3.5 万名消费者
控制或处理了至少 3.5 万名特拉华州消费者的数据。仅用于完成付款的数据不计入。
指南 · 美国州法律
Delaware Personal Data Privacy Act 自 2025 年 1 月 1 日起生效,是全美门槛最低的法律之一。在本指南中,你将了解谁需要遵守、为什么非营利组织也包括在内、通用退出信号如何运作,以及 2027 年会有什么变化。
是什么
Delaware Personal Data Privacy Act,简称 DPDPA,是特拉华州的综合性隐私法。它于 2023 年通过,位于特拉华州法典第 6 编第 12D 章,自 2025 年 1 月 1 日起由该州司法部执行。
它的模式与康涅狄格州相似。访问者可以访问、更正、删除和携带自己的数据,也可以拒绝数据出售、定向广告和某些自动化画像。敏感数据只有在获得同意后才能使用。
值得注意的是它的适用范围。特拉华是个小州,所以立法者设定了很低的门槛:每年处理 3.5 万名消费者的数据就够了。而且与许多州不同,非营利组织并不豁免。
对于有美国访问者的内容网站,这改变了判断。一个新闻门户、一个财经博客,或一个来自特拉华州流量很大的协会,可能在不知不觉中超过门槛,因为每个广告 Cookie 都算个人数据。
清单
如果网站超过 DPDPA 的门槛,这是基本清单,按紧急程度从高到低排列。
网站需要一个清晰、显眼的链接,指向一个页面,让访客在该页面拒绝定向广告和数据出售。
页脚链接:Do Not Sell or Share My Personal Information,指向一个退出页面。
自 2026 年 1 月 1 日起,网站必须接受通过偏好信号(如 GPC)发出的退出请求。该信号不能默认开启。
开启 GPC 的访客:当作他已经点击了退出链接来处理。
敏感数据只能在取得同意后处理。通过误导性默认设置得到的同意无效,撤回同意必须和给予同意一样容易。
如果访客撤回同意,请在 15 天内停止处理。
如果企业知道,或故意无视访客是 13 至 17 岁,那么未经同意,不得把他的数据用于定向广告,也不得出售。
通知中列出所处理的数据、目的、如何行使权利和申诉、共享的数据以及第三方的类别,并附上一个有效的联系方式。
在通知末尾加上一个有效的电子邮箱,例如 privacy@yoursite.com。
在 45 天内答复,如果通知了对方,可再延长 45 天。不要求新建账户,并设有申诉流程。
处理至少 10 万名消费者数据的一方,要以书面形式评估定向广告、出售和敏感数据的风险。2027 年,这一门槛降至 5 万。
Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息,或在标签中对选择退出的访客开启受限数据处理(RDP)。使用 GPP 时,Google 对特拉华州读取 US National 部分。
AdSense 或 Ad Manager:隐私权和消息,“美国各州法规”卡片,创建。然后选择网站并发布。
// Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true,
});实际案例
官方工具
Google 对美国各州的法律没有要求使用认证 CMP,也没有要求 GPP。您可以使用 Google 自己的消息,或在标签中开启 RDP。
谁需要遵守
该法律适用于在特拉华州开展业务,或向该州居民提供产品和服务,并且在上一个日历年超过以下任一门槛的主体。
控制或处理了至少 3.5 万名特拉华州消费者的数据。仅用于完成付款的数据不计入。
控制或处理了至少 1 万名消费者的数据,并且超过 20% 的总收入来自出售个人数据。
该法律适用于企业和非营利组织。唯一豁免的此类组织是专门致力于打击保险欺诈的组织。
受联邦法律管辖的金融和健康数据有例外。司法部本身建议向律师确认是否适用某项例外。
2026 年通过的一项法律 HB 380,将从 2027 年 1 月 1 日起降低门槛:1 万名消费者,或 5 千名消费者且超过 20% 的收入来自出售数据。
同样从 2027 年起,从控制者那里获取个人数据的第三方也被纳入,且没有数量门槛。
定义
定义在第 12D-102 节,与康涅狄格州和俄勒冈州的相似,但敏感数据的清单更长。
所有与某个人相关或可能与某个人相关的数据:姓名、地址、邮箱、设备标识符、精确位置,以及唯一标识符,比如广告 Cookie 使用的那些。
种族或民族出身、宗教信仰、健康状况(包括怀孕)、性生活、性取向、跨性别或非二元性别身份、移民身份、基因和生物识别数据、儿童数据,以及精确地理位置。
与第三方以金钱或其他有价值的对价交换个人数据。向处理者和同一集团内的公司传递数据不包括在内。
根据从访问者在其他公司的网站和应用上长期活动中获取或推断的数据来选择的广告。基于搜索上下文的广告不包括在内。
个人的权利
必须在 45 天内答复,如有必要可再延长 45 天,但需在初始期限内通知。企业必须有申诉程序。
了解企业是否在处理他的数据,并访问这些数据。
更正错误的数据,并要求删除个人数据。
以便于转移到其他服务的格式,获得数据的副本。
获得接收过数据的第三方类别的清单。从 2027 年起,清单将变为具体的第三方,但有一些例外。
要求不将数据用于定向广告,也不出售数据。这是对有广告的网站影响最大的权利。
拒绝仅由机器完成、并导致产生法律效力或类似重大影响的决定的画像。
网站的义务
执法和罚款
只有特拉华州司法部执行 DPDPA。消费者不能依据这部法律起诉企业。
2025 年,司法部在采取行动前必须通知企业,并给予 60 天的整改期。这个强制性期限已于 2025 年 12 月 31 日结束。
自 2026 年起,是否给予整改期由司法部决定,会考虑违规次数、企业规模、对公众的风险,以及错误是人为的还是技术性的。
违反 DPDPA 被特拉华州消费者欺诈法视为非法行为,并适用该法的调查手段。
如果法院认定违规是故意的,每次违规的民事罚款最高可达 1 万美元。
时间线
特拉华州已经修改过一次自己的法律。2026 年 11 月,2025 年的规则正在生效,2027 年的规则即将到来。
特拉华州通过 Personal Data Privacy Act。
司法部开始执行该法律,强制整改期为 60 天。
司法部必须先通知并等待 60 天再采取行动的期间结束。
网站必须接受通过偏好信号(如 GPC)发送的数据出售和定向广告的退出请求。
特拉华州通过修订,降低门槛、扩大敏感数据范围,并要求列出具体的第三方。
1 万名和 5 千名消费者的门槛以及 HB 380 的其他修改开始生效。
使用 AdSense 和 Ad Manager 的网站
自 2026 年 1 月 1 日起,适用 DPDPA 的网站必须在访问者同意的前提下,接受通过偏好信号发送的退出请求。最常见的例子是 Global Privacy Control,即 GPC,一些浏览器和扩展程序会发送它。对于开启了 GPC 的访问者,网站应当表现得像他点击了退出链接一样。
Google 在 AdSense 和 Ad Manager 的“隐私权和消息”中提供美国州法规消息,特拉华州也在支持的州之列。该消息会显示 Do Not Sell or Share 链接。当访问者拒绝时,Google 会开启受限数据处理,即 RDP,并不再使用之前的行为来选择广告。
关于 GPC,Google 表示,已实现该信号的合作伙伴可以选择在收到 GPC 退出信号时开启 RDP。也就是说,决定和配置由网站或 CMP 负责。一种方式是通过标签:GPT 的 restrictDataProcessing 参数,或 AdSense 的 data-restrict-data-processing 属性。
使用 GPP 的网站需要知道,虽然存在专门的特拉华州分段,但它不在 Google 接受的分段列表中。对 Google 来说,路径是 US National 分段,其中拒绝出售、共享或定向广告会开启 RDP。
实际案例
适用于在特拉华州有流量、并通过程序化广告变现的网站的示例。
常见错误
门槛很低,让特拉华州的规则覆盖到了从没想过美国州法律的网站。
网站只统计注册用户。但匿名访问者的 Cookie 和广告标识符也是个人数据,同样计入那 3.5 万的数量。
CMP 不读取 GPC,或只为加利福尼亚州读取。自 2026 年起,特拉华州也要求尊重该信号。
访问者拒绝了,但广告请求仍然没有 RDP,GPP 字符串里也没有退出标记。
隐私页面没有说明哪些类别的第三方(如广告网络和衡量合作伙伴)会收到数据。
CMP 在 GPP 中只发送特拉华州分段,漏掉了 US National。Google 收不到退出请求。
企业的消费者人数低于 3.5 万,因此放松了警惕,但按 2027 年的新门槛就会落入该法律的范围。
查看 Analytics 或 Ad Manager 的地理位置报告,统计上一个日历年特拉华州的独立访问者。由于 Cookie 和广告标识符属于个人数据,匿名访问者也要计入。仅用于付款的数据不计入。
不一定。在特拉华州,非营利组织如果超过门槛也必须遵守该法律。唯一的此类例外是专门致力于打击保险欺诈的组织。
是的,如果该法律适用于你的网站。自 2026 年 1 月 1 日起,通过偏好信号发送的数据出售和定向广告退出请求必须被接受。
HB 380 将门槛降到 1 万名消费者,或 5 千名消费者且超过 20% 的收入来自出售数据,同时扩大敏感数据清单,并赋予消费者了解哪些具体第三方收到了数据的权利。
该法律采用退出模式,所以在投放普通广告之前不要求征求同意。例外是敏感数据和 13 至 17 岁的青少年,这些需要同意。
ConsentMode 不是 CMP,也不是律师事务所。审核会显示网站对退出链接、GPC、GPP 和隐私页面实际做了什么,方便你与供应商和律师一起修正。
资料库
本指南根据以下官方页面编写。请直接阅读原文:
审核会以美国访问者的身份、在有和没有 GPC 的情况下打开网站,并告诉你要修正什么,不会改动任何内容。