Защита персональных данных в США
Единого закона о персональных данных в США нет. У каждого штата свои критерии, а сверху действуют федеральные правила для отдельных отраслей. Мы посчитаем, какие из них касаются вас.
Consumer request
Ответ на запрос
45 days
45 дней
Notice before action
Окно на исправление
30 days
30 дней
Top state penalty
Потолок взыскания
USD 7,500
7 500 USD
Children's rule
Правило о детях
under 13
младше 13 лет
Когда нужно соответствие правилам о данных в США
Вы начали продавать во втором штате
У каждого штата свои критерии, кто подпадает под закон. Выйдя на новый рынок, вы можете попасть под закон, который ещё не читали.
Пришло письмо от генерального прокурора штата
Большинство штатов дают немного времени исправить нарушение до иска. Это самый дешёвый этап всей истории, и он быстро заканчивается.
Вашим продуктом пользуются дети
Федеральное правило о детях касается сервисов для детей до 13 лет и всех, кто знает возраст пользователя. Согласие нужно получить до сбора данных, а не после.
Приложение продаёт или передаёт данные
Продажа данных, таргетированная реклама и профилирование — три вещи, которые выделяет закон каждого штата. Для каждой свой способ отказа.
Что вы получаете
- Список штатов, законы которых к вам применяются
- Политику приватности, которая подойдёт для всех
- Работающие способы отказа, включая сигнал браузера
- Правила о детях и медицинских данных, применённые к продукту
- Порядок ответа на запросы под самый короткий срок
Чего требуют законы штатов и федеральные правила
Единого федерального закона о персональных данных для обычных компаний в США нет. Обязанности приходят с двух сторон. От штатов — у каждого свой закон. И от федеральных правил для отдельных отраслей или аудиторий.
Поэтому первый вопрос — простая арифметика. Закон каждого штата начинается с критериев, кто под него подпадает. И критерии везде разные.
Четыре штата — четыре разных критерия
Коннектикут
Закон касается вас, если за прошлый год вы работали с данными 100 000 человек. Или 25 000, если больше четверти выручки — от продажи персональных данных.
Вирджиния
Те же два варианта, но доля выручки — не четверть, а половина: 100 000 человек или 25 000 плюс эта доля.
Техас
Людей не считают вовсе. Закон касается вас, если вы работаете в штате или продаёте туда, обрабатываете или продаёте персональные данные и не считаетесь малым бизнесом по федеральным критериям.
Калифорния
Единственный штат с отдельным регулятором — Калифорнийским агентством по защите приватности. В остальных штатах этим занимается генеральный прокурор.
Сроки и второй шанс
В Коннектикуте и Калифорнии на ответ человеку — 45 дней и ещё 45, если запрос действительно сложный. В Техасе и Вирджинии прокурор сначала присылает уведомление и даёт 30 дней. Устранили нарушение — дело закрыто.
Второй шанс есть не везде и не навсегда. В Коннектикуте его давали обязательно только до конца 2024 года. С января 2025 прокурор решает сам, в каждом деле отдельно.
В чём штаты сходятся
Максимальный штраф почти везде одинаковый: 7 500 долларов за нарушение в Техасе и Вирджинии. В Калифорнии — за умышленное нарушение или если пострадал человек младше 16. Но важнее число нарушений: его считают по каждому человеку.
С января 2025 года Техас и Коннектикут требуют учитывать отказ, отправленный через настройки или расширение браузера, а не только на вашем сайте. Техас требует даже точную фразу. Кто продаёт чувствительные данные, обязан разместить «NOTICE: We may sell your sensitive personal data». Для биометрии — такую же строку.
Федеральные правила
Правило о детях касается любого сервиса для детей до 13 лет. Проверенное согласие родителей нужно получить до первого заполненного поля.
После изменений 2025 года нужна ещё письменная программа информационной безопасности: ответственный и оценка рисков хотя бы раз в год. Хранить данные можно, только пока нужна цель, ради которой их собрали.
Медицинские данные в организациях здравоохранения и финансовые данные в финансовых организациях регулируют отдельные федеральные законы. Законы штатов их прямо исключают. Другие наши услуги в стране — на странице США.
Источники: пороги Коннектикута, 45 дней и сигнал с 2025 года — Public Act 22-15; сфера, окно, взыскание и текст уведомления Техаса — Texas Data Privacy and Security Act; пороги и взыскание Вирджинии — глава 35 от 2021 года; суммы в Калифорнии — секция 1798.155 её Гражданского кодекса; обязанности по детям до 13 лет — часть 312 титула 16 Свода федеральных нормативных актов.
Этапы работы
Какие законы к вам применяются — 3–5 рабочих дней
Мы возьмём ваши цифры за прошлый год по каждому штату. Со сколькими людьми вы работали, какая доля выручки — от продажи данных, малый ли вы бизнес. Отсюда — список штатов.
Продукт и определения закона
У продажи, передачи для таргетированной рекламы и профилирования есть юридические определения. Аналитические и рекламные теги часто под них подпадают, даже если вы ничего не собирались продавать.
Одна политика для всех штатов
Вместо четырёх документов мы напишем один — по самому строгому требованию в каждом разделе. С отдельными фразами там, где штат требует точный текст.
Способы отказа
Ссылка на сайте, адрес почты для представителя по доверенности и распознавание сигнала браузера. Сигнала с января 2025 года требуют два из этих штатов.
Ответы под самый короткий срок
Запросы приходят без даты и пометки. Мы пропишем, кто их принимает, как проверяют личность, когда можно продлить срок и что писать при отказе.
Отраслевые правила
Дети младше 13, медицинские и финансовые данные. Мы проверим, что из этого касается вашего продукта и что требует каждый федеральный режим. Включая письменную программу безопасности, которую теперь требует правило о детях.
Эта услуга — часть раздела Licensing & Compliance.
Наши кейсы
FAQ
Обсудить
Задание
Поговорите с нашей командой
Поговорите с нашей командой.
Расскажите нам о своей задаче —
мы поможем вам в этом в любой юрисдикции.