Personvernregler for annonsører i USA i 2026
USA har fortsatt ingen føderal personvernlov, men kartet over delstatene vokste igjen i 2026. Lovene i Indiana, Kentucky og Rhode Island trådte i kraft 1. januar, slik at tjue delstater nå har helhetlige personvernlover. Californias oppdaterte CCPA-forskrifter, som også trådte i kraft 1. januar 2026, legger til risikovurderinger, revisjoner av informasjonssikkerhet og rettigheter knyttet til teknologi for automatiserte beslutninger. For annonsører består det praktiske arbeidet i å håndtere reservasjoner mot målrettet annonsering i alle delstater der du har kunder, og i å dokumentere hvordan målgruppedata brukes.
Hovedfunn
- 1
Helhetlige personvernlover i Indiana, Kentucky og Rhode Island trådte i kraft 1. januar 2026, slik at totalen nå er tjue delstater.
Sekundærkilde. Omfang: USA; oversikt over delstatlig lovgivning, per . [1]
- 2
Rhode Islands lov omfatter aktører som behandler data om minst 35 000 forbrukere, eller 10 000 hvis mer enn 20 % av inntektene kommer fra salg av personopplysninger.
Sekundærkilde. Omfang: Rhode Island; oversikt over delstatlig lovgivning, per . [1]
- 3
Californias oppdaterte CCPA-forskrifter, vedtatt i juli 2025 og godkjent i september 2025, trådte i kraft 1. januar 2026 og omfatter risikovurderinger, revisjoner av informasjonssikkerhet og ADMT.
Dokumentert: offisiell kilde. Omfang: California; CPPA, per . [2]
- 4
Flere delstatlige endringer trer i kraft 1. juli 2026 i Connecticut, Arkansas og Utah.
Sekundærkilde. Omfang: USA; oversikt over delstatlig lovgivning, per . [1]
Metode og begrensninger
- Spørsmål
- Hva endret seg i amerikansk personvernlovgivning i 2026 som påvirker hvordan annonsører målretter og måler?
- Skrevet for
- Performance- og CRM-ansvarlige som kjøper medier i USA.
- Beslutningen det gjelder
- Hvordan du setter opp håndtering av reservasjoner, datakartlegging og måling for kampanjer i USA.
- Kilder
- En oversikt over delstatlig personvernlovgivning, regelverkssiden og forskriftsteksten til California Privacy Protection Agency, og et advokatfirmas gjennomgang av de tre nye delstatslovene.
- Periode
- Offisielle og juridiske kilder slik de var publisert og lest 18. oktober 2026.
- Markeder
- USA, med detaljer for California.
- Definisjoner
- Målrettet annonsering: annonser valgt ut fra personopplysninger innhentet på tvers av ikke-tilknyttede nettsteder eller apper, slik det er definert i de fleste delstatslover.
- ADMT: teknologi for automatiserte beslutninger (automated decision-making technology), slik det er definert i Californias forskrifter.
- Begrensninger
- Delstatslovene har ulike terskler og definisjoner. Dette sammendraget lister ikke opp alle endringer.
- Dette er ikke juridisk rådgivning eller skatterådgivning. Bekreft forpliktelsene for din virksomhet med kvalifisert rådgiver i markedet.
Delstatskartet i 2026
Sekundærkilde
Indiana, Kentucky og Rhode Island kom med på listen over delstater med helhetlige personvernlover 1. januar 2026. Alle tre følger Virginia-modellen, som gir forbrukere rett til å reservere seg mot målrettet annonsering og salg av personopplysninger. Tersklene i Rhode Island er lave nok til å omfatte mange mellomstore virksomheter.
Endringer i Connecticut, Arkansas og Utah følger 1. juli 2026, og flere av dem strammer inn reglene for data om mindreårige.
California: vurderinger, revisjoner og ADMT
Dokumentert: offisiell kilde
Styret i California Privacy Protection Agency vedtok oppdaterte forskrifter 24. juli 2025. De ble godkjent 22. september 2025 og trådte i kraft 1. januar 2026. De krever at visse virksomheter gjennomfører risikovurderinger og årlige revisjoner av informasjonssikkerhet, og gir forbrukere rett til innsyn i og til å reservere seg mot enkelte former for bruk av teknologi for automatiserte beslutninger. Fristene for revisjon innføres gradvis, og de første rapportene skal leveres fra april 2028 for de største virksomhetene.
Hva du bør endre i kampanjene
FOCUSADS’ syn
- Respekter Global Privacy Control og reservasjonssignaler på alle nettsteder, ikke bare for besøkende fra California.
- Kartlegg hvilke målgrupper som kommer fra dine egne kunder, og hvilke som kommer fra tredjeparter.
- Send CRM-resultater tilbake til plattformene via godkjente konverterings-API-er, slik at optimaliseringen blir mindre avhengig av sporing på tvers av nettsteder.
- Dokumenter hvilke beslutninger om målgrupper og budgivning som er automatiserte, i tilfelle det kommer en ADMT-forespørsel.
Hvor vi ser muligheter
FOCUSADS’ syn
Etter hvert som signalene på tvers av nettsteder blir færre, flytter budsjettene seg mot kanaler med egne førstepartsmålgrupper: retail media-nettverk, connected TV med innloggede seere, og søk. Annonsører med ryddige CRM-data kan måle disse mot faktiske resultater i stedet for konverteringer rapportert av plattformene.
Slik henger dette sammen med metoden vår: Slik sjekker FOCUSADS kanaler per marked
Referanser
- All of the comprehensive privacy laws that take effect in 2026, MultiState, hentet
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, hentet
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, hentet
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, hentet