打开空间

指南 · 美国州法律

ICDPA：爱荷华州隐私法，美国最精简的一部

Iowa Consumer Data Protection Act 自 2025 年 1 月 1 日起生效，以给予的权利少于其他州法律而著称。在本指南中，您可以了解谁需要遵守、访客可以提出什么要求、定向广告如何处理，以及这对使用 AdSense 或 Ad Manager 的网站有什么变化。

为美国站点审核我的网站阅读指南
  • ✓基于《爱荷华州法典》第 715D 章
  • ✓面向有广告网站的实用示例
  • ✓只读审核，不修改网站
10 万每年的爱荷华州消费者数量：该法律的主要门槛
90 天答复请求的天数，各州法律中最长的期限
90 天总检察长通知之后用于纠正问题的期限
7,500 美元每次违规的最高民事罚款

是什么

义务最少的一部隐私法

Iowa Consumer Data Protection Act，即 ICDPA，是爱荷华州的综合性隐私法。它于 2023 年签署，位于《爱荷华州法典》第 715D 章，2025 年 1 月 1 日生效。

该法律遵循弗吉尼亚州的模式，但删掉了好几个部分。没有更正数据的权利。没有数据保护评估的要求。没有接受通用选择退出信号的义务。而且敏感数据采用的是通知与拒绝的模式，而不是事先同意。

这并不意味着该法律对有广告的网站无害。超过门槛的人，必须清楚、显眼地说明是否出售数据或进行定向广告，并解释访客如何拒绝这些活动。

对于有来自多个州访客的网站，爱荷华州很少是要求最严格的州。但最好了解其中的差异，以免在隐私页面上承诺您的流程无法提供的权利，也不要忘记法律实际要求的内容。

清单

你需要做到的事项

如果网站超过 ICDPA 的门槛，这是基本清单。爱荷华的要求比其他州少。

  1. 说明存在出售或定向广告

    出售数据或做定向广告的一方，必须清楚、显眼地说明这一点，并解释访客如何退出。

    示例

    页脚链接：Do Not Sell or Share My Personal Information，指向一个退出页面。

  2. 发布完整的隐私声明

    通知必须清晰且容易找到。其中列出所处理的数据、目的、权利、如何申诉、共享的数据以及第三方的类别。

    示例

    在通知中加入请求渠道，例如表单和电子邮箱。

  3. 使用敏感数据之前先通知

    爱荷华不要求对敏感数据取得同意。它要求在使用之前给出清晰的通知，并提供拒绝的机会。儿童的敏感数据适用 COPPA。

    示例

    在使用精确位置之前，显示一条通知，并提供“不要使用我的位置”选项。

  4. 在 90 天内答复请求

    在 90 天内答复，如果说明原因，可再延长 45 天。不要为请求而要求新建账户。

  5. 设置申诉流程

    请求被拒绝的人可以申诉。申诉须在 60 天内以书面形式答复，如果拒绝，要给出一条在线途径联系总检察长。

  6. 保持数据安全

    该法要求对个人数据采取合理的行政、技术和物理安全措施。

  7. 把退出请求传给 Google

    Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息，或在标签中对选择退出的访客开启受限数据处理（RDP）。使用 GPP 时，Google 对爱荷华读取 US National 部分。

    示例

    AdSense 或 Ad Manager：隐私权和消息，“美国各州法规”卡片，创建。然后选择网站并发布。

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对美国各州的法律没有要求使用认证 CMP，也没有要求 GPP。您可以使用 Google 自己的消息，或在标签中开启 RDP。

谁需要遵守，以及定义

ICDPA 的门槛和法律中的关键词

该法律适用于在爱荷华州开展业务、或提供面向该州居民的产品和服务，并且在某一日历年超过以下两个门槛之一的人。消费者是以个人身份行事、且不处于商业或雇佣情境下的爱荷华州居民。定义见第 715D.1 条。

10 万名消费者

控制或处理至少 10 万名爱荷华州消费者的个人数据。

2.5 万名和数据出售

控制或处理至少 2.5 万名消费者的数据，且超过 50% 的总收入来自出售个人数据。

个人数据

与已识别或可识别的自然人相关联、或可合理关联的信息。去标识化、汇总和公开数据不在其内。

敏感数据

种族或民族出身、宗教信仰、健康诊断、性取向、移民身份、可识别个人的基因或生物识别数据、已知儿童的数据，以及精确地理位置。

出售

仅指以个人数据与第三方换取金钱。其他有价值的对价不算，向处理者、同一集团的公司提供，或应消费者要求提供的情形不在此列。

定向广告

根据个人一段时间内在其他公司的网站和应用中的活动数据来选择的广告。上下文广告、自身广告和效果衡量不在此列。

个人的权利

爱荷华州居民可以提出什么要求，以及不能提出什么

爱荷华州的权利清单是各州法律中最短的。答复最长可以用 90 天，如有必要并在最初期限内通知，可再延长 45 天。每年两次请求免费。

确认和访问

了解企业是否在处理他的数据，并访问这些数据。

删除其提供的数据

要求删除消费者自己提供的数据。从其他来源获得的数据不在该权利的文本之内。

可携带性

以可携带的格式获取其提供的数据的副本，前提是处理是自动化的。

拒绝出售

要求其数据不被出售。这是该法律权利清单中出现的唯一一项拒绝权。

没有更正权

与大多数州不同，爱荷华州不赋予消费者要求更正错误数据的权利。

申诉

如果请求被拒绝，消费者可以申诉。企业在 60 天内以书面形式答复，如果再次拒绝，则说明如何向总检察长投诉。

定向广告

不在权利清单中，但必须有选择退出

关于爱荷华州，一个常见的疑问是访客能否拒绝定向广告。第 715D.3 条的权利清单只有拒绝出售数据。没有像弗吉尼亚州或科罗拉多州那样单独拒绝定向广告的权利。

但第 715D.4 条为企业设定了一项义务：向第三方出售个人数据或进行定向广告的人，必须清楚、显眼地披露这一点，同时说明消费者如何拒绝这项活动。在实践中，受涵盖的网站需要显示针对定向广告的选择退出途径。

敏感数据遵循同样的通知与拒绝逻辑。在为非豁免目的处理敏感数据之前，企业必须发出清晰的通知，并提供拒绝的机会。已知儿童的数据遵循联邦法律 COPPA。

因此，有广告网站的实际配置与其他州相似：可见的选择退出链接、说明数据用于广告的隐私页面，以及真正关闭个性化的拒绝。

网站的义务

适用的企业需要保证正常运行的事项

  1. 隐私声明通知必须包含所处理数据的类别、目的、如何行使权利和申诉、与第三方共享的数据类别，以及这些第三方的类别。
  2. 披露数据出售和定向广告如果网站出售数据或投放定向广告，必须清楚、显眼地说明，并解释访问者如何拒绝。
  3. 安全的请求渠道企业必须提供一种或多种安全可靠的请求方式，不得要求消费者创建新账号。
  4. 处理敏感数据前的通知处理敏感数据需要清晰的通知和拒绝的机会，儿童数据遵循 COPPA。
  5. 安全与不歧视企业必须保持合理的安全措施，且不得对行使权利的人区别对待。
  6. 与处理者的合同代表企业处理数据的供应商，按企业的指示行事，并签有载明处理规则的合同。

执法和罚款

全国最长的整改期

只有爱荷华州总检察长可以执行该法律。消费者不能依据该法律起诉企业。

90 天整改

在采取任何行动之前，总检察长会发出书面通知，指出违规行为。企业有 90 天的时间整改。

书面声明

为结案，企业必须整改，并书面声明已整改且该疏漏不会再发生。

每次违规最高 7,500 美元

如果疏漏持续，总检察长可以请求法院命令，并处以每次违规最高 7,500 美元的民事罚款。

调查

在调查期间，总检察长可以要求企业提供文件和信息。

时间线

ICDPA 的重要日期

爱荷华州在签署与生效之间留出了近两年的准备时间。

  1. 2023

    签署

    继加利福尼亚州、弗吉尼亚州、科罗拉多州、犹他州和康涅狄格州之后，爱荷华州成为最早通过综合性隐私法的州之一。

  2. 2025 年 1 月 1 日

    生效

    该法律生效，由总检察长专属执行。

  3. 2025 年 9 月

    Google 更新 GPP

    Google 开始接受 GPP 的 US National 部分第 2 版，这是它为爱荷华州等州的选择退出所读取的途径。

使用 AdSense 和 Ad Manager 的网站

爱荷华州的选择退出如何传达给 Google

爱荷华州不要求网站识别 Global Privacy Control（GPC）等通用选择退出信号。即便如此，对所有美国流量都遵守 GPC 是一种良好做法，因为多个州有此要求，也因为这能简化 CMP 的配置。

Google 在 AdSense 和 Ad Manager 的隐私权和消息功能中提供美国州级法规消息，爱荷华州属于所支持的州。该消息会显示 Do Not Sell or Share 链接。当访客拒绝时，Google 会开启受限数据处理，即 RDP，并不再利用以往的行为来选择广告。

IAB Tech Lab 的 GPP 中有爱荷华州专属的部分，但它不在 Google 接受的部分清单中。对 Google 来说，途径是 US National 部分：该部分中拒绝出售、共享或定向广告，会开启 RDP。

另一种选择是在标签本身开启 RDP，使用 GPT 的 restrictDataProcessing 参数或 AdSense 的 data-restrict-data-processing 属性，仅针对要求选择退出的人。最终的测试始终相同：拒绝之后，广告请求必须发生变化。

实际案例

在爱荷华州的允许与不允许

适用于超过该法律门槛、通过程序化广告变现的公司的示例。

可以

  • 向拒绝出售或定向广告的人展示上下文广告
  • 使用 Google 的州法规消息来提供退出链接
  • 在 90 天内答复请求，如需再 45 天，则事先通知
  • 对重复或明显没有依据的请求收费，并证明其属于滥用
  • 对所有美国流量应用同样的选择退出和 GPC 政策

不可以

  • 进行定向广告，却不在隐私页面上说明，也不解释如何拒绝
  • 要求访客创建账号才能请求访问或删除
  • 在没有清晰通知、也没有拒绝机会的情况下处理敏感数据
  • 无视被拒绝请求的消费者的申诉
  • 在政策中承诺爱荷华州并未赋予、且您的流程无法满足的权利

常见错误

网站在爱荷华州法律上容易出错的地方

最精简的法律也有陷阱，尤其是对只看权利清单的人而言。

以为广告没有选择退出

因为这项权利不在清单中，网站就不提供拒绝定向广告。但披露并解释如何拒绝的义务是存在的。

政策中没有定向广告

隐私页面泛泛地谈到 Cookie，却没有说明数据用于定向广告。

只有加利福尼亚州的提示

Google 的选择退出消息只为加利福尼亚州配置，而爱荷华州的流量永远看不到该链接。

GPP 中只有爱荷华州部分

CMP 只发送爱荷华州的州级部分，而 Google 不会读取它。没有 US National，选择退出就无法传达给 Google 的广告。

不起任何作用的选择退出链接

访客点击了，但广告请求没有变化，没有 RDP，GPP 中也没有选择退出。

数量统计有误

网站只统计已注册的人。Cookie 和广告标识符同样可以识别人，也要计入。

在 ConsentMode 中

审核会针对爱荷华州检查什么

  • 以美国访问者的身份打开网站，在页脚、菜单和隐私提示中查找退出链接。
  • 通过页面代码识别 CMP 或 Google 的州法规消息。
  • 读取 GPP 字符串，并检查 US National 部分是否存在，以及点击之后是否记录了选择退出。
  • 在审核所用的浏览器中开启 GPC 信号，并显示页面和广告请求是否有反应。
  • 检查隐私页面是否说明存在定向广告或数据出售，并解释如何拒绝。
开始审核查看所有检查项

常见问题

在爱荷华州，访客可以拒绝定向广告吗？

爱荷华州的权利清单只有拒绝出售。但法律要求进行定向广告的人清楚地披露这一点，并解释消费者如何拒绝这项活动。在实践中，受涵盖的网站需要提供这条途径。

爱荷华州要求我尊重 GPC 吗？

不要求。该法律没有规定通用选择退出信号。但其他州有要求，大多数 CMP 也会对所有美国流量处理 GPC。

我需要为爱荷华州做数据保护评估吗？

不需要。爱荷华州的法律不要求数据保护评估。如果您还处于要求评估的其他州，为它们所做的评估仍然需要。

我有多长时间答复一个请求？

最长 90 天，如有必要并在最初期限内通知，可再延长 45 天。每位消费者每年的两次请求应当免费。

爱荷华州要求同意横幅吗？

不要求。该法律即使对敏感数据也采用选择退出模式，通过通知和拒绝的机会来实现。对于儿童，适用联邦法律 COPPA。

ConsentMode 能解决爱荷华州的合规吗？

ConsentMode 既不是 CMP，也不是律师事务所。审核会显示网站对选择退出链接、GPP 和隐私页面实际做了什么，以便您与供应商和律师一起修复。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

检查您网站的选择退出对爱荷华州是否有效

审核会以美国访问者的身份打开网站，并告诉你要修正什么，不会改动任何内容。

开始审核