Мой кабинет

Руководство · Закон штата США

TIPA: закон Теннесси о конфиденциальности без юридических терминов

Tennessee Information Protection Act действует с 1 июля 2025 года и охватывает только крупные компании. Из этого руководства вы узнаете, кто должен его соблюдать, какие права получил посетитель, как работает защита на основе NIST и что меняется для сайта с AdSense или Ad Manager.

Проверить мой сайт для СШАЧитать руководство
  • ✓По тексту закона и краткому изложению генерального прокурора Теннесси
  • ✓Практические примеры для сайтов с рекламой
  • ✓Проверка только для чтения, без изменения сайта
25 млн долл. СШАгодовой выручки: ниже этого компания не подпадает под закон
175 тысячпотребителей из Теннесси в год: основной порог по объему
60 дн.срок на исправление после уведомления генерального прокурора, без даты окончания
45 дн.на ответ на запросы потребителей, с объяснением и апелляцией при отказе

Что это

Закон штата о конфиденциальности с упором на крупные компании

TIPA это общий закон о конфиденциальности штата Теннесси в Соединенных Штатах. Он принят в 2023 году и вступил в силу 1 июля 2025 года. Закон дает жителям штата права на их данные и создает обязанности для компаний, использующих эти данные.

Модель следует законам Вирджинии и Колорадо. Посетитель может запросить доступ, исправление и удаление данных и может отказаться от продажи данных, таргетированной рекламы и некоторых видов автоматизированного профилирования. Чувствительные данные можно использовать только с согласия.

Два момента отличают TIPA. Первый: высокий порог, под закон попадают только компании с годовой выручкой выше 25 млн долл. США. Второй: защита на основе NIST, компания, которая ведет письменную программу конфиденциальности, согласованную с Privacy Framework от NIST, может использовать это как защиту в суде.

Для владельца бразильского сайта с посетителями в Соединенных Штатах практический вопрос прост: превышает ли ваш бизнес пороги? Если да, сайту нужны полное уведомление о конфиденциальности, понятный путь отказа и внимание к тому, что рекламные партнеры делают с данными.

Чек-лист

Что нужно выполнить

Если ваша компания превышает пороги TIPA, всё это должно работать.

  1. Путь для отказа от продажи и рекламы

    Житель Теннесси может отказаться от таргетированной рекламы, продажи данных и некоторых видов профилирования. Сайт должен предложить такой путь и сделать так, чтобы отказ менял запрос рекламы.

    Пример

    Сообщение Google о правилах штатов показывает ссылку Do Not Sell or Share My Personal Information для посетителей из Теннесси.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Доступное уведомление о конфиденциальности

    Компании нужно разумно доступное уведомление о конфиденциальности. Оно объясняет, как посетитель реализует права и как обжалует отрицательный ответ.

    Пример

    Ссылка «Конфиденциальность» в подвале всех страниц, ведущая к полному уведомлению.

  3. Политика с фразами, которые требует Google

    AdSense требует, чтобы политика конфиденциальности предупреждала о рекламных cookie Google и других поставщиков. В ней также должно быть сказано, как посетитель отказывается от персонализированной рекламы.

    Пример

    Сторонние поставщики, включая Google, используют cookie для показа рекламы на основе предыдущих посещений вашего сайта или других сайтов. Вы можете отключить персонализированную рекламу в настройках рекламы Google.

  4. Ответ в течение 45 дней

    На запросы о доступе, исправлении, удалении, переносе и opt-out нужно ответить в течение 45 дней после получения.

    Пример

    E-mail по конфиденциальности с контролем даты поступления каждого запроса.

  5. Согласие на чувствительные данные

    Чувствительные данные можно обрабатывать только с согласия посетителя.

    Пример

    Сайт о здоровье спрашивает перед использованием прочитанной темы для выбора рекламы: Согласны? Да или Нет.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для Теннесси, поэтому можно использовать сообщение самого Google или CMP с GPP.

Кто должен соблюдать

Пороги, которые подводят компанию под TIPA

Закон действует для тех, кто ведет бизнес в Теннесси или предлагает товары и услуги жителям штата. Но только если компания проходит оба фильтра ниже.

Выручка выше 25 млн долл. США

Это первый фильтр, и он обязателен. Компания с годовой выручкой меньше этой суммы не подпадает под TIPA, даже при множестве посетителей из Теннесси.

175 тысяч потребителей

Помимо выручки, компания должна контролировать или обрабатывать данные не менее 175 тысяч потребителей из Теннесси за календарный год.

Или 25 тысяч и продажа данных

Другой путь: данные не менее 25 тысяч потребителей и половина или более валовой выручки от продажи персональной информации.

Кто не подпадает

Государственные органы, финансовые учреждения, медицинские организации, охваченные HIPAA, некоммерческие организации и высшие учебные заведения освобождены.

Определения

Слова закона на языке владельца сайта

TIPA использует термин «личная информация» вместо «персональные данные». Смысл тот же, что и в других законах штатов, с одним важным отличием в определении продажи.

Личная информация

Любая информация, связанная или способная быть связанной с идентифицированным или идентифицируемым лицом. В повседневной жизни сайта сюда входят cookie, рекламные идентификаторы, IP-адрес и e-mail для рассылки.

Чувствительная информация

Расовое или этническое происхождение, религиозные убеждения, диагноз здоровья, сексуальная ориентация, миграционный статус, генетические и биометрические данные, данные ребенка и точная геолокация в радиусе 1750 футов.

Продажа

В TIPA продажа это обмен личной информации на деньги с третьим лицом. Закон не упоминает другое ценное встречное предоставление, как это делают такие штаты, как Делавэр и Монтана.

Таргетированная реклама

Реклама, выбранная на основе поведения посетителя с течением времени на сайтах и в приложениях других компаний. Реклама по контексту страницы в это определение не входит.

Права людей

Что житель Теннесси может запросить у вашего сайта

На запросы нужно отвечать в течение 45 дней. Если компания отказывает, она должна объяснить причину и предложить путь апелляции.

Подтверждение и доступ

Узнать, обрабатывает ли компания его данные, и получить к ним доступ.

Исправить

Потребовать исправить неверные данные с учетом типа данных и цели использования.

Удалить

Потребовать удаления данных, предоставленных им или полученных о нем. Агрегированные или обезличенные данные не входят.

Переносимость

Получить копию данных в формате, который можно перенести в другой сервис, если это технически возможно.

Отказ от таргетированной рекламы и продажи

Потребовать, чтобы данные не использовались для таргетированной рекламы и не продавались. Это право больше всего влияет на сайты с рекламой.

Отказ от автоматизированного профилирования

Отказаться от использования данных в профилях, которые ведут к решениям с юридическим или схожим по значимости эффектом, например по кредиту, жилью или работе.

Обязанности сайта

Что должно работать у компании, подпадающей под закон

  1. Полное уведомление о конфиденциальностиВ уведомлении должно быть сказано, для чего используются данные, какие категории обрабатываются, какие категории продаются третьим лицам, как осуществить права и как обжаловать отказ. Также нужно объяснить право отказаться от продажи.
  2. Собирать только необходимоеСбор должен ограничиваться тем, что разумно необходимо для заявленных целей. Использование данных для другой цели требует согласия.
  3. Согласие на чувствительные данныеЧувствительные данные можно обрабатывать только с согласия. Данные детей младше 13 лет подчиняются правилам федерального закона COPPA.
  4. Оценка защиты данныхПеред использованием данных для таргетированной рекламы, продажи, рискованного профилирования или чувствительных данных компания должна зафиксировать оценку рисков и выгод. Правило действует для видов деятельности, созданных или возникших с 1 июля 2024 года.
  5. Договоры с обработчикамиПоставщики, обрабатывающие данные от имени компании, нуждаются в письменном договоре с условиями конфиденциальности, возврата или удаления данных, помощи в оценках и теми же правилами для субподрядчиков.
  6. Разумная безопасностьКомпания должна поддерживать практики безопасности, соответствующие объему и чувствительности данных, и не может обрабатывать данные так, чтобы нарушать законы против дискриминации.

Контроль и защита на основе NIST

Кто контролирует, срок на исправление и программа, которая может служить защитой

Закон может контролировать только генеральный прокурор Теннесси, а потребитель не может подать иск против компании на основании этого закона. Перед подачей иска генеральный прокурор должен направить письменное уведомление и дать 60 дней на исправление. Если компания исправит и сообщит письменно, дело останавливается, если только нарушение не повторится. В отличие от других штатов, у этого срока нет даты окончания.

Если нарушение не исправлено в срок, генеральный прокурор может передать дело в суд и потребовать гражданские санкции, предусмотренные законом. Генеральный прокурор может действовать по результатам собственных расследований или жалоб потребителей, которые можно отправить через сайт, по e-mail или по почте. Точные суммы штрафов указаны в тексте закона, и стоит проверить их с юристом.

TIPA также содержит аффирмативную защиту. Компания, которая ведет и выполняет письменную программу конфиденциальности, разумно соответствующую Privacy Framework от NIST, американского института стандартов и технологий, или сопоставимой модели, может использовать это как защиту. Программа должна предоставлять потребителю права, предусмотренные законом, и обновляться в течение двух лет после каждой новой версии фреймворка. Сертификация Global CBPR также может учитываться.

Недостаточно иметь документ в ящике стола. Масштаб программы определяется размером компании, видом деятельности и чувствительностью данных. Для тех, кто живет за счет рекламы, документирование того, какие данные собирает сайт, какие партнеры их получают и как работает отказ, уже является началом такой программы.

Хронология

Даты TIPA

У закона был долгий переходный период. В ноябре 2026 года он действует уже больше года.

  1. 2023

    Закон принят

    Теннесси принимает Tennessee Information Protection Act и входит в список штатов с общим законом о конфиденциальности.

  2. 1 июля 2024 года

    Веха оценок

    Виды обработки, созданные или возникшие с этой даты, подпадают под правило оценок защиты данных. Более ранние виды деятельности не затрагиваются.

  3. 1 июля 2025 года

    Вступление в силу

    TIPA вступает в силу. Компании, подпадающие под закон, должны отвечать на запросы, предлагать отказ и поддерживать полное уведомление о конфиденциальности.

  4. 2025

    Материалы генерального прокурора

    Генеральный прокурор публикует краткое изложение закона, частые вопросы для потребителей и компаний и канал для жалоб на конфиденциальность.

Сайты с AdSense и Ad Manager

Как отказ в Теннесси доходит до Google

TIPA не обязывает компанию распознавать универсальные сигналы отказа, такие как Global Privacy Control, или GPC, который отправляют некоторые браузеры. Посетитель должен использовать путь, который предлагает сайт. Тем не менее соблюдение GPC это хорошая практика, которая помогает избежать проблем в штатах, где он обязателен.

Google предлагает сообщение о региональных законах США в AdSense и Ad Manager, в разделе «Конфиденциальность и сообщения». Оно включает Теннесси в число охваченных штатов и показывает ссылку Do Not Sell or Share. Когда посетитель отказывается, Google включает ограниченную обработку данных, RDP, и начинает показывать рекламу, которая не использует историю поведения.

Тот, кто использует собственную CMP, может передавать выбор через GPP, протокол IAB Tech Lab. В GPP есть отдельный раздел Теннесси, но в список принимаемых Google разделов он не входит. Для Google путь это раздел US National: отказ от продажи, передачи или таргетированной рекламы в этом разделе включает RDP.

Можно также включать RDP прямо в теге, с параметром restrictDataProcessing в GPT или атрибутом data-restrict-data-processing в AdSense, только для тех, кто запросил отказ. Главное, чтобы отказ посетителя действительно менял рекламный запрос.

На практике

Что можно и что нельзя с TIPA

Примеры для компании, которая превышает пороги закона и зарабатывает на сайтах с программатической рекламой.

Можно

  • Показывать контекстную рекламу, выбранную по теме страницы, тем, кто запросил отказ
  • Использовать сообщение Google о региональных законах, чтобы предложить ссылку Do Not Sell or Share
  • Вести единое уведомление о конфиденциальности для всех штатов, если оно охватывает то, чего требует TIPA
  • Использовать оценки рисков, сделанные для других законов штатов, если они сопоставимы
  • Использовать программу конфиденциальности на основе NIST как защиту, если она написана и обновляется

Нельзя

  • Продолжать отправлять данные для персонализированной рекламы после отказа посетителя
  • Собирать точную геолокацию для рекламы без согласия
  • Оставлять страницу конфиденциальности без объяснения, как обжаловать отклоненный запрос
  • Требовать от посетителя создать учетную запись для запроса удаления или отказа
  • Считать NIST знаком качества: без реально выполняемой программы защиты нет

Частые ошибки

Где сайты спотыкаются с TIPA

Эти проблемы часто встречаются на сайтах, которые уже занимаются GDPR и Калифорнией, но забывают про Теннесси.

Сообщение только для Калифорнии

Сообщение об отказе было настроено несколько лет назад только для Калифорнии. Посетители из Теннесси никогда не видят ссылку.

Ссылка, которая ничего не делает

В подвале есть ссылка для отказа, но она ведет на текстовую страницу. Рекламный запрос после клика остается прежним.

Уведомление без продажи и рекламы

Политика конфиденциальности говорит о cookie, но не сообщает, что данные используются для таргетированной рекламы, и не объясняет, как отказаться.

GPP без раздела US National

CMP создает только разделы штатов, которые Google не читает. Отказ существует, но не доходит до рекламы Google.

Оценка так и не проведена

Компания использует данные для таргетированной рекламы с 2024 года, но у нее нет ни одной зафиксированной оценки защиты данных.

Считать себя слишком маленькой

Группа объединяет несколько сайтов и превышает 25 млн долл. США выручки, но каждый сайт рассматривается так, будто он вне закона.

В ConsentMode

Что аудит проверяет для Теннесси

  • Открывает сайт как посетитель из США и ищет ссылку для отказа в подвале, в меню и в сообщении о конфиденциальности.
  • Определяет CMP или сообщение Google по коду страницы.
  • Читает строку GPP в рекламных запросах и проверяет, существует ли раздел US National и меняется ли он после отказа.
  • Включает сигнал GPC в браузере аудита и показывает, меняется ли поведение страницы и рекламных запросов.
  • Проверяет, упоминает ли страница конфиденциальности продажу, таргетированную рекламу, права, обжалование и способ связи.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы

На моем бразильском сайте есть посетители из Теннесси. Нужно ли мне соблюдать TIPA?

Только если ваша компания превышает пороги: годовая выручка выше 25 млн долл. США и данные не менее 175 тысяч потребителей штата, либо 25 тысяч потребителей при половине или более выручки от продажи данных. Большинство небольших сайтов остаются вне закона. Тем не менее штаты с более низкими порогами, такие как Делавэр, Мэриленд и Небраска, могут затронуть ваш бизнес, поэтому стоит предложить отказ для всего трафика из США.

Обязывает ли TIPA соблюдать GPC?

Нет. Закон не требует распознавать универсальные сигналы отказа. Но несколько других штатов требуют, поэтому большинство CMP уже обрабатывают GPC для всего трафика из США.

Что происходит с доходом, когда посетитель отказывается?

Google начинает использовать ограниченную обработку данных и показывает рекламу, которая не использует историю посетителя. Доход на тысячу показов для такой аудитории обычно ниже, но реклама продолжает показываться.

Требует ли TIPA баннер cookie?

Нет. Закон работает по модели opt-out: сайт может использовать данные для рекламы, пока посетитель не откажется. Исключение составляют чувствительные данные, требующие предварительного согласия.

Нужна ли мне программа NIST, чтобы соблюдать закон?

Нет. Программа на основе NIST это необязательная защита. Она помогает при расследовании, но компания должна соблюдать закон в любом случае.

Решает ли ConsentMode вопросы соответствия TIPA?

ConsentMode не юридическая фирма и не CMP. Аудит показывает, что сайт на самом деле делает с отказом, GPP и страницей конфиденциальности, чтобы вы могли исправить это вместе с вашим поставщиком и юристом.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, доходит ли отказ вашего сайта до рекламы

Аудит открывает сайт как посетитель из США и показывает, что исправить, ничего не меняя.

Начать аудит