打开空间

指南 · 美国州法律

NJDPA：不带法律术语的新泽西州法律详解

New Jersey Data Privacy Act 自 2025 年 1 月 15 日起生效，并要求网站自 2025 年 7 月起尊重 GPC。在本指南中，你将了解谁需要遵守、什么算敏感数据、罚款、法规制定的情况，以及这对使用 AdSense 或 Ad Manager 的网站意味着什么。

为美国站点审核我的网站阅读指南
  • ✓基于消费者事务部的常见问题
  • ✓面向有广告网站的实用示例
  • ✓只读审核，不修改网站
10 万每年的新泽西州消费者人数：该法律的主要门槛
2.5 万如果企业通过出售个人数据赚钱，则这么多消费者就够了
1 万美元首次违规的最高罚款
2 万美元重复违规的最高罚款

是什么

一部对非营利组织没有豁免的隐私法

New Jersey Data Privacy Act，简称 NJDPA，是新泽西州的综合性隐私法。它于 2024 年 1 月签署，并于 2025 年 1 月 15 日生效。适用的企业以及为其工作的处理者，自这一天起需要遵守该法律。

其模式沿用康涅狄格州，有几处更严格。财务数据以及跨性别或非二元性别身份属于敏感数据。非营利组织和小型企业如果超过门槛，也不豁免。而且网站自 2025 年 7 月 15 日起必须尊重 GPC 等通用退出信号。

法律要求消费者事务部制定法规，并且曾公布一份规则草案征求公众意见。但遵守法律的义务不取决于这些规则：企业和处理者自 2025 年 1 月 15 日起就必须遵守。在遵循任何法规细节之前，请到该部门的网站上确认实际生效的内容。

对有美国访问者的网站来说，新泽西州的分量来自受众规模。该州人口众多，所以一个有大量美国流量的门户网站，可能在不知不觉中超过 10 万名消费者。

清单

你需要做到的事项

如果您的网站超过 NJDPA 的门槛，这些要点必须到位。

  1. 尊重 GPC

    自 2025 年 7 月 15 日起，网站必须接受 GPC 等通用退出信号。带着已开启信号到来的访客，应被视为已拒绝出售和定向广告。

    示例

    开启 GPC 的访客：网站只对他开启 Google 的受限数据处理，无需再次点击。

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. 展示清晰的退出途径

    出售数据或做定向广告的一方，必须提供清晰的退出方式。隐私通知应说明访客如何行使这项权利。

    示例

    Google 的州法规消息会显示 Do Not Sell or Share My Personal Information 链接。

  3. 完整的隐私声明

    通知说明网站处理哪些数据、用途、与谁共享，以及访客如何请求访问、更正、删除或申诉。

    示例

    如需请求访问、更正或删除您的数据，请写信至 privacy@yoursite.com。

  4. 包含 Google 要求的语句的政策

    AdSense 要求隐私政策提示 Google 和其他供应商的广告 cookie。政策还必须说明访客如何拒绝个性化广告。

    示例

    包括 Google 在内的第三方供应商会使用 cookie，根据用户之前对您的网站或其他网站的访问来投放广告。您可以在 Google 的广告设置中停用个性化广告。

  5. 敏感数据需要同意

    敏感数据只能在取得同意后处理。在新泽西，敏感数据的范围包括财务信息。

    示例

    一个信贷模拟器会先询问：我们可以使用您的回答来展示优惠吗？是或否。

  6. 青少年的同意

    如果你知道或应当知道访客是 13 至 16 岁，该部门表示，在处理其个人数据之前需要取得他的同意。

  7. 数据保护评估

    在处理敏感数据或进行高风险活动时，要以书面形式记录风险与收益的评估。

实际案例

正确与错误示例

官方工具

经认证的 CMP 与官方链接

Google 对新泽西没有要求使用认证 CMP，也没有要求 GPP，所以您可以使用 Google 自己的消息，或带 GPP 的 CMP。

谁需要遵守

让你的网站适用 NJDPA 的门槛

该法律适用于在新泽西州开展业务或向该州居民提供产品和服务，并在一个日历年内超过以下任一门槛的企业。

10 万名消费者

一年中控制或处理至少 10 万名新泽西州消费者的个人数据。

2.5 万名和数据出售

控制或处理至少 2.5 万名消费者的数据，并且按消费者事务部的说法，通过出售个人数据赚钱。

非营利组织也适用

非营利组织和小型企业不被排除。如果超过门槛，就必须遵守该法律。

处理者也适用

代表适用企业处理数据的供应商也有义务，比如遵循指示和合同。

定义

法律用语，用网站所有者的话来说

新泽西州的定义与康涅狄格州相似，但敏感数据的清单更宽。

个人数据

能识别或可能识别特定个人的信息。在网站上，包括 Cookie、设备标识符、IP 和新闻通讯的邮箱。

敏感数据

种族或民族出身、宗教信仰、健康状况、财务信息、性生活和性取向、移民身份、跨性别或非二元性别身份、基因或生物识别数据、精确地理位置，以及儿童数据。

出售

与第三方以金钱或其他有价值的对价交换个人数据。向处理者传递数据不包括在内。

定向广告

根据访问者在其他公司的网站和应用上长期活动的数据选择的广告。基于页面上下文的广告不包括在内。

个人的权利

新泽西州居民可以提出什么请求

消费者不能依据该法律起诉企业，但可以向消费者事务部投诉。企业必须答复请求并提供申诉途径。

确认和访问

了解企业是否在处理他的数据，并访问这些数据。

修复

要求更正错误的数据。

删除

要求删除个人数据。

可携带性

以可转移到其他服务的格式获取数据副本。

拒绝定向广告和数据出售

要求不将数据用于定向广告，也不出售，包括通过 GPC 等通用信号。

拒绝自动化画像

拒绝会导致产生法律效力或类似重大影响的决定的画像。

网站的义务

适用的网站需要保证正常运行的事项

  1. 完整的隐私声明声明必须说明处理哪些数据类别、用于什么、如何行使权利和申诉、哪些数据会传给第三方，以及哪些类型的第三方会收到这些数据。
  2. 清晰的退出和 GPC出售数据或投放定向广告的人，必须展示清晰的拒绝途径，并且自 2025 年 7 月 15 日起，必须接受 GPC 等通用退出信号。
  3. 敏感数据需要同意敏感数据（包括财务信息）只有在获得访问者同意后才能处理。
  4. 保护青少年对于 13 至 16 岁的消费者，企业在将数据用于定向广告、出售或画像之前，需要获得同意。对于 13 岁以下者，适用联邦法律 COPPA。
  5. 数据保护评估在进行高风险处理之前，比如出售数据、敏感数据，以及可能造成不公平对待或伤害的画像，企业必须以书面形式评估风险和收益。
  6. 与处理者的合同代表企业处理数据的供应商，按企业的指示行事，并签有载明处理规则的合同。

执法和罚款

违规罚款和整改期的结束

该法律由新泽西州总检察长办公室和消费者事务部执行，使用州消费者欺诈法的手段。

首次违规 1 万美元

首次违规的罚款最高可达 1 万美元。

之后每次 2 万美元

重复违规每次最高可罚 2 万美元。总检察长办公室还可以申请法院命令，并要求为受害者赔偿。

整改期已结束

到 2026 年 7 月 1 日为止，该部门会通知企业，并给予 30 天时间纠正可以修复的问题。这段时期已经结束。

消费者投诉

消费者在消费者事务部的网站上提交投诉。他不能依据该法律起诉企业。

时间线

NJDPA 的重要日期

2026 年 11 月，该法律已经生效，GPC 是强制的，整改期已经结束，法规仍需在该部门网站上确认。

  1. 2024 年 1 月

    签署

    新泽西州通过综合性隐私法。

  2. 2025 年 1 月 15 日

    生效

    适用的企业和处理者开始遵守该法律。

  3. 2025

    法规草案

    消费者事务部公布规则草案征求公众意见。该法律已不依赖这份草案而生效。

  4. 2025 年 7 月 15 日

    GPC 成为强制要求

    适用的网站必须尊重通用退出信号，如 Global Privacy Control。

  5. 2026 年 7 月 1 日

    整改期取消

    该部门在采取行动前给予 30 天整改期的阶段结束。

使用 AdSense 和 Ad Manager 的网站

强制 GPC，以及退出请求传到 Google 的路径

自 2025 年 7 月 15 日起，适用的网站必须尊重通用退出信号。该部门自己的常见问题以 Global Privacy Control，即 GPC，为例。对于带着开启的 GPC 到来的访问者，网站应当表现得像他点击了退出链接一样。

Google 在 AdSense 和 Ad Manager 的“隐私权和消息”中提供美国州法规消息，新泽西州在支持的州之列。该消息会显示 Do Not Sell or Share 链接。拒绝会启用受限数据处理，即 RDP，Google 不再使用以往的行为来选择广告。

关于 GPC，Google 表示，已实现该信号的合作伙伴可以选择在收到 GPC 退出信号时开启 RDP。配置由网站或 CMP 负责，也可以在标签中完成，使用 GPT 的 restrictDataProcessing 参数或 AdSense 的 data-restrict-data-processing 属性。

GPP 中有专门的新泽西州分段，但它不在 Google 接受的分段列表中。对 Google 来说，路径是 US National 分段，其中拒绝出售、共享或定向广告会开启 RDP。

实际案例

在新泽西州可以做什么，不可以做什么

适用于有新泽西州流量、通过程序化广告变现的网站的示例。

可以

  • 对拒绝了或带着开启的 GPC 到来的访问者，展示上下文广告
  • 使用 Google 的州法规消息来提供退出链接
  • 通过 GPP 的 US National 分段把退出请求传给 Google
  • 为简化配置，对所有美国流量应用 GPC
  • 即使没有颁布法规，也依据法律文本继续守法

不可以

  • 忽略 GPC，继续为该访问者请求个性化广告
  • 未经同意处理访问者的财务信息，比如信贷模拟器中的数据
  • 未经同意，将 13 至 16 岁青少年的数据用于定向广告
  • 以为你的非政府组织或协会因为不以营利为目的就不适用
  • 指望收到通知后有 30 天整改期：这段时期已于 2026 年 7 月结束

常见错误

网站在 NJDPA 上容易出错的地方

这些问题出现在只参照加利福尼亚州来设置美国隐私的网站上。

忘了财务数据

财务网站通过表单和计算器收集收入或债务信息，并转给合作伙伴。在新泽西州，这属于敏感数据，需要同意。

GPC 只在加利福尼亚州生效

CMP 只为加利福尼亚州应用 GPC，新泽西州访问者的信号被忽略。

等待法规

企业为等待最终规则而推迟了调整。该法律自 2025 年 1 月起就已生效，无论有没有法规。

退出后广告没有变化

访问者拒绝了，但广告请求仍然没有 RDP，GPP 字符串里也没有退出标记。

GPP 里只有州分段

CMP 只发送 Google 不读取的新泽西州分段。没有 US National，退出请求传不到 Google。

政策中没有第三方

隐私页面没有说明哪些类型的第三方（如广告网络和衡量合作伙伴）会收到数据。

在 ConsentMode 中

审核对新泽西州检查什么

  • 以美国访问者的身份打开网站，在页脚、菜单和隐私提示中查找退出链接。
  • 在审核浏览器中开启 GPC 信号，并比较有信号和无信号时的页面和广告请求。
  • 读取 GPP 字符串，检查是否存在 US National 分段，并记录退出请求。
  • 通过页面代码识别 CMP 或 Google 的州法规消息。
  • 检查隐私页面是否包含数据类别、目的、第三方、权利和申诉。
开始审核查看所有检查项

常见问题

新泽西州的法规已经生效了吗？

已经公布了一份规则草案征求公众意见，但在遵循其中任何细节之前，请到消费者事务部的网站上确认是否有最终规则生效。法律本身自 2025 年 1 月 15 日起生效，无论有没有法规。

我必须尊重 GPC 吗？

是的，如果该法律适用于你的网站。自 2025 年 7 月 15 日起，必须尊重 GPC 等通用退出信号。

我的协会是非营利性的。我就不适用吗？

不是。在新泽西州，非营利组织和小型企业如果超过门槛，也必须遵守该法律。

少量出售数据，就算达到 2.5 万的门槛了吗？

可能算。据消费者事务部说，第二个门槛适用于处理至少 2.5 万名消费者的数据，并且通过出售个人数据赚钱的企业。该部门没有提到最低收入金额，建议向律师确认你的情况。

收到通知之后，我还有整改期吗？

30 天的期限适用到 2026 年 7 月 1 日。在那之后，该部门可以不给这个期限而直接采取行动。

ConsentMode 能让我的网站合规吗？

ConsentMode 不是 CMP，也不是律师事务所。审核会显示网站对退出链接、GPC、GPP 和隐私页面实际做了什么，方便你与供应商和律师一起修正。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

检查你的网站在新泽西州是否尊重 GPC

审核会以美国访问者的身份、在有和没有 GPC 的情况下打开网站，并告诉你要修正什么，不会改动任何内容。

开始审核