打开空间

指南 · 美国州法律

写给靠广告赚钱的人的 Florida Digital Bill of Rights 说明

佛罗里达州的隐私法自 2024 年 7 月 1 日起生效，但大部分规则只涉及巨型企业。通过这份指南，您可以了解这一狭窄的适用范围、适用于更多企业的敏感数据规则，以及 Google 如何处理来自佛罗里达州的访客的退出。

为美国站点审核我的网站阅读指南
  • ✓基于《佛罗里达州法规》第 501.701 至 501.722 条的文本
  • ✓面向有广告网站的实用示例
  • ✓只读审核，不修改网站
10 亿美元全球年度总收入：成为法律所指控制者的门槛
50%或更多的收入来自在线广告销售：三个入口之一
5 万美元每次违规的最高民事罚款，在某些情况下可以增加两倍
45 天用于答复消费者的请求，可延长 15 天

是什么

一部为最大的科技公司量身定制的隐私法

Florida Digital Bill of Rights，简称 FDBR，是佛罗里达州的隐私法。它于 2023 年 6 月 6 日签署，并于 2024 年 7 月 1 日生效。这部法律位于《佛罗里达州法规》第 501 章第 V 部分，即第 501.701 至 501.722 条。

赋予消费者的权利与其他州相似：访问、更正、删除、可携带，以及拒绝定向广告、出售和自动化画像。佛罗里达州还增加了自己的权利，例如拒绝通过语音或人脸识别收集数据。

这部法律不同之处在于适用范围。大部分义务只适用于全球收入超过 10 亿美元、并且符合三种非常具体情形之一的控制者。实际上，它针对的是大型广告平台、语音助手和应用商店。

即便如此，小型网站也不应忽视这部法律。有一条关于出售敏感数据的规则，适用于任何在佛罗里达州开展业务并收集数据的营利性企业。而且从您的网站接收数据的广告合作伙伴，可能就在这部法律的范围内。

清单

你需要做到的事项

该法的大部分内容只适用于超大型控制者，但敏感数据的规则涉及的网站要多得多。

  1. 未经同意不得出售敏感数据

    该规则适用于在佛罗里达州开展业务并收集数据的营利性企业，不受 10 亿美元门槛的限制。出售敏感数据需要事先同意。

    示例

    在把健康数据提供给合作伙伴之前，用“允许”和“不允许”两个选项征求许可。

  2. 如果出售敏感数据，要发布规定的原文

    出售敏感数据的一方，必须发布一条文字固定的英文通知。

    示例

    NOTICE: This website may sell your sensitive personal data.

  3. 关注未成年人的敏感数据

    如果敏感数据来自已知的 13 至 18 岁未成年人，出售需要他本人的授权。不满 13 岁的，适用联邦法律 COPPA，需要父母同意。

  4. 如果是控制者：每年修订通知

    通知必须清晰，并列出数据、目的、第三方、权利、申诉和请求渠道。至少每年更新一次。

  5. 如果是控制者：生物识别数据的声明

    出售生物识别数据的一方，同样要发布一条文字固定的英文通知。

    示例

    NOTICE: This website may sell your biometric personal data.

  6. 如果是控制者：说明如何退出

    出售数据或做定向广告的一方，必须清楚、显眼地说明这一点，并解释如何退出。

    示例

    页脚链接：Do Not Sell or Share My Personal Information。

  7. 把退出请求传给 Google

    Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息，或在标签中对选择退出的访客开启受限数据处理（RDP）。佛罗里达在 GPP 中有自己的部分，Google 接受这一部分。

    示例

    AdSense 或 Ad Manager：隐私权和消息，“美国各州法规”卡片，创建。然后选择网站并发布。

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对美国各州的法律没有要求使用认证 CMP，也没有要求 GPP。您可以使用 Google 自己的消息，或在标签中开启 RDP。佛罗里达是少数在 GPP 中拥有 Google 所接受的独立部分的州之一。

谁需要遵守

佛罗里达州对控制者的狭窄界定

要成为控制者，企业必须以营利为目的、在佛罗里达州开展业务、收集消费者数据、决定这些数据如何使用、全球收入超过 10 亿美元，并且至少符合以下情形之一。

来自广告的收入

全球年度总收入的一半或以上来自在线广告销售，包括定向广告。

语音助手

运营智能音箱或语音指令服务，带有连接云端、免提启用的虚拟助手。汽车制造商的系统除外。

应用商店

运营应用商店或数字分发平台，拥有至少 25 万个不同的应用。

关联企业

控制某个控制者，或被其控制的企业，也属于这一定义。

敏感数据规则适用于更多人

禁止未经同意出售敏感数据的规定，适用于任何在佛罗里达州开展业务并收集数据的营利性企业，不受 10 亿美元门槛的限制。

谁是消费者

居住或定居在佛罗里达州、以个人身份或家庭情境行事的人。在商业或工作情境下行事的人不在此列。

定义

法律用语，用网站所有者的话来说

定义位于第 501.702 条，与其他州法律的模式非常接近。

个人数据

任何与已识别或可识别的个人相关联，或可以合理地与其关联的信息，包括可以通过额外信息与个人关联的假名化数据。去标识化数据和公开数据不在此列。

敏感数据

种族或民族出身、宗教信仰、健康诊断、性取向、移民身份、可识别个人的基因或生物识别数据、已知儿童的数据，以及精确地理位置。

出售

为换取金钱或其他有价值的对价，向第三方共享、披露或转移个人数据。向处理者转移，以及应消费者要求进行的转移不在此列。

定向广告

根据消费者长期在多个网站和应用上的活动来选择的广告。基于自己网站内搜索情境的广告不包括在内。

个人的权利

佛罗里达州的消费者可以提出哪些要求

控制者须在 45 天内答复，并可以延长一次、再加 15 天，但要在最初期限内通知消费者。控制者还必须提供申诉渠道。

访问

了解企业是否处理自己的数据，并查看这些数据。

更正和删除

更正错误的数据，并要求删除部分或全部个人数据。

可携带性

在可行的情况下，以可用于其他服务的格式获取数据副本。

拒绝定向广告、出售和画像

拒绝定向广告、数据出售，以及会导致具有法律效力或类似影响的决定的画像。

拒绝敏感数据

拒绝收集或处理敏感数据，包括精确地理位置。

拒绝语音和人脸

拒绝通过语音识别或人脸识别功能收集数据。

义务

控制者必须保证正常运作的内容

  1. 每年审查的隐私声明声明必须易于获取、清晰，并列出所处理的数据类别（包括敏感数据）、目的、如何行使权利和提出申诉、共享的数据类别、第三方的类别，以及提交请求的渠道。至少每年更新一次。
  2. 标准化的出售提示出售敏感数据的企业，必须发布提示 NOTICE: This website may sell your sensitive personal data. 出售生物识别数据的企业，必须发布 NOTICE: This website may sell your biometric personal data.
  3. 披露出售和定向广告如果控制者出售数据或投放定向广告，必须清楚、显眼地说明，并解释消费者如何拒绝。
  4. 数据保护评估法律要求对风险较高的处理（如定向广告、数据出售、画像和敏感数据）进行记录在案的评估。
  5. 与处理者的合同代表控制者处理数据的供应商，须按照其指示行事，并签订载明处理规则的合同。
  6. 敏感数据需要同意受这条规则约束的任何企业，未经消费者事先同意，都不得出售敏感数据。对于儿童，适用专门的规则和联邦法律 COPPA。

执法和罚款

各州法律中最高的罚款

负责执行的是隶属于佛罗里达州总检察长的 Department of Legal Affairs。法律明确规定，不为消费者设立私人诉讼。

每次违规最高 5 万美元

民事罚款的最高金额为每次违规 5 万美元，另加佛罗里达州商业行为法规定的其他措施。

罚款增加两倍

当涉及已知儿童、企业在收到有效请求后未删除或更正数据，或在退出之后仍继续出售数据时，金额可以增加两倍。

如果该机构愿意，有 45 天整改期

该机构可以给企业 45 天时间纠正违规，但这是它的决定，不是企业的权利。涉及儿童的违规没有这个期限。

每年公开报告

每年 2 月 1 日之前，该机构会发布一份报告，列出收到的投诉、采取的行动和处以的罚款。

时间线

FDBR 的重要日期

从签署到生效，这部法律有一年的准备期。

  1. 2023 年 6 月 6 日

    签署

    州长批准了 SB 262 号法案，设立 Florida Digital Bill of Rights。

  2. 2024 年 7 月 1 日

    生效

    法律开始生效。控制者必须答复请求、提供退出，并发布隐私声明。

  3. 每年 2 月 1 日

    执法报告

    Department of Legal Affairs 在其网站上发布投诉、行动和罚款的年度汇总。

  4. 2025 年 9 月

    Google 更新 GPP

    Google 开始接受 GPP 的 US National 部分第 2 版，同时仍将佛罗里达州专用部分保留在接受的部分之列。

使用 AdSense 和 Ad Manager 的网站

佛罗里达州的退出如何传到 Google

FDBR 并不要求网站识别通用退出信号，例如 Global Privacy Control，即 GPC。访客需要使用网站提供的途径。即便如此，尊重 GPC 也是一种良好做法，并适用于强制要求它的州。

Google 在 AdSense 和 Ad Manager 的“隐私权和消息功能”中提供了美国各州法规消息。佛罗里达州在支持的州之列。该消息会显示 Do Not Sell or Share 链接，访客的拒绝会启用受限数据处理，即 RDP，从而阻止基于以往行为的广告。

对于使用自有 CMP 的网站，佛罗里达州是少数在 GPP 中拥有 Google 接受的专用部分的州之一。在该部分中，拒绝出售或定向广告会启用 RDP。US National 部分同样被接受，对出售、共享和定向广告的作用也相同。

还有通过标记的途径：GPT 的 restrictDataProcessing 参数或 AdSense 的 data-restrict-data-processing 属性，仅用于要求退出的访客。无论采用哪种途径，检验方法都一样：拒绝之后，广告请求必须发生变化。

实际案例

在佛罗里达州可以做什么，不可以做什么

适用于接待佛罗里达州访客、并通过程序化广告变现的网站的示例。

可以

  • 对拒绝定向广告的用户展示上下文广告
  • 使用 GPP 的佛罗里达州部分或 US National 部分，通知 Google 访客已退出
  • 使用 Google 的州法规消息来提供退出链接
  • 保留一份面向美国的隐私声明，前提是涵盖佛罗里达州的要求
  • 至少每年审查并更新一次隐私页面

不可以

  • 即使是小企业，也未经事先同意出售敏感数据，如精确地理位置
  • 出售敏感数据，却没有发布法律要求的标准化提示
  • 退出之后仍继续出售或共享数据，这种情况可能使罚款增加两倍
  • 把退出链接藏在没人找得到的页面里
  • 仅仅因为自己的网站很小，就认为广告合作伙伴不在法律范围内

常见错误

网站在佛罗里达州法律上容易犯的错

这部法律的适用范围很窄，让很多人以为自己什么都不用做。以下是最常见的失误。

忽略敏感数据规则

网站使用了收集精确地理位置并转交给合作伙伴的 SDK 或脚本。即使没有 10 亿美元的门槛，这种出售也需要取得同意。

一成不变的隐私政策

隐私页面多年没有更新。对于控制者，法律要求至少每年更新一次。

消息中没有佛罗里达州

Google 的退出消息只为加利福尼亚州启用，佛罗里达州的流量永远看不到这个链接。

GPP 中的州部分错误

CMP 发送了 Google 不接受的部分，却漏掉了佛罗里达州部分和 US National。退出信息没有传到广告。

退出没有停止出售

访客点击了，但广告请求仍然带着用于个性化的数据。在佛罗里达州，这可能使罚款增加两倍。

忘了未成年人

涉及已知儿童的违规没有整改期，罚款还可能增加两倍。

在 ConsentMode 中

审核会检查哪些与佛罗里达州相关的内容

  • 以美国访问者的身份打开网站，在页脚、菜单和隐私提示中查找退出链接。
  • 通过页面代码识别 CMP 或 Google 的州法规消息。
  • 读取 GPP 字符串，说明其中是否包含佛罗里达州部分或 US National 部分，以及退出之后是否发生变化。
  • 在审核所用的浏览器中开启 GPC 信号，并显示页面和广告请求是否有反应。
  • 检查隐私页面是否提到出售、定向广告、权利、申诉，以及在出售敏感数据时所需的出售提示。
开始审核查看所有检查项

常见问题

我的网站很小。佛罗里达州的法律适用于我吗？

大部分义务不适用，因为控制者必须全球收入超过 10 亿美元，并符合法律规定的三种情形之一。但禁止未经同意出售敏感数据的规则，适用于任何在佛罗里达州开展业务并收集数据的营利性企业。

那为什么还要关心佛罗里达州的退出？

因为在您的网站上购买和投放广告的合作伙伴，可能就是法律所指的控制者，而且门槛更低的其他州也可能涉及您的业务。对所有美国流量都提供退出选项，可以简化运营。

佛罗里达州要求我遵守 GPC 吗？

不要求。这部法律没有规定通用退出信号。即便如此，许多 CMP 在所有州都处理 GPC，这有助于满足强制要求它的法律。

Google 会读取 GPP 中的佛罗里达州部分吗？

会。佛罗里达州在 Google 接受的部分列表中，与 US National、加利福尼亚州、科罗拉多州、康涅狄格州和弗吉尼亚州并列。在该部分中拒绝出售或定向广告，会启用受限数据处理。

法律要求的 NOTICE 提示是什么？

这是出售敏感数据或生物识别数据的企业必须发布的一段标准化英文文本。它提示网站可能出售这类数据。大多数广告网站并不出售这类数据，也不需要这个提示。

ConsentMode 能让我的网站遵守佛罗里达州的法律吗？

ConsentMode 不是 CMP，也不是律师事务所。审核会通过截图显示网站在退出、GPP 和隐私页面上实际做了什么，方便您与供应商和律师一起修复。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

查看佛罗里达州的退出是否传到了您的广告

审核会以美国访问者的身份打开网站，并告诉你要修正什么，不会改动任何内容。

开始审核