Мой кабинет

Руководство · Закон штата США

UCPA: закон Юты простыми словами для тех, у кого есть реклама

В Юте один из самых мягких законов штатов о конфиденциальности в Соединенных Штатах, и он охватывает только крупные компании. Тем не менее тем, кто под него подпадает, нужно объяснять таргетированную рекламу и предлагать простой способ отказа. Узнайте, когда закон действует для вашего сайта и что Google делает с сигналом.

Проверить мой сайт для ЮтыЧитать руководство
  • ✓По официальному тексту Кодекса Юты
  • ✓Примеры для сайтов с AdSense и Ad Manager
  • ✓Проверка только для чтения, без изменения сайта
25 млн долл. СШАминимальная годовая выручка для применения закона, в сочетании с порогом по числу потребителей
100 тысячпотребителей из Юты в год: порог по объему для компаний, превысивших порог выручки
30 дн.срок на исправление нарушения после письменного уведомления генерального прокурора
7 500 долл. СШАмаксимальный штраф за нарушение, помимо реального ущерба потребителям

Что это

Компактный закон, рассчитанный так, чтобы не обременять малые компании

Utah Consumer Privacy Act, или UCPA, находится в главе 61 раздела 13 Кодекса Юты. Он принят в 2022 году и вступил в силу 31 декабря 2023 года.

UCPA следует структуре закона Вирджинии, но мягче. Он не требует оценок защиты данных, не обязывает сайт соблюдать автоматические сигналы браузера и позволяет обрабатывать чувствительные данные с уведомлением и возможностью отказа вместо предварительного согласия.

Это также единственный закон в этой группе, который требует минимальной выручки. Компания подпадает под закон, только если ее годовая выручка не менее 25 млн долл. США и, кроме того, есть значительное число потребителей из Юты.

Для тех, кто подпадает, главное правило не меняется: сайт должен сообщить, что показывает таргетированную рекламу, и предложить понятный путь отказа.

Чек-лист

Что нужно выполнить

Действуют только для тех, у кого годовой доход 25 миллионов долларов США или больше и кто также превышает один из порогов по объёму.

  1. Чётко покажите, как отказаться

    Тот, кто продаёт данные или показывает таргетированную рекламу, должен понятно и заметно показать, как посетитель отказывается. Закон не определяет текст ссылки.

    Пример

    Подвал: Do Not Sell or Share My Personal Information

  2. Опубликуйте понятное уведомление о конфиденциальности

    В уведомлении перечислены категории данных, цели, способы реализации прав, данные, передаваемые третьим лицам, и типы третьих лиц.

    Пример

    Мы используем данные о просмотрах, чтобы показывать рекламу. Мы делимся этими данными с рекламными сетями. Чтобы отказаться, используйте ссылку в подвале.

  3. Предупреждайте перед использованием чувствительных данных

    Прежде чем обрабатывать чувствительные данные, сайт даёт понятное уведомление и возможность отказаться. Для известного ребёнка действует закон COPPA.

  4. Отвечайте в течение 45 дней

    На запросы отвечают в течение 45 дней. Если нужно ещё 45, сайт предупреждает посетителя и сообщает, сколько ещё времени потребуется.

  5. Выполняйте запрос на исправление

    С 1 июля 2026 года посетитель также может запросить исправление неверных данных.

  6. Используйте с Google раздел US National

    Google не принимает раздел Юты строки GPP. Для Юты CMP должна отправлять US National, или сайт включает RDP прямо в теге.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  7. Быстро исправляйте нарушения, если вас уведомили

    Генеральный прокурор уведомляет письменно и даёт 30 дней на исправление. Если нарушение продолжается, штраф достигает 7 500 долларов США за каждое нарушение.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP для Юты. Сообщение Google для штатов США охватывает Юту и записывает выбор в раздел US National. Вот официальные ссылки.

К кому относится

Выручка и объем, оба условия одновременно

Закон действует для тех, кто ведет бизнес в Юте или предлагает товары и услуги жителям штата и выполняет условие по выручке и одно из условий по объему.

Выручка 25 млн долл. США

Годовая выручка 25 млн долл. США или больше. Без этого условия закон не применяется, каким бы большим ни был трафик.

100 тысяч потребителей

Помимо выручки, контролировать или обрабатывать данные 100 тысяч или более потребителей из Юты за календарный год.

Или 25 тысяч и продажа данных

Или обрабатывать данные 25 тысяч потребителей и получать более 50% валовой выручки от продажи персональных данных.

Кто не подпадает

Государственные органы, некоммерческие организации, высшие учебные заведения и данные, подпадающие под федеральные законы о финансах и здравоохранении.

Определения

Термины, важные для тех, кто продает рекламу

Юта использует узкие определения, похожие на определения Вирджинии.

Персональные данные

Информация, связанная или разумно способная быть связанной с идентифицированным или идентифицируемым лицом. Анонимизированные и общедоступные данные не входят.

Чувствительные данные

Расовое или этническое происхождение, религия, сексуальная ориентация, миграционный статус, медицинская история и история здоровья, генетические, биометрические данные и точное местоположение.

Продажа

Обмен персональных данных на деньги с третьим лицом. Как и в Вирджинии, учитывается только оплата деньгами.

Таргетированная реклама

Реклама, выбранная на основе данных о действиях человека с течением времени на сайтах и в приложениях других компаний. Контекстная реклама не входит.

Права

Что может запросить посетитель из Юты

У компании есть 45 дней на ответ, с возможностью продления. Список прав меньше, чем в других штатах.

Доступ

Узнать, обрабатывает ли компания его данные, и получить к ним доступ.

Удаление и переносимость

Удалить данные, которые он сам предоставил, и получить копию в формате, который можно перенести в другой сервис.

Исправление, с 1 июля 2026 года

Поправка, принятая в 2025 году, добавила право потребовать исправить неверные данные, которого не было в первоначальном законе.

Отказ

Отказаться от использования данных для таргетированной рекламы и от продажи персональных данных.

Обязанности сайта

Уведомление о конфиденциальности, отказ и чувствительные данные

Компании нужно доступное и понятное уведомление о конфиденциальности. В нем должны быть перечислены категории обрабатываемых данных, цели, способы осуществления прав, категории данных, передаваемых третьим лицам, и категории этих третьих лиц.

Если сайт продает данные или показывает таргетированную рекламу, он должен ясно и заметно показать, как посетитель может отказаться. Закон не определяет текст ссылки, но ее должно быть легко найти, например в подвале.

Чувствительные данные можно обрабатывать только после понятного уведомления и возможности отказаться. Для данных известного ребенка действует федеральный закон COPPA, с согласием родителей.

Юта не требует, чтобы сайт соблюдал Global Privacy Control и другие автоматические сигналы браузера, и не требует оценок защиты данных. Это не мешает компании соблюдать GPC по собственному выбору, что упрощает работу в нескольких штатах.

Хронология

Даты закона Юты

UCPA мало менялся с момента вступления в силу.

  1. 2022

    Закон принят

    Юта принимает свой общий закон о конфиденциальности потребителей, SB 227.

  2. 31 декабря 2023 года

    Вступление в силу

    Вступают в силу права, уведомление о конфиденциальности и отказ от таргетированной рекламы и продажи.

  3. 2025

    Поправка принята

    Законодательное собрание Юты принимает включение права на исправление.

  4. 1 июля 2026 года

    Право на исправление данных вступило в силу

    Посетитель теперь может требовать исправления неверных данных.

Контроль и штрафы

Генеральный прокурор, отдел защиты потребителей и срок в 30 дней

Исключительное право применять закон принадлежит генеральному прокурору Юты. Отдел защиты потребителей штата принимает жалобы, проводит проверки и может передать дело генеральному прокурору. Жители не могут подавать иск против компании на основании UCPA.

Прежде чем подать иск, генеральный прокурор обязан за 30 дней или более направить письменное уведомление с указанием каждого нарушения. Если компания исправит нарушения в этот срок и пришлёт письменное заявление о том, что всё исправлено и не повторится, иск не подаётся. Этот срок на исправление не имеет даты окончания.

Если нарушение продолжается или повторяется, генеральный прокурор может взыскать фактический ущерб потребителей и штраф до 7 500 долларов США за каждое нарушение.

На практике 30 дней дают второй шанс, но только тем, кто прочитал уведомление и быстро всё исправил. Если уведомление и возможность отказа работают с самого начала, проблемы не возникнет.

AdSense и Ad Manager

Как Google относится к посетителю из Юты

IAB Tech Lab создал в строке GPP отдельный раздел для Юты, но Google его не принимает. На странице поддержки AdSense раздел Юты указан среди неподдерживаемых строк.

Для Юты Google читает раздел US National. Если в нём указан отказ от продажи, передачи данных или таргетированной рекламы, Google включает ограниченную обработку данных (RDP) и показывает только неперсонализированную рекламу.

Сообщение о конфиденциальности для штатов США в AdSense и Ad Manager включает Юту и записывает выбор в раздел US National. Если вы используете другую CMP, проверьте, что она отправляет US National для посетителей из Юты, а не только раздел штата.

Ещё один вариант: включить RDP прямо в рекламном теге, например с помощью restrictDataProcessing в GPT, для тех, кто отказался. Не забудьте передать отказ и партнёрам по header bidding, видео и пикселям.

На практике

Что можно и что нельзя в Юте

Примеры для сайта с рекламой, который превышает пороги закона.

Можно

  • Показывать персонализированную рекламу без предварительного запроса разрешения, с заметной ссылкой для отказа
  • Записывать отказ посетителей из Юты в раздел US National строки GPP
  • Соблюдать GPC по собственному желанию, даже если это не обязательно
  • Обрабатывать конфиденциальные данные после понятного уведомления и с возможностью отказаться
  • Показывать контекстную рекламу тем, кто отказался

Нельзя

  • Отправлять только раздел Юты и надеяться, что Google его прочитает
  • Прятать отказ посреди политики конфиденциальности
  • Обрабатывать данные о здоровье или точном местоположении без уведомления и без возможности отказаться
  • Игнорировать уведомление генерального прокурора и пропустить срок в 30 дней
  • Отказывать в исправлении неверных данных после июля 2026 года

Частые ошибки

Где сайты чаще всего ошибаются с Ютой

Закон простой, а вот техническая часть часто подводит.

Неверный раздел GPP

CMP отправляет только раздел Юты, который Google не принимает, и рекламный запрос уходит без RDP.

Политика без упоминания рекламы

В политике говорится о файлах cookie, но не сказано, что есть таргетированная реклама и как от неё отказаться.

Мнение, что Юта не важна

Компания превышает 25 миллионов долларов США выручки и 100 тысяч посетителей из Юты, но не предлагает никакого отказа.

Устаревшие права

В политике не упоминается право на исправление, которое действует с 1 июля 2026 года.

В ConsentMode

Что проверяет аудит по UCPA

  • Открывает сайт как посетитель из Юты и ищет на видном месте ссылку для отказа от таргетированной рекламы.
  • Читает строку GPP в рекламных запросах и показывает, есть ли в ней раздел US National, который Google читает для Юты.
  • Определяет CMP и проверяет, меняет ли отказ строку до рекламных запросов и запросов header bidding.
  • Фиксирует, соблюдает ли сайт GPC. В Юте это не требуется, но требуется в других штатах.
  • Читает политику конфиденциальности и отмечает, чего не хватает: целей, третьих сторон, прав и способа отказа.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о законе Юты

Выручка моего сайта меньше 25 миллионов долларов США. Действует ли UCPA?

Нет. Закон применяется только к тем, у кого годовая выручка не менее 25 миллионов долларов США и кто при этом превышает один из порогов по числу потребителей. Но рекламные партнёры всё равно могут запрашивать сигналы отказа.

Нужно ли соблюдать GPC в Юте?

UCPA этого не требует. Многие сайты всё равно соблюдают GPC, потому что этого требуют такие штаты, как Калифорния, Колорадо, Коннектикут и Орегон.

Нужно ли согласие на обработку конфиденциальных данных?

В Юте требуется понятное уведомление и возможность отказаться до обработки, а не предварительное согласие. Для детей действует федеральный закон COPPA.

Какой раздел GPP отправлять для Юты?

Для Google это US National. AdSense сообщает, что раздел Юты не принимается.

ConsentMode настраивает мою CMP?

Нет. ConsentMode не является CMP и ничего не меняет на сайте. Он показывает, какой раздел отправляется и что нужно поправить.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Узнайте, читает ли Google ваш отказ

Аудит открывает сайт как посетитель из Юты и показывает строку, которая отправляется в рекламу, ничего не изменяя.

Начать аудит