打开空间

指南 · 美国州法律

DPDPA:连中等规模网站也会受到影响的特拉华州法律

Delaware Personal Data Privacy Act 自 2025 年 1 月 1 日起生效,是全美门槛最低的法律之一。在本指南中,你将了解谁需要遵守、为什么非营利组织也包括在内、通用退出信号如何运作,以及 2027 年会有什么变化。

  • ✓基于特拉华州法典和司法部门户网站
  • ✓面向有广告网站的实用示例
  • ✓只读审核,不修改网站
3.5 万每年的特拉华州消费者人数:到 2026 年底为止的主要门槛
1 万如果总收入的 20% 以上来自出售数据,则 1 万名消费者就够了
10 万消费者:超过这个数量,企业必须进行数据保护评估
1 万美元根据消费者欺诈法,每次故意违规的最高民事罚款

是什么

名字不大、影响范围却很大的法律

Delaware Personal Data Privacy Act,简称 DPDPA,是特拉华州的综合性隐私法。它于 2023 年通过,位于特拉华州法典第 6 编第 12D 章,自 2025 年 1 月 1 日起由该州司法部执行。

它的模式与康涅狄格州相似。访问者可以访问、更正、删除和携带自己的数据,也可以拒绝数据出售、定向广告和某些自动化画像。敏感数据只有在获得同意后才能使用。

值得注意的是它的适用范围。特拉华是个小州,所以立法者设定了很低的门槛:每年处理 3.5 万名消费者的数据就够了。而且与许多州不同,非营利组织并不豁免。

对于有美国访问者的内容网站,这改变了判断。一个新闻门户、一个财经博客,或一个来自特拉华州流量很大的协会,可能在不知不觉中超过门槛,因为每个广告 Cookie 都算个人数据。

清单

你需要做到的事项

如果网站超过 DPDPA 的门槛,这是基本清单,按紧急程度从高到低排列。

  1. 设置清晰、显眼的退出链接

    网站需要一个清晰、显眼的链接,指向一个页面,让访客在该页面拒绝定向广告和数据出售。

    示例

    页脚链接:Do Not Sell or Share My Personal Information,指向一个退出页面。

  2. 接受浏览器的偏好信号

    自 2026 年 1 月 1 日起,网站必须接受通过偏好信号(如 GPC)发出的退出请求。该信号不能默认开启。

    示例

    开启 GPC 的访客:当作他已经点击了退出链接来处理。

  3. 对敏感数据取得真正的同意

    敏感数据只能在取得同意后处理。通过误导性默认设置得到的同意无效,撤回同意必须和给予同意一样容易。

    示例

    如果访客撤回同意,请在 15 天内停止处理。

  4. 保护 13 至 17 岁的青少年

    如果企业知道,或故意无视访客是 13 至 17 岁,那么未经同意,不得把他的数据用于定向广告,也不得出售。

  5. 发布完整的隐私声明

    通知中列出所处理的数据、目的、如何行使权利和申诉、共享的数据以及第三方的类别,并附上一个有效的联系方式。

    示例

    在通知末尾加上一个有效的电子邮箱,例如 privacy@yoursite.com。

  6. 答复请求,且不要求新建账户

    在 45 天内答复,如果通知了对方,可再延长 45 天。不要求新建账户,并设有申诉流程。

  7. 进行数据保护评估

    处理至少 10 万名消费者数据的一方,要以书面形式评估定向广告、出售和敏感数据的风险。2027 年,这一门槛降至 5 万。

  8. 把退出请求传给 Google

    Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息,或在标签中对选择退出的访客开启受限数据处理(RDP)。使用 GPP 时,Google 对特拉华州读取 US National 部分。

    示例

    AdSense 或 Ad Manager:隐私权和消息,“美国各州法规”卡片,创建。然后选择网站并发布。

    // Só para o visitante que recusou
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true,
    });

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对美国各州的法律没有要求使用认证 CMP,也没有要求 GPP。您可以使用 Google 自己的消息,或在标签中开启 RDP。

谁需要遵守

让你的网站适用 DPDPA 的门槛

该法律适用于在特拉华州开展业务,或向该州居民提供产品和服务,并且在上一个日历年超过以下任一门槛的主体。

3.5 万名消费者

控制或处理了至少 3.5 万名特拉华州消费者的数据。仅用于完成付款的数据不计入。

1 万名消费者和数据出售

控制或处理了至少 1 万名消费者的数据,并且超过 20% 的总收入来自出售个人数据。

非营利组织也适用

该法律适用于企业和非营利组织。唯一豁免的此类组织是专门致力于打击保险欺诈的组织。

按数据类型的豁免

受联邦法律管辖的金融和健康数据有例外。司法部本身建议向律师确认是否适用某项例外。

2027 年门槛降低

2026 年通过的一项法律 HB 380,将从 2027 年 1 月 1 日起降低门槛:1 万名消费者,或 5 千名消费者且超过 20% 的收入来自出售数据。

购买数据的第三方

同样从 2027 年起,从控制者那里获取个人数据的第三方也被纳入,且没有数量门槛。

定义

法律用语,用网站所有者的话来说

定义在第 12D-102 节,与康涅狄格州和俄勒冈州的相似,但敏感数据的清单更长。

个人数据

所有与某个人相关或可能与某个人相关的数据:姓名、地址、邮箱、设备标识符、精确位置,以及唯一标识符,比如广告 Cookie 使用的那些。

敏感数据

种族或民族出身、宗教信仰、健康状况(包括怀孕)、性生活、性取向、跨性别或非二元性别身份、移民身份、基因和生物识别数据、儿童数据,以及精确地理位置。

出售

与第三方以金钱或其他有价值的对价交换个人数据。向处理者和同一集团内的公司传递数据不包括在内。

定向广告

根据从访问者在其他公司的网站和应用上长期活动中获取或推断的数据来选择的广告。基于搜索上下文的广告不包括在内。

个人的权利

特拉华州居民可以提出什么请求

必须在 45 天内答复,如有必要可再延长 45 天,但需在初始期限内通知。企业必须有申诉程序。

确认和访问

了解企业是否在处理他的数据,并访问这些数据。

更正和删除

更正错误的数据,并要求删除个人数据。

可携带性

以便于转移到其他服务的格式,获得数据的副本。

第三方清单

获得接收过数据的第三方类别的清单。从 2027 年起,清单将变为具体的第三方,但有一些例外。

拒绝定向广告和数据出售

要求不将数据用于定向广告,也不出售数据。这是对有广告的网站影响最大的权利。

拒绝自动化画像

拒绝仅由机器完成、并导致产生法律效力或类似重大影响的决定的画像。

网站的义务

适用的网站需要保证正常运行的事项

  1. 完整的隐私声明声明必须列出所处理的数据类别、目的、如何行使权利和申诉、与第三方共享的数据类别、这些第三方的类别,以及一个有效的邮箱或其他在线联系方式。
  2. 披露数据出售和定向广告如果网站出售数据或将数据用于定向广告,必须清楚、显眼地说明,并解释如何拒绝。
  3. 只收集必要的数据收集的数据必须适当、相关,并且对告知访问者的目的而言是合理必要的。
  4. 敏感数据需要同意敏感数据只有在获得同意后才能使用,访问者可以像给出同意一样容易地撤回同意。
  5. 保护青少年如果企业知道,或故意无视访问者年龄在 13 到 17 岁之间,则未经同意不得将其数据用于定向广告或出售。
  6. 数据保护评估控制或处理至少 10 万名消费者数据的企业,必须就定向广告、出售、画像和敏感数据的风险进行书面评估。到 2027 年,在某些情况下这个门槛会降到 5 万。

执法和罚款

谁来执法,以及整改期限有什么变化

只有特拉华州司法部执行 DPDPA。消费者不能依据这部法律起诉企业。

强制整改期已结束

2025 年,司法部在采取行动前必须通知企业,并给予 60 天的整改期。这个强制性期限已于 2025 年 12 月 31 日结束。

现在由机构自行决定

自 2026 年起,是否给予整改期由司法部决定,会考虑违规次数、企业规模、对公众的风险,以及错误是人为的还是技术性的。

非法商业行为

违反 DPDPA 被特拉华州消费者欺诈法视为非法行为,并适用该法的调查手段。

每次违规最高 1 万美元

如果法院认定违规是故意的,每次违规的民事罚款最高可达 1 万美元。

时间线

DPDPA 的重要日期

特拉华州已经修改过一次自己的法律。2026 年 11 月,2025 年的规则正在生效,2027 年的规则即将到来。

  1. 2023

    法律通过

    特拉华州通过 Personal Data Privacy Act。

  2. 2025 年 1 月 1 日

    开始执法

    司法部开始执行该法律,强制整改期为 60 天。

  3. 2025 年 12 月 31 日

    强制整改期结束

    司法部必须先通知并等待 60 天再采取行动的期间结束。

  4. 2026 年 1 月 1 日

    通用信号成为强制要求

    网站必须接受通过偏好信号(如 GPC)发送的数据出售和定向广告的退出请求。

  5. 2026

    HB 380 通过

    特拉华州通过修订,降低门槛、扩大敏感数据范围,并要求列出具体的第三方。

  6. 2027 年 1 月 1 日

    新规则生效

    1 万名和 5 千名消费者的门槛以及 HB 380 的其他修改开始生效。

使用 AdSense 和 Ad Manager 的网站

强制 GPC,以及退出请求传到 Google 的路径

自 2026 年 1 月 1 日起,适用 DPDPA 的网站必须在访问者同意的前提下,接受通过偏好信号发送的退出请求。最常见的例子是 Global Privacy Control,即 GPC,一些浏览器和扩展程序会发送它。对于开启了 GPC 的访问者,网站应当表现得像他点击了退出链接一样。

Google 在 AdSense 和 Ad Manager 的“隐私权和消息”中提供美国州法规消息,特拉华州也在支持的州之列。该消息会显示 Do Not Sell or Share 链接。当访问者拒绝时,Google 会开启受限数据处理,即 RDP,并不再使用之前的行为来选择广告。

关于 GPC,Google 表示,已实现该信号的合作伙伴可以选择在收到 GPC 退出信号时开启 RDP。也就是说,决定和配置由网站或 CMP 负责。一种方式是通过标签:GPT 的 restrictDataProcessing 参数,或 AdSense 的 data-restrict-data-processing 属性。

使用 GPP 的网站需要知道,虽然存在专门的特拉华州分段,但它不在 Google 接受的分段列表中。对 Google 来说,路径是 US National 分段,其中拒绝出售、共享或定向广告会开启 RDP。

实际案例

在特拉华州可以做什么,不可以做什么

适用于在特拉华州有流量、并通过程序化广告变现的网站的示例。

可以

  • 对拒绝了或带着开启的 GPC 到来的访问者,展示上下文广告
  • 使用 Google 的州法规消息来提供退出链接
  • 为简化起见,对所有美国流量采用同样的 GPC 处理方式
  • 使用 GPP 的 US National 分段向 Google 通知退出请求
  • 为美国保留一份统一的隐私声明,前提是包含联系邮箱以及特拉华州要求的所有内容

不可以

  • 忽略 GPC,继续为该访问者请求个性化广告
  • 以为你的协会或非政府组织因为不以营利为目的就不适用
  • 未经同意,将 13 至 17 岁青少年的数据用于定向广告
  • 发布没有有效邮箱或联系表单的隐私政策
  • 指望有自动的 60 天整改期:它在 2025 年已经结束

常见错误

网站在 DPDPA 上容易出错的地方

门槛很低,让特拉华州的规则覆盖到了从没想过美国州法律的网站。

低估了数量

网站只统计注册用户。但匿名访问者的 Cookie 和广告标识符也是个人数据,同样计入那 3.5 万的数量。

忽略了 GPC

CMP 不读取 GPC,或只为加利福尼亚州读取。自 2026 年起,特拉华州也要求尊重该信号。

退出后广告没有变化

访问者拒绝了,但广告请求仍然没有 RDP,GPP 字符串里也没有退出标记。

政策中没有第三方清单

隐私页面没有说明哪些类别的第三方(如广告网络和衡量合作伙伴)会收到数据。

Google 不读取的州分段

CMP 在 GPP 中只发送特拉华州分段,漏掉了 US National。Google 收不到退出请求。

忘了 2027 年

企业的消费者人数低于 3.5 万,因此放松了警惕,但按 2027 年的新门槛就会落入该法律的范围。

在 ConsentMode 中

审核对特拉华州检查什么

  • 以美国访问者的身份打开网站,在页脚、菜单和隐私提示中查找退出链接。
  • 在审核浏览器中开启 GPC 信号,并比较有信号和无信号时的页面和广告请求。
  • 读取 GPP 字符串,检查是否存在 US National 分段,并记录退出请求。
  • 通过页面代码识别 CMP 或 Google 的消息。
  • 检查隐私页面是否包含数据类别、目的、第三方、权利、申诉方式和联系邮箱。

常见问题

我怎么知道自己是否超过 3.5 万名特拉华州消费者?

查看 Analytics 或 Ad Manager 的地理位置报告,统计上一个日历年特拉华州的独立访问者。由于 Cookie 和广告标识符属于个人数据,匿名访问者也要计入。仅用于付款的数据不计入。

我的组织是非营利性的。我就不适用吗?

不一定。在特拉华州,非营利组织如果超过门槛也必须遵守该法律。唯一的此类例外是专门致力于打击保险欺诈的组织。

我必须尊重 GPC 吗?

是的,如果该法律适用于你的网站。自 2026 年 1 月 1 日起,通过偏好信号发送的数据出售和定向广告退出请求必须被接受。

2027 年会有什么变化?

HB 380 将门槛降到 1 万名消费者,或 5 千名消费者且超过 20% 的收入来自出售数据,同时扩大敏感数据清单,并赋予消费者了解哪些具体第三方收到了数据的权利。

特拉华州需要 Cookie 横幅吗?

该法律采用退出模式,所以在投放普通广告之前不要求征求同意。例外是敏感数据和 13 至 17 岁的青少年,这些需要同意。

ConsentMode 能让我的网站合规吗?

ConsentMode 不是 CMP,也不是律师事务所。审核会显示网站对退出链接、GPC、GPP 和隐私页面实际做了什么,方便你与供应商和律师一起修正。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文:

检查你的网站在特拉华州是否尊重 GPC

审核会以美国访问者的身份、在有和没有 GPC 的情况下打开网站,并告诉你要修正什么,不会改动任何内容。

开始审核