Чем США отличаются от ЕС

В ЕС базовый уровень задаёт один регламент. В Соединённых Штатах нет всеобъемлющего федерального закона о конфиденциальности, охватывающего общее отслеживание на сайтах, поэтому всё больше отдельных штатов приняли собственные. Первой была Калифорния, а многие другие последовали с законами, которые похожи, но не идентичны.

Для издателя с общенациональной аудиторией практический вопрос звучит не «какой один закон применяется?», а «какой общий набор действий работает во всех из них?».

Opt-out и opt-in: главное различие

Большинство европейских подходов исходит из opt-in: никакого отслеживания, пока пользователь не согласится. Большинство законов штатов США исходит из opt-out: вы можете обрабатывать обычные персональные данные, но должны сообщить людям, что вы делаете, и позволить им прекратить определённые действия.

• Таргетированная реклама — у пользователей, как правило, есть право на отказ.
• Продажа или передача персональных данных — у пользователей, как правило, есть право на отказ.
• Профилирование — многие законы дают право на отказ от профилирования, используемого для значимых решений.
• Чувствительные данные — большинство этих законов требует согласия opt-in перед их обработкой, и именно здесь модель переворачивается.

Всегда проверяйте точные формулировки для штатов, откуда у вас реальный трафик, потому что определения «чувствительных данных» и «продажи» различаются.

Что общего у этих законов

Несмотря на различия, одни и те же элементы повторяются снова и снова:

1. Понятное, доступное уведомление о конфиденциальности с описанием категорий данных, целей и получателей.
2. Заметный способ отказа от таргетированной рекламы и продажи или передачи данных, например ссылка в подвале.
3. Учёт сигналов предпочтений opt-out в штатах, где это требуется, например Global Privacy Control.
4. Процесс обработки запросов потребителей: доступ, удаление и исправление.
5. Договоры с поставщиками, обрабатывающими данные от вашего имени.

Сигналы opt-out становятся обязательными

Несколько штатов требуют, чтобы компании считали универсальный сигнал отказа на уровне браузера действительным запросом на отказ. На практике это значит: если браузер посетителя отправляет сигнал Global Privacy Control, ваш сайт должен применить отказ автоматически, не прося посетителя нажимать что-либо ещё.

Техническое следствие простое: ваша логика согласия должна считывать сигнал до загрузки рекламных и аналитических тегов, а в конфигурации тегов должно быть состояние, соответствующее «отказ оформлен».

Пороговые значения и применимость

Многие законы штатов применяются только выше определённых порогов, например по числу жителей, чьи данные вы обрабатываете, или по доле выручки от продажи данных. Пороги различаются и со временем меняются, поэтому не считайте, что небольшой издатель автоматически вне сферы действия. Попросите юриста подтвердить, какие законы применимы к вашему бизнесу.

Передача выбора по рекламной цепочке

Для рекламных издателей сбор выбора пользователя — лишь половина дела. Выбор должен дойти до ваших рекламных партнёров. Для этого создан Global Privacy Platform (GPP) от IAB: он несёт национальный раздел США и разделы отдельных штатов в одном сигнале, чтобы рекламные технологические поставщики могли прочитать статус пользователя. Если ваш стек всё ещё опирается на старые сигналы отдельных штатов, планируйте переход на единый подход по мере появления новых штатов.

Практическая операционная модель

1. Составьте список штатов, откуда у вас значимый трафик.
2. Выберите самое строгое общее поведение и применяйте его повсеместно, если цените простоту, или локализуйте по штатам, если нужно сохранить доход.
3. Разместите постоянную точку входа для отказа на каждой странице.
4. Проверьте, что отказ и сигнал браузера действительно останавливают соответствующие теги.
5. Храните записи о сделанном пользователями выборе.
6. Пересматривайте список применимых законов по регулярному графику, поскольку появляются новые.

Где место FlexyConsent

FlexyConsent поддерживает IAB GPP v1.1 с национальным разделом США и 16 законами штатов США, так что выбор пользователя об отказе можно передать вашим рекламным партнёрам в одном стандартном сигнале. Баннер доступен на 57 языках, что помогает с испаноязычной и другой многоязычной аудиторией в США. Это инструмент для сбора и передачи выбора; что именно должен делать ваш бизнес по каждому закону — вопрос для вашей юридической консультации.

Главное

• Законы штатов США в основном построены на opt-out, а для чувствительных данных — на opt-in.
• Общая основа: уведомление, заметный отказ, учёт сигналов отказа и обработка запросов потребителей.
• Считывайте сигналы отказа до срабатывания тегов, а не после.
• Используйте единый сигнал, такой как GPP, чтобы передавать выбор рекламным партнёрам.
• Проверяйте применимость и пороги с юристом и пересматривайте их регулярно.