2,500 万美元收入
年收入达到或超过 2,500 万美元。没有这个条件,无论流量多大,该法律都不适用。
指南 · 美国州法律
犹他州拥有美国最宽松的州隐私法之一,只涉及较大的企业。即便如此,适用的企业仍需要说明定向广告,并提供简单的拒绝方式。了解它何时适用于你的网站,以及 Google 如何处理这个信号。
是什么
Utah Consumer Privacy Act,简称 UCPA,位于犹他州法典第 13 编第 61 章。它于 2022 年通过,并于 2023 年 12 月 31 日生效。
UCPA 沿用弗吉尼亚州法律的结构,但更宽松。它不要求数据保护评估,不要求网站尊重浏览器的自动信号,并允许在告知并提供拒绝选项的情况下处理敏感数据,而不是事先征得同意。
它也是这一组法律中唯一要求最低营业额的。只有年收入至少 2,500 万美元,并且还拥有相当数量的犹他州消费者的企业,才适用。
对适用的企业来说,核心规则没有变:网站必须说明它投放定向广告,并为访问者提供清晰的拒绝途径。
清单
只适用于年收入达到 2500 万美元或以上,并且同时超过某一项数据量门槛的企业。
出售数据或做定向广告的一方,必须清楚、显眼地展示访客如何退出。该法没有规定链接的文字。
页脚:Do Not Sell or Share My Personal Information
通知列出数据的类别、目的、如何行使权利、提供给第三方的数据以及第三方的类型。
我们使用浏览数据来展示广告。我们会把这些数据与广告网络共享。如需退出,请使用页脚中的链接。
在处理敏感数据之前,网站要给出清晰的通知,并提供拒绝的机会。对于已知的儿童,适用 COPPA 法。
请求须在 45 天内答复。如果还需要 45 天,网站要通知访客,并说明还需要多长时间。
自 2026 年 7 月 1 日起,访客还可以要求更正错误的数据。
Google 不接受 GPP 字符串中的犹他部分。对于犹他,CMP 需要发送 US National,否则网站要直接在标签中开启 RDP。
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});总检察长会书面通知,并给予 30 天整改。如果问题仍然存在,每项违规的罚款最高可达 7,500 美元。
实际案例
官方工具
Google 对犹他没有要求使用认证 CMP。Google 的美国各州消息涵盖犹他,并把选择记录在 US National 部分。以下是官方链接。
适用对象
该法律适用于在犹他州开展业务或向该州居民提供产品和服务,并满足收入条件以及数量条件之一的企业。
年收入达到或超过 2,500 万美元。没有这个条件,无论流量多大,该法律都不适用。
除收入之外,在一个日历年内控制或处理 10 万名或以上犹他州消费者的数据。
或者处理 2.5 万名消费者的数据,并且超过 50% 的总收入来自出售个人数据。
公共机构、非营利组织、高等教育机构,以及受联邦金融和健康法律涵盖的数据。
定义
犹他州使用狭窄的定义,与弗吉尼亚州相似。
与已识别或可识别的个人相关,或可合理地与其关联的信息。匿名化数据和公开数据不包括在内。
种族或民族出身、宗教、性取向、移民身份、医疗和健康史、基因数据、生物识别数据和精确位置。
与第三方以金钱交换个人数据。与弗吉尼亚州一样,只有金钱支付才算。
根据个人在其他公司的网站和应用上长期活动的数据选择的广告。上下文广告不包括在内。
权利
企业有 45 天时间答复,可以延长。权利清单比其他州少。
确认企业是否处理他的数据,并访问这些数据。
删除他本人提供的数据,并以可转移到其他服务的格式获取副本。
2025 年通过的一项修订增加了要求更正错误数据的权利,原法律中没有这项权利。
拒绝将数据用于定向广告和出售个人数据。
网站的义务
企业需要一份易于获取且清晰的隐私声明。其中应列出所处理数据的类别、目的、如何行使权利、与第三方共享的数据类别,以及这些第三方的类别。
如果网站出售数据或投放定向广告,必须清楚、显眼地展示访问者如何拒绝。法律没有规定链接的文字,但必须容易找到,比如放在页脚。
敏感数据只有在清楚告知并给予拒绝机会之后才能处理。对于已知儿童的数据,适用联邦法律 COPPA,需要父母同意。
犹他州不要求网站尊重 Global Privacy Control 或其他浏览器自动信号,也不要求数据保护评估。这并不妨碍企业自愿尊重 GPC,这会简化在多个州的运营。
时间线
UCPA 自生效以来变化不大。
犹他州通过其综合性消费者隐私法 SB 227。
权利、隐私声明,以及对定向广告和数据出售的退出开始生效。
犹他州议会通过增加更正权。
访客现在可以要求更正错误的数据。
执法和罚款
犹他州总检察长拥有执法的专属权限。该州消费者保护司负责接收投诉、展开调查,并可将案件移交总检察长。个人不能依据 UCPA 起诉企业。
总检察长在提起诉讼之前,必须至少提前 30 天发出书面通知,并指出每一项违规。如果企业在这段时间内改正,并提交书面声明,表明已改正且不会再犯,就不会被起诉。这个整改期没有截止日期。
如果违规持续或再次发生,总检察长可以追讨消费者的实际损失,并处以每次违规最高 7,500 美元的罚款。
实际上,30 天的期限相当于给了第二次机会,但只适用于及时看到通知并迅速改正的企业。一开始就做好告知和拒绝功能,就能避免这个问题。
AdSense 和 Ad Manager
IAB Tech Lab 在 GPP 字符串中专门设立了犹他州部分,但 Google 并不接受。AdSense 支持页面把犹他州部分列在不受支持的字符串之中。
对于犹他州,Google 读取的是 US National 部分。当它显示访客拒绝出售、共享或定向广告时,Google 会启用受限数据处理(RDP),并且只展示非个性化广告。
AdSense 和 Ad Manager 中的美国各州隐私权消息包含犹他州,并把访客的选择记录在 US National 部分。如果您使用其他 CMP,请确认它会向犹他州访客发送 US National,而不只是发送州级部分。
另一种做法是,针对已拒绝的访客,直接在广告标记中启用 RDP,例如在 GPT 中使用 restrictDataProcessing。别忘了把拒绝信号也传递给 Header Bidding、视频和像素等合作伙伴。
实际案例
适用于收入超过法律门槛的广告网站的示例。
常见错误
法律本身很简单,但技术部分往往容易出问题。
CMP 只发送 Google 不接受的犹他州部分,广告请求仍然没有 RDP。
政策里提到了 Cookie,却没有说明存在定向广告,也没有说明如何拒绝。
公司收入超过 2500 万美元,犹他州访客超过 10 万人,却完全不提供拒绝选项。
政策没有提到自 2026 年 7 月 1 日起生效的更正权。
不适用。该法律只适用于年收入至少 2500 万美元,并且同时超过某一项消费者数量门槛的企业。即便如此,广告合作伙伴仍可能要求提供拒绝信号。
UCPA 并不强制要求。但很多网站仍然会遵守,因为加利福尼亚州、科罗拉多州、康涅狄格州和俄勒冈州等州有此要求。
犹他州要求在处理之前清楚告知并提供拒绝机会,而不是事先同意。对于儿童,适用联邦法律 COPPA。
对 Google 来说是 US National。AdSense 说明不接受犹他州部分。
不会。ConsentMode 不是 CMP,也不会修改您的网站。它会显示实际发送的是哪个部分,以及需要调整什么。
资料库
本指南根据以下官方页面编写。请直接阅读原文:
审核会以犹他州访客的身份打开网站,并显示发送给广告的字符串,不会更改任何内容。