Мой кабинет

Руководство · Соединённые Штаты

Конфиденциальность в США: что должен знать сайт с рекламой

В Соединённых Штатах нет единого федерального закона о конфиденциальности. Каждый штат создаёт свой, почти все по модели opt-out: реклама может работать, но у посетителя есть право сказать нет. В этом руководстве объясняются эта модель, Калифорния, сигналы GPC и GPP и то, как Google обращается с американскими штатами.

Проверить мой сайт сейчасЧитать руководство
  • ✓Основано на официальных источниках Калифорнии, Колорадо, Коннектикута и Вирджинии
  • ✓Обзор со ссылками на руководства по каждому штату
  • ✓Чтение сайта без каких-либо изменений
45 дн.срок Вирджинии для ответа на запросы, с одним продлением
100 тысячпотребителей или домохозяйств: один из порогов закона Калифорнии
7 988 долл. СШАмаксимальный штраф за умышленное нарушение в Калифорнии в 2025 году
2023год, когда начали действовать первые законы штатов после Калифорнии

Обзор

Лоскутное одеяло, а не единый закон

В Соединённых Штатах нет общего федерального закона о конфиденциальности вроде GDPR или LGPD. На федеральном уровне есть законы по отраслям и по аудитории. Самые важные для сайта с рекламой: закон Федеральной торговой комиссии (FTC Act), запрещающий обманные и недобросовестные практики, и COPPA, защищающий данные детей младше 13 лет.

На практике это означает, что политика конфиденциальности должна говорить правду. Если сайт заявляет, что не передаёт данные, а передаёт их рекламным сетям, FTC может счесть это обманной практикой. А если контент ориентирован на детей, персонализированная реклама исключается.

Пространство, оставленное федеральным уровнем, заняли штаты. Калифорния проложила путь с CCPA, а с 2023 года растущий список штатов принял всеобъемлющие законы о конфиденциальности потребителей. У каждого закона свои пороги применения, сроки и детали, но почти все следуют одной схеме.

Чек-лист

Что нужно выполнить

В каждом штате есть свои детали, но эти обязанности встречаются в большинстве законов и в правилах Google.

  1. Предложите простой путь для отказа

    Тот, кто показывает таргетированную рекламу или продаёт данные, должен чётко показать, как посетитель может отказаться. В Калифорнии ссылка размещается в шапке или подвале главной страницы.

    Пример

    Подвал всех страниц: Do Not Sell or Share My Personal Information

  2. Считайте GPC отказом

    Калифорния, Колорадо с 1 июля 2024 года и Коннектикут с 1 января 2025 года требуют принимать Global Privacy Control как запрос на отказ. Посетителю не нужно ничего нажимать.

  3. Передайте отказ в Google

    Google включает ограниченную обработку данных, RDP, когда получает отказ через строку GPP или через сам тег. При RDP этот визит получает только неперсонализированную рекламу.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  4. Держите политику конфиденциальности полной

    Виргиния, Юта и Колорадо требуют, чтобы в политике было указано, какие данные вы обрабатываете, для чего, с какими типами третьих лиц и как посетитель реализует свои права.

    Пример

    Мы используем cookie рекламных партнёров, чтобы показывать рекламу на основе ваших просмотров. Чтобы отказаться, используйте ссылку Do Not Sell or Share My Personal Information в подвале.

  5. Запрашивайте разрешение перед использованием чувствительных данных

    Виргиния, Колорадо и Коннектикут требуют согласия для данных о здоровье, религии и сексуальной ориентации. В Юте нужно заранее дать понятное уведомление и возможность отказаться.

  6. Отвечайте на запросы в срок

    На запросы о доступе, исправлении или удалении отвечают в течение 45 дней в Калифорнии, Виргинии, Колорадо, Коннектикуте и Юте, с продлением ещё на 45 дней. В Калифорнии отказ нужно выполнить в течение 15 рабочих дней.

  7. Позаботьтесь о несовершеннолетних

    В Калифорнии продажа данных тех, о ком вы знаете, что им меньше 16 лет, или передача этих данных требует предварительного разрешения. Для детей младше 13 лет разрешение дают родители.

  8. Пересмотрите рекламных партнёров

    В AdSense и Ad Manager элемент «Проверить рекламных партнёров» в разделе «Конфиденциальность и сообщения» определяет, какие покупатели могут показывать рекламу в штатах, где действует закон.

    Пример

    Конфиденциальность и сообщения > Правила штатов США > значок настроек > Проверить рекламных партнёров

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP для штатов США. Он сообщает, что использовать GPP или CMP необязательно, но отказ посетителя должен доходить до рекламы. Вот официальные пути.

Модель штатов

Opt-out: можно, но человек может сказать нет

В Европе по умолчанию сначала просят разрешение. В американских штатах по умолчанию разрешено, а посетителю дают простой способ отказаться.

Таргетированная реклама

Посетитель может отказаться, чтобы его данные использовались для рекламы, основанной на его действиях на других сайтах и в приложениях.

Продажа или передача

Посетитель может отказаться от продажи своих данных. В Калифорнии это включает передачу для поведенческой рекламы в разных контекстах.

Чувствительные данные

Здоровье, расовое происхождение, религия, сексуальная ориентация и точная геолокация имеют дополнительную защиту. Во многих штатах требуется согласие, а в Калифорнии посетитель может ограничить использование.

Автоматический сигнал браузера

Калифорния, Колорадо и Коннектикут, среди прочих, требуют уважать сигналы opt-out, которые отправляет браузер, такие как Global Privacy Control.

Калифорния

CCPA и CPRA: закон-ориентир

Закон Калифорнии о конфиденциальности потребителей (CCPA) был расширен Предложением 24, принятым в ноябре 2020 года и известным как CPRA. Он действует для коммерческих компаний, ведущих бизнес в Калифорнии и достигающих хотя бы одного из этих порогов.

Выручка

Годовая валовая выручка от 26 625 000 долларов США в предыдущем году, значение скорректировано с учётом инфляции с 1 января 2025 года.

Объём людей

Покупка, продажа или передача данных 100 тысяч или более жителей или домохозяйств Калифорнии. Сайт с большим американским трафиком может дойти до этого.

Доход от данных

Получение 50% или более годовой выручки от продажи или передачи персональных данных жителей Калифорнии.

Ссылка opt-out

Тот, кто продаёт или передаёт данные, должен иметь понятную ссылку, обычно в футере, с текстом Do Not Sell or Share My Personal Information, Your Privacy Choices или Your California Privacy Choices.

Остальные штаты

В каких штатах уже есть всеобъемлющие законы

После Калифорнии первыми вступили в силу законы Вирджинии 1 января 2023 года, а также Колорадо и Коннектикута 1 июля 2023 года. Затем последовала Юта с более лёгким законом.

Список продолжили Техас, Орегон, Монтана, Айова, Делавэр, Небраска, Нью-Гэмпшир, Нью-Джерси, Теннесси, Миннесота и Мэриленд. Законы Индианы, Кентукки и Род-Айленда начали действовать 1 января 2026 года.

Пороги различаются от штата к штату. В Вирджинии, например, закон охватывает тех, кто обрабатывает данные не менее 100 тысяч потребителей в год или 25 тысяч потребителей, если больше половины выручки приходит от продажи данных. В Колорадо порог составляет 100 тысяч потребителей или выручка от продажи данных 25 тысяч или более.

Поскольку у каждого штата свои детали, у ConsentMode есть отдельные руководства по основным. Эта страница даёт общую картину. Практическое правило: настроить сайт один раз по самой строгой модели и применять opt-out ко всем штатам с действующим законом.

Права

Права, которые повторяются почти во всех законах

Названия различаются, но набор прав очень похож от штата к штату.

Знать и получать доступ

Спросить, какие данные есть у компании и для чего она их использует.

Исправить

Потребовать исправить неверные данные.

Удалить

Просить удалить данные, с некоторыми исключениями, предусмотренными законом.

Переносимость

Получить копию данных в формате, который можно перенести в другой сервис.

Отказаться (opt-out)

Сказать нет таргетированной рекламе, продаже данных и некоторым видам профилирования.

Обжаловать

Во многих штатах оспорить отрицательный ответ компании и попросить новое рассмотрение. Сроки ответа короткие: в Вирджинии 45 дней на выполнение запросов с одним продлением.

Сигналы

GPC и GPP: два сигнала, которые сайт должен понимать

Global Privacy Control (GPC) это сигнал, который отправляет сам браузер, например Firefox, Brave и DuckDuckGo, или расширение. Он работает как кнопка «прекратить продавать или передавать мои данные». Калифорния требует от компаний уважать этот сигнал как действительный запрос opt-out.

В Колорадо приём универсальных механизмов opt-out стал обязательным 1 июля 2024 года, и GPC был первым, который признал штат. В Коннектикуте обязанность действует с 1 января 2025 года. То есть посетителя с включённым GPC нужно считать так, как будто он нажал на ссылку opt-out.

Global Privacy Platform (GPP) это другое. Это формат, созданный IAB Tech Lab, чтобы CMP передавала выбор посетителя всем рекламным партнёрам, с разделами для американских штатов. Он заменяет прежнюю строку US Privacy, которую IAB прекратил поддерживать в январе 2024 года.

Итог: GPC это запрос, который приходит из браузера. GPP это способ, которым CMP сообщает Google и другим сетям о выборе посетителя.

Хронология

Как формировалась американская карта

Даты подтверждены официальными источниками каждого штата.

  1. Ноябрь 2020 года

    Предложение 24 в Калифорнии

    Избиратели одобряют CPRA, которая расширяет CCPA и создаёт государственное агентство по конфиденциальности (CPPA).

  2. 1 января 2023 года

    CPRA и Вирджиния

    Начинают действовать новые меры защиты Калифорнии и закон Вирджинии. Google расширяет ограниченную обработку данных на законы штатов.

  3. 1 июля 2023 года

    Колорадо и Коннектикут

    Оба закона вступают в силу с правом opt-out от таргетированной рекламы.

  4. Январь 2024 года

    Конец строки US Privacy

    IAB прекращает поддержку строки US Privacy в пользу GPP.

  5. 1 июля 2024 года

    Универсальный opt-out в Колорадо

    Компании должны принимать сигналы, такие как GPC.

  6. 1 января 2025 года

    Коннектикут и новые значения в Калифорнии

    Коннектикут начинает требовать уважать сигналы opt-out. Калифорния корректирует с учётом инфляции пороги и штрафы.

  7. 1 января 2026 года

    Индиана, Кентукки и Род-Айленд

    Начинают действовать три новых закона штатов. В Калифорнии вступают в силу правила об автоматизированных решениях, оценках рисков и аудитах.

AdSense и Ad Manager

Как Google обращается с американскими штатами

Google предлагает ограниченную обработку данных (RDP) с 2019 года, созданную для CCPA, а в январе 2023 года расширил её на законы штатов. При включённом RDP Google ограничивает использование идентификаторов и показывает для этого посещения только неперсонализированную рекламу.

RDP можно включить тремя способами: через CMP, которая отправляет сигнал GPP, через настройку в каждом рекламном запросе в теге сайта или для всего трафика применимых штатов в настройках «Конфиденциальность и сообщения». Настройка для каждого запроса хорошо сочетается со ссылкой opt-out в футере.

В AdSense и Ad Manager есть также элемент управления «Проверить рекламных партнёров» в разделе «Нормативные акты штатов США», чтобы выбрать, каким покупателям можно показывать рекламу пользователям этих штатов. Google рекомендует перейти со строки US Privacy на GPP, хотя старую строку он по-прежнему читает для совместимости.

В отличие от Европы, Google не требует сертифицированную CMP для Соединённых Штатов. Но издатель по-прежнему отвечает за предложение opt-out, которого требуют законы штатов, и за правильность политики конфиденциальности.

Что делать

Как настроить сайт с американским трафиком

  1. Измерьте трафик по штатамПосмотрите в Analytics, сколько посетителей приходит из Калифорнии и других штатов с законами. Это помогает понять, каких порогов сайт может достичь.
  2. Обновите политику конфиденциальностиОбъясните, какие данные использует реклама, какие партнёры их получают, какие права есть у посетителя и как ими воспользоваться, с указанием применимых законов штатов.
  3. Поместите ссылку opt-out в футерИспользуйте допустимый текст, такой как Do Not Sell or Share My Personal Information или Your Privacy Choices, ведущий на страницу или сообщение, которое действительно работает.
  4. Уважайте GPCНастройте CMP или сайт так, чтобы сигнал GPC считался автоматическим opt-out, без дополнительных действий от посетителя.
  5. Передайте выбор в GoogleИспользуйте GPP через CMP, RDP в каждом запросе или сообщение для штатов США в разделе «Конфиденциальность и сообщения».
  6. Проверьте партнёровВ AdSense или Ad Manager проверьте в разделе «Нормативные акты штатов США», каким партнёрам можно показывать рекламу в этих штатах.

На практике

Что можно и что нельзя для американских посетителей

Примеры на основе модели opt-out из законов штатов.

Можно

  • Показывать персонализированную рекламу по умолчанию, предлагая понятный opt-out
  • Использовать ссылку Your Privacy Choices в футере всех страниц
  • Включать RDP Google только для тех, кто сделал opt-out, или для штатов с законами
  • Считать GPC за opt-out, не показывая никакого баннера
  • Использовать одну и ту же страницу opt-out для всех штатов с законами
  • Передавать выбор партнёрам через строку GPP

Нельзя

  • Ссылка opt-out, ведущая на страницу без реального действия
  • Требовать регистрацию или вход, чтобы посетитель мог сделать opt-out
  • Игнорировать сигнал GPC от посетителей из Калифорнии
  • Продолжать отправлять данные для ремаркетинга после opt-out
  • Показывать европейское сообщение TCF американской аудитории
  • Нацеливать персонализированную рекламу на контент для детей младше 13 лет

В ConsentMode

Что аудит проверяет для посетителей из США

  • Открывает сайт как посетитель из Калифорнии и показывает на скриншоте, появляется ли ссылка opt-out и куда она ведёт.
  • Повторяет посещение с включённым сигналом GPC и проверяет, меняют ли поведение сайт и теги.
  • Читает строку GPP или прежнюю US Privacy в коде страницы и определяет CMP.
  • Проверяет, несут ли рекламные запросы сигнал ограниченной обработки после opt-out.
  • Читает политику конфиденциальности и указывает, не хватает ли прав, партнёров или законов штатов.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о законах США

Мой сайт бразильский. Применяются ли ко мне американские законы?

Могут применяться, если сайт ведёт дела с жителями штата и достигает порогов закона, например объёма посетителей из Калифорнии. У каждого закона свои критерии. Если сомневаетесь, предложить opt-out и уважать GPC это простая и безопасная настройка.

Нужен ли баннер cookie для США?

Как правило, нет, не в европейском формате. Американская модель требует ссылку opt-out и прозрачность в политике конфиденциальности. Для конфиденциальных данных некоторые штаты требуют согласие.

Что происходит с доходом, когда я включаю RDP?

Посещения с RDP получают только неперсонализированную рекламу, которая обычно оплачивается ниже. Поэтому лучше включать RDP для тех, кто сделал opt-out, а не для всего трафика со всего мира.

В чём разница между GPC и GPP?

GPC это сигнал, который отправляет браузер посетителя, говоря «не продавайте мои данные». GPP это формат, который CMP использует, чтобы передать выбор посетителя рекламным сетям.

Какие штрафы в Калифорнии?

С 1 января 2025 года до 2 663 долларов США за нарушение и до 7 988 долларов США за умышленное нарушение или нарушение с участием лиц младше 16 лет. Другие законы штатов имеют свои суммы, например до 7 500 долларов США за нарушение в Вирджинии.

Где найти подробности по каждому штату?

У ConsentMode есть отдельные руководства по основным штатам. Эта страница кратко описывает, что у них общего и что меняется в Google.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте opt-out вашего сайта как американский посетитель

Аудит проверяет ссылку opt-out, GPC, GPP и сигналы, отправляемые в Google, и показывает, что исправить.

Начать аудит