Integritetsregler i USA för annonsörer 2026
USA har fortfarande ingen federal integritetslag, men den delstatliga kartan växte igen 2026. Lagar i Indiana, Kentucky och Rhode Island trädde i kraft den 1 januari, vilket gör att tjugo delstater nu har heltäckande integritetslagar. Kaliforniens uppdaterade CCPA-föreskrifter, som också gäller från den 1 januari 2026, lägger till riskbedömningar, revisioner av cybersäkerhet och rättigheter kring teknik för automatiserat beslutsfattande. För annonsörer handlar det praktiska arbetet om att hantera avregistreringar (opt-out) från riktad annonsering i varje delstat där du har kunder och att dokumentera hur målgruppsdata används.
Viktigaste resultaten
- 1
Heltäckande integritetslagar i Indiana, Kentucky och Rhode Island trädde i kraft den 1 januari 2026, vilket gör att det totalt är tjugo delstater.
Sekundär källa. Omfattning: USA; uppföljning av delstatlig lagstiftning, per . [1]
- 2
Rhode Islands lag omfattar aktörer som behandlar uppgifter om minst 35 000 konsumenter, eller 10 000 om mer än 20 % av intäkterna kommer från försäljning av personuppgifter.
Sekundär källa. Omfattning: Rhode Island; uppföljning av delstatlig lagstiftning, per . [1]
- 3
Kaliforniens uppdaterade CCPA-föreskrifter, som antogs i juli 2025 och godkändes i september 2025, trädde i kraft den 1 januari 2026 och omfattar riskbedömningar, revisioner av cybersäkerhet och ADMT.
Dokumenterat: officiell källa. Omfattning: Kalifornien; CPPA, per . [2]
- 4
Ytterligare delstatliga ändringar träder i kraft den 1 juli 2026 i Connecticut, Arkansas och Utah.
Sekundär källa. Omfattning: USA; uppföljning av delstatlig lagstiftning, per . [1]
Metod och begränsningar
- Fråga
- Vad ändrades i amerikansk integritetslagstiftning 2026 som påverkar hur annonsörer riktar och mäter?
- Skrivet för
- Performance- och CRM-ansvariga som köper media i USA.
- Beslut som står på spel
- Hur opt-out-hantering, datakartläggning och mätning ska ställas in för kampanjer i USA.
- Källor
- En uppföljning av delstatliga integritetslagar, California Privacy Protection Agencys sida om föreskriftsarbete och föreskriftstexten, samt en genomgång från en advokatbyrå av de tre nya delstatliga lagarna.
- Period
- Officiella och juridiska källor enligt publicering och läsning den 18 oktober 2026.
- Marknader
- USA, med detaljer för Kalifornien.
- Definitioner
- Riktad annonsering: annonser som väljs ut med hjälp av personuppgifter som samlats in över webbplatser eller appar som inte hör ihop, enligt definitionen i de flesta delstatliga lagar.
- ADMT: teknik för automatiserat beslutsfattande, enligt definitionen i Kaliforniens föreskrifter.
- Begränsningar
- Delstatliga lagar skiljer sig åt i trösklar och definitioner; den här sammanfattningen listar inte varje ändring.
- Detta är inte juridisk rådgivning eller skatterådgivning. Bekräfta vilka skyldigheter ditt företag har med kvalificerad rådgivare på marknaden.
Den delstatliga kartan 2026
Sekundär källa
Indiana, Kentucky och Rhode Island anslöt sig till listan över delstater med heltäckande integritetslagar den 1 januari 2026. Alla tre följer Virginia-mallen, som ger konsumenter rätt att avstå från riktad annonsering och från försäljning av personuppgifter. Rhode Islands trösklar är så låga att många medelstora företag omfattas.
Ändringar i Connecticut, Arkansas och Utah följer den 1 juli 2026, och flera av dem skärper reglerna om minderårigas uppgifter.
Kalifornien: bedömningar, revisioner och ADMT
Dokumenterat: officiell källa
Styrelsen för California Privacy Protection Agency antog uppdaterade föreskrifter den 24 juli 2025; de godkändes den 22 september 2025 och trädde i kraft den 1 januari 2026. De kräver att vissa företag genomför riskbedömningar och årliga revisioner av cybersäkerhet, och ger konsumenter rätt till insyn i och att avstå från vissa användningar av teknik för automatiserat beslutsfattande. Tidsgränserna för revisioner införs stegvis, och de första rapporterna ska lämnas från april 2028 av de största företagen.
Vad som behöver ändras i kampanjerna
FOCUSADS syn
- Respektera Global Privacy Control och opt-out-signaler på alla webbplatser, inte bara för besökare från Kalifornien.
- Kartlägg vilka målgrupper som kommer från dina egna kunder och vilka som kommer från tredje part.
- Skicka CRM-utfall tillbaka till plattformarna via godkända konverterings-API:er så att optimeringen förlitar sig mindre på spårning mellan webbplatser.
- Dokumentera vilka beslut om målgrupper och budgivning som är automatiserade, ifall en ADMT-begäran kommer in.
Där vi ser möjligheter
FOCUSADS syn
När signalerna mellan webbplatser minskar flyttar budgetar mot kanaler med egna förstapartsmålgrupper: retail media-nätverk, connected TV med inloggade tittare och sök. Annonsörer med ren CRM-data kan mäta dessa mot verkliga utfall i stället för plattformsrapporterade konverteringar.
Så hänger detta ihop med vår metod: Så granskar FOCUSADS kanaler per marknad
Referenser
- All of the comprehensive privacy laws that take effect in 2026, MultiState, hämtad
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, hämtad
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, hämtad
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, hämtad