Защита персональных данных в США

Единого федерального закона о персональных данных для обычных компаний в США нет. Обязанности приходят сразу с двух сторон: от штатов, у каждого из которых свой закон, и от федеральных правил, написанных под одну отрасль или одну аудиторию.

Поэтому первый вопрос здесь — арифметический. Закон каждого штата начинается с критерия, кто внутри него, и критерии между собой не совпадают.

Четыре штата — четыре разных критерия

Коннектикут

Вы под законом, если за прошлый год работали с данными 100 000 человек либо 25 000 при том, что больше четверти валовой выручки дала продажа персональных данных.

Вирджиния

Те же две двери, но выручка тут считается от половины вместо четверти: 100 000 человек либо 25 000 плюс эта доля выручки.

Техас

Счёта людей нет вовсе. Вы внутри, если ведёте дела в штате или продаёте туда, обрабатываете или продаёте персональные данные и не являетесь малым бизнесом по федеральному определению.

Калифорния

Единственный штат со своим отдельным регулятором: здесь работает Калифорнийское агентство по защите приватности, тогда как в остальных штатах этим занимается генеральный прокурор.

Сроки и второй шанс

Коннектикут и Калифорния дают человеку 45 дней на ответ и ещё 45 в запасе, когда запрос действительно сложный. Техас и Вирджиния обязывают генерального прокурора сперва прислать вам уведомление за 30 дней, и устранённое нарушение закрывает дело.

Второй шанс есть не везде и не навсегда. В Коннектикуте окно на исправление было обязательным лишь до конца 2024 года; с января 2025 прокурор сам решает в каждом деле, давать его или нет.

В чём штаты сходятся

Потолок взыскания держится на удивление ровно: 7 500 долларов за нарушение в Техасе, в Вирджинии и в Калифорнии — за умышленное нарушение или затронувшее человека младше 16. Важен, впрочем, не потолок, а число нарушений: оно считается по каждому человеку.

С января 2025 Техас и Коннектикут требуют исполнять отказ, присланный настройкой или расширением браузера и не только нажатый на вашем сайте. Техас идёт дальше и диктует формулировку: продающий чувствительные данные обязан разместить фразу «NOTICE: We may sell your sensitive personal data», а для биометрии — такую же строку про неё.

Федеральные правила сверху

Детское правило достаёт любой сервис, рассчитанный на детей до 13 лет, и хочет получить проверенное согласие родителя до того, как заполнено первое поле. После правки 2025 года оно требует ещё и письменной программы информационной безопасности с назначенным ответственным и оценкой рисков не реже раза в год, а хранение ограничивает сроком, пока жива цель сбора.

Медицинские данные у охваченных организаций и финансовые данные в финансовых учреждениях живут по собственным федеральным режимам, и закон каждого штата выводит их из-под себя поимённо. Другие услуги, которые мы ведём в стране, перечислены на странице США.

Источники: пороги Коннектикута, 45 дней и сигнал с 2025 года — Public Act 22-15; сфера, окно, взыскание и текст уведомления Техаса — Texas Data Privacy and Security Act; пороги и взыскание Вирджинии — глава 35 от 2021 года; суммы в Калифорнии — секция 1798.155 её Гражданского кодекса; обязанности по детям до 13 лет — часть 312 титула 16 Свода федеральных нормативных актов.