Мой кабинет

Руководство · Закон штата США

TDPSA: закон Техаса простыми словами для тех, у кого есть реклама

Закон Техаса не использует число посетителей, чтобы решить, кто должен его соблюдать. Он смотрит, является ли компания малой по федеральным критериям. Из этого руководства вы узнаете это правило, от чего может отказаться посетитель и как генеральный прокурор Техаса осуществляет контроль.

Проверить мой сайт для ТехасаЧитать руководство
  • ✓По закону и странице генерального прокурора Техаса
  • ✓Примеры для сайтов с AdSense и Ad Manager
  • ✓Проверка только для чтения, без изменения сайта
2уведомления с обязательным текстом для тех, кто продает чувствительные или биометрические данные
30 дн.срок на исправление нарушения после уведомления генерального прокурора, до подачи иска
7 500 долл. СШАмаксимальный гражданский штраф за нарушение
45 дн.срок для ответа на запросы потребителей, с возможным продлением еще на 45

Что это

Закон штата с широким охватом и активным контролем

Texas Data Privacy and Security Act, или TDPSA, находится в главе 541 Кодекса о бизнесе и торговле Техаса. Он принят в 2023 году и вступил в силу 1 июля 2024 года.

Структура похожа на закон Вирджинии: права потребителей, отказ от таргетированной рекламы и продажи, согласие на чувствительные данные и оценки защиты данных. Главное отличие в том, кто должен его соблюдать.

Вместо минимального числа посетителей TDPSA действует для тех, кто ведет бизнес в Техасе или чьи товары и услуги потребляют жители Техаса, обрабатывает персональные данные и не является малым предприятием по критериям федерального агентства по малому бизнесу, SBA.

Для сайта с рекламой это значит, что размер компании важнее трафика. И генеральный прокурор Техаса уже показал, что применяет закон: в январе 2025 года он подал иск против страховой компании Allstate и компании по данным Arity на его основании.

Чек-лист

Что нужно выполнить

Если ваша компания не считается малой по критериям SBA и у вас есть посетители из Техаса, вот базовый список.

  1. Опубликовать полное уведомление о конфиденциальности

    Уведомление должно быть понятным и легко находимым. В нём перечислены обрабатываемые данные, цели, передаваемые данные, категории третьих лиц, каналы запросов и способ обжалования.

    Пример

    Ссылка «Политика конфиденциальности» в подвале всех страниц, ведущая к полному уведомлению.

  2. Сообщить о таргетированной рекламе и о том, как отказаться

    Тот, кто продаёт данные или показывает таргетированную рекламу, должен сказать об этом понятно и заметно. Одновременно нужно объяснить, как посетитель отказывается.

    Пример

    Фраза в уведомлении: мы используем ваши данные для таргетированной рекламы. Чтобы отказаться, используйте ссылку Do Not Sell or Share My Personal Information.

  3. Использовать точную фразу, если продаёте чувствительные данные

    Закон требует опубликовать уведомление с фиксированным текстом на английском для тех, кто продаёт чувствительные или биометрические данные.

    Пример

    NOTICE: We may sell your sensitive personal data. Для биометрических данных: NOTICE: We may sell your biometric personal data.

  4. Запрашивать согласие для чувствительных данных

    Чувствительные данные можно обрабатывать только с согласия. Даже малой компании нужно согласие, прежде чем продавать такие данные.

    Пример

    Прежде чем использовать точное местоположение посетителя, покажите вопрос с вариантами «Разрешить» и «Не разрешать».

  5. Принимать отказ, отправленный браузером

    С 1 января 2025 года посетитель может отказаться глобальной настройкой браузера или устройства. Выполняйте, когда запрос можно проверить.

    Пример

    Посетитель с включённым GPC: считайте, что он нажал «отказаться».

  6. Принимать запросы, не требуя новый аккаунт

    Предложите не менее двух безопасных каналов для запросов и не требуйте новый аккаунт. Отвечайте в течение 45 дней с возможным продлением ещё на 45 и имейте путь апелляции.

    Пример

    По словам генерального прокурора, бизнес, работающий только онлайн и имеющий прямые отношения с потребителем, может предложить только e-mail, например privacy@yoursite.com.

  7. Проводить оценку защиты данных

    Таргетированная реклама, продажа данных и чувствительные данные требуют письменной оценки рисков и выгод. Генеральный прокурор может запросить этот документ.

  8. Передавать отказ в Google

    Google не требует CMP для штатов США. Используйте сообщение о правилах штатов США в разделе «Конфиденциальность и сообщения» или включите в теге ограниченную обработку данных, RDP, для тех, кто отказался. С GPP Google читает раздел US National для Техаса.

    Пример

    AdSense или Ad Manager: Конфиденциальность и сообщения, карточка «Правила штатов США», Создать. Затем выберите сайты и опубликуйте.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует ни сертифицированной CMP, ни GPP для законов штатов США. Можно использовать сообщение самого Google или включить RDP в теге.

К кому относится

Правило малого предприятия

У TDPSA нет собственного порога по посетителям или выручке. Главный вопрос: является ли ваша компания малым предприятием по критериям SBA.

Бизнес, связанный с Техасом

Вести бизнес в Техасе или иметь товары и услуги, которые потребляют жители штата. Сайт с аудиторией из Техаса может подпадать под это.

Обрабатывать или продавать данные

Обрабатывать персональные данные или продавать их. Cookie и рекламные идентификаторы это персональные данные.

Не быть малым предприятием

SBA определяет малое предприятие по отрасли, на основе выручки или числа сотрудников. Кто превышает этот размер, подпадает под закон.

Исключение, которое действует для всех

Даже малое предприятие должно получить согласие потребителя перед продажей его чувствительных данных.

Определения

Термины, важные для тех, кто продает рекламу

Техас определяет продажу широко, включая обмены, не связанные с деньгами.

Персональные данные

Информация, связанная или разумно способная быть связанной с идентифицированным или идентифицируемым лицом. Анонимизированные и общедоступные данные не входят.

Чувствительные данные

Расовое или этническое происхождение, религия, психическое или физическое здоровье, сексуальность, миграционный статус, генетические и биометрические данные, данные известного ребенка и точное местоположение.

Продажа

Предоставление, раскрытие или передача персональных данных третьему лицу за деньги или другую ценность. Партнерства по данным в обмен на услугу могут считаться продажей.

Таргетированная реклама

Реклама, выбранная на основе данных о действиях человека с течением времени на сайтах и в приложениях других компаний. Контекстная реклама не входит.

Обязанности сайта

Уведомление о конфиденциальности с обязательными фразами

Компании нужно понятное и доступное уведомление о конфиденциальности. В нем перечислены категории обрабатываемых данных, цели, способы осуществления прав и обжалования, категории данных, передаваемых третьим лицам, и категории этих третьих лиц.

В Техасе в двух случаях требуется точная формулировка. Тот, кто продает чувствительные данные, должен включить в уведомление фразу NOTICE: We may sell your sensitive personal data. Тот, кто продает биометрические данные, должен включить NOTICE: We may sell your biometric personal data. Уведомления приводятся на английском языке, как того требует закон.

Тот, кто продает данные или показывает таргетированную рекламу, также должен сообщить об этом ясно и заметно, вместе с путем отказа. Для отказа нельзя требовать создания новой учетной записи.

Чувствительные данные можно обрабатывать только с согласия. Для известного ребенка младше 13 лет действует федеральный закон COPPA, с согласием родителей.

Права, отказ и оценки

Права посетителя, отказ через браузер и оценки

Посетитель из Техаса может узнать, обрабатывает ли компания его данные, получить к ним доступ, получить копию, исправить, удалить и отказаться от таргетированной рекламы, продажи и некоторых профилей, без ответных мер. Компания отвечает в течение 45 дней, с продлением еще на 45, и должна предоставить апелляцию тем, кому отказали.

С 1 января 2025 года закон позволяет посетителю отказаться от таргетированной рекламы и продажи данных с помощью технологии, например глобальной настройки браузера или устройства, которая действует как уполномоченный представитель. Компания должна выполнить отказ, когда может проверить личность и полномочия. Закон не называет Global Privacy Control по имени, но GPC самый известный пример такой настройки.

На практике самый надежный путь: CMP обнаруживает GPC, отмечает посетителя как отказавшегося и передает этот отказ всем рекламным партнерам до первого запроса.

Компания также должна проводить оценки защиты данных для таргетированной рекламы, продажи данных, чувствительных данных и некоторых профилей. Оценка сопоставляет выгоды и риски, и генеральный прокурор может запросить ее при расследовании.

Хронология

Даты закона Техаса

Даты подтверждены на странице генерального прокурора Техаса и в официальных сообщениях.

  1. 2023

    Закон принят

    Техас принимает TDPSA, которая вносится в главу 541 Кодекса о бизнесе и торговле.

  2. 1 июля 2024 года

    Вступление в силу

    Вступают в силу права, обязательные уведомления, отказ и оценки.

  3. 1 января 2025 года

    Отказ через браузер

    Вступает в силу отказ через глобальную настройку браузера или устройства.

  4. январь 2025 года

    Иск против Allstate

    Генеральный прокурор подает иск против Allstate и Arity за использование данных о местоположении без уведомления и согласия.

Контроль и штрафы

Генеральный прокурор с исключительными полномочиями и срок в 30 дней

Генеральный прокурор Техаса обладает исключительной компетенцией по применению TDPSA. Он может запрашивать документы, обращаться за судебным приказом, взыскивать штрафы и гонорары. Гражданин не может подать иск против компании, но может подать жалобу на сайте генерального прокурора.

Перед подачей иска генеральный прокурор должен письменно уведомить. У компании есть 30 дней, чтобы исправить нарушение и отправить письменное заявление с документами, подтверждающими исправление, в том числе изменения во внутренних политиках. У этого срока нет даты окончания.

Тот, кто не исправил в срок или нарушил отправленное заявление, подлежит гражданскому штрафу до 7 500 долл. США за нарушение.

В январе 2025 года генеральный прокурор обвинил Allstate и Arity в сборе и продаже точного местоположения водителей через приложения без уведомления и согласия, необходимых для чувствительных данных.

AdSense и Ad Manager

Как Google обрабатывает посетителя из Техаса

У IAB Tech Lab есть раздел Техаса в строке GPP, но Google не включает его в разделы, принимаемые AdSense. Для Техаса Google читает раздел US National.

Когда US National указывает на отказ от продажи, передачи или таргетированной рекламы, Google включает ограниченную обработку данных, RDP, и показывает только неперсонализированную рекламу.

Сообщение о конфиденциальности для штатов США в AdSense и Ad Manager включает Техас и записывает выбор в раздел US National. С другой CMP проверьте, отправляет ли она US National техасским посетителям и отмечает ли отказ, когда GPC включен.

Другой вариант: включать RDP прямо в рекламном теге, например с помощью restrictDataProcessing в GPT, для тех, кто отказался. Отказ также должен дойти до header bidding, видео и пикселей.

На практике

Что можно и что нельзя в Техасе

Примеры для сайта с рекламой, который соблюдает закон.

Можно

  • Показывать персонализированную рекламу взрослым без предварительного запроса разрешения, при видимой ссылке для отказа
  • Считать GPC и другие глобальные настройки отказом от таргетированной рекламы
  • Записывать отказ в раздел US National в GPP
  • Показывать контекстную рекламу тем, кто отказался
  • Исправить нарушение и отправить письменное заявление в течение 30 дней после уведомления

Нельзя

  • Продавать чувствительные данные без согласия, даже будучи малым предприятием
  • Продавать чувствительные данные без обязательной фразы-уведомления в политике
  • Требовать создания учетной записи для отказа от таргетированной рекламы
  • Игнорировать глобальную настройку отказа, потому что посетитель не нажал на баннер
  • Собирать точное местоположение через приложение без уведомления и согласия

Частые ошибки

Где сайты обычно ошибаются с Техасом

Отсутствие порога по посетителям многих сбивает с толку.

Искать число посетителей

Компания ищет порог в 100 тысяч посетителей, которого в Техасе нет, и не проверяет, является ли она малым предприятием по SBA.

Региональный раздел без US National

CMP отправляет только раздел Техаса, который AdSense не принимает, и реклама остается персонализированной.

Глобальная настройка игнорируется

Сайт соблюдает GPC только для Калифорнии и забывает, что с 2025 года закон Техаса предусматривает отказ через глобальную настройку браузера.

Политика без обязательного уведомления

Компания продает чувствительные данные, но в политике нет обязательной фразы.

В ConsentMode

Что аудит проверяет в части TDPSA

  • Открывает сайт как посетитель из Техаса с выключенным и включенным GPC и сравнивает рекламные запросы.
  • Читает строку GPP и показывает, есть ли раздел US National и указывает ли он на отказ.
  • Ищет ссылку для отказа на видном месте и проверяет, ведет ли она на экран выбора, без регистрации.
  • Определяет CMP и проверяет, ждут ли ее ответа рекламные теги и теги header bidding.
  • Читает политику конфиденциальности и указывает, не хватает ли прав, третьих лиц, таргетированной рекламы и обязательных фраз при продаже чувствительных данных.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о законе Техаса

Мой сайт небольшой. Действует ли на меня TDPSA?

Если компания малая по критериям SBA, большая часть закона не применяется. Исключение: продажа чувствительных данных, для которой согласие требуется от любой компании. Критерии SBA меняются по отраслям, поэтому стоит уточнить у вашего бухгалтера или юриста.

Нужен ли мне баннер согласия для Техаса?

Для персонализированной рекламы взрослым нет. Закон требует opt-out. Согласие требуется для чувствительных данных.

Обязывает ли Техас соблюдать GPC?

С 1 января 2025 года закон требует выполнять отказы, отправленные через глобальную настройку браузера или устройства, когда можно проверить личность и полномочия. Закон не называет GPC по имени, но это самый известный пример, и его соблюдение самый надежный путь.

Какой раздел GPP отправлять для Техаса?

Для Google US National. Раздел Техаса есть в стандарте IAB, но AdSense не указывает его как принимаемый.

Говорит ли ConsentMode, малое ли я предприятие?

Нет. Это юридический и бухгалтерский анализ. ConsentMode проверяет сайт снаружи и показывает, на месте ли ссылка, сигналы и политика.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, доходит ли отказ из Техаса до рекламы

Аудит открывает сайт как посетитель из Техаса, с GPC и без него, и показывает, что исправить, ничего не меняя.

Начать аудит