель Айовы

Список прав Айовы самый короткий среди законов штатов. Ответ может занять до 90 дней, с одним продлением на 45 дней, если оно необходимо и о нём сообщено в первоначальный срок. Два запроса в год бесплатны.

Подтверждение и доступ

Узнать, обрабатывает ли компания его данные, и получить к ним доступ.

Удалить то, что он предоставил

Просить удалить данные, которые предоставил сам потребитель. Данные, полученные из других источников, в тексте этого права не упомянуты.

Переносимость

Получить копию данных, которые он предоставил, в переносимом формате, когда обработка автоматизирована.

Отказаться от продажи

Просить, чтобы данные не продавались. Это единственное право на отказ, которое есть в списке прав закона.

Нет права на исправление

Айова не даёт потребителю права просить исправить неверные данные, в отличие от большинства штатов.

Апелляция

Если запрос отклонён, потребитель может подать апелляцию. Компания отвечает письменно в течение 60 дней и, если отказывает снова, показывает, как пожаловаться генеральному прокурору.

Таргетированная реклама

Этого нет в списке прав, но opt-out должен существовать

Частый вопрос об Айове: может ли посетитель отказаться от таргетированной рекламы. Список прав в разделе 715D.3 содержит только отказ от продажи данных. Отдельного права отказаться от таргетированной рекламы, как в Вирджинии или Колорадо, нет.

Но раздел 715D.4 создаёт обязанность для компании: тот, кто продаёт персональные данные третьим лицам или занимается таргетированной рекламой, должен ясно и заметно раскрыть это, а также способ, которым потребитель может отказаться от этой деятельности. На практике охваченный сайт должен показать путь opt-out для таргетированной рекламы.

Конфиденциальные данные следуют той же логике уведомления и отказа. Прежде чем обрабатывать конфиденциальные данные для неисключённой цели, компания должна дать чёткое уведомление и возможность отказаться. Данные известных детей подчиняются федеральному закону COPPA.

Поэтому практическая настройка сайта с рекламой выглядит похоже на другие штаты: заметная ссылка opt-out, страница конфиденциальности, объясняющая использование данных для рекламы, и отказ, действительно отключающий персонализацию.

Обязанности сайта

Что должно работать у компании, подпадающей под закон

  1. Уведомление о конфиденциальностиУведомление должно содержать категории обрабатываемых данных, цель, способы реализации прав и обжалования, категории данных, передаваемых третьим лицам, и категории этих третьих лиц.
  2. Раскрытие продажи и таргетированной рекламыЕсли сайт продает данные или показывает таргетированную рекламу, об этом нужно сообщить ясно и заметно и объяснить, как посетитель может отказаться.
  3. Безопасный канал для запросовКомпания должна предложить один или несколько безопасных и надёжных способов подачи запросов, не требуя от потребителя создавать новый аккаунт.
  4. Уведомление до конфиденциальных данныхОбработка конфиденциальных данных требует чёткого уведомления и возможности отказаться, а данные детей подчиняются COPPA.
  5. Безопасность и недискриминацияКомпания должна поддерживать разумные меры безопасности и не может хуже обращаться с теми, кто реализует свои права.
  6. Договоры с обработчикамиПоставщики, обрабатывающие данные от имени компании, следуют ее указаниям по договору с правилами обработки.

Контроль и штрафы

Самый длинный срок на исправление в стране

Закон контролирует только генеральный прокурор Айовы. Потребитель не может подать иск против компании на его основании.

90 дней на исправление

Перед любыми действиями генеральный прокурор направляет письменное уведомление с указанием нарушений. У компании есть 90 дней на исправление.

Письменное заявление

Чтобы закрыть дело, компания должна исправить и письменно заявить, что исправила и что нарушение не повторится.

До 7 500 долл. США за нарушение

Если нарушение продолжается, генеральный прокурор может требовать судебного приказа и гражданского штрафа до 7 500 долларов США за нарушение.

Расследование

Генеральный прокурор может требовать от компании документы и информацию в ходе расследования.

Хронология

Даты ICDPA

Между подписанием и вступлением в силу в Айове прошло почти два года подготовки.

  1. 2023

    Подписание

    Айова становится одним из первых штатов, после Калифорнии, Вирджинии, Колорадо, Юты и Коннектикута, принявших общий закон о конфиденциальности.

  2. 1 января 2025 года

    Вступление в силу

    Закон начинает действовать, с исключительным контролем генерального прокурора.

  3. Сентябрь 2025 года

    Google обновляет GPP

    Google начинает принимать версию 2 раздела US National в GPP, путь, который он читает для opt-out из таких штатов, как Айова.

Сайты с AdSense и Ad Manager

Как opt-out из Айовы доходит до Google

Айова не обязывает сайт распознавать универсальные сигналы opt-out, такие как Global Privacy Control, или GPC. Тем не менее соблюдение GPC для всего трафика США это хорошая практика, потому что этого требуют несколько штатов и потому что это упрощает настройку CMP.

Google предлагает в AdSense и Ad Manager сообщение о нормативных актах штатов США в разделе «Конфиденциальность и сообщения», и Айова входит в число обслуживаемых штатов. Сообщение показывает ссылку Do Not Sell or Share. Когда посетитель отказывается, Google включает ограниченную обработку данных, называемую RDP, и перестаёт использовать прежнее поведение для выбора рекламы.

В GPP от IAB Tech Lab есть специальный раздел Айовы, но его нет в списке разделов, которые принимает Google. Для Google путь это раздел US National: отказ от продажи, передачи или таргетированной рекламы в этом разделе включает RDP.

Другой вариант: включить RDP в самом теге, параметром restrictDataProcessing в GPT или атрибутом data-restrict-data-processing в AdSense, только для тех, кто запросил opt-out. Итоговая проверка всегда одна: рекламный запрос должен измениться после отказа.

На практике

Что можно и что нельзя в Айове

Примеры для компании, превышающей пороги закона и монетизирующейся программатик-рекламой.

Можно

  • Показывать контекстную рекламу тем, кто отказался от продажи или таргетированной рекламы
  • Использовать сообщение Google о региональных законах, чтобы предложить ссылку для отказа
  • Отвечать на запросы в течение 90 дней, предупредив заранее, если нужно ещё 45
  • Брать плату за повторяющиеся или явно необоснованные запросы, доказав, что они злоупотребительные
  • Применять одну и ту же политику opt-out и GPC для всего трафика США

Нельзя

  • Заниматься таргетированной рекламой, не говоря об этом на странице конфиденциальности и не объясняя, как отказаться
  • Требовать создание аккаунта, чтобы посетитель мог запросить доступ или удаление
  • Обрабатывать конфиденциальные данные без чёткого уведомления и без возможности отказаться
  • Игнорировать апелляцию потребителя, которому отказали
  • Обещать в политике права, которых Айова не даёт и которые ваш процесс не выполняет

Частые ошибки

Где сайты спотыкаются с законом Айовы

У самого лёгкого закона тоже есть ловушки, особенно для тех, кто читает только список прав.

Думать, что opt-out от рекламы нет

Поскольку права нет в списке, сайт не предлагает отказ от таргетированной рекламы. Но обязанность раскрыть и объяснить, как отказаться, существует.

Политика без таргетированной рекламы

Страница конфиденциальности говорит о cookie в общем, но не говорит, что данные используются для таргетированной рекламы.

Сообщение только для Калифорнии

Сообщение opt-out от Google настроено только для Калифорнии, и трафик из Айовы никогда не видит ссылку.

Раздел Айовы один в GPP

CMP отправляет только раздел штата Айова, который Google не читает. Без US National opt-out не доходит до рекламы Google.

Ссылка opt-out, ничего не меняющая

Посетитель нажимает, но рекламные запросы остаются прежними, без RDP и без opt-out в GPP.

Неверный подсчёт объёма

Сайт считает только зарегистрированных. Cookie и рекламные идентификаторы тоже идентифицируют людей и входят в подсчёт.

В ConsentMode

Что аудит проверяет для Айовы

  • Открывает сайт как посетитель из США и ищет ссылку для отказа в подвале, в меню и в сообщении о конфиденциальности.
  • Определяет CMP или сообщение Google о региональных законах по коду страницы.
  • Читает строку GPP и проверяет, существует ли раздел US National и фиксирует ли он opt-out после нажатия.
  • Включает сигнал GPC в браузере аудита и показывает, реагируют ли страница и рекламные запросы.
  • Проверяет, говорит ли страница конфиденциальности о таргетированной рекламе или продаже данных и объясняет ли, как отказаться.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Может ли посетитель в Айове отказаться от таргетированной рекламы?

Список прав Айовы содержит только отказ от продажи. Но закон требует, чтобы тот, кто занимается таргетированной рекламой, ясно это раскрыл и объяснил, как потребитель может отказаться от этой деятельности. На практике охваченный сайт должен предложить такой путь.

Требует ли Айова соблюдать GPC?

Нет. Закон не предусматривает универсальных сигналов opt-out. Но другие штаты требуют, и большинство CMP обрабатывают GPC для всего трафика США.

Нужна ли оценка защиты данных для Айовы?

Нет. Закон Айовы не требует оценок защиты данных. Если вы работаете в других штатах, которые требуют, оценка, сделанная для них, по-прежнему необходима.

Сколько у меня времени, чтобы ответить на запрос?

До 90 дней, с одним продлением на 45 дней, если оно необходимо и о нём сообщено в первоначальный срок. Два запроса в год от каждого потребителя должны быть бесплатными.

Требует ли Айова баннер согласия?

Нет. Закон использует модель opt-out даже для конфиденциальных данных, с уведомлением и возможностью отказаться. Для детей действует федеральный закон COPPA.

Решает ли ConsentMode вопрос соответствия закону Айовы?

ConsentMode не CMP и не юридическая фирма. Аудит показывает, что сайт действительно делает со ссылкой opt-out, GPP и страницей конфиденциальности, чтобы вы исправили это вместе с поставщиком и юристом.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, работает ли opt-out вашего сайта для Айовы

Аудит открывает сайт как посетитель из США и показывает, что исправить, ничего не меняя.

Начать аудит