Przepisy o prywatności w USA dla reklamodawców w 2026 roku
USA nadal nie mają federalnej ustawy o prywatności, ale mapa stanowa w 2026 roku znów się powiększyła. 1 stycznia weszły w życie ustawy w Indianie, Kentucky i Rhode Island, co zwiększyło liczbę stanów z kompleksowymi przepisami o prywatności do dwudziestu. Zaktualizowane przepisy wykonawcze CCPA w Kalifornii, obowiązujące również od 1 stycznia 2026 roku, wprowadzają oceny ryzyka, audyty cyberbezpieczeństwa i prawa dotyczące technologii zautomatyzowanego podejmowania decyzji. Dla reklamodawców praktyczna praca polega na obsłudze sprzeciwu wobec reklamy targetowanej w każdym stanie, w którym mają klientów, oraz na prowadzeniu rejestru wykorzystania danych o odbiorcach.
Najważniejsze ustalenia
- 1
1 stycznia 2026 roku weszły w życie kompleksowe ustawy o prywatności w Indianie, Kentucky i Rhode Island, co zwiększyło ich łączną liczbę do dwudziestu stanów.
Źródło wtórne. Zakres: Stany Zjednoczone; stanowy monitor legislacyjny, według stanu na . [1]
- 2
Ustawa w Rhode Island obejmuje podmioty przetwarzające dane co najmniej 35 000 konsumentów lub 10 000, jeśli ponad 20% przychodów pochodzi ze sprzedaży danych osobowych.
Źródło wtórne. Zakres: Rhode Island; stanowy monitor legislacyjny, według stanu na . [1]
- 3
Zaktualizowane przepisy wykonawcze CCPA w Kalifornii, przyjęte w lipcu 2025 roku i zatwierdzone we wrześniu 2025 roku, weszły w życie 1 stycznia 2026 roku i obejmują oceny ryzyka, audyty cyberbezpieczeństwa oraz ADMT.
Udokumentowane: oficjalne źródło. Zakres: Kalifornia; CPPA, według stanu na . [2]
- 4
Kolejne zmiany w ustawach stanowych wchodzą w życie 1 lipca 2026 roku w Connecticut, Arkansas i Utah.
Źródło wtórne. Zakres: Stany Zjednoczone; stanowy monitor legislacyjny, według stanu na . [1]
Metoda i ograniczenia
- Pytanie
- Co zmieniło się w amerykańskim prawie o prywatności w 2026 roku, co wpływa na targetowanie i pomiar u reklamodawców?
- Dla kogo
- Osoby odpowiedzialne za performance i CRM kupujące media w USA.
- Decyzja, o którą chodzi
- Jak skonfigurować obsługę sprzeciwu, mapowanie danych i pomiar w kampaniach w USA.
- Źródła
- Monitor stanowych ustaw o prywatności, strona California Privacy Protection Agency dotycząca procesu legislacyjnego i tekst przepisów oraz opracowanie kancelarii prawnej na temat trzech nowych ustaw stanowych.
- Okres
- Źródła urzędowe i prawne w wersji opublikowanej i sprawdzonej 18 października 2026 roku.
- Rynki
- Stany Zjednoczone, ze szczegółami dla Kalifornii.
- Definicje
- Reklama targetowana: reklamy dobierane na podstawie danych osobowych pozyskanych z niepowiązanych witryn lub aplikacji, zgodnie z definicją w większości ustaw stanowych.
- ADMT: technologia zautomatyzowanego podejmowania decyzji (automated decision-making technology), zgodnie z definicją w przepisach kalifornijskich.
- Ograniczenia
- Ustawy stanowe różnią się progami i definicjami; to podsumowanie nie wymienia wszystkich zmian.
- To nie jest porada prawna ani podatkowa. Obowiązki swojej firmy należy potwierdzić z wykwalifikowanym doradcą na danym rynku.
Mapa stanowa w 2026 roku
Źródło wtórne
1 stycznia 2026 roku Indiana, Kentucky i Rhode Island dołączyły do listy stanów z kompleksowymi ustawami o prywatności. Wszystkie trzy wzorują się na modelu z Wirginii, który daje konsumentom prawo do sprzeciwu wobec reklamy targetowanej i sprzedaży danych osobowych. Progi w Rhode Island są na tyle niskie, że obejmują wiele średnich firm.
1 lipca 2026 roku wchodzą w życie zmiany w Connecticut, Arkansas i Utah, z których kilka zaostrza zasady dotyczące danych małoletnich.
Kalifornia: oceny, audyty i ADMT
Udokumentowane: oficjalne źródło
Zarząd California Privacy Protection Agency przyjął zaktualizowane przepisy 24 lipca 2025 roku; zostały one zatwierdzone 22 września 2025 roku i weszły w życie 1 stycznia 2026 roku. Nakładają na niektóre firmy obowiązek przeprowadzania ocen ryzyka i corocznych audytów cyberbezpieczeństwa, a konsumentom dają prawo dostępu do niektórych zastosowań technologii zautomatyzowanego podejmowania decyzji i sprzeciwu wobec nich. Terminy audytów są rozłożone w czasie; pierwsze raporty największych firm są wymagane od kwietnia 2028 roku.
Co zmienić w kampaniach
Stanowisko FOCUSADS
- Respektuj Global Privacy Control i sygnały sprzeciwu w każdej witrynie, nie tylko w przypadku odwiedzających z Kalifornii.
- Określ, które grupy odbiorców pochodzą od własnych klientów, a które od podmiotów trzecich.
- Przekazuj wyniki z CRM z powrotem do platform przez zatwierdzone interfejsy API konwersji, aby optymalizacja w mniejszym stopniu opierała się na śledzeniu między witrynami.
- Rejestruj, które decyzje dotyczące odbiorców i ustalania stawek są zautomatyzowane, na wypadek otrzymania wniosku dotyczącego ADMT.
Gdzie widzimy szanse
Stanowisko FOCUSADS
Gdy sygnały między witrynami się zawężają, budżety przesuwają się do kanałów z własnymi grupami odbiorców: sieci retail media, telewizji connected TV z zalogowanymi widzami i wyszukiwarki. Reklamodawcy z uporządkowanymi danymi CRM mogą mierzyć te kanały na podstawie rzeczywistych wyników, a nie konwersji raportowanych przez platformy.
Jak to się łączy z naszą metodą: Jak FOCUSADS weryfikuje kanały na poszczególnych rynkach
Bibliografia
- All of the comprehensive privacy laws that take effect in 2026, MultiState, dostęp
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, dostęp
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, dostęp
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, dostęp