Мой кабинет

Руководство · Закон штата США

NJDPA: закон Нью-Джерси без юридических терминов

New Jersey Data Privacy Act действует с 15 января 2025 года и требует от сайта соблюдать GPC с июля 2025 года. Из этого руководства вы узнаете, кто должен его соблюдать, что считается чувствительными данными, какие штрафы предусмотрены, как обстоят дела с регламентом и что меняется для сайта с AdSense или Ad Manager.

Проверить мой сайт для СШАЧитать руководство
  • ✓По частым вопросам Отдела по делам потребителей
  • ✓Практические примеры для сайтов с рекламой
  • ✓Проверка только для чтения, без изменения сайта
100 тысячпотребителей из Нью-Джерси в год: основной порог закона
25 тысячпотребителей достаточно, если компания зарабатывает на продаже персональных данных
10 тыс. долл. СШАмаксимальный штраф за первое нарушение
20 тыс. долл. СШАмаксимальный штраф за повторное нарушение

Что это

Закон о конфиденциальности без исключения для некоммерческих организаций

New Jersey Data Privacy Act, или NJDPA, это общий закон Нью-Джерси о конфиденциальности. Он подписан в январе 2024 года и вступил в силу 15 января 2025 года. Компании, подпадающие под закон, и обработчики, работающие на них, обязаны соблюдать его с этой даты.

Модель следует закону Коннектикута, с некоторыми более строгими пунктами. Финансовые данные и статус трансгендерного или небинарного человека являются чувствительными данными. Некоммерческие организации и малые предприятия не освобождены, если превышают пороги. И сайт должен соблюдать универсальные сигналы отказа, такие как GPC, с 15 июля 2025 года.

Закон поручает Отделу по делам потребителей создать регламент, и проект правил даже был представлен для публичных комментариев. Но обязанность соблюдать закон от этих правил не зависит: компании и обработчики должны соблюдать его с 15 января 2025 года. Прежде чем следовать каким-либо деталям регламента, проверьте на сайте Отдела, что действительно вступило в силу.

Для сайта с посетителями из Соединенных Штатов Нью-Джерси важен из-за размера аудитории. Штат густонаселенный, поэтому портал со значительным американским трафиком может незаметно превысить 100 тысяч потребителей.

Чек-лист

Что нужно выполнить

Если ваш сайт превышает пороги NJDPA, всё это должно работать.

  1. Соблюдать GPC

    С 15 июля 2025 года сайт должен принимать универсальные сигналы отказа, например GPC. Тот, кто приходит с включённым сигналом, считается отказавшимся от продажи и таргетированной рекламы.

    Пример

    Посетитель с включённым GPC: сайт включает ограниченную обработку данных Google только для него, не прося второго клика.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Показать понятный путь для отказа

    Тот, кто продаёт данные или показывает таргетированную рекламу, должен предложить понятный способ отказа. Уведомление о конфиденциальности должно объяснять, как посетитель пользуется этим правом.

    Пример

    Сообщение Google о правилах штатов показывает ссылку Do Not Sell or Share My Personal Information.

  3. Полное уведомление о конфиденциальности

    В уведомлении сказано, какие данные обрабатывает сайт, для чего, с кем делится и как посетитель запрашивает доступ, исправление, удаление или обжалует.

    Пример

    Чтобы запросить доступ, исправление или удаление ваших данных, напишите на privacy@yoursite.com.

  4. Политика с фразами, которые требует Google

    AdSense требует, чтобы политика конфиденциальности предупреждала о рекламных cookie Google и других поставщиков. В ней также должно быть сказано, как посетитель отказывается от персонализированной рекламы.

    Пример

    Сторонние поставщики, включая Google, используют cookie для показа рекламы на основе предыдущих посещений вашего сайта или других сайтов. Вы можете отключить персонализированную рекламу в настройках рекламы Google.

  5. Согласие на чувствительные данные

    Чувствительные данные можно обрабатывать только с согласия. В Нью-Джерси в этот список входит финансовая информация.

    Пример

    Кредитный калькулятор сначала спрашивает: Можем ли мы использовать ваши ответы, чтобы показывать предложения? Да или Нет.

  6. Согласие подростков

    Если вы знаете или должны знать, что посетителю от 13 до 16 лет, Отдел говорит, что до обработки персональных данных нужно его согласие.

  7. Оценка защиты данных

    При обработке чувствительных данных или деятельности с высоким риском письменно зафиксируйте оценку рисков и выгод.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для Нью-Джерси, поэтому можно использовать сообщение самого Google или CMP с GPP.

Кто должен соблюдать

Пороги, которые подводят ваш сайт под NJDPA

Закон действует для тех, кто ведет бизнес в Нью-Джерси или предлагает товары и услуги жителям штата и за календарный год превышает один из порогов ниже.

100 тысяч потребителей

Контролирует или обрабатывает персональные данные не менее 100 тысяч потребителей из Нью-Джерси в течение года.

25 тысяч и продажа данных

Контролирует или обрабатывает данные не менее 25 тысяч потребителей и зарабатывает на продаже персональных данных, по формулировке Отдела по делам потребителей.

Некоммерческие тоже

Некоммерческие организации и малые предприятия не исключены. Если они превышают пороги, они должны соблюдать закон.

Обработчики тоже

Поставщики, обрабатывающие данные от имени компании, подпадающей под закон, тоже имеют обязанности, например следовать инструкциям и договору.

Определения

Слова закона на языке владельца сайта

Определения Нью-Джерси похожи на определения Коннектикута, но с более широким списком чувствительных данных.

Персональные данные

Информация, которая идентифицирует или может идентифицировать конкретное лицо. На сайте сюда входят cookie, идентификаторы устройства, IP и e-mail для рассылки.

Чувствительные данные

Расовое или этническое происхождение, религиозные убеждения, состояние здоровья, финансовая информация, сексуальная жизнь и ориентация, миграционный статус, статус трансгендерного или небинарного человека, генетические или биометрические данные, точная геолокация и данные ребенка.

Продажа

Обмен персональных данных на деньги или другое ценное встречное предоставление с третьим лицом. Передача обработчикам сюда не входит.

Таргетированная реклама

Реклама, выбранная на основе данных об активности посетителя с течением времени на сайтах и в приложениях других компаний. Реклама по контексту страницы не входит.

Права людей

Что может запросить житель Нью-Джерси

Потребитель не может подать иск против компании на основании этого закона, но может пожаловаться в Отдел по делам потребителей. Компания должна отвечать на запросы и предоставлять апелляцию.

Подтверждение и доступ

Узнать, обрабатывает ли компания его данные, и получить к ним доступ.

Исправить

Потребовать исправить неверные данные.

Удалить

Потребовать удаления персональных данных.

Переносимость

Получить копию данных в формате, который можно перенести в другой сервис.

Отказ от таргетированной рекламы и продажи

Потребовать, чтобы данные не использовались для таргетированной рекламы и не продавались, в том числе универсальным сигналом, таким как GPC.

Отказ от автоматизированного профилирования

Отказаться от профилей, ведущих к решениям с юридическим или схожим по значимости эффектом.

Обязанности сайта

Что должно работать на сайте, подпадающем под закон

  1. Полное уведомление о конфиденциальностиВ уведомлении должно быть объяснено, какие категории данных обрабатываются, для чего, как осуществить права и обжаловать, какие данные передаются третьим лицам и каким типам третьих лиц.
  2. Понятный отказ и GPCТот, кто продает данные или показывает таргетированную рекламу, должен показать понятный путь отказа и, с 15 июля 2025 года, принимать универсальные сигналы отказа, такие как GPC.
  3. Согласие на чувствительные данныеЧувствительные данные, включая финансовую информацию, можно обрабатывать только с согласия посетителя.
  4. Защита подростковДля потребителей от 13 до 16 лет компании нужно согласие, прежде чем использовать данные для таргетированной рекламы, продажи или профилирования. Для детей младше 13 лет действует федеральный закон COPPA.
  5. Оценка защиты данныхПеред обработкой с повышенным риском, такой как продажа данных, чувствительные данные и профили, которые могут привести к несправедливому обращению или вреду, компания должна письменно оценить риски и выгоды.
  6. Договоры с обработчикамиПоставщики, обрабатывающие данные от имени компании, следуют ее указаниям по договору с правилами обработки.

Контроль и штрафы

Штрафы за нарушение и конец срока на исправление

Закон контролируют Генеральная прокуратура Нью-Джерси и Отдел по делам потребителей, с инструментами закона штата против мошенничества с потребителями.

10 тыс. долл. США за первое

Штраф может достигать 10 тыс. долл. США за первое нарушение.

20 тыс. долл. США за последующие

Повторные нарушения могут стоить до 20 тыс. долл. США каждое. Прокуратура также может просить судебный приказ и компенсацию для пострадавших.

Срок на исправление закончился

До 1 июля 2026 года Отдел уведомлял компанию и давал 30 дней на исправление нарушений, которые можно исправить. Этот период закончился.

Жалоба потребителя

Потребитель подает жалобу на сайте Отдела по делам потребителей. Он не может подать иск против компании на основании этого закона.

Хронология

Даты NJDPA

В ноябре 2026 года закон действует, GPC обязателен, срок на исправление закончился, а регламент по-прежнему нужно проверять на сайте Отдела.

  1. Январь 2024 года

    Подписание

    Нью-Джерси принимает общий закон о конфиденциальности.

  2. 15 января 2025 года

    Вступление в силу

    Компании, подпадающие под закон, и обработчики начинают соблюдать закон.

  3. 2025

    Проект регламента

    Отдел по делам потребителей представляет проект правил для публичных комментариев. Закон действует независимо от него.

  4. 15 июля 2025 года

    GPC обязателен

    Сайт, подпадающий под закон, должен соблюдать универсальные сигналы отказа, такие как Global Privacy Control.

  5. 1 июля 2026 года

    Конец срока на исправление

    Заканчивается период, когда Отдел давал 30 дней на исправление перед действиями.

Сайты с AdSense и Ad Manager

Обязательный GPC и путь отказа до Google

С 15 июля 2025 года сайт, подпадающий под закон, должен соблюдать универсальные сигналы отказа. В самих частых вопросах Отдела Global Privacy Control, или GPC, приведен как пример. Для посетителя, пришедшего с включенным GPC, сайт должен действовать так, как будто он нажал на ссылку отказа.

Google предлагает в AdSense и Ad Manager сообщение о региональных законах США в разделе «Конфиденциальность и сообщения», и Нью-Джерси входит в число охваченных штатов. Сообщение показывает ссылку Do Not Sell or Share. Отказ включает ограниченную обработку данных, RDP, и Google перестает использовать прежнее поведение для выбора рекламы.

Что касается GPC, Google говорит, что партнер, реализовавший сигнал, может включить RDP при получении GPC с отказом. Настройка остается за сайтом или CMP и может быть сделана в теге, с параметром restrictDataProcessing в GPT или атрибутом data-restrict-data-processing в AdSense.

В GPP есть отдельный раздел Нью-Джерси, но его нет в списке разделов, принимаемых Google. Для Google путь это раздел US National, в котором отказ от продажи, передачи или таргетированной рекламы включает RDP.

На практике

Что можно и что нельзя в Нью-Джерси

Примеры для сайта с трафиком из Нью-Джерси, который зарабатывает на программатической рекламе.

Можно

  • Показывать контекстную рекламу тем, кто отказался или пришел с включенным GPC
  • Использовать сообщение Google о региональных законах, чтобы предложить ссылку для отказа
  • Передавать отказ в Google через раздел US National в GPP
  • Применять GPC ко всему трафику из США, чтобы упростить настройку
  • Продолжать соблюдать закон даже без принятого регламента, исходя из текста закона

Нельзя

  • Игнорировать GPC и продолжать запрашивать персонализированную рекламу для этого посетителя
  • Обрабатывать финансовую информацию посетителя, например данные кредитного калькулятора, без согласия
  • Использовать данные подростков от 13 до 16 лет для таргетированной рекламы без согласия
  • Думать, что ваша НКО или ассоциация не подпадает под закон только потому, что она некоммерческая
  • Рассчитывать на 30 дней на исправление после уведомления: этот период закончился в июле 2026 года

Частые ошибки

Где сайты спотыкаются с NJDPA

Эти проблемы появляются на сайтах, которые настроили конфиденциальность для США, ориентируясь только на Калифорнию.

Забыть о финансовых данных

Финансовые сайты собирают доход или долги в формах и калькуляторах и передают партнерам. В Нью-Джерси это чувствительные данные, и они требуют согласия.

GPC только в Калифорнии

CMP применяет GPC только для Калифорнии, а сигнал от посетителей из Нью-Джерси игнорируется.

Ждать регламента

Компания отложила исправления в ожидании окончательных правил. Закон действует с января 2025 года, с регламентом или без него.

Отказ, который не меняет рекламу

Посетитель отказывается, но рекламные запросы по-прежнему идут без RDP и без отказа в строке GPP.

Региональный раздел отдельно в GPP

CMP отправляет только раздел Нью-Джерси, который Google не читает. Без US National отказ не доходит до Google.

Политика без третьих лиц

На странице конфиденциальности не сказано, какие типы третьих лиц, например рекламные сети и партнеры по измерению, получают данные.

В ConsentMode

Что аудит проверяет для Нью-Джерси

  • Открывает сайт как посетитель из США и ищет ссылку для отказа в подвале, в меню и в сообщении о конфиденциальности.
  • Включает сигнал GPC в браузере аудита и сравнивает страницу и рекламные запросы с сигналом и без него.
  • Читает строку GPP, проверяет, есть ли раздел US National и фиксирует ли он отказ.
  • Определяет CMP или сообщение Google о региональных законах по коду страницы.
  • Проверяет, есть ли на странице конфиденциальности категории данных, цели, третьи лица, права и обжалование.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

Действует ли уже регламент Нью-Джерси?

Проект правил был представлен для публичных комментариев, но проверьте на сайте Отдела по делам потребителей, действуют ли окончательные правила, прежде чем следовать каким-либо их деталям. Сам закон действует с 15 января 2025 года, с регламентом или без него.

Обязан ли я соблюдать GPC?

Да, если закон применим к вашему сайту. С 15 июля 2025 года универсальные сигналы отказа, такие как GPC, нужно соблюдать.

Моя ассоциация некоммерческая. Я вне закона?

Нет. В Нью-Джерси некоммерческие организации и малые предприятия обязаны соблюдать закон, если превышают пороги.

Если я продаю данные в небольшом объеме, попадаю ли я под порог в 25 тысяч?

Можете попасть. По словам Отдела по делам потребителей, второй порог действует для тех, кто обрабатывает данные не менее 25 тысяч потребителей и зарабатывает на продаже персональных данных. Отдел не называет минимальную сумму дохода, поэтому стоит уточнить ваш случай у юриста.

Есть ли у меня еще срок на исправление после уведомления?

30-дневный срок действовал до 1 июля 2026 года. После этого Отдел может действовать, не предоставляя этот срок.

Делает ли ConsentMode мой сайт соответствующим закону?

ConsentMode не CMP и не юридическая фирма. Аудит показывает, что сайт на самом деле делает с отказом, GPC, GPP и страницей конфиденциальности, чтобы вы могли исправить это вместе с вашим поставщиком и юристом.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, соблюдает ли ваш сайт GPC в Нью-Джерси

Аудит открывает сайт как посетитель из США, с GPC и без него, и показывает, что нужно исправить, ничего не меняя.

Начать аудит