CCPA, CPRA и state privacy laws: гайд для бизнеса с US-аудиторией
В США нет единого федерального закона о защите данных. Вместо него — лоскутное одеяло из 20+ законов штатов. Разбираем, что нужно соблюдать, если ваш бизнес работает с американскими пользователями.
Содержание
- Нет федерального закона — есть 20+ штатных
- CCPA и CPRA: кого касается и как работает
- Opt-out, Do Not Sell и GPC
- Sensitive personal information и opt-in
- DSAR: права пользователей и сроки ответа
- COPPA: дети до 13 лет
- Карта законов штатов: CA, TX, CO, VA и другие
- CA Delete Act: реестр брокеров данных с 2026
- Компании из СНГ с US-аудиторией
- Чеклист: 10 пунктов US privacy compliance
1. Нет единого федерального закона — есть 20+ штатных
Европа решила задачу просто: один регламент GDPR на весь ЕС. США пошли по другому пути. Попытки принять федеральный Privacy Act предпринимались многократно — последний серьёзный кандидат, American Privacy Rights Act (APRA), прошёл профильный комитет Конгресса в мае 2024 года, но до голосования в полном составе Палаты так и не дошёл. По состоянию на 2026 год федерального закона общего применения в США нет.
В итоге американское privacy-право — это лоскутное одеяло из законов, действующих на уровне штатов. По состоянию на 2026 год комплексные privacy-законы приняты уже в 20 штатах, а ещё в десятке находятся на рассмотрении законодательных собраний.
Для международных компаний это означает: нельзя принять одно решение и забыть. Нужно понять, пользователи каких штатов вам попадаются, и обеспечить соответствие их конкретным законам. При этом де-факто самый жёсткий закон — калифорнийский CCPA/CPRA — часто используется как базовая точка отсчёта: если вы соблюдаете его, вы, как правило, покрываете большинство требований других штатов.
2. CCPA и CPRA: кого касается и как работает
California Consumer Privacy Act (CCPA) вступил в силу 1 января 2020 года. California Privacy Rights Act (CPRA) — его существенное расширение — заработал в полную силу 1 января 2023 года. CPRA создал независимый регулятор California Privacy Protection Agency (CPPA) и добавил категорию sensitive personal information.
Закон применяется к бизнесам, которые соответствуют хотя бы одному из трёх порогов:
Обратите внимание: речь идёт о данных жителей Калифорнии, а не только о Калифорнийских компаниях. Если ваш SaaS из Армении или России имеет 100 000+ пользователей из Калифорнии и выручку выше порога — CCPA/CPRA на вас распространяется.
3. Opt-out, Do Not Sell/Share и Global Privacy Control
Одно из главных отличий американского подхода от европейского — opt-out вместо opt-in. В GDPR по умолчанию требуется согласие; в CCPA/CPRA пользователь должен отказаться от продажи и шеринга его данных. Именно поэтому на американских сайтах вы видите ссылку «Do Not Sell or Share My Personal Information», а не cookie-баннер с кнопкой «Принять».
Что такое «продажа» и «шеринг» по CCPA/CPRA
- Sale — передача данных третьим лицам за денежное или иное вознаграждение. Включает бартер.
- Sharing (добавлено CPRA) — передача данных для cross-context behavioral advertising, даже бесплатно. Именно это покрывает передачу данных в Google Ads, Meta Pixel и аналоги.
- Вы обязаны предоставить ссылку «Do Not Sell or Share My Personal Information» на главной странице и в Privacy Policy.
- После получения opt-out нельзя продавать/шерить данные конкретного пользователя. Повторный запрос согласия — не раньше чем через 12 месяцев.
С 2023 года в нескольких штатах обязателен учёт сигнала Global Privacy Control (GPC) — браузерного заголовка, который пользователь устанавливает один раз, и все сайты обязаны его соблюдать как opt-out.
Обязателен GPC
California, Colorado, Connecticut, Montana — уже сейчас. Техасский AG также ссылается на GPC в расследованиях.
Как технически
Заголовок Sec-GPC: 1 или JS navigator.globalPrivacyControl === true. CMP-платформы (OneTrust, Cookiebot) умеют это из коробки.
Что делать
Детектировать GPC на сервере/клиенте и автоматически применять opt-out без требования нажать ссылку на сайте.
4. Sensitive personal information: opt-in и ограничение использования
CPRA ввёл отдельную категорию Sensitive Personal Information (SPI) — по аналогии с «особыми категориями» в GDPR, но с рядом отличий. Для SPI действует режим opt-in (при использовании сверх допустимого) или специальная ссылка ограничения.
Когда нужен opt-in / «Limit Use» ссылка?
- Если вы используете SPI сверх разрешённых целей (доставка услуги, безопасность, исправление ошибок) — нужен opt-in.
- Если вы раскрываете SPI третьим лицам или используете для рекламного профилирования — нужна ссылка «Limit the Use of My Sensitive Personal Information» на сайте.
- Ссылка может быть объединена с «Do Not Sell or Share» в одну — CPPA разрешает комбинированный линк.
- После получения запроса на ограничение — исполнить в течение 15 рабочих дней.
Для большинства SaaS- и IT-компаний сценарии с SPI возникают при работе с HR-tech (biometrics, health), fintech (financial account numbers), edtech (если дети), и платформами с точной геолокацией. Если вы собираете хотя бы один из перечисленных типов — обязательно проверьте, есть ли у вас ссылка ограничения в footer.
• Do Not Sell or Share My Personal Information
• Limit the Use of My Sensitive Personal Information
✅ Или одна комбинированная:
• Your Privacy Choices [optout-icon]
5. DSAR: права пользователей и сроки ответа
CCPA/CPRA предоставляет жителям Калифорнии Data Subject Access Rights (DSAR), аналогичные GDPR, но с американской спецификой. Права включают:
Временны́е требования
Верификация запросов: 2 метода
- Matching method: Сопоставить 2–3 идентификатора из запроса с данными в системе (email + телефон, email + дата регистрации и т.п.).
- Signed declaration: Попросить пользователя подписать декларацию под страхом ответственности за ложные заявления (подходит для чувствительных данных или высокорискованных запросов).
- Не требовать создания аккаунта, если его не было — это прямо запрещено CCPA.
- Агентам пользователя (authorized agents с письменным разрешением) нужно отвечать так же, как напрямую. Можно запросить нотариально заверенную доверенность.
Для автоматизации DSAR-процессов существуют специализированные решения: OneTrust DSAR, Osano, DataGrail, Transcend. Они интегрируются с CRM/CDP и позволяют выполнять запросы на удаление/экспорт без ручной работы. При масштабе 100K+ пользователей ручной процесс нежизнеспособен — регуляторы это понимают и ждят автоматизации.
6. COPPA: дети до 13 лет и verifiable parental consent
Children's Online Privacy Protection Act (COPPA) — федеральный закон 1998 года, дополненный в 2013-м. Несмотря на возраст, он остаётся одним из самых строго применяемых законов о данных в США. FTC активно использует COPPA для преследования платформ, работающих с детьми.
| Требование | Детали |
|---|---|
| Verifiable Parental Consent (VPC) | Перед сбором данных ребёнка — получить проверяемое согласие родителя: email с ответом, кредитная карта, видео-верификация, нотариус. |
| Children's Privacy Notice | Отдельная политика конфиденциальности, написанная понятным языком для родителей. |
| Данные только для функции | Нельзя собирать данные сверх необходимого для предоставления сервиса детям. |
| Запрет поведенческой рекламы | Никакого таргетинга на основе профиля для детей до 13 лет. |
| Права родителей | Право просмотреть, исправить, удалить данные ребёнка в любое время. |
| Retention | Удалять данные, как только они перестали быть нужны для указанной цели. |
Если ваш продукт — образовательная платформа, игра, инструмент для родителей или любой сервис, который дети потенциально могут использовать — проконсультируйтесь со специалистом по COPPA до запуска. Цена ошибки исчисляется десятками миллионов долларов.
7. Карта законов штатов: CA, TX, CO, VA и другие
Помимо CCPA/CPRA, существуют законы десятков штатов. Большинство из них строятся по схожей архитектуре (opt-out, DSAR, DPA с вендорами, DPIA), но отличаются в деталях: пороги применения, права пользователей, штрафы, наличие cure period. Вот ключевые законы, на которые стоит обратить внимание:
- CPPA — независимый регулятор с правом инициировать дела
- DPIA обязательны для «высокорискованных» обработок
- ADMT-регуляции (алгоритмы, скоринг) в силе с 2026
- Нет cure period для нарушений SPI и детских данных
- Применяется ко всем компаниям, ведущим бизнес в Техасе (без порога по выручке или числу пользователей)
- Attorney General закрыл мировое соглашение с Meta на $1.4B в 2024 г. (biometric data)
- 30-дневный cure period (до 01.01.2025)
- DPIA, DPA с процессорами
- Colorado AI Act (2024) — первый в США закон о рисках AI-систем «высокого риска»
- Mandatory GPC compliance
- DPIA обязательны для targeted advertising, продажи данных, SPI, детей
- Нет cure period с 2025
- Самый жёсткий закон после CA: data minimization по умолчанию
- Запрет на продажу sensitive data детей до 18 (не 13!)
- Запрет на targeted advertising детям до 18
- Нет cure period с самого начала
- В силе с 01.01.2026
- Нет cure period — сразу можно взыскать штраф
- Уведомление AG не позднее 72 часов при breach
- Применяется к контроллерам с 35K+ потребителей из RI
- Virginia CDPA — opt-out, DSAR 45 дней, DPIA
- Connecticut CTDPA — GPC mandatory, нет cure с 2025
- Oregon OCPA — широкая трактовка sensitive data
- Montana MCDPA — GPC mandatory, минимальные пороги
8. California Delete Act: реестр брокеров данных с 2026
California Delete Act (SB 362) был принят в 2023 году и вступил в полную силу 1 августа 2026 года. Он создаёт единую платформу, через которую калифорнийцы смогут одним запросом потребовать удаления своих данных у всех зарегистрированных брокеров данных — без необходимости обращаться к каждому по отдельности.
Ключевые требования Delete Act
- Регистрация брокеров: Все data brokers, работающие с данными жителей Калифорнии, обязаны зарегистрироваться в реестре CPPA. Штраф за нерегистрацию — $200 в день.
- Одна точка opt-out: С 01.08.2026 реестр CPPA даёт потребителям единый интерфейс для запроса удаления данных у всех брокеров одновременно.
- Автоматизированный отклик: Брокеры обязаны технически интегрироваться с платформой CPPA для приёма и исполнения таких запросов.
- Аудит каждые 3 года: Брокеры должны подтверждать соответствие через независимый аудит.
Касается ли это вашего SaaS или IT-компании?
- Если вы брокер данных по CCPA (продаёте данные, которые напрямую не собирали от пользователей) — да, регистрация обязательна.
- Если вы первичный контроллер (собираете данные своих пользователей для предоставления сервиса) — Delete Act не применяется напрямую, но ваши данные могут попасть к брокерам через рекламные платформы.
- Внимательно проверьте: не является ли ваша модель монетизации передачей данных третьим лицам за вознаграждение — именно это делает компанию брокером.
- Если вы работаете с рекламными технологиями, lead generation или data enrichment — скорее всего, вы data broker по смыслу закона.
9. Компании из СНГ с US-аудиторией: экстерриториальность без US-юрлица
Принципиальный вопрос: распространяются ли CCPA/CPRA на компанию, зарегистрированную в Армении, Казахстане или Сербии, у которой есть пользователи из Калифорнии?
Практические сценарии, с которыми сталкиваются IT-компании и стартапы из СНГ:
Для компаний, которые работают на международных рынках — США, ЕС, Великобритания, собственная юрисдикция — рекомендуется строить единый privacy-фреймворк: Privacy Policy, DSAR-процесс, DPA-шаблоны, consent management — один раз, с учётом всех применимых законов. Это дешевле, чем поддерживать отдельные документы для каждой юрисдикции.
10. Чеклист: 10 пунктов US privacy compliance
Если вы только начинаете путь к соблюдению американских законов о данных, используйте этот чеклист как отправную точку:
Sec-GPC: 1 обязательна. Используйте CMP или собственную интеграцию.Часто задаваемые вопросы
Нужна помощь с US privacy compliance?
Мы поможем разобраться, под какие законы вы попадаете, и подготовим документы, соответствующие требованиям CCPA/CPRA, COPPA и законодательству других штатов.
Консультация бесплатна. Ответим в течение рабочего дня.