打开空间

指南 · 美国州法律

MTCDPA：蒙大拿州的法律在 2025 年变得更严格

Montana Consumer Data Privacy Act 自 2024 年 10 月 1 日起生效，并通过一项自 2025 年 10 月 1 日起生效的修正案得到加强。在本指南中，你将了解新的门槛、整改期的取消、通用退出信号，以及这对使用 AdSense 或 Ad Manager 的网站意味着什么。

为美国站点审核我的网站阅读指南
  • ✓基于蒙大拿州法典和该州司法部
  • ✓面向有广告网站的实用示例
  • ✓只读审核，不修改网站
2.5 万每年的蒙大拿州消费者人数：2025 年修正案以来的门槛
1.5 万如果总收入的 25% 以上来自出售数据，则 1.5 万名消费者就够了
45 天回复请求的期限，可再延长 45 天
7,500 美元每次违规的最高民事罚款，由 2025 年修正案加入

是什么

一部已经经历过改革的隐私法

Montana Consumer Data Privacy Act，简称 MTCDPA，是蒙大拿州的综合性隐私法。它于 2023 年通过，位于蒙大拿州法典第 30 编第 14 章第 28 部分，并于 2024 年 10 月 1 日生效。

其模式沿用康涅狄格州。访问者可以访问、更正、删除和携带自己的数据，也可以拒绝数据出售、定向广告和某些自动化画像。敏感数据只有在获得同意后才能使用。而且适用的网站必须接受通用退出信号，如 GPC。

2025 年，该州通过了 SB 297 号修正案，于 2025 年 5 月签署，自 2025 年 10 月 1 日起生效。它降低了适用门槛，取消了执法前的整改期，规定每次违规最高罚款 7,500 美元，并为 18 岁以下的未成年人制定了新规则。

对有美国访问者的网站来说，蒙大拿州已经成为需要留意的州。每年有 2.5 万名消费者就可能适用该法律，而且在总检察长采取行动之前，也不再保证有事先通知。

清单

你需要做到的事项

如果网站超过 MTCDPA 的门槛，这是基本清单，按紧急程度从高到低排列。

  1. 在首页用 privacy 一词放置通知链接

    隐私通知需要在首页有一个显眼的链接，并且使用 privacy 一词。

    示例

    首页页脚：Privacy Policy。

  2. 在通知之外设置退出途径

    出售数据或做定向广告的一方，需要在隐私通知之外提供清晰的退出途径。

    示例

    页脚链接：Your Opt-Out Rights 或 Your Privacy Rights。

  3. 接受浏览器的偏好信号

    自 2025 年 1 月 1 日起，网站必须接受通过偏好信号发出的退出请求。如果该信号与之前的选择相冲突，以信号为准。

    示例

    开启 GPC 的访客：对他停止出售和定向广告。

  4. 对敏感数据和青少年要求同意

    敏感数据只能在取得同意后处理。如果企业知道，或故意无视访客是 13 至 15 岁，定向广告和出售同样需要同意。

  5. 保持通知完整且最新

    通知列出数据、目的、第三方、权利和一个有效的电子邮箱，并注明最后更新日期。网站提供服务的每一种语言都必须有这份通知。

    示例

    通知顶部：最后更新于 2026 年 11 月 3 日。

  6. 不要求账户，并方便撤回

    不能强迫访客新建账户才能行使权利。撤回同意必须和给予同意一样容易。

  7. 进行数据保护评估

    定向广告、出售、风险画像和敏感数据，都需要一份有记录的评估，总检察长可以要求提供。

  8. 把退出请求传给 Google

    Google 对美国各州没有要求使用 CMP。请使用“隐私权和消息”中的美国各州法规消息，或在标签中对选择退出的访客开启受限数据处理（RDP）。使用 GPP 时，Google 对蒙大拿读取 US National 部分。

    示例

    AdSense 或 Ad Manager：隐私权和消息，“美国各州法规”卡片，创建。然后选择网站并发布。

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对美国各州的法律没有要求使用认证 CMP，也没有要求 GPP。您可以使用 Google 自己的消息，或在标签中开启 RDP。

谁需要遵守

2025 年修正案之后的门槛

该法律适用于在蒙大拿州开展业务，或向该州居民提供产品和服务，并且超过以下任一门槛的企业。

2.5 万名消费者

控制或处理了至少 2.5 万名蒙大拿州消费者的数据。仅用于完成付款的数据不计入。修正案之前，门槛是 5 万。

1.5 万名消费者和数据出售

控制或处理了至少 1.5 万名消费者的数据，并且超过 25% 的总收入来自出售个人数据。此前是 2.5 万名消费者。

未成年人规则没有门槛

未成年人保护规则适用于任何在蒙大拿州开展业务或面向其居民的企业，没有最低数量要求。

更窄的豁免

修正案将非营利组织的豁免限制为打击保险欺诈的组织，并把对金融机构的宽泛豁免替换为针对银行、信用合作社和保险公司的具体豁免。

定义

法律用语，用网站所有者的话来说

定义在蒙大拿州法典第 30-14-2802 节。

消费者和未成年人

消费者是指不在商业或雇佣背景下的蒙大拿州居民。成年人是 18 岁或以上的人。未成年人是 18 岁以下的消费者。

敏感数据

种族或民族出身、宗教、身体或心理健康、性生活、性取向、移民身份、可识别个人的基因或生物识别数据、已知儿童的数据，以及精确地理位置。

出售

与第三方以金钱或其他有价值的对价交换个人数据。向处理者、同一集团内的公司以及在并购中传递数据不包括在内。

定向广告

根据从访问者在其他公司的网站和应用上长期活动中获取或推断的数据选择的广告。基于搜索或访问上下文的广告不包括在内。

个人的权利

蒙大拿州居民可以提出什么请求

必须在 45 天内答复，必要时可再延长 45 天，但需在初始期限内通知。如果拒绝，企业须提供申诉途径，并在 60 天内书面答复。

确认和访问

了解企业是否处理他的数据并访问这些数据，企业无需披露商业秘密。

修复

要求更正错误的数据。

删除

要求删除关于他的个人数据。

可携带性

当处理是自动化进行时，以可携带的格式获取自己提供的数据。

拒绝定向广告和数据出售

要求不将数据用于定向广告，也不出售。可以通过通用信号（如 GPC）来做到。

拒绝自动化画像

拒绝会导致产生法律效力或类似重大影响的决定的画像。

网站的义务

适用的网站需要保证正常运行的事项

  1. 完整的隐私声明声明必须包含所处理数据的类别、目的、出售或共享的数据类别、第三方类别、有效的邮箱或其他联系方式、对权利和申诉的说明，以及最后更新日期。
  2. 带有 privacy 一词的链接修正案之后，声明必须在首页通过一个包含 privacy 一词的可见链接进行链接，并且网站提供服务的每种语言都要有该声明。
  3. 声明之外的退出方式出售数据或投放定向广告的人，必须在隐私声明之外提供清晰的拒绝途径，比如名为 your opt-out rights 或 your privacy rights 的链接。
  4. 敏感数据和青少年需要同意敏感数据只有在获得同意后才能处理。如果企业知道，或故意无视访问者年龄在 13 到 15 岁之间，那么定向广告和出售也需要同意。
  5. 对 18 岁以下者要谨慎已知有未成年人使用的在线服务，需要合理注意，避免高风险的伤害，并针对该风险做专门评估。
  6. 数据保护评估定向广告、出售、高风险画像和敏感数据需要有记录的评估，总检察长可以在调查中要求提供。

执法和罚款

自 2025 年 10 月起没有整改期

只有蒙大拿州总检察长负责执行该法律。消费者不能依据该法律起诉企业，但可以通过司法部的渠道投诉。

整改期取消

原法律规定在采取行动之前有 60 天整改期。2025 年的修正案取消了这项保障，原本它要到 2026 年才会结束。

每次违规最高 7,500 美元

修正案规定每次违规最高民事罚款 7,500 美元。总检察长还可以申请法院命令并要求偿还费用。

带评估的调查

在调查中，总检察长可以要求提供文件和企业的数据保护评估。

投诉渠道

法律要求总检察长公布关于企业义务的信息，并提供在线投诉渠道。

时间线

MTCDPA 的重要日期

在两年多一点的时间里，蒙大拿州通过了自己的法律、让它生效，并对它进行了改革。

  1. 2023

    法律通过

    蒙大拿州通过 Consumer Data Privacy Act。

  2. 2024 年 10 月 1 日

    生效

    法律生效，门槛为 5 万名消费者，或 2.5 万名消费者且涉及数据出售，整改期为 60 天。

  3. 2025 年 1 月 1 日

    通用信号成为强制要求

    适用的网站必须接受通过偏好信号（如 GPC）发送的数据出售和定向广告的退出请求。

  4. 2025 年 5 月

    修正案签署

    州长签署 SB 297 号法案，对法律进行改革。

  5. 2025 年 10 月 1 日

    修正案生效

    2.5 万和 1.5 万名消费者的门槛、未成年人规则、7,500 美元罚款以及整改期的取消开始生效。

使用 AdSense 和 Ad Manager 的网站

强制 GPC，以及退出请求传到 Google 的路径

自 2025 年 1 月 1 日起，适用的网站必须在访问者同意的前提下，接受通过偏好信号发送的数据出售和定向广告的退出请求。最知名的例子是 Global Privacy Control，即 GPC。如果该信号与访问者之前的设置冲突，以信号为准。

Google 在 AdSense 和 Ad Manager 的“隐私权和消息”中提供美国州法规消息，蒙大拿州在支持的州之列。该消息会显示 Do Not Sell or Share 链接，拒绝会启用受限数据处理，即 RDP，阻止基于以往行为的广告。

关于 GPC，Google 表示，已实现该信号的合作伙伴可以选择在收到 GPC 退出信号时开启 RDP。配置由网站或 CMP 负责。一种直接的方式是通过标签：GPT 的 restrictDataProcessing 参数，或 AdSense 的 data-restrict-data-processing 属性。

IAB Tech Lab 的 GPP 中有专门的蒙大拿州分段，但它不在 Google 接受的分段列表中。对 Google 来说，路径是 US National 分段，其中拒绝出售、共享或定向广告会开启 RDP。

实际案例

在蒙大拿州可以做什么，不可以做什么

适用于有蒙大拿州流量、通过程序化广告变现的网站的示例。

可以

  • 对拒绝了或带着开启的 GPC 到来的访问者，展示上下文广告
  • 在页脚使用名为 your privacy rights 的链接来退出，与政策分开
  • 使用 GPP 的 US National 分段把退出请求传给 Google
  • 为美国保留一份统一的隐私声明，且更新日期清晰可见
  • 当 GPC 与之前的选择冲突时，请访问者确认，同时仍然执行该信号

不可以

  • 忽略 GPC，继续为该访问者请求个性化广告
  • 把退出选项藏在隐私政策的正文里
  • 未经同意，将 13 至 15 岁青少年的数据用于定向广告
  • 如果网站还提供其他语言，却只用英文发布政策
  • 等待 60 天的通知再去纠正：这项保障已于 2025 年 10 月结束

常见错误

网站在蒙大拿州法律上容易出错的地方

2025 年的修正案让许多按旧版法律配置的网站措手不及。

使用旧的门槛

网站以为自己的蒙大拿州消费者不足 5 万而不适用。按新的 2.5 万门槛，可能就适用了。

忽略了 GPC

CMP 只为加利福尼亚州读取 GPC。蒙大拿州自 2025 年 1 月起也有同样要求。

政策没有日期

隐私页面没有显示更新时间，而修正案将此列为强制项目。

链接中没有 privacy 一词

政策被藏在“条款”或“法律”之类的通用链接后面，首页上没有 privacy 一词。

Google 不读取的州分段

CMP 在 GPP 中只发送蒙大拿州分段，漏掉了 US National。退出请求传不到 Google。

退出后广告没有变化

访问者拒绝了，但广告请求仍然没有 RDP，GPP 字符串里也没有退出标记。

在 ConsentMode 中

审核对蒙大拿州检查什么

  • 以美国访问者的身份打开网站，在首页查找退出链接和带有 privacy 一词的链接。
  • 在审核浏览器中开启 GPC 信号，并比较有信号和无信号时的页面和广告请求。
  • 读取 GPP 字符串，检查是否存在 US National 分段，并记录退出请求。
  • 通过页面代码识别 CMP 或 Google 的州法规消息。
  • 检查隐私页面是否包含数据类别、第三方、权利、申诉方式、联系方式和最后更新日期。
开始审核查看所有检查项

常见问题

2025 年蒙大拿州有什么变化？

SB 297 号修正案自 2025 年 10 月 1 日起生效：把门槛降到 2.5 万名消费者，或 1.5 万名消费者且超过 25% 的收入来自出售数据，取消了整改期，规定每次违规最高罚款 7,500 美元，要求隐私声明包含更多项目，并为 18 岁以下者制定了规则。

在蒙大拿州我必须尊重 GPC 吗？

是的，如果该法律适用于你的网站。自 2025 年 1 月 1 日起，通过偏好信号发送的数据出售和定向广告退出请求必须被接受。

收到通知之后，我还有 60 天的整改期吗？

没有。修正案取消了总检察长提供整改期的义务。他可以直接采取行动。

我的网站不是面向儿童的。未成年人规则会影响我吗？

如果你知道，或故意无视某位访问者是未成年人，就可能受影响。对于 13 至 15 岁的青少年，定向广告和出售需要同意。未成年人规则不设数量门槛。

Google 会读取 GPP 中的蒙大拿州分段吗？

Google 接受的分段列表中不包括蒙大拿州。要把退出请求传给 Google，请使用 US National 分段、Google 的州法规消息，或标签中的 RDP。

ConsentMode 能让我的网站合规吗？

ConsentMode 不是 CMP，也不是律师事务所。审核会显示网站对退出链接、GPC、GPP 和隐私页面实际做了什么，方便你与供应商和律师一起修正。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

检查你的网站是否已为蒙大拿州的新法律做好准备

审核会以美国访问者的身份、在有和没有 GPC 的情况下打开网站，并告诉你要修正什么，不会改动任何内容。

开始审核